2022누54360
서울고법 2023.09.01 선고 · 일반행정
판시사항
통신판매중개업을 영위하는 甲 주식회사가 회원들(판매자와 구매자)에게 온라인공간에서 상품을 거래할 수 있는 플랫폼을 제공하고, 회원 가입 및 주문·결제 시 ‘개인정보 제3자 제공’에 동의한 구매자의 개인정보를 판매자에게 제공하며, 판매자는 이를 이용하여 구매자에게 상품을 배송했는데, 개인정보보호위원회가 甲 회사는 개인정보 보호법상 ‘개인정보처리자’에, 판매자는 ‘개인정보취급자’에 해당한다는 전제에서, 판매자가 외부에서 오픈마켓 접속 시 안전한 인증수단을 적용하지 않은 것이 개인정보 보호법 제29조 등 위반행위에 해당한다는 이유로, 甲 회사에 판매자에 대한 안전한 인증수단 적용 및 정기교육 실시 등의 시정조치를 명한 사안에서, 오픈마켓의 판매자는 甲 회사의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다고 보기 어려우므로, 판매자가 개인정보취급자라는 전제에서 시정조치를 명한 위 처분이 위법하다고 한 사례
판결요지
통신판매중개업을 영위하는 甲 주식회사가 회원들(판매자와 구매자)에게 온라인공간에서 상품을 거래할 수 있는 플랫폼을 제공하고, 회원 가입 및 주문·결제 시 ‘개인 정보 제3자 제공’에 동의한 구매자의 계정(ID), 성명, 전화번호, 휴대전화 번호, 배송지 주소 등 개인정보를 판매자에게 제공하며, 판매자는 이를 이용하여 구매자에게 상품을 배송했는데, 개인정보보호위원회가 甲 회사는 개인정보 보호법상 ‘개인정보처리자’에, 판매자는 甲 회사의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다는 전제에서, 판매자가 외부에서 오픈마켓 접속 시 계정(ID)과 비밀번호만으로 접속할 수 있도록 하고 추가로 안전한 인증수단을 적용하지 않은 것이 개인정보 보호법 제29조, 개인정보 보호법 시행령 제48조의2 등을 위반한 행위에 해당한다는 이유로, 甲 회사에 판매자에 대한 안전한 인증수단 적용 및 정기교육 실시 등의 시정조치를 명한 사안이다. 개인정보 보호법은 물론 개인정보보호위원회 스스로 고시한 표준 개인정보 보호지침의 문언에 비추어 보면, ‘개인정보취급자’는 “개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서” “임직원, 파견근로자, 시간제근로자 등”을 의미하는 것으로서, 반드시 개인정보처리자와 고용계약을 체결한 자로 한정되는 것은 아니지만, 적어도 법령 또는 계약상 개인정보처리자의 의사에 따라 개인정보처리자를 위하여 그 지휘·감독 아래 업무를 집행하는 자를 의미하는 점, 실제로 개인정보 보호법령 등에 개인정보처리자가 개인정보취급자에 대한 실질적인 지휘·감독 권한을 가지고 있음을 전제로 하는 다수의 규정을 두고 있는 점, 판매자는 정보통신서비스 제공자인 甲 회사로부터 이용자(구매자)의 개인정보를 제공받은 자로서 개인정보 보호법 제29조, 개인정보 보호법 시행령 제48조의2 제1항 제1호 (나)목 등에 따라 자신(판매자)의 지휘·감독을 받는 개인정보취급자를 관리·감독할 의무를 부담하므로 甲 회사와는 별개의 개인정보처리자에 해당하는 점, 판매자가 외부사용자로서 甲 회사의 서비스를 이용하는 범위 내에서 약관에서 정한 바에 따라 계약상의 제약을 받는다는 점만으로 종속적인 관계에서 甲 회사의 지휘·감독을 받는다고 볼 수 없는 점, 개인정보처리자로부터 개인정보를 제공받은 ‘제3자’와 ‘개인정보취급자’는 서로 양립할 수 없는 별개의 지위라고 보는 것이 타당하고, 판매자는 처음부터 甲 회사로부터 개인정보를 제공받은 ‘제3자’였을 뿐 이와 동시에 甲 회사의 ‘개인정보취급자’의 지위를 가진다고 볼 수 없는 점 등을 종합하면, 오픈마켓의 판매자는 甲 회사로부터 개인정보처리시스템에 대한 접근권한을 부여받음으로써 구매자의 개인정보를 제공받아 자신의 업무를 위하여 스스로의 의사에 따라 개인정보를 처리 및 이용하는 ‘제3자’일 뿐 甲 회사의 지휘·감독을 받아 개인정보를 처리하는 ‘개인정보취급자’에 해당한다고 보기 어려우므로, 판매자가 甲 회사의 지휘·감독 대상인 개인정보취급자라는 전제에서 시정조치를 명한 위 처분이 위법하다고 한 사례이다.
참조조문
개인정보 보호법 제2조 제5호, 제28조 제1항, 제29조, 제64조 제1항, 개인정보 보호법 시행령 제48조의2
판시사항·판결요지는 법제처 국가법령정보의 제공 내용입니다. 본문 전문은 이 화면에 싣지 않습니다 — 국가법령정보센터에서 사건번호로 확인하십시오.