2014두2638 행정처분취소

1) 쟁점

실체법적 쟁점

• 정보통신서비스 제공자가 이용자로부터 개인정보 수집·제공에 관하여 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 따라 적법한 동의를 받기 위한 요건은 무엇인지 여부
• 甲 회사가 이벤트 화면에서 개인정보 수집 항목·목적·보유기간에 대한 안내 없이 '확인' 선택만으로 동의로 간주한 방법이 적법한 동의에 해당하는지 여부
• 정보통신서비스 제공자가 개인정보보호법 제15조 제1항 제4호를 근거로 정보주체의 동의 없이 개인정보를 수집·이용할 수 있는지 여부
• 이 사건 각 처분이 신뢰보호의 원칙에 위배되는지 여부
• 이 사건 각 처분이 재량권의 일탈·남용에 해당하는지 여부

소송법적 쟁점

• 항고소송에서 처분의 적법성에 관한 증명책임의 분배 및 그 정도

2) 사실관계

• 원고는 정보통신서비스 제공자인 주식회사 열심히커뮤니케이션즈이고, 피고는 방송통신위원회임
• 원고는 오픈마켓 등 웹사이트의 배너 및 이벤트 광고 팝업창을 통하여 개인정보 수집 항목 및 목적, 보유기간에 대한 안내 없이 '확인'을 선택하면 동의한 것으로 간주하는 방법으로 이용자 개인정보를 수집하여 보험사 등에 제공함
• 원고는 이 사건 이벤트 화면에서 법정 고지사항(개인정보를 제공받는 자, 이용 목적, 제공 항목, 보유 및 이용 기간)을 화면 제일 하단에 배치하고 스크롤바를 설치함
• 개인정보 수집·이용 및 제3자 제공에 관한 동의 여부를 표시하도록 되어 있는 체크박스에 아무런 표시도 하지 아니한 채 이벤트에 참여하면 일련의 팝업창이 뜨는데, 팝업창 문구만으로는 수집·제공 대상이 개인정보이고 제공처가 제3자인 보험회사라는 점을 쉽고 명확하게 밝히지 못한 상태에서 '확인' 버튼 선택만으로 동의한 것으로 간주되도록 함
• 원고의 위반행위는 26,304,653건의 개인정보 수집, 13,420,204건의 개인정보 제3자 제공에 이름
• 원고는 2010. 5. 11. 피고 담당자로부터 고충민원에 대한 답변을 받았고, 검찰의 불기소처분 및 공정거래위원회 서울지방공정거래사무소의 민원 답변도 있었음
• 피고는 원고가 정보통신망법에 따른 적법한 동의를 받지 않고 이용자 개인정보를 수집·제공하였다는 이유로 원고에게 시정조치 등(이 사건 각 처분)을 함
• 원심(서울고법 2014. 1. 9. 선고 2013누14476 판결)은 원고가 정보통신서비스 제공자에 해당하고 적법한 동의를 받지 아니하였으며, 신뢰보호원칙 위배가 아니고 재량권 일탈·남용도 아니라고 판단하여 원고 패소 판결을 함
• 원고의 상고이유는 이용자 동의의 필요 여부, 개인정보보호법 제15조 제1항 제4호의 적용 가능 여부, 적법한 동의 수령 여부, 신뢰보호원칙 위배 여부, 재량권 일탈·남용 여부에 관한 법리오해 등을 다툼

3) 적용법령 및 판례요지

적용법령

조문	요지
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제22조 제1항	개인정보 수집·이용 시 이용자에 대한 고지 및 동의 의무
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제24조의2 제1항	개인정보 제3자 제공 시 이용자에 대한 고지 및 동의 의무
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제26조의2	동의를 받는 방법의 대통령령 위임
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 제12조 제1항	인터넷 사이트 게재를 통한 동의 방법 및 명확한 인지·확인 요건

판례요지

• 적법한 동의를 받기 위한 요건
  • 정보통신서비스 제공자가 이용자로부터 개인정보 수집·제공에 관하여 정보통신망법에 따라 적법한 동의를 받기 위하여는, 이용자가 개인정보 제공에 관한 결정권을 충분히 자유롭게 행사할 수 있도록 미리 인터넷 사이트에 통상의 이용자라면 용이하게 법정 고지사항의 구체적 내용을 알아볼 수 있을 정도로 법정 고지사항 전부를 명확하게 게재하여야 함
  • 법정 고지사항을 게재하는 부분과 이용자의 동의 여부를 표시할 수 있는 부분을 밀접하게 배치하여 이용자가 법정 고지사항을 인지하여 확인할 수 있는 상태에서 개인정보의 수집·제공에 대한 동의 여부를 판단할 수 있어야 하고, 그에 따른 동의의 표시는 이용자가 개인정보의 수집·제공에 동의를 한다는 명확한 인식하에 행하여질 수 있도록 실행 방법이 마련되어야 함
  • 따라서 법정 고지사항의 명확한 게재, 동의 표시부분과의 밀접한 배치, 명확한 인식하의 동의 실행방법이 모두 갖추어져야 적법한 동의로 인정됨
• 개인정보보호법 제15조 제1항 제4호의 적용 범위
  • 개인정보보호법의 수범자는 '개인정보처리자'로서 정보통신망법의 수범자인 '정보통신서비스 제공자'와 명확히 구분되고, 개인정보보호법 제6조는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따르도록 하고 있으며, 정보통신서비스 제공자의 개인정보 수집·이용에 관한 동의 및 그 예외 사유는 정보통신망법 제22조에서 별도로 규정하므로 정보통신망법이 우선적으로 적용됨
  • 따라서 정보통신서비스 제공자는 개인정보보호법 제15조 제1항 제4호를 근거로 이용자의 동의 없이 개인정보를 수집·이용할 수 없음
• 항고소송에서의 증명책임
  • 항고소송에서 당해 처분의 적법성에 대한 증명책임은 원칙적으로 처분의 적법을 주장하는 처분청에 있지만, 처분청이 주장하는 당해 처분의 적법성에 관하여 합리적으로 수긍할 수 있는 정도로 증명한 경우 그 처분은 정당하고, 이와 상반되는 예외적인 사정에 대한 주장과 증명은 상대방에게 책임이 돌아감(대법원 2012. 6. 18. 선고 2010두27639, 27646 전원합의체 판결 참조)
• 신뢰보호의 원칙 적용 요건
  • 행정상의 법률관계에서 행정청의 행위에 대하여 신뢰보호의 원칙이 적용되기 위하여는, 행정청이 개인에 대하여 신뢰의 대상이 되는 공적인 견해표명을 하여야 하고, 그 견해표명이 정당하다고 신뢰한 데 대하여 개인에게 귀책사유가 없어야 하며, 그 개인이 견해표명을 신뢰하고 이에 상응하는 행위를 하였어야 하고, 행정청이 견해표명에 반하는 처분을 함으로써 그 신뢰한 개인의 이익이 침해되는 결과가 초래되어야 하며, 견해표명에 따른 행정처분이 공익 또는 제3자의 정당한 이익을 현저히 해할 우려가 있는 경우가 아니어야 함(대법원 2006. 6. 9. 선고 2004두46 판결 등 참조)
  • 행정청의 공적 견해표명이 있었는지를 판단할 때는 반드시 행정조직상의 형식적인 권한분장에 구애될 것은 아니고, 담당자의 조직상 지위와 임무, 당해 언동을 하게 된 구체적인 경위 및 그에 대한 상대방의 신뢰가능성에 비추어 실질에 의하여 판단하여야 함(대법원 2008. 1. 17. 선고 2006두10931 판결 참조)
• 재량권 일탈·남용의 판단기준
  • 제재적 행정처분이 사회통념상 재량권의 범위를 일탈하였거나 남용하였는지는 처분사유로 된 위반행위의 내용과 당해 처분에 의하여 달성하려는 공익목적 및 이에 따르는 제반 사정 등을 객관적으로 심리하여 공익침해의 정도와 그 처분으로 인하여 개인이 입게 될 불이익을 비교교량하여 판단하여야 함(대법원 2012. 5. 10. 선고 2012두1297 판결 등 참조)

4) 적용 및 결론

쟁점 1: 이용자 동의 필요 여부 및 개인정보보호법 제15조 제1항 제4호 적용 가능 여부

• 법리: 정보통신서비스 제공자는 정보통신망법 제22조에 따른 이용자 동의를 받아야 하고, 개인정보처리자를 수범자로 하는 개인정보보호법 제15조 제1항 제4호를 근거로 동의를 면제받을 수 없음
• 포섭: 원고는 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 이벤트에 관한 정보를 제공하거나 그 제공을 매개하는 자로서 정보통신서비스 제공자에 해당하고, 이벤트 화면에 접속하여 개인정보를 제공한 자는 이용자에 해당함. 정보통신망법의 수범자인 원고는 개인정보보호법 제15조 제1항 제4호를 근거로 동의 없는 개인정보 수집·이용을 할 수 없음
• 결론: 정보통신망법상 이용자의 해석·적용, 개인정보보호법 제15조 제1항 제4호의 적용 범위에 관한 법리오해가 없음

쟁점 2: 적법한 동의 수령 여부

• 법리: 법정 고지사항의 명확한 게재, 동의 표시부분과의 밀접한 배치, 명확한 인식하의 동의 실행방법이 갖추어져야 적법한 동의로 인정됨
• 포섭: 원고가 이 사건 이벤트 화면에서 법정 고지사항을 제일 하단에 배치한 것은 미리 명확하게 인지·확인할 수 있게 배치한 것으로 볼 수 없고, 스크롤바 설치만으로는 화면 하단에 법정 고지사항이 존재한다는 점을 쉽게 인지하여 확인할 수 있는 형태로 볼 수 없으며, 체크박스에 아무런 표시 없이 팝업창에서 '확인' 버튼만 선택하면 개인정보 수집·제3자 제공에 동의한 것으로 간주되도록 하였고 그 팝업창 문구만으로는 수집·제공의 대상이 개인정보이고 제공처가 제3자인 보험회사라는 점을 쉽고 명확하게 밝힌 것으로 볼 수 없음
• 결론: 원고가 정보통신망법에 따른 개인정보의 수집·제3자 제공에 필요한 이용자의 적법한 동의를 받지 않았다고 본 원심의 판단이 정당하고, 동의획득 방법에 관한 법리오해나 심리미진, 채증법칙 위반이 없음

쟁점 3: 신뢰보호의 원칙 위배 여부

• 법리: 신뢰보호원칙이 적용되려면 공적 견해표명, 귀책사유 없음, 신뢰에 따른 행위, 이익 침해, 공익·제3자 이익을 현저히 해하지 않을 것의 요건이 모두 갖추어져야 하고, 공적 견해표명 여부는 실질에 의하여 판단함
• 포섭: 피고 담당자가 2010. 5. 11. 원고 측의 고충민원 신청에 대하여 답변한 것은 전체적으로 '정보통신망법을 준수하였다면 적법하다'는 일반론적 견해표명에 가까울 뿐만 아니라 원고 측이 일방적으로 제출한 자료만을 기초로 한 잠정적 답변이어서 신뢰의 대상이 되는 공적인 견해표명에 해당하지 아니하고, 검찰의 불기소처분이나 공정거래위원회 서울지방공정거래사무소의 민원 답변도 이 사건 각 처분과는 처분의 주체나 근거가 되는 사실관계 및 법률적 쟁점이 다름
• 결론: 이 사건 각 처분이 신뢰보호원칙에 위배되지 않는다고 본 원심의 판단이 정당하고, 신뢰보호원칙에 관한 법리오해가 없음

쟁점 4: 재량권 일탈·남용 여부

• 법리: 제재적 행정처분의 재량권 일탈·남용 여부는 위반행위의 내용과 처분으로 달성하려는 공익목적 등을 객관적으로 심리하여 공익침해의 정도와 개인의 불이익을 비교교량하여 판단함
• 포섭: 이 사건 각 처분은 헌법 규정에서 파생되는 개인정보자기결정권을 보호하기 위한 가장 적절한 수단이고, 다른 경영개선조치 등은 위법하게 수집·제공된 개인정보의 보유를 용인하는 것이어서 적합하지 아니하며, 정보통신망법의 입법 취지에 비추어 이 사건 각 처분으로 달성하려는 공익은 매우 큰 반면 그로 인한 원고의 불이익은 그에 비하여 크지 아니하고, 원고의 위반행위는 개인정보 수집 26,304,653건, 제3자 제공 13,420,204건에 이르러 원고가 주장하는 비교사례보다 규모가 월등히 큼
• 결론: 이 사건 각 처분이 재량권을 일탈·남용한 경우에 해당하지 않는다고 본 원심의 판단이 정당하고, 재량권의 일탈·남용에 관한 법리오해가 없음
• 최종 결론: 상고 기각. 상고비용은 원고가 부담함

참조: 대법원 2016. 6. 28. 선고 2014두2638 판결