온라인 추적과 개인정보 집단소송의 한계
Lloyd v Google LLC, 영국 대법원 [2021] UKSC 50, 2021년 11월 10일 판결
1. 소송의 개요
가. 사건의 배경 및 당사자
- Google이 Safari 브라우저의 개인정보보호 설정을 우회하여 이용자의 인터넷 사용 정보를 동의 없이 수집·활용했다는 주장이 제기됨.
- 원고는 약 400만 명 이상의 iPhone 이용자를 대표하여 대규모 손해배상청구 소송을 제기함.
나. 적용 법률 및 법적 쟁점
- 당시 적용되던 영국 개인정보보호법(DPA 1998)에 따라 개인정보 통제권 상실만으로 손해배상을 청구할 수 있는지가 문제 됨.
- 개별 이용자의 피해를 심리하지 않고 동일한 금액을 청구하는 대표당사자소송의 허용 범위도 쟁점이 됨.
다. 영국 대법원의 결론
- 대법원은 단순한 법 위반이나 개인정보 통제권 상실만으로 일률적 손해배상을 인정할 수 없다고 판단함.
- 재산상 손해 또는 정신적 고통 등 실제 피해에 관한 입증이 필요하다고 보았으나, 대표당사자소송 자체를 금지한 것은 아니라고 설명함.
2. 주요 쟁점
가. 대표당사자소송의 동일한 이해관계 요건
- 집단 구성원에게 공통된 쟁점은 대표소송으로 판단할 수 있으나, 손해 규모가 개인마다 다르면 별도 평가가 필요함.
나. 개인정보 통제권 상실 자체가 손해인지
- DPA 1998에 따른 손해배상은 법 위반 자체가 아니라 그 위반으로 발생한 손해를 대상으로 함.
- 실제 피해 입증 없이 자동으로 배상받을 수는 없다고 판단함.
다. 사생활정보 부정이용과 법정 손해배상의 구별
- 사생활정보 부정이용에 관한 일반 불법행위 법리와 개인정보보호법상 손해배상청구는 별도의 요건을 적용해야 함.
라. 일률적 손해배상액 및 개인정보의 상업적 가치
- 이용자별 추적 기간, 정보 유형, 활용 방식과 피해 정도가 다르므로 동일한 배상액을 일괄 적용하기 어렵다고 판단함.
마. 후속 판례와 현행법의 구별
- 후속 판례에서도 집단 구성원 모두에게 공통으로 성립하는 청구원인에 대한 입증이 중요하게 다루어짐.
- 현재 개인정보 손해배상은 UK GDPR 및 Data Protection Act 2018 등 현행법에 따라 별도로 검토해야 함.
3. 분쟁의 경과
- 2011~2012년: Safari 브라우저를 이용한 개인정보 추적 의혹 발생.
- 2017년: 약 400만 명 이상을 대표하는 손해배상 소송 제기.
- 2018년: 고등법원이 개인별 피해 입증 부족 등을 이유로 해외송달 허가를 거절함.
- 2019년: 항소법원이 개인정보 통제권 상실에 따른 배상 가능성을 인정함.
- 2021년: 대법원이 항소법원 판단을 뒤집고 Google의 상고를 인용함.
4. 한국 기업에 대한 시사점
- 온라인 추적 규제 준수: 영국 대상 웹사이트와 앱은 제3자 쿠키, 광고 SDK 및 이용자 추적 도구의 작동 방식과 동의 요건을 점검해야 함.
- 위반과 손해배상의 구분: 개인정보보호법 위반 여부와 실제 손해에 따른 배상책임을 구분하여 평가해야 함.
- 집단소송 위험 분석: 집단 구성원 사이의 개인정보 처리 범위와 피해의 개별성을 분석하고, 공통 쟁점에 대한 대표소송 가능성도 고려해야 함.
- 국경 간 법 적용: 한국 기업도 영국 이용자를 대상으로 서비스를 제공하거나 행태를 추적하는 경우 영국 개인정보보호법 적용 여부를 검토해야 함.
- 기술·계약·증거 관리: 쿠키 설정, 이용자 동의기록, 광고 SDK의 데이터 전송 내역 및 외부 사업자와의 책임 범위를 관리해야 함.
- 현행법 확인: 본 판결은 DPA 1998에 관한 것으로, 현재는 UK GDPR과 DPA 2018을 기준으로 검토해야 하며 EU법과도 구분해야 함.
▶ 자세한 내용은 첨부 PDF를 참고하시기 바랍니다.