인터넷 검색을 하거나 사회관계망서비스(SNS)를 둘러보다 보면 “최신 스마트폰 특가 신청”, “온라인 가입 상담 예약”과 같은 배너 광고를 흔히 볼 수 있습니다. 링크를 클릭하면 이름, 연락처, 배송지 주소, 생년월일이나 본인 확인 정보를 입력하는 간이 신청서 화면이 열립니다.
많은 온라인 판매자나 사업자들은 “고객이 상품을 사고 싶어서 스스로 정보를 입력해 전송했으니 당연히 개인정보 제공에 동의한 것 아니냐”라고 생각하기 쉽습니다.
하지만 이러한 안일한 생각이 법정에서 징역형이나 무거운 벌금형으로 이어지는 치명적인 부메랑이 될 수 있습니다. 법원은 이용자가 직접 정보를 입력했더라도 법이 정한 절차를 단 하나라도 빠뜨렸다면 이를 ‘적법한 수집’이 아니라 ‘무단 개인정보 수집 범죄’로 엄격하게 판단하기 때문입니다.
인천지방법원 부천지원에서 선고된 실제 판결(2014고단2109)을 바탕으로, 온라인 비즈니스에서 개인정보 수집 절차가 왜 사업자의 생사를 가르는지 그 구체적인 법리와 실무 주의점을 살펴보겠습니다.
1. 사건의 전말: 20만 건의 개인정보와 ‘동의 화면’의 실종
휴대전화 판매점을 운영하던 피고인들은 온라인 사이트에 최저가 가입 광고를 올린 뒤, 구매를 희망하는 사람들을 유치하기 위해 별도의 서버로 연결되는 온라인 신청서 페이지를 개설했습니다.
이 페이지를 통해 이용자들은 통신사 가입과 기기 배송을 목적으로 자신의 이름, 연락처, 주소, 주민등록번호 등 민감한 개인정보를 빠짐없이 입력했습니다. 이렇게 수집된 데이터는 피고인 한 사람당 적게는 수천 건에서 많게는 7만 5천여 건에 달했고, 전체 피고인들이 모은 정보는 20만 건을 훌쩍 넘겼습니다.
수사기관은 피고인들을 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 위반 혐의로 재판에 넘겼습니다.
재판 과정에서 피고인들은 억울함을 호소했습니다.
“실제로 휴대전화를 개통해주려고 신청서를 받았을 뿐이며, 고객들이 휴대폰을 사기 위해 자기 손으로 직접 정보를 입력해 전송했으므로 묵시적인 동의가 있었던 것 아닙니까?”
하지만 법원의 판단은 냉정했습니다.
2. ‘자발적 입력’과 ‘법적 동의’를 혼동하면 안 되는 이유
재판부는 고객이 직접 키보드로 정보를 입력해 제출 버튼을 눌렀다는 사실만으로 법률상 ‘적법한 동의’가 이루어졌다고 볼 수 없다고 못 박았습니다.
당시 정보통신망법(현 개인정보 보호법)에 따르면, 온라인 서비스 제공자가 이용자의 개인정보를 수집할 때는 반드시 사전에 다음과 같은 필수 사항을 명확하게 고지하고 명시적인 동의를 받아야 합니다.
| 법정 고지 항목 | 구체적인 고지 내용 | 누락 시 법적 위험 |
| 수집·이용 목적 | 수집한 정보를 어디에 어떤 용도로 활용하는지 구체적으로 명시 | 목적 외 사용 또는 무단 수집으로 형사처벌 대상 |
| 수집하는 항목 | 필수 정보와 선택 정보를 구분하여 수집 대상 목록을 투명하게 공개 | 불필요한 과다 정보 수집으로 과태료 및 벌금 부과 |
| 보유 및 이용 기간 | 정보를 언제까지 보관하고 언제 파기하는지 기한을 분명하게 설정 | 보유 기간 미고지 및 영구 보관 시 법 위반 성립 |
| 동의 거부 권리 | 동의를 거부할 권리가 있다는 사실과 거부 시 불이익 내용을 안내 | 절차적 정당성 흠결로 동의 효력 전체가 무효 처리 |
피고인들의 신청서 페이지에는 이용자가 정보를 입력하는 빈칸만 덩그러니 있었을 뿐, 위와 같은 고지 사항이 전혀 기재되어 있지 않았고, “위 내용에 동의합니다”라는 선택 체크란조차 없었습니다.
법원은 “이용자가 정보의 이용 목적이나 보관 기간을 전혀 알지 못하는 상태에서 정보를 입력했다면, 이는 진정한 동의권 행사가 아니므로 불법 수집에 해당한다”라고 판시했습니다. 그 결과 주범에게는 징역 6개월에 집행유예 2년, 사회봉사 40시간이 선고되었고, 나머지 공범들에게도 수백만 원대의 벌금형이 내려졌습니다.
3. 사업 목적이 정당해도 법적 절차가 없으면 범죄가 된다
이 판결에서 눈여겨보아야 할 핵심 쟁점은 “영업을 위해 수집했다”는 동기가 면책 사유가 되지 못한다는 점입니다.
법원은 개인정보를 단순한 영업적 이익을 창출하기 위한 자산으로 바라보지 않습니다. 헌법상 보장되는 ‘개인정보 자기결정권’의 대상이자 철저히 보호받아야 할 기본권으로 평가합니다.
- 상업적 목적일수록 더 엄격한 책임: 피고인들은 정상적인 영업 활동의 일환이었다고 변명했지만, 법원은 상업적 이익을 노리고 대규모 개인정보를 다루는 사업자일수록 법이 정한 보호 의무를 더욱 철저히 지켜야 한다고 판단했습니다.
- 주민등록번호 수집의 위법성: 특히 주민등록번호와 같은 고유식별정보는 법령에서 구체적으로 허용한 경우가 아니라면 원칙적으로 수집 자체가 금지되어 있습니다. 통신사 공식 대리점이 법정 절차에 따라 개통 업무를 대행하는 경우가 아니라, 단순 판매점이 임의로 서버에 주민등록번호를 수집해 보관하는 행위는 그 자체로 매우 중대한 위법 행위가 됩니다.
- 방대한 수집 규모에 따른 위험성: 수만 건에 달하는 개인정보가 보안 장치도 취약한 사설 서버에 보관될 경우, 해킹이나 2차 유출로 이어져 보이스피싱이나 대포폰 개통 등 심각한 사회적 범죄에 악용될 위험이 매우 컸다는 점도 양형에 결정적인 영향을 미쳤습니다.
4. 온라인 사이트를 운영하는 사업자가 반드시 지켜야 할 실무 수칙
웹사이트를 운영하며 고객의 상담 신청, 이벤트 응모, 회원가입 등을 받고 있다면 지금 즉시 신청 폼을 점검해야 합니다. 형식적인 실수 하나로 하루아침에 형사 피의자로 전락할 수 있기 때문입니다.
- 입력 칸 아래에 고지 문구와 동의 체크박스를 필수 연동해야 합니다: 단순히 “신청하기” 버튼만 두어서는 안 되며, 수집 목적, 수집 항목, 보유 기간을 한눈에 볼 수 있도록 적고 이용자가 직접 체크박스를 눌러야만 제출되도록 시스템을 설계해야 합니다.
- 최소한의 정보만 요구해야 합니다: 단순 상담이나 문의 접수 단계에서는 이름과 연락처 외에 불필요한 주민등록번호나 상세 주소까지 무리하게 요구하지 말아야 합니다. 과도한 정보 수집은 그 자체로 법 위반의 빌미가 됩니다.
- 목적이 끝난 정보는 즉시 파기해야 합니다: 상담이 완료되었거나 개통이 끝난 고객의 데이터는 별도의 암호화 보관 조치를 취하거나 지체 없이 영구 삭제해야 합니다. 언제 쓸지 모른다며 엑셀 파일로 컴퓨터에 쌓아두는 행위는 잠재적인 법적 시한폭탄을 안고 있는 것과 같습니다.
핵심 요약
- 고객이 온라인 폼에 정보를 자발적으로 입력했더라도, 법정 고지 사항을 알리고 명시적 동의를 받지 않았다면 불법 개인정보 수집죄가 성립함.
- 인천지법 부천지원 판례(2014고단2109)는 휴대전화 판매를 목적으로 20만여 건의 고객 정보를 동의 절차 없이 모은 판매업자들에게 징역형과 벌금형을 선고함.
- 개인정보 보호법은 상업적 영업 목적이라는 이유로 예외를 인정하지 않으며, 오히려 영리 목적의 대규모 수집일수록 더 무거운 형사 책임을 부과함.
- 온라인에서 상담이나 가입 신청을 받을 때는 수집 목적, 수집 항목, 보유 기간을 빠짐없이 고지하고 별도의 필수 동의 체크박스를 반드시 거치도록 운영해야 함.