[이슈&인사이트] 플랫폼 경제와 개인정보 보호 규제

양희철 법무법인 명륜 파트너변호사

지난 주말에 가족과 함께 대형마트를 직접 찾아 장을 봤다. 최근 경영난으로 잠시 문을 닫았다가 자금을 수혈받고 재개장을 한 곳이었다. 품질이 균질한 공산품이 아닌 과일, 육류, 생선 등 신선식품을 고를 때는 아무래도 직접 눈으로 보고 사는 것을 선호하기 때문이다. 물론 매장을 둘러보다 전에 없던 신상품을 구경하는 재미도 빼놓을 수 없다.

한때 연 매출 6조 원으로 국내 대형마트 매출 2위였던 업체가 위기에 처한 근본 원인은 소비자들이 선호하는 유통시장이 오프라인에서 온라인으로 이동했기 때문이다. 온라인 유통시장이 기존 오프라인 유통업체의 점유율 상당 부분을 가져간 것이다. 이런 추세는 유통시장만이 아니라 교육, 미디어·콘텐츠, 운송, 숙박 등 다양한 산업 부문을 장악해 가고 있는 온라인 플랫폼의 성장을 보면 명확해진다. 전통적 플랫폼이었던 대형마트가 시장을 온라인 마켓에 내준 것과 마찬가지다.공교롭게도 현재 경영상 위기를 겪고 있는 대형마트나 해당 업체를 궁지에 몰아넣은 온라인 유통업체나 모두 개인정보 보호와 관련해서는 사회적 물의를 일으킨 바 있다.

해당 대형마트는 10여 년 전 보험사에 개인정보를 판매할 목적으로 사은행사를 하면서 주민등록번호 등 고유식별정보까지 수집해 보험사에 제공했다. 그런데 행사 당시 이러한 개인정보 수집과 제3자 제공에 대한 동의 관련 내용을 잘 보이지 않는 1㎜ 크기 글자로 적었다. 결국 개인정보 보호법 위반으로 유죄가 확정되고, 과징금에 손해배상 책임까지 지게 됐다.빠른 배송을 마케팅 전면에 내걸고 급속도로 성장해 유통업계의 판도를 바꾼 온라인 유통업체 역시 대량의 고객 개인정보 유출로 인해 역대 최대 규모의 과징금을 부과받았고, 고객들의 손해배상 민사 소송도 진행 중이다.

개인이 일상을 영위하기 위해 자주 이용하는 유통업체들은 그만큼 많은 개인정보를 수집해 보유하고 있고, 이렇게 보유한 개인정보를 부실하게 관리하면 개인정보 보호 위반으로 인한 책임을 피할 수 없게 된다. 최근 플랫폼은 온라인으로 모집한 대규모 고객에게 서비스를 해야 규모의 경제를 통해 사업성을 확보할 수 있다. 이 과정에서 많은 고객의 개인정보를 수집하고, 다시 이를 이용해 연관 서비스를 개발하여 추가적인 수익을 창출하려고 한다. 즉, 보유하고 있는 고객의 개인정보와 플랫폼 이용 데이터 자체가 플랫폼 기업의 자산이 되는 것이다. 그에 부응해 개인정보 보호를 위한 플랫폼 업체들의 관리도 강화되어야 하지만, 변화된 경제 운영의 중심에 있는 플랫폼 성격을 반영한 개인정보 법제도 정비가 필요하다.

플랫폼 업체가 수집한 개인정보를 제3자에게 제공하려면 개인정보 보호 법령과 보호지침에 따라 이용 목적, 항목, 보유기간을 알리고 해당 개인정보의 주체에게 동의를 받아야 한다. 특히 동의를 받을 때 개인정보를 제공받는 제3자의 성명과 연락처까지 알리도록 정하고 있다. 문제는 플랫폼 이용자 사이에서는 이용 구조상 제3자 제공 동의 당시 향후 누가 개별 이용자의 개인정보를 제공받을지 구체적으로 특정할 수 없어 제3자의 성명이나 연락처를 제공하는 것이 불가능한 경우가 있다는 것이다. 물론, 플랫폼에 공개된 개인정보는 제3자에 대한 제공을 전제로 자신의 개인정보를 공개한 것이므로 제공 동의로 본 2016년 대법원판결 취지처럼 별개 제3자 제공 동의가 필요하지 않다고 볼 여지도 있다. 하지만 플랫폼 이용자 중에는 설령 플랫폼 운영자의 개인정보 수집에는 동의했더라도 자신의 개인정보가 특정한 다른 이용자에게 제공·공유되거나, 특정 개인정보는 제공·공유되는 걸 원하지 않는 경우도 있다.

이런 경우는 최근 대법원판결처럼 이용자의 동의가 있었다고 객관적으로 인정되는 범위 내에 해당한다고 보기 어렵다.개인정보보호위원회도 플랫폼 이용자에게 제3자 성명과 연락처를 고지해 동의하는 방식의 현실적 어려움을 인지하고 있는 듯하다. 올해 배포한 개인정보 처리방침 작성지침에 따르면 개인정보를 제공받는 자의 성명이 아닌 '배차 기사'라는 분류 명칭만으로 기재하고, 향후 실제 제공받은 제3자의 성명과 연락처를 확인하는 방식을 허용했기 때문이다. 하지만 이것은 여전히 실무상 적용되는 개인정보 처리방침 작성 지침에 불과하고, 향후에도 플랫폼 운영 구조상 제3자의 성명과 연락처를 제공하기 어려우면 적용할 수 없어 규제의 위험을 모두 피하기는 어렵다. 개인정보 자기결정권도 보호되어야 하지만, 실생활에서 이용을 피할 수 없는 플랫폼의 위치를 생각하면 균형감 있는 규제 개선이 필요해 보인다.

양희철