공정거래위원회 결정문

【결정요지】

시정권고 : 제2011 - 044호

사건번호 : 2011약관2897

사건명 : 구글코리아(유)의 서비스 약관 및 개인정보 취급방침상 불공정약관조항에 대한 건

피 심 인 : 구글코리아(유) (대표자: 이원진)

서울시 강남구 역삼1동 737 강남파이낸스센터22층

【시정권고사항】

피심인이 사용하는 서비스 약관 및 개인정보 취급방침 중 아래의 일부 조항에 대하여 이 시정권고를 받은 날부터 60일 이내에 삭제 또는 수정할 것을 권고한다.

【시정권고이유】

1. 과도한 개인정보의 수집을 허용하는 조항

가 . 약관조항

나. 심사의견 : 무효

「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 (이하 '정보통신망법’)은 사업자가 고객의 개인정보를 수집할 때에는 '정보통신서비스의 제공을 위하여 필요한 최소한의 정보’만을 수집하도록 정하고 있다. 따라서 정보통신서비스의 제공과 직접적인 연관이 없거나 혹은 정보의 범위를 지나치게 확대함으로써 필요 이상의 정보를 수집하는 경우, 이는 정보통신망법의 취지에 반하여 과도한 개인정보의 수집에 해당한다고 보아야 한다.

피심인의 경우, 고객이 자사 서비스를 이용하여 주고받은 SMS 내용과 전화번호, 이동통신사 및 메신저 내용 등에 대해서도 수집 및 분석하도록 정하고 있다. 그러나 이러한 통신 내용만으로도 충분히 개인을 식별할 수 있다. 따라서 이러한 개인정보를 수집하여 이용하는 것은 당해 정보통신서비스 제공을 위해 필요한 최소한의 정보라는 범위를 넘어설 뿐만 아니라 통신비밀보호법이 통신 비밀의 보호를 목적으로 하면서 법률의 규정에 의하지 아니하고 우편물의 검열, 전기통신의 감청 또는 통신사실확인자료의 제공을 하거나 비공개된 타인간의 대화를 녹음 또는 청취하지 못하도록 한 것에 직접적으로 위반될 소지가 있다. 즉, 과도한 개인정보의 수집에 더하여 사생활 침해까지 우려된다고 할 것이다.

뿐만 아니라 피심인은 자사 홈페이지와 연계하여 제공되는 다른 웹사이트에 고객이 개인정보를 제공하는 경우 이를 자동으로 구글에 전송되도록 하고 있다. 그러나 연계된 제휴 사이트가 어떤 것이며 어떠한 정보가 재전송되는지에 대하여 전혀 언급되어 있지 않다. 단순히 제휴 사이트를 이용하였다는 것만으로 자신의 개인정보가 구글 또는 제휴사이트의 개별적이고 명시적인 동의 없이 구글에 수집ㆍ보관되는 것은 구글이나 제휴 사이트를 이용하는 일반 고객의 수준에서는 예상하기 어렵다 할 것이다.

이상의 내용을 살펴볼 때, 정보통신서비스를 이용하여 주고받은 통신 내역의 수집 및 이용을 허용하고 제휴사이트의 이용시 고객이 제공한 정보를 자동으로 구글에게 전송하도록 하는 이상의 약관조항은 수집하는 개인정보의 범위를 지나치게 확대함으로써 관련 법령에 위반될 뿐만 아니라 정보주체인 고객에게 부당하게 불리하므로 약관법 제6조 제2항 1호에 해당하여 무효이다.

2. 개인정보 유출에 대한 폭 넓은 면책을 허용하는 조항

가. 약관조항

나. 심사의견 : 무효

정보통신망법은 법 제28조 및 동법 시행령 제15조를 통해 정보통신사업자에게 개인정보보호를 위한 각종 조치의무를 부과하고 있고, 개인정보보호를 위한 기술적ㆍ관리적 조치를 하지 않은 경우에는 3천만원 이하의 과태료를, 이러한 조치를 하지 않아 개인정보가 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손된 경우 2년 이하의 징역 또는 1천만원 이하의 벌금 및 1억원 이하의 과징금을 부과하도록 되어 있다. 즉, 온라인 사업자에게는 회원의 동의를 받아 수집하여 보관 중인 개인정보를 보호해야 하는 두터운 의무가 부여되고 있다.

고객은 자신의 개인정보가 안전하게 보관ㆍ관리, 자신의 부주의 또는 과실이 없는 한 외부에 노출되거나 타인에 의해 남용되지 않을 것이라는 믿음 하에 사업자에게 자신의 개인정보 수집 및 활용 등에 대해 동의를 하게 된다. 만일 개인정보가 유출이 되거나 제3자에 의해 악용되고 있다면, 온라인 사업자는 개인정보를 수집하여 보관하는 자로서 책임을 져야 할 것이다. 물론, 현재의 기술ㆍ보안 수준을 능가하는 해커의 등장과 같이 예기치 못한 사태로 인해 개인정보 유출이 일어나는 경우에도 사업자들은 당해 유출에 자신들의 귀책사유가 없도록 최대한의 기술적ㆍ관리적 보안 장치를 구비하는 것이 마땅하다.

그러나 피심인은 매우 극단적으로 고객 개인정보의 유출에 대하여 전적으로 책임을 면제하고 있다.

일단 사업자가 자신의 필요에 의해 고객의 개인정보를 수집하였다면, 사업자에게는 정보통신망법상의 기술적ㆍ관리적 조치를 취하여야 하는 의무 외에도 자신들이 수집ㆍ보관하는 개인정보가 유출되지 않도록 신의성실을 다 해야 할 계약상 의무가 부여되어 있다고 할 것이다. 따라서 개인정보의 유출이 발생할 경우, 이러한 유출에 사업자의 귀책사유가 있다면 책임을 지는 것이 타당하다 할 것이며, 이러한 책임을 부인하는 것은 법률에 명백한 근거가 있거나 그러한 배제사유가 그 누가 보더라도 객관적으로 타당하고 명확한 사유로 제한되어야 한다. 그럼에도 불구하고 피심인의 위 약관 조항은 사업자의 고의ㆍ과실 여부를 불문하고 모든 책임을 면책하고 있다.

이상의 내용을 살펴볼 때, 위 약관 조항은 사업자, 이행 보조자 또는 피고용자의 고의 또는 중대한 과실로 인한 법률상의 책임을 배제하는 조항으로서 약관법 제7조 제1호에 해당하여 무효이다.

3. 개인정보의 수집, 활용 등에 관한 사항을 별도 동의를 받지 않고 서비스 이용약관을 통해 포괄적으로 동의 받는 조항

가. 약관조항

나. 심사의견 : 무효

정보통신망법의 전체적인 취지로 살펴볼 때, 개인정보의 수집ㆍ활용 및 제3자 제공, 위탁에 관한 사항은 이용약관과는 별도로 구분하여 고객에게 설명하고, 이를 명확하게 인지한 상태에서 고객이 이에 대한 동의 여부를 선택할 수 있어야 한다고 볼 것이다.

즉, 고객의 개인정보를 수집하기 위해서는 정보통신망법 등이 정하는 바에 따라 개인정보의 수집, 이용 목적과 수집하는 항목, 보유 및 이용 기간 등을 고지하고 이에 대하여 개별적인 동의를 얻어야 한다. 그러나 위 약관 조항들은 고객이 서비스 이용약관에 대하여 동의할 경우 이러한 개인정보 수집에 대해서도 함께 동의하는 것으로 해석될 가능성이 있다.

피심인과 같이 일반 서비스 약관의 동의를 통해 사업자의 개인정보 수집, 이용, 제공 및 취급위탁 등에 대해서 함께 동의한 것으로 간주하는 것은 별도의 개별동의를 받아야 하는 개인정보에 대해 포괄적으로 동의를 하게 하는 것으로서 개인정보보호에 관한 관련 법령의 취지에 반할 뿐만 아니라 고객에게도 부당하게 불리하므로 약관법 제6조 제2항 1호에 해당하여 무효이다.

4. 정보주체의 개인정보 열람권을 제한하는 조항

가. 약관조항

나. 심사의견 : 무효

정보주체로서 이용자에게는 사업자가 보관 중인 자신의 개인정보를 열람할 수 있는 권리, 개인정보의 이용 및 제3자 제공 내역을 요청할 수 있는 권리, 오류라 있는 개인정보에 대해 정정을 요구할 수 있는 권리 및 개인정보의 수집ㆍ이용ㆍ제공 등에 대한 동의를 철회할 수 있는 권리 등 각종 권리를 법에 의해 보호받고 있다.

정보통신망법 제30조 제4항은 고객이 자신의 개인정보에 대한 열람 또는 제공을 요구할 경우 지체 없이 필요한 조치를 하도록 되어 있다. 그러나 본인 또는 제3자의 생명, 재산 및 권익을 현저하게 해할 우려가 있거나 당해 서비스 제공자의 업무에 현저한 지장을 미칠 우려 등으로 인해 필요한 조치를 지체 없이 취할 수 없는 경우 그 사유를 이용자에게 알리는 등의 절차를 규정하고 있는 개인정보의 정정 권리와는 달리 위 법에서는 열람 또는 정정에 대해서는 예외 사유를 규정하고 있지 않다. 따라서, 정보주체의 정보 열람 및 제공 요구에 대해 사업자는 이를 거부할 수 없다고 보아야 하며, 이를 거부하는 경우 법률이 정하는 고객의 권리를 침해한다고 보아야 한다. 또한 위 법에는 오류에 대한 정정 요청에 대해서도 지체 없이 이를 처리할 수 없는 경우, 그러한 사정을 설명해야 함을 규정할 뿐, 그 자체를 거부할 수 있다는 규정은 없다.

현재 피심인의 위 약관조항은 법률이 보장하고 있는 권리로서 고객의 개인정보 접근, 수정, 삭제 요청에 대하여 '비합리적으로 반복적이거나 규칙적/과도한 기술적 노력 필요/비효율적이거나 접근이 필요하지 않은’ 경우 처리 자체를 거부할 수 있다고 규정하고 있다. 그러나 비합리적으로 반복적이거나 규칙적, 비효율적이거나 접근이 필요하지 않다는 개념의 정의가 모호한바, 이에 대한 사업자의 자의적인 해석이 개입될 가능성이 크다. 또한 이러한 자의적인 해석에 근거하여 단순히 고객의 요청을 즉각적으로 처리하지 않는 것이 아니라 아예 그 자체를 거부할 수 있다고 정하고 있다.

이상의 내용을 살펴볼 때, 고객의 개인정보 열람 및 정정 요청에 대해 추상적ㆍ포괄적 조건을 부가함으로써 요청 자체를 거부할 수 있는 권한을 사업자에게 부여하는 위 약관 조항은 법률에 따른 권리를 상당한 이유 없이 배제하거나 제한하는 조항으로서 약관법 제11조 제1호에 해당하여 무효이다.

5. 회원의 탈퇴 후에도 회원의 저작물을 영구히 사용토록 하는 조항 등 회원의 저작권을 침해하는 조항

가. 약관조항

나. 심사의견 : 무효

저작권법 제46조는, 저작재산권자는 다른 사람에게 그 저작물의 이용을 허락할 수 있으며, 이러한 허락을 받은 자는 허락받은 이용 방법 및 조건의 범위 안에서 그 저작물을 이용할 수 있다고 정하고 있다.

이에 따라 온라인 사업자들은 회원의 게시물에 대하여 서비스 제공에 필요한 범위 내에서 수정, 각색, 배포, 발행 등의 방식으로 이용할 수 있는 권리를 개별적인 동의가 아니라 이용약관에 포함시킴으로써 고객에게 동의를 얻고 있다.

이때 고객이 사업자들에게 자신의 저작물에 대한 이용을 허락하는 것은 사업자가 제공하는 서비스를 이용하는 것에 대한 반대급부라고도 볼 수 있으며, 그 권원은 사업자와 회원 간의 서비스 이용계약에서 나온다고 할 것이다. 따라서 회원이 해당 사이트를 탈퇴하는 경우, 즉 사업자와 회원 간의 계약관계가 종료되는 경우 저작물의 이용허락에 대한 동의도 종료되는 것으로 보는 것이 합리적이며 고객의 예상되는 기대라고 할 것이다. 즉, 이용약관을 통하여 포괄적으로 저작물에 대한 이용허락을 동의할 때는 회원으로 가입한 기간에 한하여 이용 허락권을 부여한 것으로 보아야 하며, 회원의 서비스 탈퇴 후에도 영구적으로 사용하는 것까지 허락하였다고 기대하기는 어렵다.

물론, 온라인 서비스의 특성상 이용자가 공개적으로 접속 가능한 서비스 구역에 게시물을 게재하였고 이러한 게시물이 해당 서비스를 이용하는 다른 일반 이용자에게 계속 공개될 수 있으며 그러한 필요성도 인정될 수 있다. 그러나 다른 일반 사용자들에게 공개되는 것과 사업자가 이를 번역, 발행, 수정, 각색하는 등의 용도로까지 사용하는 것은 엄연히 별개의 문제이며 특히 회원이 이미 탈퇴한 후라면 단순한 공개를 넘어 저작물에 대한 활용이 있는 경우에는 개별적이고 구체적인 동의를 구는 것이 저작권법의 취지에 부합하다 할 것이다.

또한 사업자에게는 게시물의 저작자인 회원이 허락하는 범위 내에서만 해당 저작물을 이용할 수 있으므로, 만일 회원이 그러한 저작물의 이용을 원치 않는 경우 언제라도 해당 게시물의 비공개 전환 등을 통해 필요한 조치를 취할 수 있도록 하여야 할 것이나 피심인의 서비스 약관은 콘텐츠에 대한 사용 허가를 철회할 수 없는 것으로 규정하고 있어 저작권자의 권리를 과도하게 제한하고 있다. 따라서 위 조항은 게시물을 작성한 고객에게 부당하게 불리하므로 약관법 제6조 제2항 제1호에 해당하여 무효이다.

【시정권고참조법률】

위 피심인의 『약관의 규제에 관한 법률』(이하 “약관법”이라 한다) 위반행위에 대하여 같은 법 제17조의2 제1항의 규정에 의하여 다음 시정권고 사항과 같이 시정할 것을 권고합니다.

【적용법조】

약관법 제6조 제2항 제1호, 제7조 제1호, 제11조 제1호