개인정보 제3자 제공과 처리위탁 (Provision or Outsourcing of Personal Information Processing)

서지정보

· 발행기관 : 한국정보법학회
· 수록지 정보 : 정보법학 / 29권 / 1호 / 121 ~ 164페이지
· 저자명 : 전승재, 최경진

초록

본고는 개인정보 제3자 제공과 처리위탁의 구분이 쟁점이 되었던 양대 선례인 ‘홈플러스 사건’ 및 ‘카카오페이 사건’을 평석하고, 상황별 적법한 대체행위를 모색하는것을 목적으로 한다.
첫 번째 홈플러스 사건은 “개인정보가 제공받는 자의 업무처리와 이익을 위하여 이전되면 제3자 제공, 위탁자 본인의 업무처리와 이익을 위하여 이전되면 처리위탁”이라는 법리를 설시한 리딩 케이스였다. 다만, 이 구분 기준이 상당히 추상적인 관계로하급심과 대법원의 결론이 엇갈렸을 정도였는데, 실제 현장에 적용하기 위해서는 이를 보다 구체화해야 할 필요가 있었다.
두 번째 카카오페이 사건은 당해 사안에서 결론을 도출하기 위해 위 ‘이익’을 그 반대급부인 ‘개인정보 처리 책임’으로 구체화하였다. 2024. 12. 31. 초안이 공개된 “개인정보 처리 통합 안내서”에도 반영되어 있는 이 법리는 향후 현장에서 제3자 제공과처리위탁을 구분함에 있어 주요한 구분 기준이 될 전망이므로 본고의 사례연구를 통해 보다 세부적인 논의를 개진하고자 한다.
두 사건은 모두 사업자가 개인정보 이전의 법적 성격이 ‘처리위탁’이라 주장했으나결국 ‘제3자 제공’으로 판단이 내려졌다는 공통점이 있다. 적법근거 없는 제3자 제공은 과징금 및 형사처벌 부과 대상이므로 개인정보처리자의 법적 리스크가 크다. 따라서 개인정보 이전을 처리위탁으로 구성할 때 어떤 규범적 안전장치를 갖추어야 하는지를 본고에서 제안하고자 한다.

영어초록

This paper a ims to analyze and comment on two landmark cases, the “HomePlus Case” and the “KakaoPay Case,” where the distinction between provision of personal information to t he t hird -party and outsourcing o f personal i nformation p rocessing b ecame a key issue.
It also seeks to explore lawful alternative actions under various circumstances.
The first case, the HomePlus Case, established the legal principle that “if personal information is transferred for the benefit of the recipient's business operations, it constitutes third-party provision; if it is transferred for the benefit of the transferor's business operations, it constitutes outsourcing.” However, this criterion was deemed overly abstract, leading to conflicting decisions between lower courts and the Supreme Court. To ensure practical application in real-world scenarios, further clarification of this distinction was necessary.
The second case, the KakaoPay Case, refined the concept of “benefit” by linking it to “responsibility for processing personal information” to reach a conclusion. This principle has been incorporated into the draft “Comprehensive Guide to Personal Information Processing,” released on December 31, 2024. It is expected to serve as a critical standard for distinguishing between provision to third-party and outsourcing in future cases. Through case studies in this paper, more detailed discussions on this principle will be presented.
Both cases share a commonality: while the businesses involved argued that the transfer of personal information constituted “outsourcing,” it was ultimately judged as “third-party provision.” Since unauthorized provision to third-party is subject to fines and criminal penalties, it poses significant legal risks for data controllers. Therefore, this paper proposes normative safeguards that should be established when structuring personal information transfers as outsourcing.

참고자료

· 없음