[정보보호법바로알기 3] 구글의 선택과 역풍: 개인정보통합의 주요 법적 쟁점(1)

구글의 개인정보통합정책 관련 해외 소송사례와 원고 측 쟁점

[보안뉴스=법률사무소 민후 김경환 대표변호사] 구글은 2010년 9월 소셜네트워킹 툴인 Google Buzz가 Gmail 사용자의 개인정보를 동의 없이 이용하고 공개했다는 이유로 피해자들에게 850만 달러를 배상했다. 또한, 2011년 10월 같은 이유로 감독청인 미국 연방거래위원회(Federal Trade Commission)에게 개인정보의 수집목적 외 이용금지 등 광범위한 프라이버시 프로그램 운용의 이행을 약속하기도 했다.

이러한 구글이 2012년 3월 1일부터 ‘60여개의 서비스 그러나 하나의 이용자’라는 개념 및 ‘맞춤형 서비스 제공’이라는 목적 하에 60여개의 서비스에 저장되어 있는 개인정보를 통합하는 정책을 파격적으로 시행했고, 이러한 통합정책에 반대하는 사용자에게는 사실상 계정 탈퇴를 강요했다.

구글의 개인정보통합정책에 대하여 우리나라 방송통신위원회는 지난 2월 28일 실정법(정보통신망법)에 위배될 소지가 있으므로 개선할 것을 권고한 바 있으며, 한국개인정보보호협의회는 구글의 ‘개인정보 통합관리’ 방침은 반드시 철회되어야 한다는 내용을 발표한 바 있다. 멀리 유럽연합은 래리 페이지 구글 최고경영자에게 “구글의 새 규정에 대한 분석이 끝날 때까지 통합정책의 도입을 중단하라”는 내용의 서한을 보냄으로써 통합정책 도입에 신중할 것을 권고했다.

이러한 세계적인 비난과 우려에도 불구하고, 광고 수익이 전체 수익의 97%를 차지한다고 알려진 구글은 “사용자에게 검색기록을 삭제할 수 있는 선택권이 부여되어 있다”는 이유로 통합정책을 꿋꿋이 시행하고 있어 결국 그 적법성에 대한 결론은 법원이 내릴 수밖에 없는 상황이 되었다.

미국의 시민단체인 EPIC(Electronic Privacy Information Center)은 올해 1월 연방거래위원회에 구글의 개인정보통합정책의 시행을 금지시켜 달라고 요구하는 동시에 법원에는 연방거래위원회에 대하여 이러한 금지명령 집행을 강제하여 줄 것을 요청했으나, 법원은 EPIC이 연방거래위원회에 대해 이를 강제할 법적 근거가 없다고 판단하여 기각해 버렸다.

이러한 가운데 2월에는 미국의 또 다른 시민단체인 CDD(Center of Digital Democracy)가 연방거래위원회에 구글을 제소했는데, 그 주요 내용은 2011년 10월 구글이 연방거래위원회와 체결한 개인정보보호 이행합의를 준수하지 않았다는 것이다.

3월에는 마침내 이용자들의 클래스액션 소송이 잇따르게 되는데, 대표적으로 Robert B. De Mars & Lorena Barrios(북부 캘리포니아 지방법원), David Nisenbaum, Pedro Marti & Allison C. Weiss(남부 뉴욕 지방법원) 등의 소송이 있었다. 지금부터 이 둘의 소송에서 원고 측이 주장한 주요 법적 쟁점을 살펴 보도록 한다.

원고들은 첫째, 구글의 이전 개인정보관리지침에 의하면, 구글은 개인정보를 수집한 당해 서비스 외에 다른 서비스에 그 개인정보를 이용하거나 제공·공유하지 않겠다고 정했다고 밝혔다. 그 당시의 이용자들은 이러한 지침을 신뢰하여 개인정보 수집에 동의했으나, 올해 바뀐 개인정보관리지침은 이전 지침의 내용에 정면으로 모순된다는 것. 이에 원고들은 구글은 이전 지침 시행 당시의 이용자들에게 부실표시를 했거나 이용자를 기망한 것으로 볼 수 있다고 주장했다.

둘째, 구글은 2011년 10월 Google Buzz 사건 당시 연방거래위원회와 구글이 특정서비스 제공을 위해 수집한 개인정보를 다른 서비스 또는 제3자와 공유하거나 제공할 때에는 이용자들로부터 명시적인 동의를 얻어야 한다는 이행합의를 체결했지만 새로운 개인정보통합정책은 이행합의를 어기고 있다고 주장했다.

셋째, 구글은 여러 가지 개인정보를 통합관리하게 됨에 따라 이용자들에게 맞춤형 서비스를 제공할 수 있으며, 더불어 이용자들의 편의를 도모할 수 있다고 광고하고 있다. 그러나 개인정보 통합의 주된 목적은 이용자들의 편의 도모가 아니라 여러 개인정보를 통합하게 되면 저비용으로 개별 소비자 기호에 맞는 효율적인 광고를 할 수 있다는 점에 착안했다는 것이다. 이를 통해 수집한 개인정보를 광고·판매 등의 상업적 목적에 사용하여 수익을 올리고 있음에도 구글은 그 주된 목적을 숨기고 있다고 주장했던 것이다.

두 번째 기고에서는 구글의 행위에 대한 위법성을 평가하고, 국내 관련 법률인 정보통신망법과 개인정보보호법을 적용해보도록 한다.

[글_ 법률사무소 민후 김경환 대표변호사(hi@minwho.kr)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)