프라이버시 침해 國際契約의 제한

- 정보통신망이용촉진및정보보호등에관한법률 제54조의 시행과 관련하여

박 훤 일*

)* 경희대학교 법과대학 전임강사

I. 立法趣旨

□정보통신망이용촉진및정보보호등에관한법률□(이하 □정보통신망법□ 또는 □법□이라 함)이 2000년 12월 정기국회에서 통과되어 2001년 7월 1일부터 시행될 예정이다. 개방된 정보통신망(open network)인 인터넷 상에서 개인정보(privacy)가 여과없이 유통되면서 개인의 사생활에 대한 침해 우려가 커짐에 따라 정부는 개인정보 보호에 관한 國際規範을 참조하고 憲法 제17조와 제18조에 입각하여 개인정보의 보호를 대폭 강화하기에 이르렀다.

) 정보통신망법은 본래 □전산망보급확장과이용촉진에관한법률□을 1998년 전면 개정하여 □정보통신망이용촉진등에관한법률□로 시행하던 것을 民間部門에 있어서의 개인정보 보호를 강화하기 위하여 법률명칭도 바꾸고 일부 조항을 추가하여 다시 전면 개정한 것이다.

) 經濟協力開發機構(OECD)가 1980년 □프라이버시 보호와 개인정보의 국제유통에 관한 가이드라인□(Guidelines on the Protection of Privacy and Transborder Flows of Personal Data)을 채택한 데 이어 선진각국은 1980-90년대에 걸쳐 개인정보 보호법·프라이버시 보호법을 제정하였다. 또한 유럽聯合(EU)은 1995년 10월 24일「개인정보 처리에 관한 개인보호 및 해당 정보의 자유로운 이동에 관한 유럽의회 및 이사회의 지침□(□EU 개인정보보호지침□, Directive of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data, OJ L 281, 23 November 1995)을 공표하고, 3년 이내에 각 회원국이 개인정보 보호법을 정비하도록 하였다. 日本에서도 1988년에 국가 차원에서 □행정기관이 보유한 전자계산기 처리에 관련된 개인정보의 보호에 관한 법률□을 제정하고, 통산성은 1997년 3월 □민간부문의 컴퓨터 처리와 관련된 개인정보 보호에 관한 가이드라인□을 공표 시행하고 있다.

) 憲法 제17조: 모든 국민은 사생활의 비밀과 자유를 침해받지 아니한다. 제18조: 모든 국민은 통신의 비밀을 침해받지 아니한다. 公共部門에 있어서는 □공공기관의개인정보보호에관한법률□에 의하여 개인정보가 보호되어 왔는데, 이번 정보통신망법의 개정으로 民間部門에 있어서도 개인정보의 보호가 선진국 수준으로 이루어지게 되었다.

) 정완용, □電子商去來와 個人情報保護에 관한 고찰□, □경희법학□ 제34권제1호(1999.12), 경희법학연구소 231∼258면.

특히 정보통신망법 제54조는 □국제계약의 제한□이라는 제하에 □정보통신서비스제공자는 이용자의 개인정보에 관하여 정보통신망법의 규정을 위반하는 사항을 내용으로 하는 國際契約을 체결하여서는 아니된다□라고 규정하고 있다. 인터넷을 통하여 정보통신 서비스를 제공하는 사업자가 그 이용자들의 개인정보를 적절한 보호장치 없이 해외에 유통시키거나 외국 기업과의 업무제휴 등을 통하여 이용자에게 불리한 내용의 계약을 체결할 수 없도록 하기 위한 것이다. 이는 域內 정보교류를 촉진해온 유럽聯合(EU)이 1995년에 공표한 個人情報保護指針(Directive 95/46/EC)에 의하여 域外 제3국이 적정 수준으로 개인정보를 보호하고 회원국의 관련법을 존중하지 않는 한 당해 제3국으로의 개인정보 이전(transfer of personal data)을 불허하기로 함에 따라 우리나라의 개인정보 보호 규정을 강화하지 않을 수 없었던 일면도 있다.

) 공식 명칭은 □Directive 95/46/EC of the European Parliament and of the Council□이며 통상 □Directive on Data Protection□라 부른다. 1998년 10월 25일 발효되었으며, 영국이 1998년에 개인정보보호법(Data Protection Act 1998)을 제정하는 등 EU 회원국들은 이 지침에 따른 國內立法을 대부분 완료하고 2차 입법(secondary legislation)에 착수하였다. □Directive 97/66/EC□는 전화 등의 원격통신에 적용되는 개인정보보호 지침이다. <http://europa.eu.int/comm/internal_market/en/media/dataprot/law/impl.htm>

) EU의 조치에 대하여 많은 域外國家들이 정보의 봉쇄(blackout)가 아닌가 의구심을 가졌으나, EU는 개인정보의 보호가 유럽 人權協約에도 명시되어 있는 憲法 차원의 원칙이고, 域內 단일규범을 제정함으로써 정보의 원활한 소통을 기할 수 있다고 강조하고 있다. 또 해당 역외국가가 적절한 개인정보 보호입법을 하지 않았더라도 정보를 받는 측이 契約 베이스로 EU 지침에서 정하는 세이프가드(개인정보 주체의 정보열람권, 동의 및 철회권, 정보처리 목적의 고지의무, 개인정보 침해에 대한 법적 구제방법 등)를 충족하면 개별적으로 정보이전을 허용키로 하였으므로 EU 규범의 域外適用(extraterritoriality)은 아니라고 한다. <http://europa.eu.int/comm/internal_market/en/media/dataprot/backinfo/info.htm>

) 上記 指針에 따라 EU는 정보이전을 둘러싼 어떠한 상황에서든지 어느 정도로 데이터 보호가 되는지 각국의 상황을 측정하여야 한다. 그 구체적인 임무는 EU 지침 제29조에 의거 설치된 Working Party (WP)가 수행하고 있는데, 1999년 EU 집행위원회는 WP 의견에 따라 스위스와 헝가리의 국내입법에 대하여 개인정보의 보호가 적정수준으로 이루어지고 있음을 인정한 바 있으며, 美國에 대해서는 미국 정부가 2000년 7월 21일 발표한 개인정보 보호를 위한 세이프 하버 원칙 및 시행요령(Safe Harbor Privacy Principles for the protection of personal data transferred from a Member State to the United States and the Frequently Asked Questions providing guidance for the implementation of the Principles issued by the Government of the United States on 21.07.2000)을 각 기관이 준수하기만 하면 적정 수준의 보호가 이루어진다고 보기로 하였다. 美國의 경우 州別로, 기관별로 법령·규정·자치법규 등 다양한 형식으로 규제가 이루어지므로 불확실성을 피하기 위해 업계와 일반의 의견을 받아들여 예측가능한 준거의 틀을 마련하기로 한 것이다. <http://europa.eu.int/comm/internal_market/ en/media/dataprot/wpdocs/wp22en.pdf, wp24en.pdf, wp27en.pdf> 각각 참조.

본고에서는 정보통신망법 제54조를 중심으로 동 규정의 법적 성질과 적용을 위한 요건, 위반의 효과를 살펴보고 구체적인 시행방안을 검토하고자 한다.

II. 法的 性質

정보통신망법 제54조는 정보통신서비스제공자에 대하여 이용자의 개인정보에 관한 위법행위를 내용으로 하는 국제계약을 □체결하여서는 아니된다□라고 규정함으로써 이것이 宣言的인 규정인지 아니면 效力規定인지 논란이 되고 있다.

선언적인 규정이라고 보는 견해는 그 위반에 대한 효과적인 制裁手段이 없다는 이유를 든다. 사실 이 법의 罰則 조항을 보면 제54조 違反行爲에 대하여는 징역, 벌금, 과태료 등 어떠한 벌칙의 적용도 없다. 그러나 제54조의 적용대상이 정보통신서비스제공자라는 점에서 상당한 實效性을 확보한 효력규정이라고 보는 견해가 있다.

현행 실정법상 국제계약의 체결하는 규정으로는 □獨占規制및公正去來에관한法律□(이하 □공정거래법□이라 함) 제32조(부당한 國際契約의 체결제한)가 있다. 제1항에서는 □事業者 또는 事業者團體는 부당한 공동행위, 불공정거래행위 및 재판매가격유지행위에 해당하는 사항을 내용으로 하는 것으로서 大統領令이 정하는 國際的 協定이나 契約(이하 "국제계약"이라 함)을 체결하여서는 아니된다□라 하고, □다만, 당해 국제계약의 내용이 일정한 거래분야에 있어서 競爭에 미치는 영향이 경미하거나 기타 부득이한 사유가 있다고 公正去來委員會가 인정하는 경우에는 그러하지 아니하다□고 하여 예외를 인정하고 있다. 공정거래법에 저촉되는 국제계약의 체결을 제한하는 점에서는 정보통신망법 제54조의 규정과 같지만, 이 경우에도 公正去來委員會로 하여금 □부당한 공동행위, 불공정 거래행위 및 재판매가격 유지행위의 유형 및 기준을 정하여 告示할 수 있게□ 하고(공정거래법 32조2항), 국제계약을 체결한 사업자 또는 사업자단체는 그 위반 여부의 심사를 공정거래위원회에 요청할 수 있도록(동법 33조) 함으로써 그 실효성을 확보하고 있다.

) 공정거래위원회고시 제1997-23호 □국제계약상의 불공정거래행위 등의 유형 및 기준□ 참조.

) 공정거래법 제33조(國際契約의 審査要請) 사업자 또는 사업자단체는 國際契約을 체결함에 있어 당해 국제계약이 제32조(부당한 국제계약의 체결제한) 제1항의 규정에 위반하는지 여부에 관하여 大統領令이 정하는 바에 따라 公正去來委員會에 심사를 요청할 수 있다. 한편 국가 또는 지방자치단체가 당사자인 국제조달계약에 대하여는 국가를당사자로하는계약에관한법률 제29조, 지방재정법 제62조의2에 의하여 각각 설치된 국제계약분쟁조정위원회가 설치되어 이 문제를 심사·조정하게 된다.

정보통신망법 제54조의 경우는 어떠한가? 공정거래법 제32조와 같이 不特定 多數의 일반 사업자·사업자단체를 대상으로 하는 것이 아니라, 범위가 특정된 정보통신서비스제공자를 대상으로 한다는 점에서 이 조항은 行政規制法의 성격을 갖는다. 다시 말해서 이 법의 주무관청인 정보통신부장관이 일정 범위의 정보통신서비스제공자를 규제·감독할 수 있으므로 그 실효성이 있는 것이다.

본고는 법 제54조가 단순한 선언적 규정이 아니라는 전제 하에 논의를 계속하기로 한다. 그 위반효과에 대하여는 項을 바꿔 설명한다.

III. 國際契約 制限의 意味와 內容

1. 國際契約 制限의 의미

정보통신망법 제54조는 정보통신서비스제공자가 이용자의 개인정보에 관하여 정보통신망법의 규정을 위반하는 사항을 내용으로 하는 국제계약을 체결하여서는 아니된다고 규정하고 있다. 그러나 이 조항의 적용대상과 규제행위의 태양은 명시적으로 규정하고 있으나, 그 위반행위의 효과에 대해서는 언급이 없으므로 해석을 통하여 해결하는 수밖에 없다. 그 요건을 分說하면 다음과 같다.

2. 違反行爲의 당사자

가. 主 體

법 제54조의 적용을 받는 행위의 주체(contracting party)는 정보통신 서비스의 제공자이다.

실정법상 정보통신서비스제공자란 전기통신사업법 제2조 제1항 제1호의 규정에 의한 전기통신사업자, 영리를 목적으로 전기통신사업자의 전기통신역무(service)를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다(법 2조1항3호). 그런데 전기통신사업법에서 □전기통신사업자란 동법에 의한 허가를 받거나 등록 또는 신고를 하고 전기통신역무를 제공하는 자를 말한다□(동법 2조1호)고 규정하고 있다. 또 동법 제4조에서는 전기통신사업을 기간통신사업, 별정통신사업 및 부가통신사업으로 구분하고 있다.

) 외국에서는 인터넷 관련 사업자를 Telecommunications Operator, Internet Access Provider, Internet Service Provider, User 등으로 나누고 있다.

우리나라에서는 ①기간통신사업(전기통신회선설비를 설치하고, 이를 이용하여 공공의 이익과 국가산업에 미치는 영향, 서비스의 안정적 제공의 필요성 등을 참작하여 전신·전화역무 등 정보통신부령이 정하는 종류와 내용의 전기통신 서비스를 제공하는 사업), ②별정통신사업(기간통신사업의 허가를 받은 자의 전기통신회선설비 등을 이용하여 기간통신 서비스를 제공하는 사업 또는 정보통신부령이 정하는 구내에 전기통신설비를 설치하거나 이를 이용하여 그 구내에서 전기통신 서비스를 제공하는 사업), ③부가통신사업(기간통신사업자로부터 전기통신회선설비를 임차하여 기간통신 서비스 외의 전기통신 서비스를 제공하는 사업)으로 분류한다.

현실적으로 정보통신서비스제공자는 정보통신망법의 시행령 내지 시행규칙에서 그 범위가 구체적으로 정해지겠지만, 대략 살펴보아도 전화 서비스를 제공하는 사업자(설비보유 여부는 상관없음), 인터넷 등 데이터 통신을 제공하는 사업자, 그리고 정보통신망을 이용하여 營利를 목적으로 정보를 매개하는 자(전자우편 서비스 사업자)와 정보를 제공하는 자가 포함된다. 더욱이 법 제58조는 개인정보 보호에 관한 규정이 그밖에 인터넷 등을 통하여 재화·용역을 제공하는 자가 재화·용역을 받는 자의 개인정보를 수집·제공·이용하는 경우에도 준용된다고 하였으므로 개인정보의 보호 책무를 부담하는 사업자는 감독관청으로서 용이하게 통제할 수 없는 숫자에 이를 전망이다.

) 업종에 상관없이 영리를 목적으로 인터넷 상에서 홈페이지를 운영하면서 개인정보를 수집하는 사업자를 가리킨다. □공공기관의개인정보보호에관한법률□의 적용을 받는 공공기관은 여기서 제외되며, 상품판매, 서비스 제공, 人名簿의 발간, 광고(direct mail), 設問조사 등 업무상의 필요에 의하여 개인정보를 수집하는 사업자는 모두 이에 해당된다. 예컨대 금융기관, 백화점, 쇼핑몰, 의료기관, 스포츠클럽, 항공사, 여행사는 물론 인터넷 거래에 캐쉬백 또는 마일리지 서비스를 제공하는 사업자도 이에 포함된다. 그러나 그 범위가 거의 모든 인터넷 사업자에 미치는 만큼 행정감독의 방법이 문제되고 있다.

) 정보통신망법의 적용을 받는 □인터넷 등을 통하여 재화·용역을 제공하는 자□는 동 시행령으로 규정하게 되어 있다(법 58조). 前記 EU 개인정보보호지침에서는 그 적용대상인 개인정보를 처리하는 자(data controller)를 공공부문·민간부문을 막론하고 정보처리의 목적과 수단을 결정할 수 있는 자연인, 법인 또는 기관이라고 정의하고 있다(동지침 2조d).

나. 相對方

법 제54조가 적용되는 국제계약의 상대방(counterparty)은 外國의 정보통신서비스제공자 또는 그 이용자들이다.

이 규정은 개인정보가 적절한 수준의 보호장치 없이 외국으로 이전되는 것을 방지하기 위한 것이므로 계약의 상대방은 정보통신망법을 비롯한 韓國法의 적용을 받지 않는 外國에 소재하는 법인이나 자연인이며 현실적으로 존재하는지, 법인일 경우 적법하게 설립되어 존속하고 있는지 여부는 묻지 않는다. 상대방이 국경 밖에 존재하면 되는 것이고, 계약의 언어가 반드시 外國語일 것을 요하지 않는다.

3. 國際契約의 내용

가. 契約의 內容

법 제54조가 적용되는 국제계약은 이용자의 개인정보(privacy)에 관한 사항을 목적으로 하며 다음에 설명하는 違反行爲를 일부 요소 또는 내용으로 한다. 이 법에 의하면 個人情報란 생존하는 개인에 관한 정보로서 성명·주민등록번호 등에 의하여 당해 개인을 알아볼 수 있는 부호·문자·음성·음향 및 영상 등의 정보(당해 정보만으로는 특정 개인을 알아볼 수 없는 경우에도 다른 정보와 용이하게 결합하여 알아볼 수 있는 것 포함)를 말한다(법 2조1항6호).

그러므로 국제계약은 개인정보와 직접·간접으로 관련이 있는 것을 내용으로 하는 바, 그 내용은 묻지 않으나 이 법에서 문제삼는 것은 정보통신망법에서 금지하는 것을 목적 또는 내용으로 하는 국제계약이 될 것이다. 다만, 그 계약의 방식, 특히 準據法(governing law)이나 분쟁의 해결방법(dispute resolution)에 있어서는 아무런 제한이 없다.

) 정보통신서비스제공자가 개인정보의 보호를 침해하는 내용의 국제계약을 체결하면서 준거법을 外國法으로 하였더라도 이는 私法上 계약의 해석, 효력 등에 관하여 어느 법을 적용(choice of law)하느냐의 문제일 뿐 위반행위를 한 정보통신서비스제공자에 대하여는 당연히 이 법의 罰則이 적용된다. 분쟁해결방법을 訴訟(litigation)이 아닌 仲裁(arbitration)에 의하기로 합의한 경우에도 마찬가지이다. 그리고 대부분의 국제계약은 계약당사자로 하여금 당해 계약의 체결이 현지법상 違法하지 않음(legality)을 진술(representation)하도록 하고 이를 위반하는 것은 채무불이행 사유(events of default)의 하나로 규정하고 있다. 따라서 양 당사자가 위법성을 암묵적으로 인정하지 않는 한 위법한 계약을 체결함에 따른 계약금 몰취, 손해배상 청구의 가능성을 부담하게 된다.

나. 違反行爲의 態樣

개인정보의 보호에 관하여는 정보통신망법의 제4장, 즉 제22조 내지 제32조에서 유형별로 규정하고 있다. 그리고 개인정보의 보호를 침해하는 행위의 태양은 제9장의 罰則 조항 특히 제62조와 제67조에 상세히 규정되어 있다. 따라서 법 제54조가 적용되는 위반사항이란 법에 정한 요건을 흠결하였거나 違法性 내지 不法性을 띠는 행위를 말하며, 이를 계약의 요소로 하거나 내용으로 하는 국제계약은 체결하여서는 안된다는 것이다.

(1) 個人情報의 이용 및 제공 조건

정보통신서비스제공자가 개인정보를 제3자에게 제공하는 경우에 있어서 법이 정하는 요건을 알아보기로 하자. 다시 말해서 이러한 요건이나 조건을 하나라도 결하면 그것은 違法한 개인정보의 이용 또는 제3자 제공이 된다.

- 정보통신서비스 이용자의 同意(이용자가 만 14세 미만의 兒童인 경우에는 법 제31조의 규정에 의한 法定代理人의 동의 포함)를 얻어 개인정보를 수집할 것. 이 경우 개인정보관리책임자의 인적 사항을 밝히고, 개인정보의 수집·이용목적, 개인정보를 제공받는 제3자, 제공목적, 제공할 정보의 내용 등을 告知할 것(법 22조)

) 만 14세 미만의 어린이(刑法 제9조의 刑事未成年者와 동일)는 개인정보의 중요성에 대한 인식이 충분하지 않고 정보의 판단능력이 부족하므로 게임 등의 경품을 제공하는 사업자에게 자신은 물론 가족의 개인정보를 쉽게 제공할 가능성이 크다. 따라서 아동에 대한 개인정보 수집시에는 告知 또는 約款의 기술을 평이하게 하고 보호자의 동의를 의무화할 필요가 있는데, 주요국에서도 어린이로부터의 개인정보 수집에 대하여는 특별취급(예: 미국의 Children's Online Privacy Protection Act)하고 있다.

- 개인의 권리·이익 및 사생활을 현저하게 침해할 우려가 있는 개인정보의 수집은 이용자의 동의를 얻더라도 금지되며, 개인정보의 수집은 정보통신서비스의 제공을 위하여 필요한 최소한의 정보에 한함(법 23조)

- 고지(정보통신서비스이용약관)의 범위를 넘는 개인정보의 이용·제3자 제공은 요금정산에 필요한 경우, 또는 통계작성·학술연구·시장조사를 위하여 특정 개인을 알아볼 수 없는 형태로 가공한 경우, 법률상 특별규정이 있는 경우에 한함(24조1항)

- 정보통신서비스제공자로부터 개인정보를 제공받은 자는 당해 이용자의 동의, 법률상 특별규정이 없는 한 제공받은 목적을 위해서만 이용·제3자 제공할 것(24조2항)

- 정보통신서비스제공자가 타인에게 개인정보의 수집·취급·관리 등을 위탁하는 경우에는 미리 그 사실을 이용자에게 고지할 것(법 25조)

- 영업양도, 합병·상속 등으로 정보통신서비스제공자가 변경되는 경우에는 이용자에게 그 사실 및 양수인(승계인)과 개인정보관리책임자의 인적사항, 개인정보의 이용목적을 통지할 것(법 26조)

- 이용자의 개인정보 보호 및 이용자의 불만처리를 담당하는 개인정보관리책임자를 지정할 것(법 27조)

- 개인정보의 분실·도난·누출·변조·훼손을 방지하고 안전성을 확보하기 위한 기술적·관리적 조치를 강구할 것(법 28조)

- 개인정보의 수집목적, 제공받은 목적을 달성한 경우 또는 이용자가 동의를 철회한 경우에는 지체없이 이를 파기할 것(법 29조, 30조3항)

- 이용자로부터 개인정보의 오류의 정정 요구를 받은 경우에는 그 오류를 정정할 때까지 당해 개인정보의 제공 또는 이용이 금지됨(법 30조5항)

(2) 罰則이 적용되는 個人情報관련 행위

한편 정보통신망법은 제9장에서 개인정보의 보호를 침해하는 행위를 한 자를 징역 또는 벌금형에 처하는 등 刑事處罰하고 있다. 다시 말해서 다음의 행위는 형법상의 제재가 따르는 不法性을 띠는 것이다.

- 정당한 사유없이 고지(정보통신서비스이용약관)의 범위를 넘어 개인정보를 이용·제3자 제공하는 행위(법 62조1호)

- 개인정보를 제공받은 자가 제공받은 목적 외의 용도로 이용·제3자 제공하는 행위(법 62조2호)

그러나 다음의 행위를 한 자는 상기 위반행위에 비해서는 非難可能性이 크지 않으므로 行政罰에 속하는 과태료에 처해진다. 過怠料는 정보통신부장관이 부과·징수한다.

- 이용자의 동의를 얻지 않고 그의 개인정보를 수집하는 행위(법 67조1항3호)

- 개인정보의 수집·이용목적 등을 이용자에게 고지하지 않거나 정보통신서비스이용약관에 명시하지 않는 행위(법 67조1항4호)

- 정보통신서비스의 제공을 위하여 필요한 최소한의 범위를 벗어나 개인정보를 수집하거나 서비스의 제공을 거부하는 행위(법 67조1항5호)

- 타인에게 개인정보의 수집·취급·관리 등을 위탁한 사실을 이용자에게 고지하지 않는 행위(법 67조1항6호)

- 영업양도, 합병·상속 등의 사실 및 양수인(승계인)과 개인정보관리책임자의 인적사항, 개인정보의 이용목적을 통지하지 않는 행위(법 67조1항7호)

- 個人情報管理責任者를 지정하지 않는 행위(법 67조1항8호)

- 개인정보의 수집목적, 제공받은 목적을 달성한 경우 또는 이용자가 동의를 철회한 경우에 지체없이 이를 파기하지 않는 행위(법 67조1항9호)

- 이용자로부터 개인정보의 오류의 정정요구를 받은 경우에 필요한 조치를 취하지 않거나 그 오류를 정정하지 않고 이를 이용하는 행위(법 67조1항10호)

- 만 14세 미만의 兒童으로부터 그 법정대리인의 동의를 얻지 않고 개인정보를 수집하는 행위(법 67조1항11호)

4. 違反의 效果

가. 問題點

위에서 살펴본 바와 같이 법 제54조의 법적 성질이 宣言的인 규정이 아니라면 이를 위반한 행위는 어떻게 되는가? 만일 제54조가 效力規定이라면 그 위반행위는 당연히 無效이다. 그러나 행정상의 목적에 따른 團束規定이라면 이를 위반한 자에 대하여 행정상의 불이익과 형벌 등의 公法的인 制裁가 가하여지는 것은 논외로 하고, 그 계약의 私法上의 效力에는 영향을 미치지 않는다고 본다.

) 대법원은 外國換管理法(현 외국환거래법)과 관련된 사건에서 1975년 이래 일관되게 □외국환관리법은 團束法規로서 이에 위반하는 행위는 私法上의 효력에 영향이 없다□는 태도를 견지해 오고 있다(대법원 1975.4.22 전원합의체 판결 72다2161 참조). 그러나 국제거래에 관한 團束法規라고 해서 그 위반행위의 사법상 효력이 항상 인정되는 것은 아님을 유의해야 한다. 예를 들어 對外貿易法은 소규모의 中古어선이나 일정 규모 이상의 중고어선 중에서 船齡이 오래된 것은 輸入禁止品目으로 공고하여 국내 반입을 불허하고 있는데, 그 이유는 국내 조선업을 보호, 육성하고자 하는 국가정책적인 목적 때문이다. 대법원은 □국가가 자국의 산업을 보호하기 위하여 법령으로 어떤 물품의 수입을 금지하고 있을 경우 국민이 그 규정을 준수하여야 할 公益的인 요청의 강도는 매우 크다고 할 것이며, 만약 위와 같은 수입금지 규정에도 불구하고 脫法的인 방법으로 물품을 수입하는 행위에 대하여 그 사법상의 효력을 인정하고 국가권력이 그 이행을 강제한다면 국가의 경제질서와 공공질서가 문란되는 중대한 결과가 발생할 것이다□고 하여 그 효력을 부인하고 있다(대법원 1994.12.13 선고 94다31617 판결).

따라서 법 제54조를 위반하여 국제계약을 체결한 자에 대하여 어떠한 제재가 가해지느냐는 별론으로 하고 그 계약이 私法上으로 유효하냐, 무효가 되느냐의 문제는 법 제54조의 규정이 公益의 필요성, 일반인의 法意識, 당해 행위를 무효로 하였을 때의 거래의 안전, 당사자간의 信義와 公平 등의 기준에 입각하여 종합적으로 판단하여야 할 것이다. 다시 말해서 법 제54조는 정보통신서비스제공자의 不作爲의무를 규정하고 있지만, 이러한 부작위의무를 위반한 계약의 유·무효 판단은 그리 단순하지가 않고 또 국제적으로 이루어지는 만큼 법적 다툼이 벌어질 공산이 크다. 만일 무효라고 하는 경우에는 계약의 對價를 반환할 때 이를 不當利得으로 보느냐, 아니면 不法原因給與로 보느냐의 문제가 따르게 된다.

나. 公序良俗·團束規定 위반의 효과

개인정보를 보호하는 것이 民法 제103조의 □선량한 풍속 기타 사회질서□ 내지 公序良俗(public policy)의 차원에 속한다면 이를 위반한 행위는 당연히 무효가 된다. 民法 제103조는 구체적인 경우에 裁判을 통하여 구체화되는 一般條項으로서 개개의 법률행위가 法의 이상 내지 이념에 비추어 시인되는지 여부의 판정은 공동사회인 국가·사회의 秩序意識에 의하여 실현되는 것이다. 지금까지 判例에 나타난 사회질서 위반의 구체적 내용은 다음과 같이 나누어 볼 수 있다.

) 곽윤직, □民法總則□, 박영사, 1990, 369면.

) 상게서 370∼376면; 김준호, □民法總則-理論과 事例□, 법문사, 1999, 330∼333면.

① 법률행위의 중심목적이 人倫에 반하는 행위(예: 妾계약)

② 正義觀念에 반하는 행위(예: 밀수자금의 대여 또는 출자약정, 賣淫을 목적으로 하는 계약)

③ 金錢的 對價와 결합함으로써 반사회성을 갖는 행위(예: 명예훼손을 하지 않는 조건으로 금전을 주는 계약)

④ 개인의 자유를 심하게 제한하는 행위(예: 競業을 하지 않기로 하는 계약, 過多한 違約金을 지급하게 하는 계약)

⑤ 생존의 기초가 되는 재산의 처분행위(예: 장차 취득할 전재산을 양도하기로 하는 계약)

⑥ 지나치게 射倖的인 행위(예: 도박자금의 대여 계약)

이러한 사회질서 위반의 모습은 다시 법률행위의 내용 자체가 사회질서에 위반되는 경우와 법률행위의 내용 자체는 반사회성이 없지만 다른 사정이 결부됨으로써 반사회성을 띠는 경우로 나누어 볼 수 있다. 이를테면 자유로워야 할 법률행위를 법적으로 강제하는 경우(예: 부당한 위약금을 지급하게 하는 계약), 법률행위에 條件을 붙이거나 금전적 이익과 관련됨으로써 반사회성을 띠는 경우(예: 특정인을 살해할 것을 條件으로 하여 돈을 주는 계약, 殺人을 포기하는 것을 조건으로 하여 돈을 주는 계약), 표시되거나 상대방에게 알려진 법률행위의 動機가 不法인 경우(예: 도박을 하기 위해 돈을 빌리는 계약)를 예로 들 수 있다.

) 대법원 1984.12.11. 선고 84다카1402 판결.

오늘날 인터넷 등의 정보통신망에서 개인정보를 적절히 보호하지 않는 거래는 反社會性이 고조되고 있는 것이 사실이다. 이는 정보통신기술이 발달함에 따라 단순한 개인정보라 해도 이것을 가공하기에 따라서는 프라이버시를 침해하거나 엄청난 경제적 이해관계에 영향을 미치기 때문에 더욱 그러하며, 사생활 침해행위가 不法이고 犯罪性을 띤 경우는 이미 刑法 등 형사법규에 의하여 제재가 가해지고 있다.

) 어떤 주부가 슈퍼 마켓에서 물건을 구입하고 대금을 신용카드로 결제한 경우 구입한 제품의 종류와 상표, 수량, 구매총액, 신용카드 이용실적, 현금구매 또는 할부이용상황 등의 개인정보가 고스란히 드러나게 된다(앨빈 토플러 저/이규행 역, □권력이동□, 한국경제신문사, 137면 이하). 만일 신용카드 회사가 이러한 개인정보를 데이터베이스화하여 한국에 진출하려는 외국의 유통업자에게 판매하는 경우 이는 특정 개인을 알아볼 수 없게 통계처리한 개인정보(법 24조1항2호)로서 反社會性을 띠지 않는다고 본다. 그러나 만일 신용카드 회사가 회원으로부터 동의를 받은 범위를 벗어나 누구에게 제공하는지 알리지도 않고 회원의 전화번호를 포함한 개인정보를 외국의 텔레마케팅 회사에 제공하는 계약을 체결하였다면 이는 당해 회원이 외국 업체로부터 원치 않는 판매권유 전화를 받을 수 있는 사생활 침해행위가 되어 정보통신망법상으로도 형사처벌되는 행위(법 62조1호)에 해당한다. 물론 인기가수의 은밀한 사생활을 수록한 동영상 CD를 외국인에게 인터넷상으로 매매하는 것은 그 자체가 형법 제243조 및 244조의 淫畵製造·頒布罪를 구성한다(법 65조1항2호에도 해당되는 競合犯임).

따라서 개인정보의 이용·제3자 제공행위가 현저히 反社會性을 띠고 형사처벌되는 경우(법 62조1호 및 2호 기타 刑罰法規가 적용되는 경우가 단적인 예임)에는 그러한 계약은 無效로 보아야 할 것이다. 그러나 개인정보를 이용 또는 제3자 제공하는 것만으로는 일반인의 法意識에 비추어 반사회성이 희박한 경우에는 정보통신망법을 근거로 당해 계약을 무효로 하여서는 법률관계가 매우 복잡해지므로 신중을 기해야 한다. 궁극적으로 구체적인 사안에 있어서 법원의 판단을 기다려야 하겠지만, 개인정보의 내용, 개인정보를 보호하는 공익상의 필요를 판단하여 그것이 反社會性을 띠지 않는다면 이를 이용·제3자 제공하는 거래는 私法上 당연히 무효는 아니라고 생각된다. 물론 후술하는 바와 같이 계약위반을 이유로 이를 해제하는 것은 별개의 문제이다. 이 점은 전술한 공정거래법에 위반한 불공정한 국제계약이 동법 제34조에 따라 公權力에 의하여 계약의 취소, 계약내용의 수정·변경 기타 是正措置의 명령을 받거나 동법 제34조의2에 의한 過徵金이 부과되는 것과 다르다.

) 어떠한 법률행위가 범죄행위에 해당한다고 하여 모두 反社會的인 것은 아니다. 판례를 보면, 상속세를 면탈할 목적으로 名義信託登記를 하는 경우, 주택건설을 목적으로 주식회사를 설립하여 여기에 출자하는 형식을 취하면 양도소득세가 부과되지 않을 것이라고 매수인이 제의하여 매도인이 이를 믿고 그러한 형식의 매매계약을 체결한 경우에는 반사회적 법률행위가 아니다. 김준호, 전게서, 330∼331면.

) 정보통신망법에 의하면 이용자의 동의를 얻지 않고 개인정보를 수집하는 것은 過怠料에 처하게 되는 바(동법 67조1항3호), 대부분의 정보통신서비스제공자는 이용자가 이에 동의하지 않는 한 더 이상의 서비스 제공을 거부하는 것이 보통이다. 따라서 이용자가 당해 서비스를 이용하려면 동의를 하지 않을 수 없으며 이는 당사자가 처분할 수 있는 保護法益임을 의미한다.

따라서 개인정보에 관한 국제계약이 반사회성을 띤다면 그것은 不法原因給與가 되어 계약대금의 반환을 청구할 수 없고(민법 746조), 단지 정보통신망법의 위반을 이유로 해제되었다면 不當利得으로 이를 반환해야 할 것이다(민법 741조).

) 대법원은 민법 제746조 소정의 不法의 原因이라 함은 재산을 급여한 원인이 선량한 풍속 기타 사회질서에 위반하는 경우를 가리키는 것이라고 판시하고 있다(대법원 1994.4.15. 선고 93다61307 판결, 1992.12.11. 선고 92다33169 판결, 1988.11.22. 선고 88다카7306 판결 등 다수). 개인정보 보호를 침해하는 국제계약을 체결하고 대금을 지불한 경우에 그 반환청구를 허용할 것인지의 여부는, 반환청구 자체를 부정할 정도로 정보통신망법 등 관련법규에 의한 禁止의 요청이 강하고 당사자의 不法性에 대한 비난가능성이 크다고 볼 수 있는지 여부와 그 반환청구를 허용하지 않음으로써 초래되는 당사자간의 불공정의 정도 등을 대비하여 개별적인 사안별로 판단할 수밖에 없을 것이다. 金永泰, 대법원판례해설 22號(94년 하반기), 법원행정처, 1995, 33면 참조.

다. 契約上의 債務不履行 여부

개인정보에 관한 국제계약이 정상적으로(in due course of business) 체결되는 경우에는 계약의 내용이 법률에 저촉되지 않음을 전제로 한다. 특히 영문계약의 경우에는 당사자로 하여금 당해 계약의 체결이 법률상 저촉되지 않음을 陳述(representation)하게 하고 이를 법률고문이 확인하는 법률의견서(legal opinion)를 제출토록 하는 것이 보통이다.

) 일반적으로 영미법을 준거법으로 하는 계약서의 適法性(legality) 진술 조항에서는 법률, 시행령, 규칙은 물론 널리 정부기관의 내부지침에도 반하지 않을 것을 요구하는 경우가 많다.

)  통상 다음과 같은 문언을 포함한다. □The execution and delivery by the Company of, and the performance by the Company of, its obligations under the Agreement will not (i) contravene any existing applicable law, statute, decree, rule or regulation of Korea or any Korean governmental or other agency, authority or body or (ii) contravene or conflict with any provision of its Articles of Incorporation of the Company.□

나아가 후술하는 바와 같이 정보통신서비스제공자가 자신의 인터넷 웹사이트에 개인정보 보호를 침해하지 않을 것임을 □프라이버시 정책(privacy policy)□ 형태로 게시한다면 이를 위반하는 계약 체결은 고의 또는 중대한 과실로 허위진술을 하고, 禁反言(estoppel by representation)을 한 것이 되어 손해배상사유(법 32조)가 되는 동시에 채무불이행사유(events of default)로서 계약이 해제(termination)되는 결과를 초래한다.

그러므로 정상적인 경우에는 民法 제105조에 의한 强行規定, 任意規定의 구분을 떠나 정보통신망법을 비롯한 현행법령에 저촉되는 내용의 국제계약 체결은 사실상 불가능하다고 볼 수 있다. 그렇지 않고 계약당사자들이 법령에 위배됨을 알면서 서로 통모하여 사생활을 침해하는 거래를 하였다면 법적으로 하등 보호할 필요가 없을 것이다.

IV. 효과적인 施行方案

1. 전통적인 監督方法

정보통신망법은 제54조를 시행함에 있어서 이를 위반하여 국제계약을 체결한 정보통신서비스제공자를 적발하고 당해 계약의 효력을 상실시키기보다는 정보통신부장관(이하 □행정관청□이라 함)이 정보통신서비스제공자를 적절히 감독하는 방식으로 운영할 것을 예정하고 있다.

그것은 정보통신서비스제공자가 법률상 인·허가, 등록, 신고를 요하는 경우(전기통신사업법 5조, 19조, 21조 등)에는 이를 통하여, 아니면 업종별로 정보제공서비스제공자단체를 지원(법 3조3항, 41조2항)하는 형태로 감독할 수 있다. 후자의 경우 해당 사업자단체는 自律規制機關(self-regulatory organization: SRO)이 되어 행정관청은 그 소속 회원사에 대하여 간접적으로 감독권을 행사할 수 있다. 이번에 개정된 정보통신망법에서는 정보통신서비스제공자와 정보통신망과 관련된 사업체가 정부(정보통신부장관)의 인가를 받아 사단법인 □한국정보통신산업협회□(現 정보통신진흥협회)를 설립할 수 있게 하고 있다(법 59조). 그리고 행정관청은 정보통신서비스제공자단체의 서비스 이용약관에 대해서도 公正性 및 個人情報保護의 관점에서 사전적 또는 사후적으로 통제할 수 있다(전기통신사업법 29조 참조).

또한 행정관청은 국내의 산업·경제 및 과학기술 등에 관한 중요 정보가 정보통신망을 통하여 국외로 유출되는 것을 방지하기 위하여 정보통신제공자에 대하여 필요한 조치를 취할 수 있으므로(법 51조) 국제계약의 체결에도 어느 정도 관여할 여지가 있다고 본다.

2. 自律的인 法規遵守

개인정보의 보호는 무엇보다도 정보통신서비스제공자가 서비스 이용자에게 그 내용을 고지하여 본인의 동의를 얻는 것이 중요하므로 처음부터 행정관청이 개입할 필요는 없을 것이다. 그러므로 행정관청이 監督權을 발동하기 전에 서비스 이용자가 먼저 개인정보의 중요성을 인식하고 스스로 보호받을 수 있는 사항을 잘 알 수 있게 하여야 한다. 이 점은 Y2K(컴퓨터의 2000년 인식오류) 對策과 마찬가지로 정보통신서비스제공자가 그의 이용자에게 널리 알리는 작업부터 시작하는 것이 좋을 것이다.

) 미국에서는 1998년 10월 □Y2K 정보준비 및 공개법□(Year 2000 Information Readiness and Disclosure Act; 일명 Y2K IRDA)을 공포하여, 개별 기업으로 하여금 인터넷 웹사이트를 통해 Y2K 준비상황 및 문제점을 공개하도록 하고 중대한 사실의 변동이 있는 경우에는 증권거래위원회(SEC)에 그 변동사실을 신고하게 하였다. 각 기업이 Y2K 문제에 관하여 공표하는 것(Y2K Statements)은, 특히 정부 조달계약에 있어서 중요한 의미를 지니는데, 계약서 또는 보증서의 변경으로 보아 부정확하거나 오류가 있는 정보제공으로 지게 될 손해배상 책임을 제한하는 효과를 인정하였다.

정보통신부는 2000년 6월 1일부터 □개인정보보호지침□을 시행하고 있거니와 정보통신망법에서는 정보통신서비스제공자로 하여금 個人情報管理責任者를 지정(법 27조1항)하고 그를 통하여 自律的으로 개인정보를 보호하는 한편 이용자의 불만을 처리하도록 하고 있다. 이와 관련하여 日本에서도 사업자단체가 회원사의 사업 실정에 맞는 사업지침서를 작성할 때 그에 적합한 개인정보 보호의 實踐遵守綱領을 정하도록 지원하고 있음을 참고할 필요가 있다. 다시 말해서 정보통신망법 제54조의 시행에 있어서 행정관청은 개인정보관리책임자에 대한 감독 및 개인정보관리책임자에 의한 자율적인 실천강령의 준수감시를 통하여 효과적으로 통제할 수 있을 것으로 생각된다.

) 이미 많은 정보통신서비스제공자들이 프라이버시 보호에 대한 이용자들의 신뢰를 제고하기 위해 Y2K 문제에 대처할 때처럼 자신의 웹사이트 초화면에 개인정보 보호정책(privacy policy)을 천명하고 개인정보에 관한 불만을 처리하는 담당자와 연락방법을 게재하고 있다. 외국의 주요 기업에서는 개인정보 보호 전담임원(chief privacy officer: CPO)을 두고 있다. 이것은 새로 개정된 銀行法이 은행들로 하여금 임·직원이 업무를 수행할 때 法令의 준수, 건전한 자산운영, 예금자 보호를 위하여 따라야 할 內部統制基準(internal control standards)을 정하도록 하고(은행법 23조의3 1항), 이의 준수 여부를 점검하면서 위반시 이를 조사하여 理事會 직속의 감사위원회에 보고하는 遵法監視人(compliance officer)을 1인 이상 두게 한 것(동법 23조의3 2항)에 비견할 수 있다.

) 1997년 3월 日本 通産省이 제정한 □민간부문의 컴퓨터 처리와 관련된 개인정보 보호에 관한 가이드라인□에 의하면 민간기업이 취급하는 개인정보의 적절한 보호를 위하여 각 사업자단체가 회원사의 사업실정에 맞는 업종별 지침서를 만들 때, 그 지침이 되는 항목을 정함으로써 민간기업이 그 활동에 적합한 개인정보 보호의 實踐遵守綱領(compliance program)을 정하는 것을 지원, 촉진하고 있다(1조). 또한 가이드라인의 내용을 이해하고 실천할 능력이 있는 사람을 내부에서 1명 이상 지명하여, 개인정보관리자로서 지명하게 하고(22조), 개인정보관리자는 가이드라인에서 정한 사항을 솔선하여 이해, 준수함과 동시에 종사자들에게 이를 이해시키고 준수하게 하기 위한 교육훈련과 내규정비, 안전대책 실시, 실천준수계획의 작성 및 점검 등의 책임을 지도록 하고 있다(23조).

요컨대 정보통신서비스제공자가 의무적으로 1인 이상 두게 되어 있는 개인정보관리책임자(법 27조1항)는 개인정보의 보호와 이용자의 불만처리를 담당하면서 행정관청과 有機的인 관계를 맺고 긴밀히 협력할 것이 요청되며, 개인정보 취급을 외부에 위탁하는 경우에도 위탁할 기관의 관리능력을 사전에 확인하고 개인정보 보호에 적합한 기술적인 조치를 취할 책임을 진다.

3. 結 論

이상을 토대로 정보통신부가 정보통신망법 제54조와 관련하여 취할 수 있는 감독방법을 정리하면 별표와 같다.

우선 事前的으로는 정부의 지원을 받는 사업자단체에 대하여 국제계약 체결시의 유의점을 가이드라인으로 시달하거나(일반적인 사항을 다룬 □개인정보보호지침□은 이미 시행 중임), 사업자단체에서 자체적으로 마련한 實踐綱領(code of conduct)을 심사하여 이를 승인하는 방법이 있다. 서비스 이용약관에 대한 인가권을 갖는 경우에는 이를 활용하여도 될 것이다.

) EU에서는 각종 사업자단체들이 업종별 특성을 반영한 實踐綱領을 마련하는 것을 적극 권장하고 있다. 현재 다이렉트 마케팅과 항공운송협회에서 실천강령을 제정하였다. EU는 이들 실천강령이 개인정보보호지침과 부합되는지, 域內에서 일반적으로 통용될 수 있는지 심사하기 위하여 EU의 독립된 諮問機構(EU 개인정보보호지침 29조)인 Working Party에 그 심사를 위탁하고 있다. EU 개인정보보호 작업반 1998년 연차보고서 참조. <http://europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/wp35 en.pdf> 우리나라에서 EU □개인정보보호 작업반□과 같이 독립된 연구·자문기능을 수행할 수 있는 기관으로는 법 제52조에 의하여 설립되는 □한국정보보호진흥원□(現 한국정보보호센터, 법 부칙 2조)이 이에 해당할 것이다.

事後的으로는 프라이버시를 침해하는 국제계약이 계약위반 등을 이유로 종결되도록 유도하면 된다. □작은 정부□(slim government)의 시대에는 각종 政策指導와 사회분위기 조성을 통하여 사업자단체들이 自律的으로 개인정보 보호를 침해하는 국제계약을 하지 않도록 권장하는 것이 바람직하다. 어느 경우나 정보통신망법의 시행령이나 시행규칙 등의 行政立法이 필요한 사항은 아니라고 본다.

) 최근 들어 言論에서 개인정보 보호의 중요성을 집중적으로 보도하면서 □함께 하는 시민행동□ 등의 市民團體에서는 개인정보 침해 고발 사이트인 □프라이버시 보호 캠페인□(www.privacy.or.kr)을 개설하여 인터넷 이용자들의 피해신고를 접수하고 해당 업체 및 관계당국에 시정을 촉구하고 있다.

<표>

정보통신망법 제54조의 시행방안

구 분	감독 방법	비 고
事前的	- 정보통신서비스제공자단체/한국정보통신산업협회에 대한 감독 가이드라인의 제정 - 서비스 利用約款의 인가	·정보통신서비스제공자의 인·허가 기준 ·개인정보관리책임자의 자격요건·책무 규정 ·개인정보 보호규정 違反行爲의 예시 ·전기통신사업법 등 관련법의 근거
事後的	- 自體的으로 是正	·계약관계가 종결되도록 유도
自律的	- 정보통신서비스제공자단체의 구성 및 자율규제 지원 - 프라이버시 정책의 지도 - 개인정보관리책임자의 활동	·自律規制機關(SRO)의 역할 기대 ·서비스제공자의 인터넷 웹사이트에 게시