공정거래위원회가 지난달 전자상거래법 전면개정안을 입법예고했다. 소위 ‘당근마켓 법’으로 화두가 된 법안이다. 이 중 개정안 제29조가 논란이 되고 있다. 소비자 보호와 개인정보보호가 상충한다는 점에서다.
제29조는 당근마켓 같은 개인간(C2C) 플랫폼에서 거래 시 분쟁이 발생하면 판매자의 신원정보를 구매자에게 제공해야 한다는 내용을 담고 있다.
쟁점은 크게 2가지다. 우선 개인판매자의 신원정보 확인의무가 개인정보보호법 제3조 제1항, 제15조, 제16조 등에서 정하는 '개인정보 최소수집의 원칙'을 위반하는지 여부다. 둘째는 개인 간 분쟁 발생시 온라인 플랫폼의 개인판매자 신원정보 제공의무가 개인정보보호법 제17조, 제18조, 제19조 등에서 정하는 '개인정보 제3자 제공에 관한 기본 원칙'을 위반하는지 여부다.
'개인정보 최소수집의 원칙'을 살펴보면 전자상거래법 개정 내용은 개인정보보호법에 위배된다. 개정안에서 요구한 개인판매자의 성명·주소·전화번호는 개인간(C2C) 거래를 위해 반드시 필요한 최소한의 정보가 아니다. 온라인 개인정보처리 가이드라인에 따르면 개인의 신원정보는 서비스의 본질적 기능 수행을 위해 반드시 필요한 영역만을 수집해야 한다. 전자상거래법 개정안은 개인정보 최소수집의 원칙에 정면으로 위반한다고 볼 수 있다.
또 C2C 거래는 그 본질상 개인과 개인, 사적 당사자 사이의 거래행위다. 때문에 중개자인 플랫폼이 거래 당사자의 개인정보를 직접 수집 및 보유하는 것 자체도 현행법 상 적절치 않다.
개인정보보호 법령 및 지침 고지 해설서에 의하면 개인정보를 필요 이상으로 수집 및 저장할 경우 개인정보가 유출될 위험이 있고 개인정보 처리자에 의해 남용될 우려가 높다. 따라서 설사 동의를 받은 정보라 하더라도 정보주체의 동의를 의무화하거나 강요해서는 안 된다고 고지하고 있다.
분쟁 발생시 판매자의 개인정보를 제공해 소비자의 피해구제를 용이하게 한다는 목적으로 판매자의 개인정보를 사전에 수집하는 행위 또한 목적의 정당성 및 법익의 균형성을 위반한 위헌적 규제에 해당한다. 분쟁 해결의 용이성이라는 목적을 위해 거래에 직접 관련이 없는 개인정보 수집을 의무화 하는 것 자체가 목적의 정당성을 위배하기 때문이다.
전자상거래법 개정안은 '개인정보 제3자 제공에 관한 기본 원칙'에 있어서도 규정에 어긋난다. 개인정보보호법에서는 어떠한 제한, 어떠한 경우라 하더라도 개인정보를 제3자에게 제공하는 것을 허용하는 광범위한 입법재량을 인정하지 않는다. 개인정보 제3자 제공은 불가피성을 갖췄을때 가능하나, 분쟁해결의 협조가 개인정보보호법이 규정하는 불가피한 경우 또는 유사한 수준의 불가피성을 갖췄다고 보기 어렵다는 해석이다.
특히, 개인정보 제공 이외의 다른 수단이 존재할 경우 제3자 제공의 기본원칙을 해치는 것은 더욱 경계해야 한다. 현재 소비자 분쟁조정의 경우 분쟁조정제도가 마련돼 있고 이를 통해 조정절차에 따른 협조가 이루어지고 있는 만큼 분쟁 당사자에게 판매자의 개인정보를 직접 제공해야 할 불가피한 사정이 있다고 볼 수 없다. 즉 판매자의 개인정보를 제공하는 것이 소비자 보호를 위한 불가피한 비대체적 수단이라고 볼 수 없기에 전자상거래법 제29조의 논리는 설득력이 떨어진다.
뿐만 아니다. 판매자의 개인정보 제공은 법적 제도와 절차에 따라 분쟁을 해결하기 보다 오히려 사적 감정으로 갈등을 조장할 수 있다. 따라서 대다수의 선량한 판매자를 위험에 노출시키는 것은 개인정보자기결정권과 사생활의 비밀보장이라는 헌법 이념을 정면으로 위배하는 것으로 볼 수 있다. 더욱이 개인이 얻게 된 판매자의 개인정보를 정당한 목적 내에서만 사용하는지 통제할 방법이 없어 판매자의 개인정보자기결정권을 심각하게 침해할 우려가 있다는 분석이다.
결론적으로 법안 제29조 제1항은 헌법과 개인정보보호법에 상충되는 위헌적 규제에 해당하기 때문에 전면 삭제가 필요하다. 국민의 소중한 개인정보보호를 위해 지금이라도 재고를 늦추지 않아야 할 것이다.
헌법과 개인정보보호법에 위배된 'C2C 법'
공정거래위원회가 지난달 전자상거래법 전면개정안을 입법예고했다. 소위 ‘당근마켓 법’으로 화두가 된 법안이다. 이 중 개정안 제29조가 논란이 되고 있다. 소비자 보호와 개인정보보호가 상충한다는 점에서다.
제29조는 당근마켓 같은 개인간(C2C) 플랫폼에서 거래 시 분쟁이 발생하면 판매자의 신원정보를 구매자에게 제공해야 한다는 내용을 담고 있다.
쟁점은 크게 2가지다. 우선 개인판매자의 신원정보 확인의무가 개인정보보호법 제3조 제1항, 제15조, 제16조 등에서 정하는 '개인정보 최소수집의 원칙'을 위반하는지 여부다. 둘째는 개인 간 분쟁 발생시 온라인 플랫폼의 개인판매자 신원정보 제공의무가 개인정보보호법 제17조, 제18조, 제19조 등에서 정하는 '개인정보 제3자 제공에 관한 기본 원칙'을 위반하는지 여부다.
'개인정보 최소수집의 원칙'을 살펴보면 전자상거래법 개정 내용은 개인정보보호법에 위배된다. 개정안에서 요구한 개인판매자의 성명·주소·전화번호는 개인간(C2C) 거래를 위해 반드시 필요한 최소한의 정보가 아니다. 온라인 개인정보처리 가이드라인에 따르면 개인의 신원정보는 서비스의 본질적 기능 수행을 위해 반드시 필요한 영역만을 수집해야 한다. 전자상거래법 개정안은 개인정보 최소수집의 원칙에 정면으로 위반한다고 볼 수 있다.
또 C2C 거래는 그 본질상 개인과 개인, 사적 당사자 사이의 거래행위다. 때문에 중개자인 플랫폼이 거래 당사자의 개인정보를 직접 수집 및 보유하는 것 자체도 현행법 상 적절치 않다.
개인정보보호 법령 및 지침 고지 해설서에 의하면 개인정보를 필요 이상으로 수집 및 저장할 경우 개인정보가 유출될 위험이 있고 개인정보 처리자에 의해 남용될 우려가 높다. 따라서 설사 동의를 받은 정보라 하더라도 정보주체의 동의를 의무화하거나 강요해서는 안 된다고 고지하고 있다.
분쟁 발생시 판매자의 개인정보를 제공해 소비자의 피해구제를 용이하게 한다는 목적으로 판매자의 개인정보를 사전에 수집하는 행위 또한 목적의 정당성 및 법익의 균형성을 위반한 위헌적 규제에 해당한다. 분쟁 해결의 용이성이라는 목적을 위해 거래에 직접 관련이 없는 개인정보 수집을 의무화 하는 것 자체가 목적의 정당성을 위배하기 때문이다.
전자상거래법 개정안은 '개인정보 제3자 제공에 관한 기본 원칙'에 있어서도 규정에 어긋난다. 개인정보보호법에서는 어떠한 제한, 어떠한 경우라 하더라도 개인정보를 제3자에게 제공하는 것을 허용하는 광범위한 입법재량을 인정하지 않는다. 개인정보 제3자 제공은 불가피성을 갖췄을때 가능하나, 분쟁해결의 협조가 개인정보보호법이 규정하는 불가피한 경우 또는 유사한 수준의 불가피성을 갖췄다고 보기 어렵다는 해석이다.
특히, 개인정보 제공 이외의 다른 수단이 존재할 경우 제3자 제공의 기본원칙을 해치는 것은 더욱 경계해야 한다. 현재 소비자 분쟁조정의 경우 분쟁조정제도가 마련돼 있고 이를 통해 조정절차에 따른 협조가 이루어지고 있는 만큼 분쟁 당사자에게 판매자의 개인정보를 직접 제공해야 할 불가피한 사정이 있다고 볼 수 없다. 즉 판매자의 개인정보를 제공하는 것이 소비자 보호를 위한 불가피한 비대체적 수단이라고 볼 수 없기에 전자상거래법 제29조의 논리는 설득력이 떨어진다.
뿐만 아니다. 판매자의 개인정보 제공은 법적 제도와 절차에 따라 분쟁을 해결하기 보다 오히려 사적 감정으로 갈등을 조장할 수 있다. 따라서 대다수의 선량한 판매자를 위험에 노출시키는 것은 개인정보자기결정권과 사생활의 비밀보장이라는 헌법 이념을 정면으로 위배하는 것으로 볼 수 있다. 더욱이 개인이 얻게 된 판매자의 개인정보를 정당한 목적 내에서만 사용하는지 통제할 방법이 없어 판매자의 개인정보자기결정권을 심각하게 침해할 우려가 있다는 분석이다.
결론적으로 법안 제29조 제1항은 헌법과 개인정보보호법에 상충되는 위헌적 규제에 해당하기 때문에 전면 삭제가 필요하다. 국민의 소중한 개인정보보호를 위해 지금이라도 재고를 늦추지 않아야 할 것이다.
※ 외부필자의 원고는 IT조선의 편집방향과 일치하지 않을 수 있습니다.
김민호 (성균관대 법학전문대학원 교수)
출처- it조선 2021. 4.13[칼럼]
<원문>http://it.chosun.com/site/data/html_dir/2021/04/13/2021041301585.html