전자거래법 4조 개인정보의 개념, 개인정보보호의 필요성 및 침해실태
늦어서 죄송합니다.ㅡㅡ
Ⅰ. 서설
오늘날 컴퓨터의 보급과 이용의 확대 및 정보통신기술의 급속한 발전, 인터넷의 보편적 이용 등은 정보화 사회로의 진입을 가속화하고 있다. 정보화 사회는 물리적 거리의 해소에 따른 정보의 자유로운 교환, 문화교류 및 국제교역 증대 등으로 우리 사회에 여러 가지 긍정적인 영향을 미치고 있다.
그러나 정보통신기술의 비약적인 발전으로 개인정보의 대량수집, 축척, 관리, 이용이 가능해지고 이에 따라 개인정보의 집중, 남용, 악용 등의 사례가 많아져 개인의 프라이버시가 위협을 받게 되었다. 또한 민간부분에서 상업적인 목적의 개인정보의 수집, 활용이 광범위하게 이루어지면서 개인정보의 무분별한 수집, 이용, 유통 사례가 많아지는 데다가 개인정보의 상품화 현상으로 프라이버시 침해사례가 늘어나게 되었다.
특히 전자거래에서는 거래 과정에서 의사표시와 개인정보가 전자화된 디지털신호로 교환되기 때문에 기업자 측에서는 거래상대방의 정보를 수집, 저장, 관리하기가 쉽고, 다른 정보와 조합 및 가공이 가능하며, 유통 및 제3자에 의한 탈취, 변조 가능성도 매우 높다. 게다가 사이버몰 등 전자거래의 사업자들은 회원들의 개인정보에 관한 데이터베이스를 그 자체로 가치 있는 하나의 상품으로 교환, 매매하는 등 그 수집과 처리 과정에서 개인정보를 오, 남용하면서 개인의 프라이버시 침해 등 여러 가지 문제를 초래하고 있다. 이는 소비자들의 전자거래를 적극 활용함에 주저하고 있는 큰 이유 중에 하나이다. 이렇듯 전자거래과정에서 개인정보보호 및 그 법적 규제 문제는 전자거래의 활성화에 있어 가장 중요한 요소로서, 이하 개인정보의 의의 및 개인정보보호의 필요성과 개인정보침해의 현황 등을 살펴보도록 하겠다.
Ⅱ. 프라이버시권과 개인정보의 개념
1. 정보프라이버시권과 개인정보
개인정보를 지칭하는 용어로서 사용되는 ‘프라이버시’는 Samuel D. Warren과 Louis D. Brandeis가 1890년 발표한 ‘The Right to Privacy' 라는 논문에서부터 처음 사용되었다. 이후 1903년 뉴욕주에서 최초로 프라이시법을 제정하였고, 1965년 Griswold vs. Connecticut 판결에서 프라이버시권은 법원에서 헌법상 권리로까지 인정되었다.
1960년대 말 이후 컴퓨터와 정보통신기술의 발달로 인하여 개인의 프라이버시가 침해될 가능성이 커지고, 국가 및 기업 등의 개인정보의 대량수집, 이용이 활발해지면서 종래의 소극적 측면에서의 전통적인 프라이버시의 개념을 통한 민사적 구제만으로는 개인의 프라이버시를 충분히 보호하기 어렵게 되었다. 이에 따라 정보에 대하여 자신이 자유롭게 통제할 수 있는 적극적이고 능동적인 권리로서의, 정보프라이버시라는 개념이 등장하게 되었다. 이러한 의미에서 개인정보는 정보주체의 자기결정권에 의한 통제 하에서 수집, 저장, 관리, 유통될 수 있는 개인에 관련된 자료 및 정보라고 할 수 있고, 그 보호법익은 ‘정보의 자기결정권 내지 자기통제권’이다.
2. 개인정보자기결정권
개인정보자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리이다. 즉 정보주체가 개인정보의 공개와 이용에 관하여 스스로 결정할 권리를 말한다. 개인정보자기결정권은 일반적 인격권, 국민주권의 원리, 민주주의 원리 등을 이념적 기초로 하는 독자적 기본권으로서 헌법에 명시되지 아니한 기본권이라고 보아야 할 것이다. 이렇듯, 개인정보자기결정권을 헌법상 기본권으로 승인하는 것은 현대의 정보통신기술의 발달에 내재된 위험성으로부터 개인정보를 보호함으로써 궁극적으로는 개인의 결정의 자유를 보호하고, 나아가 자유민주체제의 근간이 총체적으로 훼손될 가능성을 차단하기 위하여 필요한 최소한의 헌법적 보장장치라고 할 수 있다.(2004헌마190)
3. 개인정보의 의의
개인정보는 생존하는 개인에 관한 정보로서 성명, 주민등록번호 등에 의하여 당해 개인을 알아볼 수 있는 부호, 문자, 음성, 음향 및 영상 등의 정보를 말하며, 또한 당해 정보만으로는 특정 개인을 알아볼 수 없는 경우에도 다른 정보와 용이하게 결합하여 알아볼 수 있는 것을 포함한다.(공공기관의개인정보에관한법률 제2조 제2호, 정보통신망이용촉진및정보보호등에관한법률 제2조 제6호) 즉 개인정보란 개인의 신념, 신체, 재산, 사회적 지위, 신분 등에 관한 사실판단, 평가를 나타내는 일체의 정보를 말한다.
(1) 생존하는 개인에 관한 정보
개인정보는 자연인으로서 현재 생존하고 있는 개인에 관한 정보만을 말한다. 따라서 이미 사망하였거나 사망으로 추정되는 자 또는 법인 기타 단체에 관한 정보는 개인정보의 보호대상에서 제외된다고 할 수 있다.
(2) 개인 식별이 가능한 정보
개인정보는 당해 정보에 포함된 사항에 의하여 당해 개인을 식별할 수 있는 정보를 말한다. 당해 특정 정보만을 가지고는 식별할 수 없으나 다른 정보와 쉽게 결합하여 당해 개인을 식별할 수 있을 경우에는 그것도 해당된다. 또한 성명없이 특수한 직함이나 직명 등을 포함하고 있는 경우와 같이 당해 개인정보에 대하여 특별한 정보를 가지지 못한 제3자가 보더라도 당해 개인을 식별할 수 있는 정보를 포함한다.
(3)헌법재판소 判例
개인정보자기결정권의 보호대상이 되는 개인정보는 개인의 신체, 신념, 사회적 지위, 신분 등과 같이 개인의 인격주체성을 특징짓는 사항으로서 그 개인의 동일성을 식별할 수 있게 하는 일체의 정보라고 할 수 있고, 반드시 개인의 내밀한 영역이나 사사(私事)의 영역에 속하는 정보에 국한되지 않고 공적 생활에서 형성되었거나 이미 공개된 개인정보까지 포함한다.
3. 개인정보의 종류
개인정보는 그 영역에 따라 공공부문의 개인정보와 민간부문의 개인정보로 나누어볼 수 있다. 종래 프라이버시보호의 개념이 공공기관의 개인에 대한 프라이버시 침해 위주로 논의되어 입법에 의한 보호 노력이 이어져 오다가, 최근 정보통신기술의 발달과 함께 인터넷의 보급으로 개인에 의한 프라이버시 침해가 사회적 문제로 부각되면서 그 규제 문제가 초점의 대상이 되고 있다.
또한 개인정보의 구체적인 내용에 따라 성명, 주민등록번호, 출생지, 성별, 국적 등의 일반정보와 가족정보, 교육정보, 훈련정보, 고용정보, 법적정보 등으로 나누어 볼 수 있다.
Ⅲ. 개인정보보호의 필요성
1. 개인정보의 오남용과 범죄에의 이용
앞에서 언급했듯이, 현대 사회의 대표적인 특징 중 하나는 정보화 사회의 발전이다. 따라서 정보자체가 재산적 가치를 가지고 거래 등에 있어서 중요한 요소로서 인정되고 있다. 또한 인터넷의 급속한 발전은 개인정보의 수집 및 편집을 용이하게 하여 이용자는 자신이 필요한 정보를 쉽게 획득하는 반면, 자신의 정보가 자신의 부지 속에 외부에 노출, 침해가 가능하게 된다. 그리고 개인의 신용정보, 금융정보 등 정보주체에 민감한 정보가 노출된 경우 정보주체에 대한 인격적, 정신적, 재산적 침해가 유발될 수 있다. 또한 최근에는 개인정보를 빼내어 유괴, 살인 등 범죄 목적에 활용하는 경우도 발생하고 있다. 예컨대 주민등록기록을 열람한 후 독신녀 주거지를 강도대상으로 선정한 사례 등을 들 수 있다.
2.사회적 활동 지장 초래 및 정신적 파해 야기
부주의하게 개인정보를 사용함으로써 특정 개인에 대한 잘못된 판단을 초래하여 사회, 경제적 활동에 치명상을 야기할 수 있고, 틀린 정보 또는 특정 시점에 국한된 정보를 이용하여 특정인을 잘못 인식하도록 만들어서 명예를 실추시키고 사회적 신용을 잃게 만들 수도 있다. 또한 개인정보를 악의로 또는 자기 이익을 위하여 악용하거나 부정한 목적에 사용하여 개인의 명예를 훼손하거나, 정보를 가공, 변형함으로써 특정 개인의 사생활이 노출되어 불쾌, 불편을 초래하거나 사회적 활동에 지장을 초래하여 심한 정신적 피해의 원인이 된다.
3. 인터넷 및 전자상거래 산업 발전 저해 우려
정보 주체에게 뜻하지 않은 요금을 전가함으로써 경제적 손실을 입히게 된다. 또한 앞에서 언급했듯이, 범죄에도 뜻하지 않게 개인 정보가 이용되고 있고, 최근에 급증하고 있는 스팸 메일은 그것을 수신하는 사람으로 하여금 심한 불쾌감을 느낄 정도의 프라이버시 침해의 원인이 되고 있다. 이러한 무분별한 개인정보의 오남용은 인터넷 및 전자상거래에 대한 신뢰를 저하시켜, 인터넷 및 전자상거래 산업의 발전을 저해시킬 우려가 있다.
Ⅳ. 개인 정보의 침해 실태
1. 정보통신망이용촉진및정보보호등에관한법률에 따른 침해유형
‘04년 1월~6월간 접수된 개인정보 피해구제 신청유형은 표와 같다. 전체 767건 중에서 가장 많이 접수된 유형은 “법정대리인의 동의없는 아동의 개인정보 수집”으로 나타났다. 동 유형은 전체 767건 중에서 348건이 접수되어 45.3%를 차지하였다. 그러나 동 유형은 ’03년도 전체 개인정보피해구제신청 중 66.4%(561건)를 차지하였던 것과 비교해 볼 때, 전체 신청건에서 차지하는 비율은 크게 감소한 것으로 나타났다.
두 번째로 많이 접수된 유형은 “타인 정보의 훼손․침해․도용”으로서, 전체 767건 중 142건이 접수되었다. 동 유형은 ‘03년도 전체 개인정보피해구제신청 중에서 39건이 접수되어 전체의 4.6%를 차지하는데 그쳤으나, ’04년 상반기에는 전체의 18.5%를 차지하여 큰 폭의 증가세를 나타내고 있다. 동 침해유형이 증가하고 있는 것은 소비자들이 온라인 서비스를 이용하는 과정에서 주민등록번호․비밀번호 등을 훼손․도용당하는 사례가 지속적으로 나타나고 있는데 따른 것으로 보이며, 특히 최근에는 ‘전화번호 도용에 따른 온라인 서비스이용료 부당부과 사례’가 급증하고 있어 이에 대한 소비자들의 주의가 각별히 필요한 것으로 분석되고 있다.
이 외에 ‘고지․명시한 범위를 넘어선 개인정보 이용 및 제3자 제공’이 73건(9.5%), '동의철회, 열람 또는 정정요구 불응‘이 52건(6.7%) 등의 순으로 접수되었다.
2. 침해행위를 기준으로 한 침해유형
(1) 개인정보의 수집
개인에 관한 정보를 해당 개인의 승낙이나 동의 없이 수집, 저장하는 것은 그 자체만으로도 타인의 정보를 이용하는 것으로서, 이는 자기결정권의 침해라고 할 수 있다. 따라서 개인정부는 사전고지 및 동의와 승낙을 전제로 수집되어야 하고, 개인정보가 수집되는 목적은 수집과 동시에 공개되어야 한다. 또한 개인정보는 수집 목적에 필요한 범위 내에서만 최소한으로 수집되어야 한다. 합리적인 범위를 넘어서는 정보의 수집은 정보프라이버시권을 침해할 가능성이 크고, 정보 유통과정에서 다른 목적으로 사용될 위험성이 있으므로 원칙적으로 제한되어야 한다.
(2) 개인정보의 2차적인 사용
개인의 동의 및 승낙 하에 수집, 저장한 개인정보라 하더라도 해당 정보의 가공 및 결합 단계에서의 잘못된 편집 또는 고의적 변조, 조작의 위험성이 있으므로 이러한 단계에서 해당 개인의 사전 동의와 승낙이 있어야 한다. 다만, 정당한 범위 내에서 어느 정도의 임의적 가공이 허용될 수 있으나, 이러한 경우에도 당해 개인의 정보프라이버시권의 본질적인 내용을 침해해서는 아니 된다.
또한 최근에는 대가를 지불하고 개인정보를 매수하여 이를 제3자에게 판매 또는 대여하는 정보 중개업을 전문적으로 하는 기업까지 생겨나고 있는 데다가, 인터넷의 발달로 인하여 개인정보의 국가간 이동에 의한 프라이버시 침해 문제가 크게 대두되고 있다. 개인정보의 제3자에 대한 노출은 정보주체의 이익을 가장 크게 침해할 가능성이 있으므로 동의 없는 임의적 유통은 엄격히 제한되어야 한다.
(3) 개인정보의 오류
고의적이거나 우발적 사고로 인한 정보데이터에 오류가 발생할 수 있는바, 오류가 있는 개인정보의 이용은 기업자 측에는 잘못된 정보에 기한 마케팅으로 거래에서 커다란 손실을 초래할 수 있고, 이용자 측에서는 심각한 프라이버시 침해를 가져올 수 있다. 따라서 정보관리자는 개인정보를 정확하게 수집, 보존, 관리하여야 하고, 자신의 정보에 대한 열람권 및 정정권을 보장하여 정보의 오류를 시정할 기회를 주어야 한다
(4) 개인정보에의 부당한 접근
개인정보를 처리할 정당한 권한을 가진 자 이외의 자가 저장, 수집, 관리되는 타인의 개인정보에 부당하게 접근하여 이를 남용하는 경우로서, 해킹과 같이 정보관리시스템에 무단으로 침입하여 타인의 개인정보에 접근하거나 이를 조작, 파괴하는 경우뿐만 아니라, 정보관리 조직내에 권한 없는 자에 의한 조작, 유출의 경우도 생각할 수 있다. 따라서 정보관리자에게는 보유 개인정보의 안전을 도모하는 기술적 조치를 취할 의무가 부과되어야 한다. 이와 관련하여 2006년 2월, 리니지 명의 도용 사건이 대표적인바, 아래에서 살피기로 한다.
Ⅴ. 개인정보의 침해에 대한 구제
1. 손해배상의 청구
가. 계약위반으로 인한 손해배상 청구
개인정보 침해자에게 정보통신서비스이용계약 등 계약에 기초하여 손해배상을 구하는 경우에는 약관 및 계약 등에서 정보통신서비스제공자에게 이용자 개인정보 처리에 있어서의 주의의무 등을 구체적으로 명시한 경우뿐만 아니라, 신의칙상 계약이행과정에서 요구되는 주의의무를 위반하였는지가 문제된다.(특히 후자의 기준은 개인정보보호 관련 법규에서 규정하고 있는 내용들이 될 것이다.)
나. 불법행위로 인한 손해배상청구
개인정보의 관리자가 개인정보의 수집, 저장, 유통의 전과정에서 개인정보를 위법하게 처리하여 해당 개인에게 손해를 발생시킨 때에는 민법제750조, 751조에 의한 손해배상책임이 인정된다. 또한 정보보호법 제32조에서는 정보통신서비스제공자등의 개인정보의 수집, 이용, 제공 또는 위탁 등으로 인하여 손해를 입은 이용자는 그 정보통신서비스제공자등에 대하여 손해배상을 청구할 수 있다고 명문으로 규정하고 있다. 한편, 정보통신서비스제공자등은 고의 또는 과실이 없음을 입증하지 못하면 개인정보 침해행위에 책임을 면할 수 없도록 하는 내용의 입증책임 전환 규정을 이용자를 두텁게 보호하고 있다.
2. 사전적 예방 및 방해배제
프라이버시권과 밀접한 관련을 가지는 개인정보에 관한 권리 역시 사전적 예방 및 방해배제 등이 더 실효성 있는 구제수단이 될 수 있다. 개인정보에 관한 권리는 인격권의 일종으로서, 그 성질상 일단 침해된 후의 구제수단만으로는 완전한 회복이 어렵고 손해전보의 실효성을 기대하기 어려우므로, 사전적 구제수단으로서 침해행위 정지, 방지 등의 금지청구권이 인정될 수 있을 것이다.
Ⅵ. 리니지 명의 도용사건과 개인정보보호
지난 2004년 5월 11일 ‘리니지2’를 업데이트하면서 사용자의 게임정보를 담은 로그파일을 암호화하지 않아 5일정도 게임에 접속한 이용자들의 아이디와 비밀번호가 노출된 사건으로 인해 사용자 5명은 2005년 8월 각각 위자료 5백만원을 청구하는 소송을 제기했고, 2006년 4월 28일 서울중앙지방법원은 ‘기업은 이용자들의 개인정보보호를 위해 특별한 주의의무를 부담해야 한다.’ 고 하여, 원고5명에게 50만원씩, 원고일부승소판결을 내렸다.
이번 소송과 원고측의 승소의 의미는 소비자가 거대 게임사를 상대로 처음 승소한 의미뿐만 아니라 신상정보 유출이 불법이지만 구체적인 피해사례가 없는 경우 그냥 넘어가던 그동안의 관행을 뒤집었다는 점에 의의가 있다. 즉 이는 개인정보유출 자체가 피해라고 보아야 한다.
이번 판결은 2006년 2월에 일어난 리니지 명의도용 집단소송사건(피해자 8천 500여 명)에도 큰 영향을 미칠 것으로 보인다. 이 사건은 주로 중국의 전문 크래커들이 포털이나 회원제 사이트의 고객정보를 해킹으로 탈취해 이를 사용하거나 대량 유통한 것으로서, 개인정보에의 부당한 접근이 문제가 되는 대표적인 사안이다. 이 경우 앞에서 보았듯이 정보관리자에게는 보유개인정보의 안전을 도모하는 기술적 조치를 취할 의무가 있는바, 엔씨소프트측에서는 ‘이용자 가입시 본인확인의무의 부존재와 실제 손해가 없다는 점’을 들어 손해배상책임의 부담을 거부하고 있다. 그러나 당해 판결내용에 비추어 볼 때, 실제 피해 사례가 없었지만 개인정보가 유출된 사실자체만으로도 피해자들에게 정신적인 피해를 입힌 것으로 인정해야 한다고 볼 것이다.