경품행사를 빌미로 고객의 개인정보를 알아내 보험회사에 팔아넘긴 홈플러스와 임직원, 이들로부터 개인정보를 받고 대가를 지급한 보험회사 직원에게 대법원이 유죄를 확정지었다.

대법원 제2부(주심 김상환 대법관)는 6일 개인정보보호법위반, 정보통신망 이용촉진 및 정보보호 등에 관한 법률위반 등의 혐의로 재판에 넘겨진 도성환 홈플러스 전 대표에게 징역 10월에 집행유예 2년, 홈플러스에게 벌금 7500만원을 선고한 원심판결을 확정했다고 밝혔다.

◆거짓·부정한 수단으로 개인정보 취득 = 홈플러스는 2011년 10월 라이나생명, 신한생명과 홈플러스 고객들의 개인정보를 1건당 1980원에 판매하기로 하는 업무제휴약정을 체결했다. 이어 2011년 12월부터 2014년 6월까지 11회에 걸쳐 경품행사를 실시했다. 홈플러스는 이를 통해 경품행사에 응모한 고객들의 개인정보 712만 건을 수집하고 제3자 제공에 관한 동의를 받았다. 수집된 개인정보에는 성명, 생년월일, 주민등록번호 뿐만이 아니라, 자녀 수, 부모님과 동거 여부 등 사생활에 관한 것도 포함됐다. 홈플러스는 600만 건을 신한생명과 라이나생명 등에 판매해 약 119억원을 지급받았다.

원심은 경품행사의 목적이 처음부터 고객들의 개인정보를 수집해 이를 보험회사에 대가를 받고 판매하는데 있었다고 봤다. 경품행사를 광고하기 위한 전단지, 인터넷 홈페이지 등에 '창립 14주년 고객감사 대축제', '그룹 탄생 5주년 기념' 등의 문구를 경품사진과 함께 큰 글씨로 전면에 배치해 경품행사를 광고하고 있을 뿐이었다. 홈플러스가 소비자의 개인정보를 수집하고 이를 제3자에게 제공한다는 점에 관한 기재가 누락돼 있었다.

재판부는 홈플러스가 개인정보보호법에 규정된 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받았다고 판단했다. 재판부는 "홈플러스가 경품행사를 진행하면서 이 같은 목적을 은폐하고 광고한 것은 '소비자를 속이거나 잘못 알게 할 우려가 있는 광고행위'에 해당한다"고 봤다. 경품행사에 응모한 고객들은 응모권 뒷면과 인터넷 응모화면에 기재돼 있는 '개인정보 수집 및 제3자 제공 동의' 등 사항이 경품행사 진행을 위해 필요한 것으로 받아들일 가능성이 크다는 것이다.

◆개인정보 이용목적 1mm 작은 글씨로 기재 = 경품행사 응모권에는 '개인정보 제3자 제공'이라는 제목으로 '개인정보를 제공받는 자'는 '라이나생명, 신한생명 등'이, '이용목적'은 '보험상품 등의 안내를 위한 전화 등 마케팅자료로 활용됩니다'라는 내용 등이 약 1mm 크기의 글씨로 기재돼 있었다. 또 '기재/동의 사항 일부 미기재, 미동의 서명 누락시 경품추첨에서 제외됩니다'라는 사항이 붉은 글씨로 인쇄돼 있었다.

재판부는 "응모권에 기재된 동의 사항이 약 1mm 크기의 글씨로 기재돼 있어 소비자의 입장에서 보면 그 내용을 읽기 쉽지 않다"며 "단순 사은행사로 오인하고 경품행사에 응모하게 된 고객들이 짧은 기간 동안 응모권을 작성하거나 응모화면에 입력을 하면서 그 내용을 정확히 파악해 잘못된 인식을 바로잡기가 어려울 것"이라고 판단했다.

◆도 전 대표, 개인정보보호법 위반 고의 인정돼 = 피고인인 도 전 대표는 소송과정에서 홈플러스가 경품행사를 통해 개인정보를 수집하고 보험회사에 제공해 수익을 얻는다는 사실은 알고 있었지만, 홈플러스 보험서비스팀 직원들이 부정한 수단이나 방법으로 고객들의 개인정보를 취득하거나 처리에 동의를 받고 있다는 등의 세세한 사실은 몰랐다고 주장했다. 그러나 재판부는 이를 받아들이지 않았다.

재판부는 "공범자들 상호 간에 비록 전체의 모의과정이 없었다고 해도 순차적·암묵적으로 어느 범죄에 공동가공해 범죄를 실현하려는 의사의 결합이 있다면 공모관계가 성립한다"며 "이러한 공모가 이루어진 이상 실행행위에 직접 관여하지 않아도 다른 공모자의 행위에 대해 공동정범으로 형사책임을 진다"고 판단했다.

이 사건에 대한 1·2심에서는 홈플러스가 개인정보를 제3자에게 유상으로 제공한다는 사실을 고지할 의무가 없어 '거짓 그밖의 부정한 수단이나 방법'에 해당하지 않는다고 봤다. 동의 관련 사항의 글씨가 1mm정도로 작은 부분에 대해서는 "사람이 읽을 수 없는 정도라고 단정할 수 없다"며 무죄 판결을 내렸다.

그러나 대법원은 "개인정보보호법 또는 정보통신망법에 관한 법리를 오해했다"며 사건을 다시 서울중앙지법으로 돌려보냈다. 다시 열린 2심은 무죄를 선고한 원심판결을 파기하고 유죄를 선고했다.