이충수 개인정보 보호책임자의 디지털 시대의 새로운 에티켓, 개인정보 보호
한 번도 정보를 준 적 없는 회사에서 정확히 내 이름과 주소가 적힌 광고 우편물이 날아온다. 이렇다 할 이유 없이 휴대폰 계약이나 카드 발급이 거절된다. 이런 일들의 배경에는 대개 소비자가 이름조차 들어본 적 없는 회사가 끼어있다.
이름, 생년월일, 주소, 구매 성향 같은 정보를 대량으로 사들이고 되파는 것을 업으로 삼는 이른바 데이터 브로커다. 독일과 오스트리아에서 최근 몇 년간 이어진 일련의 소송은 이 업계가 얼마나 조용히, 그리고 얼마나 광범위하게 활동해왔는지를 보여준다.
사라진 조항의 그림자
독일에서 주소 거래가 오랫동안 가능했던 배경에는 구 연방정보보호법(BDSG) 제28조 3항의 이른바 ‘명부특례(Listenprivileg)’가 있었다. 물론 이 조항이 모든 개인정보를 무제한으로 사고팔 수 있게 해준 것은 아니었다.
이름, 직함, 학위, 소속 집단, 직업이나 업종, 주소, 출생연도처럼 법이 정해놓은 항목으로만 구성된 ‘명부’ 형태의 정보에 한해서, 일정 요건 아래 광고 목적의 처리와 제공이 허용됐을 뿐이다. 그러나 이 좁은 예외가 독일 주소거래 산업 전체를 떠받치는 토대가 되기에는 충분했다.
오늘날 주소 판매업체들은 정확히 같은 관행을 GDPR 제6조 1항 f호, 이른바 “정당한 이익”이라는 조금 더 추상적인 근거 위에서 이어가고 있다. 실제로 2024년 2월 슈투트가르트 고등법원은 주소거래업체가 스위스 기업으로부터 사들인 개인정보를 광고에 활용한 사건에서, 광고 대상자와 아무런 고객관계가 없더라도 이런 처리가 ‘정당한 이익’에 근거해 허용될 수 있다고 판단했다. 법의 이름이 바뀌었을 뿐, 정보가 흘러가는 통로는 여전히 열려 있는 셈이다.
오스트리아에서 시작된 균열
이 오래된 관행에 처음으로 균열을 낸 것은 독일이 아니라 이웃 나라 오스트리아였다. 발단은 사소했다. 한 시민이 신용평가사 CRIF에 자신의 정보 열람을 청구했다. 돌아온 답변에는 이름과 생년월일, 그리고 몇 개의 오래된 주소가 담겨 있었다. 데이터 출처로는 단 하나, 베텔스만 그룹 계열의 주소출판사 AZ Direct 오스트리아만 적혀 있었다.
문제는 여기서 시작됐다. AZ Direct가 수집한 정보는 원래 광고 목적으로만 쓰일 수 있는 것이었는데, CRIF는 이를 넘겨받아 신용점수 산정에 활용하고 있었다.
시민단체 noyb의 지원을 받은 이 신고는 2023년 3월 오스트리아 데이터보호청(DSB)의 결정으로 이어졌다. 적어도 신고인 개인에 관한 한, AZ Direct로부터 넘겨받은 이름, 주소, 생년월일을 신용평가 목적으로 처리한 것은 GDPR의 적법성 원칙과 목적제한 원칙에 어긋난다는 판단이었다.
noyb는 이 사건을 데이터 거래 관행을 보여주는 대표사건으로 평가했다. CRIF가 AZ Direct와의 협력을 통해 사실상 모든 성인 오스트리아인의 정보를 모으고 여기에 신용점수를 매긴 뒤, 원하는 어떤 기업에든 판매용으로 제공해왔다는 것이 noyb 측 주장이었다 — 잘란도 같은 온라인 쇼핑몰, 미디어마르크트 같은 전자제품 판매점, 여러 통신사와 은행이 실제로 이 점수를 고객 파악에 활용해온 것으로 드러났다.
오스트리아에서 독일로 번진 데이터 거래 논란
오스트리아에서 확인된 문제는 독일에서도 유사한 형태로 나타났다. noyb는 2021년부터 독일의 신용평가사 CRIF Bürgel과 주소거래업체 Acxiom Deutschland를 상대로, Acxiom이 보유하던 수백만 명의 이름, 주소, 생년월일이 신용평가 목적으로 CRIF에 제공, 이용되었다는 내용의 신고를 제기해왔다.
정보주체가 자신의 개인정보에 대한 열람을 요구했지만, CRIF가 그 데이터를 언제, 어떤 출처에서 취득했는지, 얼마 동안 보관하는지, 누구에게 제공했는지 등 핵심 정보를 충분히 공개하지 않았다는 것이 noyb의 주장이었다.
바이에른주 데이터보호청(BayLDA)도 이와 비슷한 결론에 이르렀다. 2024년 2월 5일 noyb가 공개한 바에 따르면, CRIF 뷔르겔이 Acxiom Deutschland로부터 넘겨받은 주소 데이터를 신용평가에 이용한 것은 목적제한 원칙 위반이며, 정보주체의 열람 요청에도 충분히 답하지 않았다는 것이었다.
CRIF는 이 결정에 이의를 제기하지 않아 그대로 확정됐다. 다만 이 결정이 독일 내 모든 주소거래업체와의 데이터 거래를 일반적으로 금지한 것은 아니라는 점은 분명히 해둘 필요가 있다. CRIF의 이번 처리행위 하나를 위법하다고 본 개별 사건 판단이었다.
패소로 시작해 승소로 끝난 소송
데이터 브로커에 대한 법 집행이 늘 이렇게 더디게만 흘러가는 것은 아니다. 폴란드에서 있었던 사건은 오히려 반대의 교훈을 준다.
스웨덴 기업정보업체 비스노드(Bisnode)의 폴란드 법인은 공개 등록부에서 수집한 600만 건이 넘는 사업자 정보를 처리하면서, 이메일 주소가 확인된 일부에게만 통지하고 나머지는 자사 웹사이트에 공지문을 올리는 것으로 대신했다. 폴란드 데이터보호청(UODO)은 이를 GDPR 제14조 정보제공 의무 위반으로 보고 약 22만 유로의 과징금을 부과했다. GDPR 발효 이후 유럽에서 정보제공 의무 위반을 이유로 부과된 최초의 과징금이었다.
비스노드는 곧바로 불복했다. 2019년 바르샤바 지방행정법원은 절차상 하자를 이유로 이 과징금을 취소했다. 당국이 영향을 받은 정보 건수를 600만 건으로 제시하고도 비스노드가 이를 다투자 제대로 입증하지 못했다는 이유였다. 언뜻 데이터 브로커의 승리처럼 보이는 결말이었다.
그러나 UODO는 이에 불복해 상급심으로 사건을 끌고 갔고, 폴란드 최고행정법원(NSA)은 수년에 걸친 다툼 끝에 결국 당국의 손을 들어주었다. 정보제공 의무 위반이 있었다는 판단, 그리고 이를 이유로 과징금을 부과할 수 있다는 원칙 자체는 최종적으로 유지된 것이다.
무엇을 할 수 있는가
이런 이야기들 앞에서 개인이 완전히 무력한 것은 아니다. GDPR 제21조 2항은 직접 마케팅을 목적으로 개인정보가 처리되는 경우 누구든 언제든지 이의를 제기할 권리를 부여한다.
이의를 제기하면 해당 기업은 더 이상 광고를 발송할 수 없다. 다만 이미 인쇄되어 발송 준비 중인 우편물은 일정 기간 감수해야 한다는 예외는 있다.
독일소비자보호협회 등이 연계하여 운영하는 이른바 ‘로빈슨리스트(Robinsonliste)’에 등록하면, 참여 기업들로부터 등록 후 5년 동안 우편, 이메일 광고를 받지 않을 수 있다. 다만 이 제도가 법적 의무가 아니라 업계의 자율적 조치라는 점은 분명히 해둘 필요가 있다.
리스트 등록이 원치 않는 광고에 대한 완전한 보장이 될 수는 없다는 것이다. 결국 가장 확실한 수단은 여전히 개별 기업에 대한 GDPR 제21조 이의제기와, 자신의 정보가 어디에 저장되어 있는지를 확인하는 제15조 열람청구다.
한국의 신용정보법 체계는 신용정보와 마케팅 목적 개인정보의 수집 목적을 애초에 엄격히 분리하도록 규정하고 있어, CRIF•AZ Direct 같은 ‘목적 전용’ 문제에 대해서는 상대적으로 명확한 법적 근거를 갖고 있다. 그러나 독일과 오스트리아의 사례가 보여주듯, 법 조문에 목적제한 원칙이 명시되어 있다는 사실만으로 실제 관행까지 저절로 바뀌지는 않는다.
결국 그 간극을 메우는 것은 법 조문이 아니라, 정보 열람을 청구하고 이의를 제기하는 개개인의 행동, 그리고 그것을 뒷받침하는 시민단체와 감독기구의 끈질긴 절차였다.
1471호 16면, 2026년 8월 21일