- 가명처리가 개인정보 처리 아니라는 대법원 파기환송심 재판 시작에 앞서 기자회견 개최, 위헌법률심판제청신청서도 제출
"기업의 무차별적 가명정보 활용에 대한 정보주체의 거의 유일한 권리, 처리정지권 보장해야"
1. 지난 7월 18일 대법원 제1부(재판장 대법관 마용주, 주심 대법관 서경환, 대법관 노태악, 대법관 신숙희)는 SK텔레콤(이하 ‘SKT’) 가입자들이 통신사를 상대로 개인정보 가명처리 정지를 요구하며 제기한 소송을 파기환송하였습니다(대법원 2025. 7. 18. 선고 2024다210554 판결). 이는 2021년 SKT 가입자들이 SKT를 상대로 개인정보의 가명처리 정지를 청구한 것에 대해 1심, 2심 모두 원고 승소 취지로 판결한 것을 뒤집은 것입니다.
2. 대법원은 파기환송 이유로 △ 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분하여 별도로 규정하고 있고, △ “가명처리”의 개념은 개인정보에 대한 식별의 위험성을 낮추는 방법이므로, 정보주체에 대한 권리 또는 사생활 침해의 위험을 발생시킬 수 있는 개인정보 “처리”와는 구별된다는 점, △ 가명정보 관련 조항의 입법 취지가 데이터의 이용을 활성화하기 위한 것이고, 신기술을 활용한 데이터 이용이 필요한 상황이라는 점을 제시하였습니다.
3. 그러나 이 같은 대법원의 파기환송 이유들은 개인정보보호법 규정을 무시한 것입니다. 왜냐하면 ① 개인정보보호법 제2조에서 ‘가명처리’와 ‘처리’ 를 구분한 것은 ‘가명처리’의 의미를 명확히 하기 위한 것이지, 이를 별도로 규정한 것이 두 개념이 별개라고 볼 수 없으며, ② ‘개인정보를 가명처리 하는 행위’ 그 자체는 다른 외국의 입법례에서도 확인할 수 있듯이 개인정보보호법 제2조 ‘처리’에서 제시한 “수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위”라는 점이 너무도 자명합니다.
4. 열람권, 정정요구권, 삭제권을 비롯해 처리정지권은 가장 기본적인 정보주체의 권리입니다. 자신의 정보가 어떻게 처리되고 있는지 열람할 수 없고, 필요시 처리정지권을 요구할 수 없다면 개인정보처리자인 기업의 손에 일단 개인정보가 넘어간 이후에는 정보주체가 통제하거나 감시할 수 있는 수단이 전혀 없는 것이나 마찬가지입니다. 특히 이용자의 동의없이 영리적 목적으로 이용자의 개인정보를 가명처리하는 것도 이용자의 권리를 제한하는 것인데, 이를 원하지 않는 이용자의 처리정지권을 행사하는 것은 그야말로 가명정보에 대한 정보주체의 최소한의 통제장치입니다. 특히 가명정보 특례에 따라 내가 원치 않더라도 과학적 연구목적, 통계 등의 목적이라면 정보주체의 동의없이도 가명처리된 가명정보를 마음껏 사고 팔수 있습니다. 이에 이용자들이 처리정지를 요구할 수조차 없다면, 개인정보자기결정권은 공허하고 무의미한 권리에 불과하게 될 것입니다.
5. 이에 민변 디지털정보위, 디지털정의네트워크(구 진보넷), 참여연대, 정보인권연구소는 오늘(11/6) 판기환송심 재판부 앞에서 기본권의 최후의 보루인 대법원이 오히려 기본권을 무력화시킨 판결을 규탄하며 파기환송심에서 법률과 헌법에 충실한 판결을 할 것을 촉구하는 기자회견을 개최하였습니다. 아울러 서울고등법원 파기환송심 재판부(제60민사부)에 원고들이 처리정지를 구하는 대상이 가명처리를 위한 일련의 전체 과정 중 일부 단계(그림에서 3단계)로서의 ‘가명처리’(즉, 대법원이 처리정지권을 인정하지 않은 가명처리)에 한정되지 않는다는 점에 대한 준비서면을 제출하였습니다.
6. 또한, 개인정보보호법 제2조(정의) 제2호의 ‘처리’의 개념에 ‘가명처리’가 포함되지 않은 것과 동법 제37조 제1항의 ‘개인정보 처리’에 ‘개인정보 가명처리’를 병기하지 않은 것의 위헌 여부를 확인해 달라는 위헌법률심판제청신청도 하였습니다. 끝
▣ 붙임1 : 기자회견문
▣ 붙임2 : 참석자 주요 발언
[기자회견문]
기업의 무차별적 가명정보 활용에 대한 최소한의 통제장치, 처리정지권 보장하라
대법원의 억지에 가까운 판결로 인한 파기환송심을 앞두고 우리는 다시 법과 상식, 그리고 헌법이 보장하는 정보주체의 권리를 되새기고자 한다. 대법원은 지난 7월 SK텔레콤 주식회사(이하 SKT)를 상대로 제기한 가명처리의 정지 요구 소송에 대해 1·2심 판결을 뒤집고 파기환송했다. 그러나 이 결정은 개인정보보호법의 취지를 정면으로 부정하고 정보주체의 기본권을 봉쇄하는 납득할 수 없는 판결이다.
이 소송은 기업이 수집한 개인정보를 가명처리해 수집목적 외로 사용하고 제3자에 제공하면서도 정보주체에게 그 사실조차 알리지 않는 현실을 바로잡기 위한 것이었다. 현행 개인정보보호법은 개인정보 처리자가 자신의 개인정보를 가명처리하여 과학적 연구 목적으로 활용하고자 할 경우 정보주체가 이에 대해 동의할지 여부를 선택할 수 없을 뿐만 아니라, 가명정보에 대해서는 자신의 개인정보를 처리하지 말아 달라고 거부할 권리도 제한하고 있다. 이러한 상황에서 이용자가 선택할 수 있는 유일한 방법은 ‘사전에’ 자신의 개인정보를 과학적 연구 목적 활용을 위해 가명처리하지 말아 달라고 요구하는 것뿐이다. 과학적 연구라는 명목으로 기업이 가명처리만 하면 무제한으로 개인정보를 활용하는 것을 막고 정보주체가 자신의 개인정보가 언제, 어떤 목적으로, 어떻게 처리될지 스스로 통제할 권리를 행사한 것일 따름이다.
이번 판결에서 대법원은 개인정보의 ‘처리’와 ‘가명처리’를 인위적으로 분리해 개인정보의 가명처리를 개인정보의 ‘처리’가 아니라고 보았다. 하지만 이는 개인정보보호법 제2조가 정의한 ‘처리’의 개념을 왜곡한 것이다. 개인정보의 ‘처리’에는 수집, 생성, 연계 등과 함께 ‘이와 유사한 행위’가 포함되며 이는 당연히 개인정보의 가명처리도 포함된다. 한국의 개인정보보호법 뿐만 아니라 유럽연합의 GDPR도 마찬가지로 ‘가명처리’를 특정한 방식의 개인정보 처리로 정의하고 있다. 따라서 가명처리는 명백히 개인정보를 처리하는 행위이며, 개인정보에 대한 처리정지권은 가명처리에도 적용되는 것이 마땅하다. 가명처리를 별도로 분리하는 대법원의 논리는 억지에 불과하며 이는 헌법이 보장하는 개인정보자기결정권을 근본적으로 훼손하는 것이다.
1·2심 법원들은 이러한 개념을 분명히 인식해 정보주체가 자신의 개인정보가 가명처리되기 전에 이를 중단시킬 권리, 즉 ‘처리정지권’을 행사할 수 있다고 판결했다. 가명정보와 관련하여 정보주체의 권리를 제한하는 조항이 존재한다 하더라도 그것은 이미 가명처리된 정보에 대한 것일 뿐 아직 처리되지 않은 개인정보에 대한 권리까지 배제하지 않는다는 것이었다. 또한 가명처리에 대한 정보주체의 처리정지 요구가 동의없는 과학적 목적 활용에 대응하는 헌법상 개인정보자기결정권의 유일하고 실질적인 수단임을 확인했다.
그러나 대법원은 데이터산업 육성 담론에 기대어 정보주체의 권리를 뒷전으로 밀어냈다. 대법원 판결문은 “데이터 관련 신산업 육성이 범국가적 과제로 대두되고 인공지능, 클라우드, 사물인터넷 등 신기술을 활용한 데이터 이용이 필요한 상황에서 데이터의 이용을 활성화하기 위한 가명정보조항의 입법취지를 고려”했다고 말하고 있다. 이용자의 반대 의사에도 불구하고 정보주체의 기본권을 완전히 봉쇄하고, ‘데이터 이용 활성화’라는 명분으로 기업이 가명정보를 자유롭게 활용할 수 있도록 길을 열어준 것이다. 이는 비례의 원칙에도 어긋난다.
우리는 대법원의 자의적이며 자본친화적인 법리 해석을 강력히 비판한다. 개인정보는 기업의 자원이 아니라 시민의 권리이며 정보주체는 자신의 개인정보가 언제, 어떤 목적으로, 어떻게 처리될지 스스로 결정할 권리를 갖는다. 가명처리를 개인정보 처리와 구분한 대법원 판결에 동의하지는 않지만 이를 인정한다 하더라도, 우리가 궁극적으로 요구하는 것은 단지 가명처리의 정지가 아니라, 내 개인정보를 과학적 연구 등의 목적으로 활용하기 위한 처리를 정지해달라는 것이므로, 대법원의 판결에도 불구하고 파기환송심에서 이러한 취지로 현명한 판결을 내려줄 것을 기대한다. 나아가 국회와 정부는 개인정보보호법을 개정해 가명처리 정지권이 법문상으로도 명확히 보장되도록 해야 한다. 데이터 산업은 결코 시민의 권리 위에 세워질 수 없으며 헌법이 보장하는 개인정보자기결정권은 그 어떤 산업 논리로도 침해되어서는 안 된다. 끝.
