개인정보 제3자 제공과 처리위탁
— 홈플러스 사건 및 카카오페이 사건을 중심으로 —
Provision or Outsourcing of Personal Information Processing
— Focusing on HomePlus Case and KakaoPay Case —
전승재(Jeon, Seung Jae)
최경진(Choi, Kyoungjin)
요 약
본고는 개인정보 제3자 제공과 처리위탁의 구분이 쟁점이 되었던 양대 선례인 ‘홈
플러스 사건’ 및 ‘카카오페이 사건’을 평석하고, 상황별 적법한 대체행위를 모색하는
것을 목적으로 한다.
첫 번째 홈플러스 사건은 “개인정보가 제공받는 자의 업무처리와 이익을 위하여 이
전되면 제3자 제공, 위탁자 본인의 업무처리와 이익을 위하여 이전되면 처리위탁”이
라는 법리를 설시한 리딩 케이스였다. 다만, 이 구분 기준이 상당히 추상적인 관계로
하급심과 대법원의 결론이 엇갈렸을 정도였는데, 실제 현장에 적용하기 위해서는 이
를 보다 구체화해야 할 필요가 있었다.
두 번째 카카오페이 사건은 당해 사안에서 결론을 도출하기 위해 위 ‘이익’을 그 반
대급부인 ‘개인정보 처리 책임’으로 구체화하였다. 2024. 12. 31. 초안이 공개된 “개인
정보 처리 통합 안내서”에도 반영되어 있는 이 법리는 향후 현장에서 제3자 제공과
처리위탁을 구분함에 있어 주요한 구분 기준이 될 전망이므로 본고의 사례연구를 통
해 보다 세부적인 논의를 개진하고자 한다.
두 사건은 모두 사업자가 개인정보 이전의 법적 성격이 ‘처리위탁’이라 주장했으나
결국 ‘제3자 제공’으로 판단이 내려졌다는 공통점이 있다. 적법근거 없는 제3자 제공
은 과징금 및 형사처벌 부과 대상이므로 개인정보처리자의 법적 리스크가 크다. 따라
서 개인정보 이전을 처리위탁으로 구성할 때 어떤 규범적 안전장치를 갖추어야 하는
지를 본고에서 제안하고자 한다