쇼핑몰 이용자의 개인정보를 유출해 18억 원대의 과징금을 부과한 처분이 취소됐다. /더팩트 DB

[더팩트ㅣ정채영 기자] 쇼핑몰 이용자의 개인정보를 유출한 위메프에 18억 원대의 과징금을 물린 처분이 취소됐다.

대법원 3부(주심 안철상 대법관)는 12일 위메프가 개인정보보호위원회를 상대로 낸 시정명령 등 저분 취소 소송 상고심에서 과징금 부과처분을 취소하라고 판결한 원심을 확정했다.

위메프는 2018년 11월 1일 특정 항목의 상품을 10만 원 이상 구매하는 고객에게 50% 적립이용권을 배포하는 '블랙프라이스데이' 이벤트를 열었다. 당시 위메프는 PC용 웹사이트와 모바일용 웹사이트에 각각 이벤트 페이지를 만들고 각 페이지에 캐시 정책을 별도로 적용했다.

위메프는 모바일 웹을 통해 접속 가능한 이벤트 페이지에 적용되는 캐시를 잘못 설정했고, 해당 페이지를 접속한 이용자 20명의 개인정보가 다른 이용자 29명에게 노출됐다.

개인정보보호위는 위메프가 쇼핑몰 이용자의 개인정보를 유출했다는 이유로 정보통신망법 제28조 등을 적용해 18억5200만 원의 과징금 부과처분을 내렸다. 산정 기준은 '위반행위와 관련된 직전 3개 사업연도의 연평균 매출액'이었다.

위메프는 부가 처분취소소송을 제기했고 1·2심은 위반행위에 비해 과징금이 지나치다며 위메프의 손을 들어줬다.

1심 재판부는 "이벤트 매출액이 아닌 쇼핑몰 전체의 연매출액을 기준으로 해 과징금의 액수를 산정하는 것은 과도하다"며 "피해의 규모에 비해 과중하다"고 판단했다.

2심 재판부는 "위메프의 위반행위로 직접 또는 간접적으로 영향을 받는 서비스의 매출액은 쇼핑몰 전체의 연매출액이 아닌 이벤트 매출액으로 한정돼야 한다"며 개인정보위의 항소를 기각했다.

대법원은 원심 판결에 법리 오해가 있지만, 과징금 부과를 취소하라고 한 결론은 타당하다고 판단했다.

대법원은 "개인정보는 쇼핑몰 서비스의 전체적인 운영을 위해 수집·관리되는 정보로 이 사건 이벤트 페이지에서 제공하는 서비스만을 위한 목적으로 수집·관리된 정보가 아니다"라며 2심의 과징금 부과 기준과 판단을 달리 판단했다.

다만 "이 사건 과징금액은 제재적 성격이 지나치게 강조돼 위반행위의 위법성의 정도에 비해 과중하게 산정됐다"고 설명했다.

대법원은 "개인정보 유출사고 과징금 부과 처분에서 과징금 산정의 기준이 되는 관련 매출액의 범위, 과징금의 액수를 산정할 때 고려해야 할 요소를 최초로 명시한 것에 의의가 있다"고 밝혔다.

chaezero@tf.co.kr