대법, 데이터 신산업 육성 입법 취지 인정
1·2심 뒤집고 파기환송
대법원은 지난 7월 18일 정모 씨 등 5명이 SK텔레콤을 상대로 낸 개인정보 처리 정지 소송 상고심에서 원고 승소 판결한 원심을 파기하고 사건을 서울고등법원으로 환송했다.
대법원은 가명 처리를 개인정보 처리와 별개의 행위로 규정함으로써 기존의 개인정보 보호 패러다임에 변화를 가져왔다. 종전에는 개인정보에 대한 모든 행위가 ‘처리’의 범주에 포함된다고 보는 것이 일반적이었으나 대법원은 가명 처리만큼은 예외로 인정한 것이다.
이는 향후 데이터 가공, 변환, 암호화 등 다양한 개인정보 보호 조치들의 법적 성격을 판단하는 데 영향을 미칠 것으로 예상된다.
시민단체, 가명 정보 활용 중단 첫 소송
이번 소송은 2020년 개인정보보호법 개정으로 가명 정보 제도가 도입되면서 시작됐다. 정부는 과학적 연구·통계·공익적 기록보존 목적이라면 개인정보를 가명 처리해 본인 동의 없이 활용하거나 제3자에게 제공할 수 있도록 허용했다.
참여연대 등 시민단체 4곳은 2020년 10월 SK텔레콤에 가입자들 개인정보를 가명 처리한 사실이 있는지 문의하면서 개인정보를 과학적 연구·통계·공익적 기록보존 목적으로 가명 처리하는 것을 정지하라고 요구했다.
SK텔레콤이 “이미 가명 처리된 정보에 대해선 개인정보 열람과 처리정지권이 제한된다”며 요구를 거절하자 이듬해 2월 시민단체들은 SK텔레콤 가입자 5명을 모아 ‘가명 처리 중단’ 소송을 제기했다.
가명 정보는 이름이나 전화번호 등 개인을 식별할 수 있는 정보를 삭제하거나 대체해 특정 개인을 알아볼 수 없도록 처리한 정보다. 빅데이터 연구와 인공지능(AI) 개발 등에 핵심 자료로 활용되지만 여러 가명정보를 결합하면 개인 식별이 가능하다는 우려도 제기돼왔다.
정부는 2020년 8월 개인정보보호법을 개정해 가명 처리를 통해 개인정보를 보호하되 개인정보 처리자가 ‘정보 주체의 동의 없이’ 개인정보를 가명 처리해 활용할 수 있도록 허용(개인정보보호법 제28조의 2)했다.
1·2심, 개인정보자기결정권 우선
1심과 2심은 모두 가입자들의 손을 들어줬다. 1심 재판부는 “가명 정보라고 해도 추가 정보를 사용·결합해 개인을 식별할 수 있다”며 “통계 작성 등 목적으로 제3자에게 가명 정보를 제공하는 것은 개인정보자기결정권에 대한 제한”이라고 판단했다.
2심인 서울고법 민사7부(재판장 강승준 부장판사)는 1심보다 훨씬 더 상세한 법리를 제시하며 가입자 승소 판결을 내렸다.
재판부는 “가명 정보의 처리를 위한 전 단계로서의 가명 처리가 비록 안전조치의 성격도 갖는다고 해도 그 기술의 취약성 등으로 인해 안전성 확보의 정도가 불완전할 수 있는 데다 가명 처리 생성된 가명 정보는 추가정보의 사용·결합 등에 의해 정보 주체에 대한 식별 가능 위험이 존재한다”고 지적했다.
특히 2심은 가명 처리가 개인정보보호법상 ‘개인정보 처리’에 해당하므로 개인이 처리정지를 요구할 수 있다고 봤다.
재판부는 “‘가명 정보 처리 가이드라인’에는 개인정보처리자는 정보 주체가 자신의 개인정보에 대한 가명 처리 정지를 요구한 경우 가명 처리 대상 정보에서 해당 정보 주체의 정보를 제외하고 선정해야 한다고 명시돼 있다”며 행정기관도 가명 처리에 대한 처리정지권을 인정하고 있다고 봤다.
SK텔레콤 측은 2심에서 “‘가명 처리’는 정보 주체의 권리침해 위험을 감소, 소멸시키는 ‘안전조치’의 성격을 가지므로 개인정보보호법 제2조 제2호의 ‘처리’에 해당하지 않는다”고 주장했다.
하지만 2심은 “개인정보보호법 제28조의 2에 따른 가명 정보의 처리를 위한 사전 준비단계의 일환으로 이뤄지는 ‘가명 처리’가 ‘개인정보의 처리’와 구분되는 전혀 별개의 개념이라고 보기 어렵다”고 판단했다.
대법, 180도 달라진 법리 구성
대법원 1부(주심 서경환 대법관)는 1·2심과 정반대 결론을 내렸다. 핵심은 가명 처리의 성격에 대한 근본적 관점 차이였다.
대법원은 “가명 처리는 개인정보에 대한 식별 위험성을 낮추는 방법”이라며 “개인의 권리나 사생활 침해 위험을 발생시킬 수 있는 ‘개인정보 처리’와는 구별된다”고 판시했다. 이는 2심이 제시한 ‘가명 처리도 개인정보 처리의 일종’이라는 논리를 정면으로 뒤집은 것이다.
특히 대법원은 개인정보 보호와 데이터 활용 사이의 균형에서 후자에 무게중심을 뒀다. “데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터 이용을 활성화하기 위한 가명 정보 조항의 입법 취지를 고려하면 가명 처리는 개인정보보호법에서 처리정지 요구 대상으로 정한 ‘개인정보 처리’에 해당하지 않는다”고 명시했다.
이는 2심이 개인정보자기결정권을 중심으로 판단한 것과 대조적이다. 대법원은 개인의 권리보다 국가 정책과 산업 발전을 우선시하는 가치 판단을 내린 것으로 해석된다.
대법원은 2020년 개인정보보호법 개정의 배경을 적극적으로 해석했다. 당시 정부는 데이터 3법(개인정보보호법, 정보통신망법, 신용정보법) 개정을 통해 가명 정보 활용 기반을 마련했는데 대법원은 이러한 입법 의도를 전면적으로 수용한 것이다.
대법원은 원심판결을 파기하고 사건을 서울고법으로 돌려보냈다. 이는 대법원이 제시한 새로운 법리에 따라 하급심에서 다시 심리하라는 의미다.
환송심에서는 대법원이 제시한 “가명 처리는 개인정보 처리와 구별되는 식별위험 감소 방법”이라는 법리에 따라 판단이 이뤄질 가능성이 높다. 오는 10월 30일 서울고법 민사60부(재판장 김대웅 법원장)에서 첫 변론 기일이 열릴 예정이다.
[돋보기]
IT업계 “데이터 경제 활성화에 중요한 전환점”
이번 대법원 판결은 데이터 산업 전반에 큰 영향을 미칠 전망이다. 통신 3사는 물론 네이버, 카카오 등 IT 대기업들이 보유한 방대한 개인정보의 가명 처리 활용에 법적 안정성이 확보됐다.
특히 AI 개발과 빅데이터 분석 등에 필수적인 대용량 데이터셋 구축이 한결 수월해질 것으로 예상된다. 한 통신업계 관계자는 “1·2심 판결이 확정됐다면 개인정보보호법 제28조의 2가 사실상 무력화될 뻔했다”며 “데이터 경제 활성화에 중요한 전환점이 될 것”이라고 평가했다.
반면 개인정보 보호 단체들은 우려를 표명하고 있다. 민변 디지털정보위원회, 정보인권연구소, 진보네트워크센터, 참여연대 등 4개 단체는 공동 논평을 통해 “대법원이 사실상 시민들의 개인정보 처리에 관한 권리를 박탈했다”며 “정보 주체의 가명 처리에 대한 처리정지 요구는 정보 주체가 가명 정보에 대해 행사할 수 있는 거의 유일한 권리”라고 규탄했다.
SK텔레콤의 승소를 이끈 변호인단은 법무법인 광장 소속 정창우·이일신·고환경·송평근·성창호·손경민·이기리 변호사가 맡았다. 상고심에는 수석재판연구관 출신 홍승면 변호사도 피고 측 대리인으로 합류했다.
이들은 가명 처리가 개인정보 처리와 본질적으로 다르며, 오히려 개인정보 보호를 위한 안전조치라는 논리를 일관되게 주장해왔다. 특히 데이터 신산업 육성이라는 국가 정책과 개인정보보호법의 입법 취지를 연결한 법리 구성이 대법원의 인정을 받았다.
한편 원고 측 변호인단은 법무법인 두율의 김병욱·김하나 변호사와 법무법인 덕수의 최호웅 변호사가 맡았다.
허란 한국경제 기자 why@hankyung.com
© 한경매거진&북, 무단전재 및 재배포 금지