의 잊혀질 권리EC J 의

국내법 적용

법무법인 민후 김경환 변호사

목 차

판결 이후 구글의 조치ECJ○쟁점 검색엔진이 개인정보 취급인지 여부1 :○쟁점 구글이 정보통신서비스제공자인지 여부2 :○쟁점 구글에 대한 한국법 적용 여부3 :○쟁점 검색엔진 운영자의 책임 범위4 :○쟁점 잊혀질 권리 적용 여부5 :○

판결 이후 구글의 조치ECJ

잊혀질 권리 제공 시작‘ ’ Webform (2014. 5. 30.)○

구글의 잊혀질 권리의 실현 내용○대상국 개국 아이슬랜드 리텐슈타인 노르웨이 스위스- : EU 28 + , , ,대상 개인 및 그 대리인만 가능- :소명 대상 를 거론하고 삭제 이유- : URL (“irrelevant, outdated, or

를 소명하여야 함otherwise inappropriate”)일만에 여개의 삭제 요청이 있고 순서대로 진행 예정- 5 41,000 ,케이스별로 심사를 하고 만일 삭제가 되지 않을 경우 해당 국가의- ,개인정보보호 당국에 불복할 수 있다고 안내되고 있음

삭제 결과는 해당 국가만 적용되는 것이 아니고 유럽 대상 국가 전- ,부 등 에서 반영됨 다만(Google.fr, Google.de, Google.co.uk ) (

에서는 삭제되지 않음Google.com )삭제 처리는 불법저작물의 처리와 유사할 것으로 예상되며 마찬가지- ,로 삭제결과는 삭제된 불법저작물과 유사하게 공지됨

삭제 결과는 게시자와 해당 국가의 개인정보보호 당국에게 통지됨-

장래 구글의 계획○전문가 자문회의 구성- (expert advisory committee)Eric Schmidt, Google’s executive chair▷David Drummond, Google’s chief legal counsel▷Frank La Rue, UN Special Rapporteur on the Promotion and Protection of the▷Right to Freedom of Opinion and ExpressionPeggy Valcke, Director, University of Leuven law school▷Jose Luis Piñar, the former head of Spain’s data protection authority▷Jimmy Wales, cofounder of Wikipedia▷Luciano Floridi, an information ethics philosopher at Oxford Internet Institute▷

자문회의는 삭제 여부를 결정하는 것은 아니고 삭제요청 데이터를- ,기초로 하여 삭제 기준을 만들고 절차를 다듬는 역할을 함

쟁점 검색엔진이 개인정보 취급인지 여부1 :

구글의 주장○검색엔진이 개인정보와 다른 정보의 선택 없이 인터넷에서 이용가능-한 모든 정보를 처리하기 때문에 검색엔진의 활동은 검색결과 목록에표시된 제 자의 웹페이지에 나타난 데이터의 처리로서 간주될 수 없3다 번역문의 출처 박노형 교수님 이하 같음. ( : , )

년 지침95 EU○- 2(b) 'processing of personal data' ('processing') shall mean anyoperation or set of operations which is performed upon personaldata, whether or not by automatic means, such as collection,recording, organization, storage, adaptation or alteration, retrieval,consultation, use, disclosure by transmission, dissemination orotherwise making available, alignment or combination, blocking,erasure or destruction;

의 결론ECJ○- the operator of a search engine ‘collects’ such data which itsubsequently ‘retrieves’, ‘records’ and ‘organises’ within theframework of its indexing programmes, ‘stores’ on its serversand, as the case may be, ‘discloses’ and ‘makes available’ to itsusers in the form of lists of search results.

우리 정보통신망법○처리에 해당하는 용어가 취급임- ‘ ’ ‘ ’제 조 제 항 개인정보의 취급위탁 개인정보를 수집 보관 처리- 25 1 ( ) : ㆍ ㆍ이용 제공 관리 파기 등 이하 취급 이라 한다( " " )ㆍ ㆍ ㆍ ㆍ

우리 정보통신망법에 따른 결론○수집 처리 처리 처- collect = / retrieve = / record = / organise =

리 보관 이용/ store = / disclose + make available =검색엔진은 개인정보의 취급에 해당함 다만 취급의 개념 정의를 좀- .더 상세하게 규정할 필요는 있어 보임

개보법을 적용하더라도 검색엔진은 개인정보의 처리에 해당함 제* ‘ ’ ( 2조 제 호 처리 란 개인정보의 수집 생성 연계 연동 기록 저장2 " " , , , , , ,보유 가공 편집 검색 출력 정정 복구 이용 제공 공개 파, , , , , ( ), , , , ,訂正기 그 밖에 이와 유사한 행위를 말한다( ), )破棄

쟁점 구글이 정보통신서비스제공자인지 여부2 :

구글의 주장○검색엔진 활동이 개인정보 처리로 분류된다고 하여도 검색엔진의 운-영자는 처리되는 개인정보를 알지 못하고 동 개인정보에 대하여 관리하지 않기 때문에 동 처리 에 관하여 관리자(processing) (controller)로서 간주될 수 없다

년 지침95 EU○- 2(d) 'controller' shall mean the natural or legal person, publicauthority, agency or any other body which alone or jointly withothers determines the purposes and means of the processing ofpersonal data; where the purposes and means of processing aredetermined by national or Community laws or regulations, thecontroller or the specific criteria for his nomination may bedesignated by national or Community law;

의 결론ECJ○검색엔진 운영자는 자신의 활동 목적과 수단을 결정하고 따라서 그-활동 체제 내에서 수행하는 개인정보 처리의 목적과 수단을 결정하기때문에 년 지침 제 조 의미에서 개인정보 처리에 관하여1995 EU 2(d)처리자로 간주되어야 한다 검색엔진 운영자가 제 자의 웹페이지에‘ ’ . 3게시된 개인정보에 관하여 처리하지 않는다는 이유로 검색엔진 운영자를 처리자 개념에서 배제하는 것은 정보주체의 효과적이고 완전한보호의 보장이라는 목적에 어긋난다.

우리 정보통신망법○제 조 제 호 정보통신서비스 제공자 란 전기통신사업법 제 조- 2 3 " " 2「 」제 호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의8전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는자를 말한다.

우리 정보통신망법에 따른 결론○검색엔진은 전기통신사업자 중 부가통신사업자에 해당- ‘ ’정보를 제공하거나 정보제공을 매개하는 자에 해당-

개보법을 적용하더라도 구글은 개인정보처리자에 해당 제 조 제 호* ( 2 5개인정보처리자 란 업무를 목적으로" " 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관,법인 단체 및 개인 등을 말한다 제 조 제 호 개인정보파일 이란, / 2 4 " "개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로배열하거나 구성한 개인정보의 집합물 을 말한다 제 조 정( ) / 20 (集合物보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지 의 전제는)제 자로부터 개인정보를 수집하는 자도 개인정보처리자로 파악함3 )

쟁점 구글에 대한 한국법 적용 여부3 :

구글의 주장○를 운영하는 가 의 개입 없이- Google Search Google Inc. Google Spain

개인정보를 처리하고 의 활동은 검색엔진서비스와 별개, Google Spain의 광고활동의 지원에 제한된다.

년 지침95 EU○제 조- 4(1)(a) 1. Each Member State shall apply the nationalprovisions it adopts pursuant to this Directive to the processingof personal data where:(a) the processing is carried out in the context of the activitiesof an establishment of the controller on the territory of theMember State; when the same controller is established on theterritory of several Member States, he must take the necessarymeasures to ensure that each of these establishments complieswith the obligations laid down by the national law applicable;

의 결론ECJ○년 지침 제 조는 개인정보가 해당 시설 자신에 의하여- 1995 EU 4(1)(a)

처리하도록 요구하는 것이 아니라 관리자의 시설의 활동의 맥락에, ‘서 처리될 것을 요구한다 따라서’(in the context of the activities) .검색엔진의 운영자가 회원국에서 광고면을 홍보하고 판매하도록 의도되고 동 회원국 주민들을 상대로 활동을 하는 지사 또는 자회사를 설립할 때 년 지침 제 조는 개인정보의 처리가 동 규정1995 EU 4(1)(a)의미에서 회원국 영토에서의 관리자의 시설 의 활동‘ ’(establishment)맥락에서 수행된다는 의미로 해석되어야 한다.

우리 법○정보통신망법이나 개인정보보호법에 관련 규정이 없음-질서위반행위규제법 제 조 법 적용의 장소적 범위 이 법은 대한- 4 ( ) ①민국 영역 안에서 질서위반행위를 한 자에게 적용한다.형법 제 조 국내범 본법은 대한민국 영역 내에서 죄를 범한 내국인- 2 ( )과 외국인에게 적용한다.독점규제법 제 조의 국외행위에 대한 적용 이 법은 국외에서 이루- 2 2( )어진 행위라도 국내시장에 영향을 미치는 경우에는 적용한다.

우리 법에 따른 결론○방송통신위원회가 금년 월 일 국내에서 스트리트뷰- 1 28 , ' ' (Street

서비스를 제작하는 과정에서 개인정보를 무단으로 수집한 것View)으로 드러난 구글에 과징금 억 여원의 행정처분을 내렸다 방통위2 .가 외국에 본사를 둔 글로벌 기업에 과징금을 부과한 건 이번이 처음이다.방송통신위원회는 년 월경 개월 동안 이용자의 동의 철회에- 2011 8 , 10도 일부 아이폰으로 위치정보를 수집한 애플에 대하여 과태료 만300원을 부과하였다.

쟁점 검색엔진 운영자의 책임 범위4 :

구글의 주장○비례성의 원칙에 따라 웹사이트 발행자가 정보의 공개에 관한 책임- ,을 지고 이러한 게시의 적법성을 평가할 수 있으며 동 정보에 대한비접근의 가장 효과적이고 가장 덜 제한적인 수단을 가지고 있기 때문에 해당 정보의 제거는 동 웹사이트 발행자에게 요청되어야 한다.또한 검색엔진 운영자에게 인터넷에 게시된 정보를 자신의 인덱스로,부터 철회하라고 요구하는 것은 웹사이트 발행자 인터넷 이용자 및,검색엔진 운영자의 기본권을 충분하게 고려하지 않는 것이다.

의 결론ECJ○- 년 지침 규정의 조건이 사실상 충족되는 한 검색엔진의 운영자가1995 EU ,사람의 이름에 기초한 검색으로 표시된 결과의 목록에서 제 자가 발행하고3동 사람에 관련된 정보를 가지는 웹페이지에 대한 링크를 제거하여야 할 의무를 가진다 이는 해당 이름 또는 정보가 이들 웹페이지로부터 사전에 또.는 동시에 삭제되지 않는 경우 및 사정에 따라 동 웹페이지에서의 게시가적법한 경우에도 마찬가지라 할 것이다 중략 한편 사람의 이름에 기초한. ( )검색으로 표시된 결과 목록에 웹페이지와 동 페이지에 포함된 그 사람에 관한 정보가 포함되는 것은 동 웹페이지에 게시된 경우 보다 정보주체의 프라이버시에 관한 기본권에 대한 보다 중요한 간섭을 구성할 수 있다.

우리 정보통신망법○웹사이트 발행자에 대하여 검색엔진의 보충적 적용을 강요하는 규정-이 없는바 검색엔진 구글에 대한 정보의 제거 요구는 타당 다만 이, . ‘용자만이 정보통신서비스제공자에 대하여 권리를 가지는 정보통신’ ‘ ’망법 구조하에서는 곤잘레스의 이용자성을 검토할 필요가 있음‘ ’제 조 제 호 이용자 란 정보통신서비스 제공자가 제공하는 정보통신- 2 4 " "서비스를 이용하는 자를 말한다 불특정 다수는 아님 반드시 이용계. ( ,약을 전제로 하지 않는다고 보는 것이 일반적)

판례 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제 조 제- : 22 1항 전문에 의하여 보호되는 개인정보 주체인 이용자는‘ ’ 자신의 개인정보를 수집하려고 하는 정보통신서비스 제공자로부터 정보통신서비스를 제공받아 이용하는 관계를 전제로 한다 따라서 피고인이 수집.한 전화번호의 보유자들이 가 제공하는 정보통신 서비스를 이용하A고 있는 사람 이용자 라는 사실을 인정하기 어려우므로 피고인에 대( )하여 무죄를 선고한 조처는 정당하다        

우리 정보통신망법에 따른 결론○방송통신위원회는 구글 스트리트뷰 사건에서 구글이 불법적으로 수- ‘ ’ ,집한 개인정보의 정보주체가 실제로 구글의 이용자인지 여부를 엄‘ ’ ‘ ’격하게 따지지 않았음방통위의 견해가 결과적으로 타당하지만 다만 판례의 해석과 충돌- ,가능성이 있으므로 이용자 규정을 손 볼 필요가 있음‘ ’

쟁점 잊혀질 권리 적용 여부5 :

구글의 주장○구글은 스페인 법원이 제시한 잊혀질 권리 즉 해당 정보가 정보주체- ,에게 해로울 수 있거나 일정한 시간이 지나서 잊혀지길 원한다는 경우의 잊혀질 권리에 대하여 부정적인 의견을 주장하였다.

년 지침95 EU○- Article 12 Right of accessMember States shall guarantee every data subject the right toobtain from the controller:(b) as appropriate the rectification, erasure or blocking of datathe processing of which does not comply with the provisions ofthis Directive, in particular because of the incomplete orinaccurate nature of the data;지침과 상반되는 데이터 특히 부정확한 데이터( )

Article 14 The data subject's right to objectMember States shall grant the data subject the right:(a) at least in the cases referred to in Article 7 (e) and (f), toobject at any time on compelling legitimate grounds relating tohis particular situation to the processing of data relating to him,save where otherwise provided by national legislation. Wherethere is a justified objection, the processing instigated by thecontroller may no longer involve those data;상황의 변화( )

의 결론ECJ○근거 잊혀질 권리의 명문규정이 있는 이 아닌 명확한 명문 규- : GDPR정이 없는 년 지침을 근거로 잊혀질 권리를 인정한 것이 매우 중95요함잊혀질 권리는 반드시 명문의 규정이 있어야 하는 것은 아니고 본질- ,적으로 삭제할 수 있는 권리와 그걸 거부할 수 있는 권리의 충돌‘ ’ ‘ ’문제로 보아야 하며 정과 정 의 대결 구도가 될 것임, ( vs )正 正

대상 사법재판소의 잊혀질 권리의 대상은 시간 경과에 따른 부- : EU ‘적절한 데이터 목적을 고려한 부적절한 데이터를 지적’, ‘ ’(inadequate, irrelevant or no longer relevant, or excessive inrelation to those purposes and in the light of the time that hadelapsed)

삭제여부 는 잊혀질 것인지의 판단방법은 정보주체의 이익과 그- : ECJ정보에 접근하는 일반대중의 이익을 비교형량하여 결정함 의. GDPR잊혀질 권리는 동의철회 유효기간 경과 등과 같이 무조건성을 띠는,것도 있지만 이 곤잘레스 사안에서 가 인정한 일반적인 잊혀질, ECJ권리는 본질적으로 적법한 이익들의 비교형량이 핵심 요소라 할 수있음.

우리 정보통신망법○정보통신망법 제 조 이용자는 정보통신서비스 제공자등에 대하여- 30 ①언제든지 개인정보 수집 이용 제공 등의 동의를 철회할 수 있다· · .이용자는 정보통신서비스 제공자등에 대하여 본인에 관한 다음 각- ②

호의 어느 하나의 사항에 대한 열람이나 제공을 요구할 수 있고 오류가 있는 경우에는 그 정정을 요구할 수 있다.정보통신서비스 제공자등이 가지고 있는 이용자의 개인정보1.정보통신서비스 제공자등이 이용자의 개인정보를 이용하거나 제2. 3자에게 제공한 현황정보통신서비스 제공자등에게 개인정보 수집 이용 제공 등의 동의3. · ·를 한 현황

우리 법에 따른 결론○정보통신망법 제 조 제 항의 동의철회권 곤잘레스의 경우 일단- 30 1 :이용자성을 해결하기 쉽지 않고 나아가 이용자의 동의를 전제로‘ ’ , ‘ ’하고 있으므로 동의를 전제로 하지 않은 본 사안에 적용하기 어려운,바 잊혀질 권리의 근거 조문으로 활용할 수 없음,정보통신망법 제 조 제 항의 정정권 곤잘레스의 경우 일단 이용- 30 2 : ‘자 성을 해결하기 쉽지 않고 특히 이 조문은 오류를 전제로 이익충’ ,돌과 이익형량이 전제되지 않은 무조건적인 정정권을 인정하고 있어,잊혀질 권리의 근거 조문으로 활용할 수 없음결론적으로 잊혀질 권리를 인정하기 위해서는 이용자성을 해결하고- , ‘ ’ ,이익충돌 및 이익형량의 구조를 가진 새로운 조문이 필요함‘ ’ ‘ ’

개보법의 경우*개보법 제 조 개인정보 보호 원칙 는 개인정보처리자는 개인정보- 3 ( ) “③의 처리 목적에 필요한 범위에서 개인정보의 정확성 완전성 및, 최신성이 보장되도록 하여야 한다 고 규정하고 있는바 의 잊혀질 권.” , ECJ리의 대상인 시간 경과에 따른 부적절한 데이터 목적을 고려한 부적‘ ’, ‘절한 데이터를 지적하고 있는 것과 일맥 상통함 다만 권리 근거 규정’ .이 아니라 일 뿐이어서 문제점principle개보법 제 조 제 조의- 36 , 37 삭제 처리정지권ㆍ 이 바로 제 조 제 항의3 3

실현을 위한 조항으로 볼 수 있음principle

개보법 제 조 제 조의 삭제 처리정지권은 정보주체의 무조건적인- 36 , 37 ㆍ권리가 아니라 정보주체의 이익과 그 정보에 접근하는 일반대중의,이익을 비교형량하여 행사 여부를 결정하는 권리라고 볼 여지가 있음조문 제 조 제 항 제 호 다른 사람의 생명 신체를 해할 우려가 있) 35 4 2 ·거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우는 삭제권이 제한됨 개보법 제 조 제 항 제 호 다른 사람/ 37 2 2의 생명 신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이·익을 부당하게 침해할 우려가 있는 경우에는 처리정지권이 제한됨

우리나라 개보법 제 조 제 조의 삭제 처리정지권은 개인정보처- 36 , 37 ‘ㆍ리자가 보유 처리하고 있는 정보주체의 개인정보로 되어 있어 그’ ,ㆍ대상은 보다 폭넓게 인정함EU

다만 얼핏 보면 제 자로부터 수집한 개인정보는 포함되지 않는 것 같- 3이 보이나 개보법 제 조는 제 자로부터 수집하여 보유하고 있는 개20 3인정보처리자에 대하여 개보법 제 조 제 조의 적용을 제외하고 않36 , 37고 있는바 결국 정보주체는 제 자로부터 수집한 구글 등의 검색포털, 3에 대하여도 개보법 제 조 제 조의 삭제 처리정지권을 주장할 수36 , 37 ㆍ있음

이런 의미에서 개보법 제 조 제 조의 삭제 처리정지권을 곤잘레- 36 , 37 ㆍ스 사안에서 유럽사법재판소가 인정한 잊혀질 권리의 근거 조문으로‘ ’볼 수 있는 여지는 있음.

다만 이 권리의 인정 여부에 관하여 앞으로 지속적으로 논란이 있을- ,것으로 보이는바 바람직하게는 새로운 명문의 입법을 통하여 명확한,근거 규정이 도입하는 게 필요한 것으로 보이고 그 과정에서 잊혀질,권리의 문제점인 한계 설정 이나 이익형량 요소를 충분히 고려하는‘ ’ ‘ ’게 필요할 것임