[당 사 자]
청 구 인 주식회사 ○○
대표이사 강○○
대리인 법무법인(유한) 태평양
담당변호사 송우철 외 3인
당 해 사 건 대법원 2019두60851 시정명령처분등취소청구의소
[주 문]
1. 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2012. 2. 17. 법률 제11322호로 개정되고, 2020. 2. 4. 법률 제16955호로 개정되기 전의 것) 제64조의3 제2항 단서에 대한 심판청구를 각하한다.
2. 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2014. 5. 28. 법률 제12681호로 개정되고, 2016. 3. 22. 법률 제14080호로 개정되기 전의 것) 제64조의3 제1항 제6호 중 ‘이용자의 개인정보를 누출한 경우로서 정보통신서비스 제공자가 제28조 제1항 제2호 및 제4호의 조치를 하지 아니한 경우’에 관한 부분은 헌법에 위반되지 아니한다.
[이 유]
1. 사건개요
가. 청구인은 인터넷 쇼핑몰 ‘○○’를 운영하는 정보통신서비스 제공자이다. 방송통신위원회는 청구인이 보관ㆍ관리하는 회원정보가 인적사항을 알 수 없는 해커에 의하여 2016. 5. 3.경부터 2016. 5. 6.경까지 유출된 것을 계기로 2016. 12. 6. 청구인에 대하여, 청구인이 개인정보처리시스템에 대하여 최대 접속시간 제한 등 접근 통제장치를 마련하지 아니하고 비밀번호 관리 등 보안조치를 소홀히 함으로써 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제28조 제1항 제2호, 제4호 등을 위반하였음을 이유로, 같은 법 제64조, 제64조의3, 제76조 등에 따라 시정명령, 시정명령을 받은 사실의 공표, 교육 및 대책 수립 후 보고, 과징금 44억 8000만 원, 과태료 2500만 원 등을 명하는 처분(이하 ‘이 사건 처분’이라 하고, 그중에서 과징금 부과 부분을 ‘이 사건 과징금부과처분’이라 한다)을 하였다.
나. 청구인은 이 사건 처분 중 과태료를 제외한 나머지 부분의 취소를 구하는 소를 제기하였으나 2018. 7. 5. 기각되었고(서울행정법원 2017구합53156), 항소하였으나 2019. 11. 1. 항소가 기각되었다(서울고등법원 2018누56291).
청구인은 상고하였고, 상고심(대법원 2019두60851) 계속 중 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제64조의3 제1항 제6호 및 같은 조 제2항 단서에 대하여 위헌법률심판제청신청을 하였으나(대법원 2020아506), 2020. 3. 12. 위 신청 및 상고가 모두 기각되었다. 이에 청구인은 2020. 4. 17. 이 사건 헌법소원심판을 청구하였다.
2. 심판대상
가. 청구인은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제64조의3 제1항 제6호 전체에 대하여 심판청구를 하고 있다. 그런데 제64조의3 제1항 제6호는 정보통신서비스 제공자와 그로부터 제24조의2 제1항에 따라 이용자의 개인정보를 제공받은 자를 규율대상으로 하고 있고, 청구인은 그 중 정보통신서비스 제공자에 해당한다. 또한 청구인은 이용자의 개인정보를 유출한 경우로서 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제28조 제1항 제2호의 접근 통제장치 설치ㆍ운영 및 같은 항 제4호의 보안조치를 하지 않은 경우에 해당함을 이유로 이 사건 과징금부과처분을 받았으므로, 청구인에게 적용되는 부분은 제64조의3 제1항 제6호 중에서도 ‘이용자의 개인정보를 누출한 경우로서 정보통신서비스 제공자가 제28조 제1항 제2호, 제4호의 조치를 하지 아니한 경우’에 관한 부분이다. 따라서 이 부분 심판대상은 청구인에게 적용되는 부분으로 한정한다.
나. 그렇다면 이 사건 심판대상은 ① 구 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(2014. 5. 28. 법률 제12681호로 개정되고, 2016. 3. 22. 법률 제14080호로 개정되기 전의 것) 제64조의3 제1항 제6호 중 ‘이용자의 개인정보를 누출한 경우로서 정보통신서비스 제공자가 제28조 제1항 제2호 및 제4호의 조치를 하지 아니한 경우’에 관한 부분(이하 ‘과징금부과조항’이라 한다), ② 구 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(2012. 2. 17. 법률 제11322호로 개정되고, 2020. 2. 4. 법률 제16955호로 개정되기 전의 것) 제64조의3 제2항 단서(이하 ‘예외기준조항’이라 한다)가 헌법에 위반되는지 여부이다. 심판대상조항 및 관련조항은 다음과 같다.
[심판대상조항]
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2014. 5. 28. 법률 제12681호로 개정되고, 2016. 3. 22. 법률 제14080호로 개정되기 전의 것)
제64조의3(과징금의 부과 등) ① 방송통신위원회는 다음 각 호의 어느 하나에 해당하는 행위가 있는 경우에는 해당 정보통신서비스 제공자등에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다.
6.이용자의 개인정보를 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손한 경우로서 제28조 제1항 제2호부터 제5호까지의 조치를 하지 아니한 경우
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2012. 2. 17. 법률 제11322호로 개정되고, 2020. 2. 4. 법률 제16955호로 개정되기 전의 것)
제64조의3(과징금의 부과 등) ② 제1항에 따른 과징금을 부과하는 경우 정보통신서비스 제공자등이 매출액 산정자료의 제출을 거부하거나 거짓의 자료를 제출한 경우에는 해당 정보통신서비스 제공자등과 비슷한 규모의 정보통신서비스 제공자등의 재무제표 등 회계자료와 가입자 수 및 이용요금 등 영업현황 자료에 근거하여 매출액을 추정할 수 있다. 다만, 매출액이 없거나 매출액의 산정이 곤란한 경우로서 대통령령으로 정하는 경우에는 4억원 이하의 과징금을 부과할 수 있다.
[관련조항]
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 6. 13. 법률 제9119호로 개정되고, 2016. 3. 22. 법률 제14080호로 개정되기 전의 것)
제25조(개인정보의 취급위탁) ① 정보통신서비스 제공자와 그로부터 제24조의2 제1항에 따라 이용자의 개인정보를 제공받은 자(이하 "정보통신서비스 제공자등"이라 한다)는 제3자에게 이용자의 개인정보를 수집ㆍ보관ㆍ처리ㆍ이용ㆍ제공ㆍ관리ㆍ파기 등(이하 "취급"이라 한다)을 할 수 있도록 업무를 위탁(이하 "개인정보 취급위탁"이라 한다)하는 경우에는 다음 각 호의 사항 모두를 이용자에게 알리고 동의를 받아야 한다. 다음 각 호의 어느 하나의 사항이 변경되는 경우에도 또한 같다. (각 호 생략)
제28조(개인정보의 보호조치) ① 정보통신서비스 제공자등이 개인정보를 취급할 때에는 개인정보의 분실ㆍ도난ㆍ누출ㆍ변조 또는 훼손을 방지하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술적ㆍ관리적 조치를 하여야 한다.
2. 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치ㆍ운영
4. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화기술 등을 이용한 보안조치
구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2008. 6. 13. 법률 제9119호로 개정되고, 2020. 2. 4. 법률 제16955호로 개정되기 전의 것)
제64조의3(과징금의 부과 등) ③ 방송통신위원회는 제1항에 따른 과징금을 부과하려면 다음 각 호의 사항을 고려하여야 한다.
1. 위반행위의 내용 및 정도
2. 위반행위의 기간 및 횟수
3. 위반행위로 인하여 취득한 이익의 규모
④ 제1항에 따른 과징금은 제3항을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다.
3. 청구인의 주장
가. 과징금부과조항 중 ‘위반행위와 관련한 매출액’ 부분은 위반행위 그 자체로 인하여 직접 얻은 이익이나 매출액만을 의미하는 것인지 아니면 위반행위로 인하여 직ㆍ간접적으로 영향을 받는 매출액을 의미하는 것인지 불분명하므로 명확성원칙에 위반된다.
나. 과징금부과조항은 위반행위와 개인정보 유출 사이에 인과관계가 없더라도 개인정보 유출이 발생한 경우로서 위반행위가 있었던 경우에 해당하기만 하면 모두 과징금 부과 대상으로 삼고, 선의ㆍ무과실이었던 경우 등에도 면책될 여지를 전혀 두지 않고 있으며, 구 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(이하 ‘구 정보통신망법’이라 한다)에서 개인정보 보호조치 의무 위반행위에 대하여 과태료 및 형사처벌 조항을 두고 있음에도 또다시 과징금을 부과하도록 하여 중복제재를 가하고 있으므로, 자기책임원칙과 과잉금지원칙에 위반되어 청구인의 직업수행의 자유 및 재산권을 침해한다.
뿐만 아니라, 과징금부과조항은 ‘매출액’을 기준으로 과징금의 상한을 정함으로써 매출액이 다액인 정보통신서비스 제공자에게 과도한 제재를 가하고, 인과관계를 요건으로 하지 않으면서도 유출 없이 위반행위만 존재하는 경우에 부과되는 과태료에 비해 지나치게 높은 과징금을 부과하므로 비례원칙과 체계정당성원리에도 위반된다.
다. 예외기준조항은 ‘매출액이 없거나 매출액의 산정이 곤란한 경우’로서 대통령령으로 정하는 경우에만 예외적으로 4억 원 이하의 과징금을 부과할 수 있도록 하고, ‘위반행위와 관련된 매출액이 없는 경우’는 예외사유에 포함하지 않고 있으므로, 매출액이 없는 정보통신서비스 제공자와 위반행위와 관련된 매출액이 없는 정보통신서비스 제공자를 합리적인 이유 없이 차별하여 평등원칙에 위반된다.
4. 예외기준조항에 대한 판단
헌법재판소법 제68조 제2항에 의한 헌법소원에 있어 그 심판대상은 법률에 한정되므로, 그 심판청구가 형식적으로는 법률조항에 대한 위헌심판을 구하는 것으로 보이지만 실제로는 당해 사건에 있어 사실관계의 확정과 법률의 해석ㆍ적용이 부당하다는 점을 다투는 것에 지나지 않는 때에는 법률의 위헌 여부에 대한 심판을 구하는 것으로 볼 수 없어 부적법한 심판청구라 할 것이다(헌재 2007. 5. 31. 2005헌바37 참조).
그런데 청구인은, 당해 사건 법원이 과징금부과조항 중 ‘위반행위와 관련한 매출액’을 위반행위 자체로 인하여 직접적으로 취득한 매출액뿐만 아니라 위반행위와 직ㆍ간접적으로 관련된 매출액까지 폭넓게 포함하는 것으로 해석하면서, 그 결과 청구인의 경우 직전 3개 사업연도의 매출액의 존재가 인정된다는 이유로 청구인에게 예외기준조항을 적용하고 있지 않은 점을 다투고 있다.
이는 결국 법원의 당해 사건 재판의 기초가 된 사실관계의 인정이나 인정된 사실에 대한 법률의 해석ㆍ적용을 다투는 것에 불과하므로 헌법재판소법 제68조 제2항에 의한 헌법소원심판의 대상이 될 수 없다. 따라서 예외기준조항에 대한 심판청구는 부적법하다.
5. 과징금부과조항에 대한 판단
가. 쟁점의 정리
(1) 과징금부과조항은 이용자의 개인정보를 유출한 경우로서 정보통신서비스 제공자가 구 정보통신망법 제28조 제1항 제2호, 제4호의 조치를 하지 아니한 경우에 해당하면 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과함으로써 정보통신서비스 제공자의 직업수행의 자유를 제한하고, 그 책임재산을 감소시킨다는 측면에서 재산권도 제한한다.
(2) 과징금부과조항은 ‘위반행위와 관련한 매출액’을 기준으로 그 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 상한을 정하고 있는데, 이때 ‘위반행위와 관련한 매출액’의 의미가 불명확하여 명확성원칙에 위반되는지 여부를 살펴본다. 또한 과징금부과조항이 과잉금지원칙에 위배되는지 여부도 살펴본다.
(3) 청구인은, 과징금부과조항이 위반행위와 유출 사이에 인과관계가 없거나 정보통신서비스 제공자가 선의ㆍ무과실인 경우에도 과징금을 부과할 수 있도록 하고, 그 금액이 과태료에 비하여 지나치게 높으며, 매출액을 기준으로 과징금의 상한을 정하고 있어 자기책임원리나 체계정당성원리, 비례원칙에 위반된다고 주장한다. 그러나 이는 과징금부과조항이 과잉금지원칙에 위반되어 청구인의 기본권을 침해한다는 주장과 같은 취지로서, 과잉금지원칙 위반 여부를 판단하면서 함께 검토할 수 있으므로 별도로 판단하지 않는다.
나. 제도의 개관
(1) 연혁
구 정보통신망법의 전신은 ‘전산망 보급 확장과 이용촉진에 관한 법률’로서, 1999. 2. 8. 법률 제5835호로 전부개정되어 ‘정보통신망 이용촉진 등에 관한 법률’로 법명이 변경되었고, 다시 2001. 1. 16. 법률 제6360호로 전부개정되어 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’로 법명이 변경되면서 개인정보 보호에 관한 규정이 대폭 추가되었다. 2001. 1. 16. 전부개정된 법률에는 과징금에 관한 규정은 없었고, 위법한 개인정보 수집 등에 대한 과태료 규정(제67조) 및 개인정보를 제공받은 목적 외의 용도로 이용하는 행위 등에 대한 형사처벌 규정(제62조, 제63조)만 존재하였다.
이후 구 정보통신망법이 2008. 6. 13. 법률 제9119호로 개정되면서, 위법행위로 인한 부당이득을 환수함으로써 제재의 실효성을 높일 필요가 있다는 이유로 과징금 부과에 관한 제64조의3이 신설되었다. 이 조항은 과징금의 상한을 ‘위반행위와 관련한 매출액의 100분의 1 이하’로 정하되, 개인정보 보호조치를 하지 아니하여 개인정보 유출 등이 발생한 경우에는 1억 원 이하의 과징금을 부과할 수 있도록 하였다.
대규모 개인정보 유출 사건 등을 계기로 2014. 5. 28. 법률 제12681호로 개정된 구 정보통신망법은 과징금의 상한을 ‘위반행위와 관련한 매출액의 100분의 3 이하’로 변경하고 1억 원 이하의 과징금을 부과할 수 있도록 한 제64조의3 제1항 단서를 삭제하는 등 과징금을 상향 조정하고, 각종 처벌을 강화하였다. 그리고 기존에 개인정보 유출 등으로 인한 과징금 부과 사유에 대해서 ‘조치를 하지 아니하여 이용자의 개인정보를 분실…한 경우’라고 인과관계가 보다 분명하게 요구되는 표현을 사용하였던 것을 ‘개인정보를 분실…한 경우로서 … 조치를 하지 아니한 경우’로 변경하였다(제64조의3 제1항 제6호).
2016. 3. 22. 법률 제14080호로 개정된 구 정보통신망법에서는 제64조의3 제1항 제6호의 ‘누출ㆍ변조’가 ‘유출ㆍ위조ㆍ변조’로 개정되고, 제67조에 따라 준용되는 의무를 위반한 경우를 포함한다고 명시하였다.
이후 2020. 2. 4. 개인정보 보호법이 법률 제16930호로, 정보통신망법이 법률 제16955호로 각 개정되면서 정보통신망법에서 위 과징금 부과 조항이 삭제되고, 개인정보 보호에 관한 규정이 모두 개인정보 보호법으로 일원화되었다. 현행 개인정보 보호법은 정보통신서비스 제공자 등에 대한 특례로 구 정보통신망법과 같은 취지의 과징금 부과 규정을 두고 있다(제39조의15).
(2) 과징금부과조항 관련 규정의 체계
(가) 구 정보통신망법에 따르면, 정보통신서비스 제공자는 개인정보의 유출 등을 방지하기 위하여 대통령령으로 정하는 기준에 따라 기술적ㆍ관리적 조치를 할 의무가 있다(제28조 제1항). 구 정보통신망법 시행령에서는 조치 의무의 내용을 구체화하면서(제15조 제1항 내지 제5항), 보다 세부적인 기준은 방송통신위원회 고시에 위임하였다(제15조 제6항). 이에 따라 마련된 ‘개인정보의 기술적ㆍ관리적 보호조치 기준’에서는 개인정보의 안전성을 확보하기 위한 기술적ㆍ관리적 보호조치의 최소한의 기준을 정하는 한편, 사업규모, 개인정보 보유 수 등을 고려하여 스스로의 환경에 맞는 개인정보 보호조치 기준을 수립하여 시행하여야 한다고 명시하였다(제1조).
(나) 과징금부과조항이 포함된 구 정보통신망법 제64조의3 제1항 제6호는 개인정보의 유출 등이 발생한 경우로서 제28조 제1항 제2호부터 제5호까지의 조치를 하지 아니한 위반행위가 있는 경우에 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 과징금을 부과할 수 있도록 규정하고 있다. 구 정보통신망법은 이와 같은 과징금 부과와 별도로 제28조 제1항에 따른 조치를 하지 아니한 위반행위에 대해 3천만 원 이하의 과태료를 부과하도록 규정하고(제76조 제1항 제3호), 나아가 제28조 제1항 제2호부터 제5호까지의 조치를 하지 아니한 위반행위로 인하여 개인정보의 유출 등이 발생한 경우에는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처한다고 규정하고 있다(제73조 제1호).
다. 명확성원칙 위반 여부
(1) 법령을 명확한 용어로 규정할 것을 요구하는 명확성원칙은 민주주의와 법치주의의 원리에 기초하여 모든 기본권 제한입법에 요구되는 원칙이다. 법규범이 명확한지 여부는 그 법규범이 수범자에게 법규의 의미내용을 알 수 있도록 공정한 고지를 하여 예측가능성을 주고 있는지 여부 및 그 법규범이 법을 해석ㆍ집행하는 기관에게 충분한 의미내용을 규율하여 자의적인 법해석이나 법집행이 배제되는지 여부에 따라 판단할 수 있다. 법규범의 의미내용은 그 문언뿐만 아니라 입법목적이나 입법취지, 입법연혁, 그리고 법규범의 체계적 구조 등을 종합적으로 고려하는 해석방법에 의하여 구체화하게 된다. 따라서 법규범이 명확성원칙에 위배되는지 여부는 위와 같은 해석방법에 의하여 그 의미내용을 합리적으로 파악할 수 있는 해석기준을 얻을 수 있는지 여부에 달려 있다(헌재 2012. 11. 29. 2010헌바454 참조).
(2) 과징금부과조항은 ‘위반행위와 관련한 매출액’의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다고 규정하고 있다. 우선, ‘매출액’이란 사전적으로 ‘상품의 매출 또는 서비스의 제공에 대한 수입금액으로, 반제품, 부산품, 작업폐물 등을 포함한 총매출액에서 매출환입액 및 에누리액을 제외한 순매출액’을 의미한다.
한편, 정보통신서비스 제공자의 개인정보 보호조치 의무 위반 등과 관련하여 과징금을 부과하도록 하는 조항은 구 정보통신망법이 2008. 6. 13. 법률 제9119호로 개정되면서 처음 도입되었는데, 이미 과태료 및 형사처벌 규정이 있었음에도 별도로 과징금 규정을 신설한 것은 위반행위와 관련된 부당이득을 환수함으로써 제재의 실효성을 높이기 위함이었다. 그런데 개인정보의 도난, 유출 등은 정보통신서비스 제공자가 자신이 직접 이익을 얻을 목적으로 행하기보다는 정보통신서비스 제공자의 보호조치 미비 등 과실을 이용하는 제3자에 의하여 이루어지는 경우가 대부분이다. 그렇다면 과징금부과조항에 따른 과징금은 위반행위와 관련된 부당이득을 환수하는 성격과 개인정보 보호조치 의무 이행이라는 행정목적을 실현하기 위하여 그 위반행위에 대하여 제재를 가하는 행정상의 제재금으로서의 성격을 동시에 가진다.
나아가 ‘위반행위로 인하여 취득한 이익의 규모’는 위반행위의 내용 및 정도, 위반행위의 기간 및 횟수와 함께 과징금을 부과할 때 고려해야 할 여러 사항 중 하나에 불과하다(구 정보통신망법 제64조의3 제3항 참조).
위와 같은 사정을 종합하면, 과징금부과조항에서 ‘위반행위와 관련한 매출액’은 ‘위반행위로 인하여 취득한 이익’만을 의미하는 것이 아니라 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액을 의미하는 것임을 알 수 있다.
한편, 변화의 속도가 빠르고 계속해서 다양한 신기술이 등장하는 정보통신 분야의 특성상 개인정보의 유출이 발생하는 상황은 다양하고 가변적이며, 보호조치의 용이성, 유출된 개인정보의 활용 가능성과 이로 인하여 얻을 수 있는 이익의 범위, 피해의 정도 역시 다양할 수 있다. 특히 정보통신기술이 고도로 발달한 현대사회에서는 개인정보의 경제적 활용 가능성이 다양화되어 개인정보 보호조치 불이행 및 개인정보 유출이 직접적, 간접적으로 영향을 미치는 범위를 일률적으로 확정하기 어렵다. 따라서 법률조항에서 위반행위와의 관련성이 의미하는 바를 보다 구체적으로 규정하지 않고 개별 사안에 따라 적절히 구체화할 여지를 남겨두는 것이 입법기술상 반드시 부적절하다고 할 수 없다.
(3) 이상과 같이 매출액의 사전적 의미, 과징금부과조항의 입법목적, 과징금부과조항에 따른 과징금의 법적 성격, 구 정보통신망법상의 관련 규정, 현대사회에서 개인정보의 다양한 경제적 활용 가능성 등을 고려하면, 과징금부과조항에서 ‘위반행위와 관련한 매출액’이 위반행위로 인하여 취득한 이익만을 의미하는 것이 아니라 위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액을 의미하는 것임을 충분히 알 수 있다. 따라서 과징금부과조항 중 ‘위반행위와 관련한 매출액’ 부분은 명확성원칙에 위반되지 않는다.
라. 과잉금지원칙 위반 여부
(1) 목적의 정당성 및 수단의 적합성
정보화기술의 발달에 따라 많은 사람들이 각종 정보통신서비스를 사용하기 위하여 정보통신서비스 제공자에게 성명, 주민등록번호 등의 개인정보를 제공하고 있는 상황에서, 기업 간 고객유치 경쟁 등으로 개인정보의 수요가 급증하면서 개인정보 대량 유출 사례도 자주 발생하여 사회적 문제가 되어왔다. 개인정보가 유출될 시에는 명의도용, 신분증 위조, 보이스피싱 등 범죄에 악용되어 2차 피해가 발생할 우려가 있다.
과징금부과조항은 정보통신서비스 제공자가 구 정보통신망법이 정한 개인정보 보호조치 의무를 이행하도록 강제하여 이용자의 개인정보가 유출되는 것을 방지함으로써 이용자를 보호하기 위한 것으로서, 입법목적의 정당성이 인정된다. 과징금 부과는 정보통신서비스 제공자로 하여금 개인정보 보호조치 의무를 이행하도록 하는 효과가 있으므로, 수단의 적합성도 인정된다.
(2) 침해의 최소성
(가) 정보통신기술은 급속히 발전하고 개인정보 유출 범죄도 날로 지능화되어 가므로, 정보통신서비스 제공자가 제3자에 의한 개인정보 유출을 완벽하게 방지하는 것은 기술적으로 한계가 있다. 그러나 정보통신서비스 제공자는 이용자의 개인정보를 보호할 법률상ㆍ계약상의 의무가 있으므로, 고도의 기술을 이용한 해킹 등을 사전에 완벽하게 방지하기는 어렵다고 하더라도 적어도 법령상 요구되는 기술적ㆍ관리적 조치를 다하여야 한다.
과징금부과조항은 과징금 부과의 요건으로 정보통신서비스 제공자의 보호조치 의무 위반행위와 유출 사이의 인과관계를 명시적으로 요구하고 있지는 않지만, 정보통신서비스 제공자가 불법적인 접근을 차단하기 위한 접근 통제장치의 설치ㆍ운영, 개인정보를 안전하게 저장ㆍ전송할 수 있는 보안조치 등 법률에 명시된 보호조치를 하지 않은 경우에만 과징금을 부과할 수 있도록 하고 있다. 즉, 정보통신서비스 제공자가 제3자에 의한 개인정보 유출을 방지하지 못하였더라도 위와 같은 조치 의무를 이행하였다면 과징금 부과 대상이 되지 않으며, 개인정보가 유출되었다는 사실만으로 정보통신서비스 제공자의 고의ㆍ과실을 묻지 않고 과징금이 부과되는 것은 아니다. 따라서 과징금부과조항이 정보통신서비스 제공자에게 책임의 범위를 넘는 지나친 제재를 가하는 것이라고 볼 수 없다.
(나) 구 정보통신망법은 개인정보 보호조치 의무 위반행위에 대한 제재수단으로 과징금부과조항 외에도 과태료 및 형사처벌의 근거 조항을 두고 있으며, 경우에 따라서는 과징금과 함께 과태료나 형사처벌이 부과될 수도 있다.
그러나 과징금부과조항에 따른 과징금은 이용자의 개인정보가 유출된 경우로서 정보통신서비스 제공자가 개인정보 보호조치를 하지 아니한 경우에 부과할 수 있는 반면, 과태료는 정보통신서비스 제공자가 개인정보 보호조치를 하지 아니한 사실 자체만으로도 부과되고, 형사처벌은 정보통신서비스 제공자가 개인정보 보호조치를 하지 아니하고 이것이 원인이 되어 개인정보의 유출 등이 발생한 경우에 이루어지므로, 각 별도의 요건에 따라 부과되는 것일 뿐 하나의 사실에 대해 거듭 제재를 가하는 것이 아니다.
또한 과태료 및 형사처벌과 과징금은 서로 추구하는 목적이나 기능, 제재의 효과 등에 차이가 있고, 행정목적을 최적으로 실현하기 위해서는 그 지향점과 효과에 차이가 있는 다양한 의무이행수단을 동원하는 것이 필요할 때도 있다(헌재 2001. 5. 31. 99헌가18등; 헌재 2016. 4. 28. 2014헌바60등 참조). 구 정보통신망법 제28조 제1항에 규정된 보호조치 의무는 다수 이용자의 개인정보를 분실, 도난, 유출 등의 위험으로부터 보호할 수 있는 가장 기본적이고 필수적인 조치로서, 이를 위반한 경우에는 설령 유출의 결과가 발생하지 않았더라도 위반행위 자체에 대하여 제재를 가할 필요가 있다. 한편, 개인정보 유출로 인한 피해의 심각성과 광범성을 고려할 때, 실제로 유출이 발생한 경우에는 조치 의무 위반에 대하여 상대적으로 소액의 과태료를 부과하는 것만으로는 실효성 있는 제재가 되기에 부족하고, 위반행위와 관련한 매출액의 일정 비율을 상한으로 하는 보다 고액의 과징금을 부과함으로써 제재의 실효성을 확보할 필요성이 인정된다. 따라서 상황에 따라 과징금 부과처분과 함께 과태료나 형사처벌이 부과될 수 있다는 이유만으로 침해의 최소성을 갖추지 못하였다고 볼 수는 없다.
(다) 과징금부과조항은 ‘위반행위와 관련한 매출액의 100분의 3’을 과징금의 상한으로 정하고 있다. 과징금부과조항에 의한 과징금은 부당이득의 환수뿐만 아니라 제재를 통하여 위반행위를 억지하는 데에도 목적이 있으므로, 입법자는 정책적 관점에서 과징금의 상한을 정할 수 있다. 영리를 목적으로 하는 정보통신서비스 제공자가 법 위반행위를 하는 것은 궁극적으로는 경제적 이익을 얻기 위한 것이므로, 위반행위로 인하여 취득한 이익 및 위반행위와 관련한 분야의 일반적인 경제적 능력을 동시에 반영하는 ‘위반행위와 관련한 매출액’을 기준으로 과징금의 상한을 정한 것이 불합리하다고 보기는 어렵다(헌재 2003. 7. 24. 2001헌가25; 헌재 2016. 4. 28. 2014헌바60등 참조).
매출액을 기준으로 함으로써 경우에 따라 과징금의 상한이 매우 높아질 수도 있으나, 매출액이 큰 정보통신서비스 제공자는 다량의 개인정보를 수집ㆍ보관하고 있을 가능성이 높으므로 개인정보 유출에 따른 피해가 광범위하여 제재의 필요성이 더 크다. 또한 개인정보 보호를 위한 기술적ㆍ관리적 조치를 위해서는 상당한 비용이 소요될 수 있으므로, 제재로 인한 경제적 손실이 개인정보 보호조치에 소요되는 비용에 비해 미미하거나 매출액 규모에 비추어 무시할 만한 수준이라면 위반행위 억지의 효과를 충분히 확보할 수 없다.
한편, 과징금부과조항의 ‘위반행위와 관련한 매출액의 100분의 3’이라는 기준은 과징금의 상한을 정한 것이고, 최종적인 과징금 액수는 방송통신위원회가 위반행위의 내용 및 정도, 위반행위의 기간 및 횟수, 위반행위로 인하여 취득한 이익의 규모 등을 고려하여 정한다(구 정보통신망법 제64조의3 제3항 참조). 이에 따라 개별 상황의 특성 및 불법의 정도에 비례하는 상당한 금액의 범위 내에서만 과징금을 부과할 수 있으므로, 이러한 점에서도 과징금부과조항이 입법목적 달성에 필요한 수준 이상으로 과중한 제재를 가한다고 볼 수 없다.
(라) 따라서 과징금부과조항은 침해의 최소성을 갖추었다.
(3) 법익의 균형성
과징금부과조항에 따르면 정보통신서비스 제공자가 개인정보 보호조치 의무를 위반한 경우 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 과징금을 부과 받게 될 수 있고, 매출액이 높은 정보통신서비스 제공자는 경우에 따라 상당한 고액의 과징금을 부과 받게 될 수도 있다. 그러나 개인정보 유출은 다양한 2차 피해를 발생시킬 수 있으며, 특히 오늘날은 정보통신기술의 발달로 개인정보를 대규모로 처리하고 이용하는 것이 용이해지고 비대면 금융거래 등이 활성화되면서 타인의 개인정보를 악용할 위험성도 증대되었다. 이와 같은 상황에서 구 정보통신망법에서 정한 최소한의 개인정보 보호조치 의무를 위반하는 행위를 제재함으로써 개인정보의 유출을 방지하고자 하는 공익은 의무를 위반한 정보통신서비스 제공자가 받게 되는 금전적 불이익에 비하여 훨씬 중대하다. 따라서 과징금부과조항은 법익의 균형성을 갖추었다.
(4) 소결
과징금부과조항은 과잉금지원칙에 위배되어 청구인의 직업수행의 자유 및 재산권을 침해하지 않는다.
6. 결론
그렇다면 이 사건 심판청구 중 예외기준조항에 대한 심판청구는 부적법하므로 각하하고, 과징금부과조항은 헌법에 위반되지 아니하므로 주문과 같이 결정한다. 이 결정은 아래 7.과 같은 재판관 이은애의 과징금부과조항에 대한 반대의견이 있는 외에는 관여 재판관들의 일치된 의견에 의한 것이다.
7. 재판관 이은애의 과징금부과조항에 대한 반대의견
나는 법정의견과 달리 과징금부과조항이 과잉금지원칙에 위배되어 청구인의 직업수행의 자유 및 재산권을 침해한다고 판단하므로, 다음과 같이 반대의견을 밝힌다.
가. 목적의 정당성 및 수단의 적합성
과징금부과조항의 입법목적의 정당성 및 수단의 적합성이 인정된다는 점은 법정의견과 같다.
나. 침해의 최소성
(1) 정보통신기술은 날로 발전하고 개인정보 유출 범죄도 갈수록 지능화되어 가므로, 구 정보통신망법 제28조 제1항에 규정된 기술적ㆍ관리적 조치 미비 외에도 다양한 원인에 의해 개인정보가 유출될 수 있고, 때로는 정보통신서비스 제공자가 유출의 직접적인 원인과 관련하여 규정에 따른 보호조치를 하였음에도 불구하고 제3자가 그 기술적 한계 등을 이용하여 개인정보를 유출하는 경우도 발생할 수 있다.
그런데 과징금부과조항은 이용자의 개인정보가 유출된 경우로서 정보통신서비스 제공자가 구 정보통신망법 제28조 제1항 제2호, 제4호의 조치를 하지 아니한 경우에 과징금을 부과할 수 있도록 규정함으로써, 정보통신서비스 제공자의 위반행위와 개인정보 유출 사이에 인과관계가 없더라도 과징금 부과 대상이 될 수 있도록 하고 있다. 또한, 정보통신서비스 제공자가 비록 구 정보통신망법 제28조 제1항 제2호, 제4호의 조치는 하지 아니하였더라도 당해 유출의 직접적인 원인과 관련하여서는 유출을 방지하기 위해 상당한 주의를 다하였다거나 유출의 방지가 기술적으로 현저히 곤란하였다는 등의 사정이 있는 경우에는, 제28조 제1항 위반에 대한 책임은 별론으로 하고 당해 유출 자체에 대해서는 직접적인 책임이 있다고 보기 어려울 수 있는데, 과징금부과조항은 이러한 경우에 대해서도 명시적인 면책규정을 두고 있지 않다.
결국, 과징금부과조항에 따르면 개인정보의 유출을 정보통신서비스 제공자의 책임으로 돌릴 수 없는 경우에도 정보통신서비스 제공자에 대하여 과징금을 부과할 수 있도록 하는 것이므로, 입법목적에 비해 과중한 제재라 아니할 수 없다.
(2) 구 정보통신망법은 개인정보의 유출 등을 방지하기 위하여 제28조 제1항에 따른 기술적ㆍ관리적 조치를 하지 아니한 자에 대해서는 3천만 원 이하의 과태료를 부과한다(제76조 제1항 제3호 참조). 이와 동시에 과징금부과조항은 이용자의 개인정보가 유출된 경우로서 정보통신서비스 제공자가 제28조 제1항 제2호, 제4호의 조치를 하지 아니한 경우에는 과태료와 별도로 과징금을 부과할 수 있도록 한다. 따라서 하나의 위반행위에 대해서 과태료와 과징금을 중복하여 부과 받는 경우가 발생할 수 있다.
과태료 및 과징금은 비형벌적 제재로서 이중처벌금지원칙이 직접 적용되지는 않지만, 이중처벌금지의 원칙을 적용하지 않는다 하여 어떤 하나의 법 위반행위에 대하여 국가가 아무런 제한 없이 제재를 거듭하는 것이 헌법상 용인된다는 것은 아니다. 국민에게 부담을 가하는 공권력작용은 궁극적으로 비례성원칙의 제약을 벗어날 수 없으므로, 형벌적 제재와 비형벌적 제재의 병과 또는 비형벌적 제재 간의 병과를 인정하더라도 그 제재의 총합이 법 위반행위에 비하여 지나치게 과잉된 것이어서는 아니된다는 헌법적 견제원리는 여전히 유효하다(헌재 2003. 7. 24. 2001헌가25 참조).
과징금 중에는 부당이득 환수 기능이 강조되는 과징금 외에도 영업정지에 갈음하는 과징금 등 여러 변형된 형태가 존재한다. 만일 과징금부과조항의 주된 목적이 위반행위로 인하여 취득한 부당이득을 환수하기 위한 것이라면 과징금의 액수가 위반행위와 인과관계가 인정되는 범위 내로 한정되어야 할 것인데, 과징금부과조항은 정보통신서비스 제공자의 조치 의무 위반행위와 개인정보의 유출 사이의 인과관계를 명시적으로 요구하지 않고, 이용자의 개인정보가 유출된 경우로서 제28조 제1항 제2호, 제4호의 조치를 하지 아니한 경우에 해당하기만 하면 정보통신서비스 제공자에게 과징금을 부과할 수 있도록 한다.
따라서 과징금부과조항은 정보통신서비스 제공자가 위반행위로 인하여 취득한 부당이득을 엄밀하게 책정하여 이를 환수하는 기능보다는, 개인정보 유출의 발생이라는 추가적 구성요건이 충족되면 위반행위로 인하여 취득한 이득의 유무 및 액수를 불문하고 위반행위 그 자체에 대한 제재를 가중하는 기능을 한다. 이는 대량의 개인정보를 취급하는 정보통신서비스 제공자가 법령상 요구되는 기본적인 보호조치를 하지 아니하는 행위의 위험성과 중대성을 고려한 것으로 보인다. 그렇다면 과징금부과조항에 따른 과징금은 비록 명목은 과징금이지만 위반행위에 대한 제재로서 부과하는 금전적 부담이라는 점에서 그 목적과 성질이 과태료와 근본적으로 다르지 않다.
한편, 과징금부과조항이 정한 과징금 액수는 위반행위와 관련한 매출액의 100분의 3 이하이므로 매출액이 높은 정보통신서비스 제공자는 경우에 따라 상당한 고액의 과징금을 부과 받게 될 수도 있고, 과태료 액수도 3천만 원 이하이므로 경미하다고 보기 어렵다. 뿐만 아니라, 만일 이러한 상황에서 과징금 및 과태료 부과처분에 대하여 다투고자 하는 경우에는 하나의 위반행위와 관련된 것임에도 불구하고 과징금과 과태료 각각에 대하여 별개의 불복절차를 거쳐야 하므로 정보통신서비스 제공자의 입장에서 절차상의 불편과 비효율이 발생하기도 한다.
이상과 같이, 하나의 위반행위로 인하여 이미 과태료 부과 대상이 되었음에도 그 위반행위와 인과관계가 없는 외부의 우연한 사정으로 인하여 거듭하여 과징금이 부과될 수 있는 점, 이때 부과되는 과징금의 목적과 성질이 과태료와 근본적으로 다르지 않은 점, 중복하여 부과되는 금전적 제재의 총합이 상당한 고액이 될 수 있는 점, 불복절차가 이원화됨에 따른 불편이 발생하는 점 등을 고려할 때, 정보통신서비스 제공자로 하여금 개인정보 보호조치 의무를 이행하도록 실효성 있는 제재를 가할 필요성이 인정된다고 하더라도, 위반행위와 인과관계 없는 제3자의 행위에 의해 유출이 발생한 경우에까지 목적과 성질이 유사한 금전적 제재를 중복하여 부과하는 것은 위반행위에 비해 과중한 제재이다.
(3) 정보통신서비스 제공자의 개인정보 보호조치 의무 이행을 확보하면서도 과중한 중복 제재를 가하지 않는 덜 침해적인 방법도 충분히 가능하다. 우선, 불법성과 부당이득 환수의 필요성 등을 전체적으로 고려하여 이에 상응하는 단일한 금전적 제재를 부과하는 방법이 있다. 또한, 개인정보의 유출이 발생하지 않은 경우에 조치 의무 위반 자체를 제재할 필요성이 인정된다고 하더라도, 조치 의무 위반에 대한 과태료 조항과 유출이 발생한 경우에 대한 과징금 조항을 두면서 그와 동시에 ‘과징금을 부과한 행위에 대해서는 과태료를 부과할 수 없다’는 취지의 특례규정을 둔다면 동일한 행위에 대해서 거듭하여 금전적 제재를 가하는 부당한 결과를 피할 수 있다(개인정보 보호법 제76조 등 참조).
(4) 따라서 과징금부과조항은 침해의 최소성을 갖추지 못하였다.
다. 법익의 균형성
법률이 정한 최소한의 개인정보 보호조치 의무를 위반하는 행위를 제재함으로써 개인정보의 유출을 방지하고자 하는 공익은 중대하지만, 이미 발생한 유출과 관련하여 과징금을 부과하는 사후적 제재가 실질적으로 개인정보 보호에 기여하는 정도는 미미할 수 있다.
한편, 과징금부과조항은 위반행위와 관련한 매출액의 100분의 3에 달하는 과징금을 부과할 수 있도록 하므로, 경우에 따라서는 상대적으로 사소한 위반행위로 인하여 정보통신서비스 제공자가 더 이상 영업을 유지하지 못할 정도로 고액의 과징금이 부과되는 경우도 발생할 수 있다. 이에 더하여, 과징금과 함께 과태료도 중복 부과될 수 있는 점, 개인정보 유출 사례의 대부분은 정보통신서비스 제공자가 스스로 정보를 유출하여 이익을 취한 경우가 아니라 제3자의 해킹 등을 완벽히 방지하지 못한 경우인 점 등을 고려하면, 정보통신서비스 제공자에게 책임에 비해 지나친 경제적 부담을 가하게 될 수 있다. 따라서 과징금부과조항은 법익의 균형성을 충족하지 못한다.
라. 소결
그렇다면 과징금부과조항은 과잉금지원칙에 위배되어 청구인의 직업수행의 자유 및 재산권을 침해한다.
재판관 유남석 이선애 이석태 이은애 이종석 이영진 김기영 문형배 이미선