헌법재판소
2024헌바153
구 개인정보 보호법 제39조의15 제1항 제5호 위헌소원
결정일: 2025년 10월 23일
결정요지
참조조문
결정 전문
【당 사 자】
사 건 2024헌바153 구 개인정보 보호법 제39조의15 제1항 제5호 위헌소원
청 구 인 주식회사 ○○
대표이사 박○○, 임○○
대리인 법무법인(유한) 세종담당변호사 민일영, 배호근, 김광재, 이승혁, 전준오
당 해 사 건 대법원 2023두61554 과징금부과처분 취소청구의 소
선 고 일 2025. 10. 23.
【주 문】
구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것) 제39조의15 제1항 제5호 중‘이용자의 개인정보를유출한 경우로서 정보통신서비스 제공자가 제29조의 조치를 하지 아니한 경우’에 관한 부분은 헌법에 위반되지 아니한다.
【이 유】
1. 사건개요
가. 청구인은 초등학생 대상 인터넷 학습사이트 ‘○○(인터넷 홈페이지 주소 생략)’ 서비스(이하 ‘○○ 서비스’라 한다)를 운영하는 법인으로 ‘개인정보 보호법’ 제2조 제5호의 개인정보처리자이자 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(이하 ‘정보통신망법’이라 한다) 제2조 제1항 제3호의 정보통신서비스 제공자이다.
나. 청구인의 데이터베이스(DB) 관리자는 2021. 4. 7. ○○ 서비스 DB에 저장된 개인정보를 조회하는 비정상 쿼리(Query)를 발견하여 회원정보 유출 사실을 인지하고, 같은 날 주식회사 □□의 △△ 웹 서버에 관리자의 권한을 해커가 무단으로 취득할 수 있게 하는 악성코드인 웹 셸(web shell)과, △△ 웹 서버에서 ○○ 서비스 웹 서버로 데이터 이동을 가능하게 하는 터널링(tunneling) 프로그램이 존재한다는 사실을 확인하였다. 청구인은 2021. 4. 8. 한국인터넷진흥원에 개인정보 유출 흔적이 감지되었다고 신고하였다.
개인정보 보호위원회는 2021. 4. 9.부터 2021. 9. 1.까지 청구인에 대하여 개인정보 취급ㆍ운영 실태 및 개인정보 보호법 위반 여부를 조사하였고, 그 결과 ○○ 서비스에 보관된 이용자의 개인정보[이름, 아이디, 생년월일, 학년, 학교명(코드), 이메일, 주소, 전화번호, 휴대전화번호, 학부모 이름, 학부모 휴대전화번호, 학부모 생년월일] 23,624건이 유출되었음을 확인하였다.
다. 개인정보 보호위원회는 2021. 10. 27. 의결 제○○-○○-○○호로 청구인이 ‘개인정보 보호법’ 제29조에 따른 안전조치의무 중 불법적인 접근을 차단하기 위한 조치 의무(구 개인정보 보호법 시행령 제48조의2 제1항 제2호 나.목) 및 접속기록의 위조ㆍ변조 방지를 위한 조치 의무(같은 항 제3호 가.목)를 위반하였다고 보아 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호 및 구 ‘개인정보 보호법 시행령’ 제48조의11 등을 근거로 하여 청구인에게 위법사항에 대한 시정조치 명령과 공표, 과징금 903,353,000원, 과태료 17,400,000원을 부과하는 처분을 하였다(이하 이 중에서 과징금 부과 부분을 ‘이 사건 과징금부과처분’이라 한다).
라. 청구인은 이 사건 과징금부과처분의 취소를 구하는 소를 제기하였으나, 2023. 1. 13. 청구인의 청구가 기각되었다(서울행정법원 2022구합61564). 이후 청구인이 항소하였으나 2023. 11. 2. 기각되었고(서울고등법원 2023누34486), 이에 청구인이 상고하였으나 2024. 4. 4. 심리불속행 기각되었다(대법원 2023두61554).
마. 청구인은 상고심 계속 중 이 사건 과징금부과처분의 근거가 되는 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호에 대하여 위헌법률심판제청신청을 하였으나, 2024. 4. 4. 위 신청이 기각되자(대법원 2024아1014), 2024. 4. 30. 이 사건 헌법소원심판을 청구하였다.
2. 심판대상
청구인은 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호 전체에 대하여 헌법소원심판을 청구하였다.
그런데 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호는 정보통신망법 제2조 제1항 제3호에 따른 정보통신서비스 제공자와 그로부터 구 ‘개인정보 보호법’ 제17조 제1항에 따라 이용자의 개인정보를 제공받은 자를 규율대상으로 하고 있고(구 개인정보 보호법 제39조의4 제1항 참조), 청구인은 그 중 정보통신망법상의 정보통신서비스 제공자에 해당한다. 또한 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호는 이용자의 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손한 경우에 대하여 규정하고 있는데, 청구인은 그 중 이용자의 개인정보를 ‘유출’한 경우에 해당함을 이유로 이 사건 과징금부과처분을 받았다. 그렇다면 심판대상을 청구인에게 적용되는 부분으로 한정함이 상당하다.
따라서 이 사건 심판대상은 구 ‘개인정보 보호법’(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것, 이하 ‘구 개인정보 보호법’이라 하고, 특별히 연혁이 문제되지 않을 경우 ‘개인정보 보호법’이라고만 한다) 제39조의15 제1항 제5호 중 ‘이용자의 개인정보를 유출한 경우로서 정보통신서비스 제공자가 제29조의 조치를 하지 아니한 경우’에 관한 부분(이하 ‘심판대상조항’이라 한다)이 헌법에 위반되는지 여부이다. 심판대상조항 및 관련조항은 다음과 같다.
[심판대상조항]
구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것)
제39조의15(과징금의 부과 등에 대한 특례) ① 보호위원회는 정보통신서비스 제공자등에게 다음 각 호의 어느 하나에 해당하는 행위가 있는 경우에는 해당 정보통신서비스 제공자등에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다.
5. 이용자의 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손한 경우로서 제29조의 조치(내부 관리계획 수립에 관한 사항은 제외한다)를 하지 아니한 경우(제39조의14에 따라 준용되는 경우를 포함한다)
[관련조항]
개인정보 보호법(2015. 7. 24. 법률 제13423호로 개정된 것)
제29조(안전조치의무) 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.
구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것)
제39조의15(과징금의 부과 등에 대한 특례) ③ 보호위원회는 제1항에 따른 과징금을 부과하려면 다음 각 호의 사항을 고려하여야 한다.
1. 위반행위의 내용 및 정도
2. 위반행위의 기간 및 횟수
3. 위반행위로 인하여 취득한 이익의 규모
④ 제1항에 따른 과징금은 제3항을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다.
제73조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처한다.
1. 제23조 제2항, 제24조 제3항, 제25조 제6항, 제28조의4 제1항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손당한 자
제75조(과태료) ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만 원 이하의 과태료를 부과한다.
6. 제23조 제2항, 제24조 제3항, 제25조 제6항, 제28조의4 제1항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자
구 개인정보 보호법 시행령(2020. 8. 4. 대통령령 제30892호로 개정되고, 2023. 9. 12. 대통령령 제33723호로 개정되기 전의 것)
제48조의2(개인정보의 안전성 확보 조치에 관한 특례) ① 정보통신서비스 제공자("정보통신망 이용촉진 및 정보보호 등에 관한 법률" 제2조 제1항 제3호에 해당하는 자를 말한다. 이하 같다)와 그로부터 이용자(같은 법 제2조 제1항 제4호에 해당하는 자를 말한다. 이하 같다)의 개인정보를 법 제17조 제1항 제1호에 따라 제공받은 자(이하 "정보통신서비스 제공자등"이라 한다)는 이용자의 개인정보를 처리하는 경우에는 제30조에도 불구하고 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야 한다.
2. 개인정보에 대한 불법적인 접근을 차단하기 위한 다음 각 목의 조치
나. 개인정보처리시스템에 대한 침입차단시스템 및 침입탐지시스템의 설치ㆍ운영
3. 접속기록의 위조ㆍ변조 방지를 위한 다음 각 목의 조치
가. 개인정보취급자가 개인정보처리시스템에 접속하여 개인정보를 처리한 경우 접속일시, 처리내역 등의 저장 및 이의 확인ㆍ감독
구 개인정보 보호법 시행령(2020. 8. 4. 대통령령 제30892호로 개정되고, 2022. 7. 19. 대통령령 제32813호로 개정되기 전의 것)
제48조의11(과징금의 산정기준 등에 관한 특례) ④ 법 제39조의15 제4항에 따른 과징금의 산정기준과 산정절차는 별표 1의5와 같다.
별표 1의5 ([별지]와 같다)
3. 청구인의 주장
가. 심판대상조항은 안전조치의무 위반과 개인정보 유출 사이에 인과관계가 없는 경우에도 안전조치의무 위반행위가 있고 개인정보 유출이 발생하기만 하면 과징금을 부과할 수 있도록 규정하고 있어 자기책임원리에 반하고, 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
나아가 심판대상조항이 인과관계를 요구하지 아니함으로 인하여 개인정보 유출의 결과 발생과 인과관계가 인정되는 안전조치의무 위반행위가 있는 기간 뿐 아니라 인과관계가 없는 안전조치의무 위반행위가 있는 기간까지 위반기간으로 산입되어 과징금 산정 시 금액이 가산될 수 있는데, 이는 청구인에게 과다한 경제적 부담을 가하는 것으로서 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
나. 심판대상조항은 과징금의 상한을 ‘위반행위와 관련한 매출액의 100분의 3’으로 정하고 있는데, 매출액의 100분의 3이라는 수치는 위반자의 영업 이익 등과 비교할 때 지나치게 높은 수치로서 과징금이 과다하게 될 우려가 있어 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
다. 안전조치의무 위반행위가 있으면 구 ‘개인정보 보호법’ 제75조 제2항 제6호에 따라 과태료를 부과 받는데, 그에 더하여 개인정보가 유출된 경우 심판대상조항에 의하여 과징금을 부과 받을 수 있다. 그런데 개인정보 유출의 결과 발생과 안전조치의무 위반 사이에 인과관계가 없는 경우까지 목적과 성질이 유사한 금전적 제재를 중복하여 부과하는 것은 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
4. 판단
가. 쟁점의 정리
(1) 심판대상조항은 이용자의 개인정보를 유출한 경우로서 정보통신서비스 제공자가 ‘개인정보 보호법’ 제29조의 조치를 하지 아니한 경우에 해당하면 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과함으로써 정보통신서비스 제공자의 직업수행의 자유를 제한하고, 그 책임재산을 감소시킨다는 측면에서 재산권도 제한한다(헌재 2022. 5. 26. 2020헌바259 참조).
따라서 심판대상조항이 과잉금지원칙에 위배되어 정보통신서비스 제공자의 직업수행의 자유 및 재산권을 침해하는지 여부를 살펴본다.
(2) 청구인은 심판대상조항이 위반행위와 개인정보 유출 사이에 인과관계가 없거나 정보통신서비스 제공자에게 귀책사유가 없는 경우에도 과징금을 부과할 수 있도록 정하고 있어 자기책임원리에 위반된다고 주장한다. 그러나 이와 같은 청구인의 주장은 심판대상조항이 인과관계 증명을 요구하지 않는 것이 과중한 내용의 제재라는 것이므로 과잉금지원칙 위반 여부를 판단하면서 함께 검토할 수 있으므로 자기책임원리 위반을 별도로 판단하지 않는다.
나. 과잉금지원칙 위반 여부
(1) 목적의 정당성 및 수단의 적합성
정보화기술의 발달에 따라 많은 사람들이 각종 정보통신서비스를 사용하기 위하여 정보통신서비스 제공자에게 성명, 주민등록번호 등의 개인정보를 제공하고 있는 상황에서, 기업 간 고객유치 경쟁 등으로 개인정보의 수요가 급증하면서 개인정보 대량 유출 사례도 자주 발생하여 사회적 문제가 되어왔다. 개인정보가 유출될 때에는 명의도용, 신분증 위조, 보이스피싱 등 범죄에 악용되어 2차 피해가 발생할 우려가 있다.
심판대상조항은 개인정보를 처리하는 정보통신서비스 제공자가 ‘개인정보 보호법’이 정한 개인정보처리자의 안전조치의무를 이행하도록 강제하여 이용자의 개인정보가 유출되는 것을 방지함으로써 이용자를 보호하기 위한 것으로서, 입법목적의 정당성이 인정된다. 과징금 부과는 개인정보를 처리하는 정보통신서비스 제공자로 하여금 안전조치의무를 이행하도록 하는 효과가 있으므로, 수단의 적합성도 인정된다(헌재 2022. 5. 26. 2020헌바259 참조).
(2) 침해의 최소성
(가) 정보통신기술은 급속히 발전하고 개인정보 유출 범죄도 날로 지능화되어 가므로, 개인정보를 처리하는 정보통신서비스 제공자가 제3자에 의한 개인정보 유출을 완벽하게 방지하는 것은 기술적으로 한계가 있다. 그러나 정보통신서비스 제공자 역시 개인정보처리자로서 법률상ㆍ계약상 정보주체의 개인정보를 안전하게 관리하여야 할 의무가 있으므로(개인정보 보호법 제3조 제4항 참조), 고도의 기술을 이용한 해킹 등을 사전에 완벽하게 방지하기는 어렵다고 하더라도 적어도 법령상 요구되는 기술적ㆍ관리적 조치를 다하여야 한다(헌재 2022. 5. 26. 2020헌바259 참조).
정보통신기술의 급속한 발전과 개인정보 유출 범죄의 지능화를 고려하면 개인정보 보호위원회가 모든 개인정보 유출 사안에 대하여 정보통신서비스 제공자의 고의ㆍ과실로 인한 의무위반 행위와 유출 사이의 인과관계를 증명하는 것 역시 마찬가지로 기술적 한계가 있다고 할 것이다.
심판대상조항은 과징금 부과의 요건으로 정보통신서비스 제공자의 안전조치의무 위반행위와 유출 사이의 인과관계 증명을 명시적으로 요구하고 있지는 않지만, 이 사건에서처럼 개인정보 보호에 필수적인 조치로서 법령에 명시된 안전성 확보를 위한 조치를 하지 않은 경우에만 과징금을 부과할 수 있도록 하고 있다. 즉, 정보통신서비스 제공자가 제3자에 의한 개인정보 유출을 방지하지 못하였더라도 위와 같은 안전조치의무를 준수하였다면 과징금 부과 대상이 되지 않으며, 개인정보가 유출되었다는 사실만으로 정보통신서비스 제공자의 고의ㆍ과실을 묻지 않고 과징금이 부과되는 것은 아니다(헌재 2022. 5. 26. 2020헌바259 참조).
한편, 정보통신서비스 제공자가 과징금을 부과 받지 않기 위하여 취하여야 할 안전조치의무는 법령에 명시된 것에 한하므로, 이는 정보통신서비스 제공자가 개인정보처리자로서 법률상ㆍ계약상 정보주체의 개인정보를 안전하게 관리하여야 할 의무보다 경감된 의무이다. 따라서 정보통신서비스 제공자가 법령에서 정하고 있는 안전조치의무를 다 하였다면 심판대상조항에 따라 과징금이 부과되지는 아니한다.
또한 심판대상조항은 과징금의 부과 여부를 재량행위로 규정하고 있으므로 개인정보 보호위원회로서는 구체적ㆍ개별적 사정을 고려하여 과징금을 부과하지 아니할 수 있다. 나아가 과징금 부과처분은 행정목적의 달성을 위하여 행정법규 위반이라는 객관적 사실에 착안하여 가하는 제재적 행정처분으로서 행정법규 위반자의 의무 해태를 탓할 수 없는 정당한 사유가 있는 등의 특별한 사정이 있는 경우에는 부과될 수 없다고 보아야 하므로(대법원 2002. 5. 24. 선고 2001두3952 판결; 대법원 2014. 10. 15. 선고 2013두5005 판결; 대법원 2020. 7. 9. 선고 2020두36472 판결; 헌재 2016. 4. 28. 2014헌바60등 참조), 정보통신서비스 제공자로서는 재판절차 등에서 정당한 사유 등 특별한 사정이 있다는 점을 주장할 수도 있을 것이다.
위와 같은 사정을 고려할 때 심판대상조항이 정보통신서비스 제공자에게 책임의 범위를 넘는 지나친 제재를 가하는 것이라고 볼 수 없다.
(나) 구 ‘개인정보 보호법’은 안전조치의무 위반행위에 대한 제재수단으로 심판대상조항이 정한 과징금 외에도 과태료(제75조 제2항 제6호) 및 형사처벌(제73조 제1호)을 두고 있으며, 경우에 따라서는 과징금과 함께 과태료나 형사처벌이 부과될 수도 있다.
그러나 심판대상조항에 따른 과징금은 이용자의 개인정보가 유출된 경우로서 정보통신서비스 제공자가 개인정보 안전성 확보조치를 하지 아니한 경우에 부과할 수 있는 반면, 과태료는 개인정보 안전성 확보조치를 하지 아니한 사실 자체만으로 부과되고, 형사처벌은 개인정보 안전성 확보조치를 하지 아니하고 이것이 원인이 되어 개인정보의 유출 등이 발생한 경우에 이루어지므로, 각 별도의 요건에 따라 부과되는 것일 뿐 하나의 사실에 대해 거듭 제재를 가하는 것이 아니다(헌재 2022. 5. 26. 2020헌바259 참조).
형사처벌은 범죄행위에 대한 국가형벌권의 행사이고, 과태료는 질서위반행위에 대한 행정적 제재로서 이뤄지는 것임에 반하여 과징금은 법령 위반 행위에 대하여 행정적 제재를 가함과 동시에 위반 행위로 얻은 이득을 환수하기 위하여 부과되는 것이므로, 과태료 및 형사처벌과 과징금은 서로 추구하는 목적이나 기능, 제재의 효과 등에 차이가 있고, 행정목적을 최적으로 실현하기 위해서는 그 지향점과 효과에 차이가 있는 다양한 의무이행수단을 동원하는 것이 필요할 때도 있다(헌재 2001. 5. 31. 99헌가18등; 헌재 2016. 4. 28. 2014헌바60등 참조). ‘개인정보 보호법’ 제29조에 규정된 안전조치의무는 다수 이용자의 개인정보를 분실, 도난, 유출 등의 위험으로부터 보호할 수 있는 가장 기본적이고 필수적인 조치로서, 이를 위반한 경우에는 설령 유출의 결과가 발생하지 않았더라도 위반행위 자체에 대하여 과태료 등의 제재를 가할 필요가 있다. 한편, 개인정보 유출로 인한 피해의 심각성과 광범성을 고려할 때, 실제로 유출이 발생한 경우에는 안전조치의무 위반에 대하여 상대적으로 소액의 과태료를 부과하는 것만으로는 실효성 있는 제재가 되기에 부족하고, 위반행위와 관련한 매출액의 일정 비율을 상한으로 하는 보다 고액의 과징금을 부과함으로써 제재의 실효성을 확보할 필요성이 인정된다(헌재 2022. 5. 26. 2020헌바259 참조). 또한 개인정보 유출로 인한 피해는 비가역적임을 고려할 때, 정보통신서비스 제공자의 안전조치의무 위반과 관련한 이득을 환수할 것을 규정함으로써 사전에 정보통신서비스 제공자가 안전조치의무의 이행을 소홀히 하는 경제적 유인을 박탈하여 개인정보 유출을 미연에 방지할 수 있다는 점에서 형사처벌이나 과태료 부과 이외에 부당이득 환수적 성격을 가지는 과징금을 부과하여야 할 필요성이 인정된다.
따라서 상황에 따라 과징금 부과처분과 함께 과태료나 형사처벌이 부과될 수 있다는 이유만으로 심판대상조항이 침해의 최소성을 갖추지 못하였다고 볼 수는 없다.
(다) 심판대상조항은 ‘위반행위와 관련한 매출액의 100분의 3’을 과징금의 상한으로 정하고 있다. 심판대상조항에 의한 과징금은 부당이득의 환수뿐만 아니라 제재를 통하여 위반행위를 억지하는 데에도 목적이 있으므로, 입법자는 정책적 관점에서 과징금의 상한을 정할 수 있다. 영리를 목적으로 하는 정보통신서비스 제공자가 법 위반행위를 하는 것은 궁극적으로는 경제적 이익을 얻기 위한 것이므로, 위반행위로 인하여 취득한 이익 및 위반행위와 관련한 분야의 일반적인 경제적 능력을 동시에 반영하는 ‘위반행위와 관련한 매출액’을 기준으로 과징금의 상한을 정한 것이 불합리하다고 보기는 어렵다(헌재 2022. 5. 26. 2020헌바259 참조).
심판대상조항에서 과징금 상한 산정의 기준으로 정한 ‘위반행위와 관련한 매출액’이란 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액’(헌재 2022. 5. 26. 2020헌바259 참조)을 의미하고, 이는 유출사고가 발생한 개인정보를 보유ㆍ관리하고 있는 서비스의 범위를 기준으로 판단(대법원 2023. 10. 12. 선고 2022두68923 판결 참조)하게 되는 등 명확한 기준에 의하여 결정되므로, 그 범위가 무한정 확대되는 과중한 제재라고 볼 수 없다.
매출액을 기준으로 함으로써 경우에 따라 과징금의 상한이 매우 높아질 수도 있으나, 매출액이 큰 정보통신서비스 제공자는 다량의 개인정보를 수집ㆍ보관하고 있을 가능성이 높으므로 개인정보 유출에 따른 피해가 광범위하여 제재의 필요성이 더 크다. 또한 개인정보 보호를 위한 기술적ㆍ관리적 조치를 위해서는 상당한 비용이 소요될 수 있으므로, 제재로 인한 경제적 손실이 개인정보 보호조치에 소요되는 비용에 비해 미미하거나 매출액 규모에 비추어 무시할 만한 수준이라면 위반행위 억지의 효과를 충분히 확보할 수 없다(헌재 2022. 5. 26. 2020헌바259 참조).
한편, 심판대상조항의 ‘위반행위와 관련한 매출액의 100분의 3’이라는 기준은 과징금의 상한을 정한 것이고, 최종적인 과징금 액수는 개인정보 보호위원회가 위반행위의 내용 및 정도, 위반행위의 기간 및 횟수, 위반행위로 인하여 취득한 이익의 규모 등을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다(구 ‘개인정보 보호법’ 제39조의15 제3항, 제4항 참조). 이에 따라 제정된 과징금 산정기준을 구체적으로 살펴보면, 과징금은 위반행위와 관련한 매출액에 고의ㆍ중과실 여부, 영리 목적의 유무, 위반행위로 인한 개인정보의 피해규모, 개인정보의 공중에 노출 여부 및 위반행위로 인하여 취득한 이익의 규모 등을 고려한 위반행위의 중대성에 따라 구분된 과징금 산정비율을 곱하여 산출한 금액으로 하되, 위반행위의 기간과 횟수 등을 고려하여 기준금액의 100분의 50의 범위에서 필수적으로 가중ㆍ감경하고, 개인정보 보호를 위한 노력의 정도, 위반행위에 대한 조사의 협조 여부, 위반행위의 주도 여부 등을 종합적으로 고려하여 필수적 가중ㆍ감경을 거친 금액의 100분의 50의 범위에서 추가적으로 가중ㆍ감경할 수 있다[구 개인정보 보호법 시행령(2020. 8. 4. 대통령령 제30892호로 개정되고, 2022. 7. 19. 대통령령 제32813호로 개정되기 전의 것) 제48조의11 제4항 별표 1의5 참조].
이처럼 개별 상황의 특성 및 불법의 정도에 비례하는 상당한 금액의 범위 내에서만 과징금을 부과할 수 있으므로, 이러한 점에서도 심판대상조항이 입법목적 달성에 필요한 수준 이상으로 과중한 제재를 가한다고 볼 수 없다(헌재 2022. 5. 26. 2020헌바259 참조).
(라) 따라서 심판대상조항은 침해의 최소성을 갖추었다.
(3) 법익의 균형성
심판대상조항에 따르면 개인정보를 처리하는 정보통신서비스 제공자가 개인정보처리자의 안전조치의무를 위반한 경우 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 과징금을 부과 받게 될 수 있고, 매출액이 높은 정보통신서비스 제공자는 경우에 따라 상당한 고액의 과징금을 부과 받게 될 수도 있다. 그러나 개인정보 유출은 다양한 2차 피해를 발생시킬 수 있으며, 특히 오늘날은 정보통신기술의 발달로 개인정보를 대규모로 처리하고 이용하는 것이 용이해지고 비대면 금융거래 등이 활성화되면서 타인의 개인정보를 악용할 위험성도 증대되었다. 이와 같은 상황에서 ‘개인정보 보호법’에서 정한 최소한의 안전조치의무를 위반하는 행위를 제재함으로써 개인정보의 유출을 방지하고자 하는 공익은 의무를 위반한 정보통신서비스 제공자가 받게 되는 금전적 불이익에 비하여 훨씬 중대하다(헌재 2022. 5. 26. 2020헌바259 참조).
따라서 심판대상조항은 법익의 균형성을 갖추었다.
(4) 소결론
심판대상조항은 과잉금지원칙을 위반하여 정보통신서비스 제공자의 직업수행의 자유 및 재산권을 침해하지 않는다.
5. 결론
그렇다면 심판대상조항은 헌법에 위반되지 아니하므로 관여 재판관 전원의 일치된 의견으로 주문과 같이 결정한다.
사 건 2024헌바153 구 개인정보 보호법 제39조의15 제1항 제5호 위헌소원
청 구 인 주식회사 ○○
대표이사 박○○, 임○○
대리인 법무법인(유한) 세종담당변호사 민일영, 배호근, 김광재, 이승혁, 전준오
당 해 사 건 대법원 2023두61554 과징금부과처분 취소청구의 소
선 고 일 2025. 10. 23.
【주 문】
구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것) 제39조의15 제1항 제5호 중‘이용자의 개인정보를유출한 경우로서 정보통신서비스 제공자가 제29조의 조치를 하지 아니한 경우’에 관한 부분은 헌법에 위반되지 아니한다.
【이 유】
1. 사건개요
가. 청구인은 초등학생 대상 인터넷 학습사이트 ‘○○(인터넷 홈페이지 주소 생략)’ 서비스(이하 ‘○○ 서비스’라 한다)를 운영하는 법인으로 ‘개인정보 보호법’ 제2조 제5호의 개인정보처리자이자 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(이하 ‘정보통신망법’이라 한다) 제2조 제1항 제3호의 정보통신서비스 제공자이다.
나. 청구인의 데이터베이스(DB) 관리자는 2021. 4. 7. ○○ 서비스 DB에 저장된 개인정보를 조회하는 비정상 쿼리(Query)를 발견하여 회원정보 유출 사실을 인지하고, 같은 날 주식회사 □□의 △△ 웹 서버에 관리자의 권한을 해커가 무단으로 취득할 수 있게 하는 악성코드인 웹 셸(web shell)과, △△ 웹 서버에서 ○○ 서비스 웹 서버로 데이터 이동을 가능하게 하는 터널링(tunneling) 프로그램이 존재한다는 사실을 확인하였다. 청구인은 2021. 4. 8. 한국인터넷진흥원에 개인정보 유출 흔적이 감지되었다고 신고하였다.
개인정보 보호위원회는 2021. 4. 9.부터 2021. 9. 1.까지 청구인에 대하여 개인정보 취급ㆍ운영 실태 및 개인정보 보호법 위반 여부를 조사하였고, 그 결과 ○○ 서비스에 보관된 이용자의 개인정보[이름, 아이디, 생년월일, 학년, 학교명(코드), 이메일, 주소, 전화번호, 휴대전화번호, 학부모 이름, 학부모 휴대전화번호, 학부모 생년월일] 23,624건이 유출되었음을 확인하였다.
다. 개인정보 보호위원회는 2021. 10. 27. 의결 제○○-○○-○○호로 청구인이 ‘개인정보 보호법’ 제29조에 따른 안전조치의무 중 불법적인 접근을 차단하기 위한 조치 의무(구 개인정보 보호법 시행령 제48조의2 제1항 제2호 나.목) 및 접속기록의 위조ㆍ변조 방지를 위한 조치 의무(같은 항 제3호 가.목)를 위반하였다고 보아 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호 및 구 ‘개인정보 보호법 시행령’ 제48조의11 등을 근거로 하여 청구인에게 위법사항에 대한 시정조치 명령과 공표, 과징금 903,353,000원, 과태료 17,400,000원을 부과하는 처분을 하였다(이하 이 중에서 과징금 부과 부분을 ‘이 사건 과징금부과처분’이라 한다).
라. 청구인은 이 사건 과징금부과처분의 취소를 구하는 소를 제기하였으나, 2023. 1. 13. 청구인의 청구가 기각되었다(서울행정법원 2022구합61564). 이후 청구인이 항소하였으나 2023. 11. 2. 기각되었고(서울고등법원 2023누34486), 이에 청구인이 상고하였으나 2024. 4. 4. 심리불속행 기각되었다(대법원 2023두61554).
마. 청구인은 상고심 계속 중 이 사건 과징금부과처분의 근거가 되는 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호에 대하여 위헌법률심판제청신청을 하였으나, 2024. 4. 4. 위 신청이 기각되자(대법원 2024아1014), 2024. 4. 30. 이 사건 헌법소원심판을 청구하였다.
2. 심판대상
청구인은 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호 전체에 대하여 헌법소원심판을 청구하였다.
그런데 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호는 정보통신망법 제2조 제1항 제3호에 따른 정보통신서비스 제공자와 그로부터 구 ‘개인정보 보호법’ 제17조 제1항에 따라 이용자의 개인정보를 제공받은 자를 규율대상으로 하고 있고(구 개인정보 보호법 제39조의4 제1항 참조), 청구인은 그 중 정보통신망법상의 정보통신서비스 제공자에 해당한다. 또한 구 ‘개인정보 보호법’ 제39조의15 제1항 제5호는 이용자의 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손한 경우에 대하여 규정하고 있는데, 청구인은 그 중 이용자의 개인정보를 ‘유출’한 경우에 해당함을 이유로 이 사건 과징금부과처분을 받았다. 그렇다면 심판대상을 청구인에게 적용되는 부분으로 한정함이 상당하다.
따라서 이 사건 심판대상은 구 ‘개인정보 보호법’(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것, 이하 ‘구 개인정보 보호법’이라 하고, 특별히 연혁이 문제되지 않을 경우 ‘개인정보 보호법’이라고만 한다) 제39조의15 제1항 제5호 중 ‘이용자의 개인정보를 유출한 경우로서 정보통신서비스 제공자가 제29조의 조치를 하지 아니한 경우’에 관한 부분(이하 ‘심판대상조항’이라 한다)이 헌법에 위반되는지 여부이다. 심판대상조항 및 관련조항은 다음과 같다.
[심판대상조항]
구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것)
제39조의15(과징금의 부과 등에 대한 특례) ① 보호위원회는 정보통신서비스 제공자등에게 다음 각 호의 어느 하나에 해당하는 행위가 있는 경우에는 해당 정보통신서비스 제공자등에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다.
5. 이용자의 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손한 경우로서 제29조의 조치(내부 관리계획 수립에 관한 사항은 제외한다)를 하지 아니한 경우(제39조의14에 따라 준용되는 경우를 포함한다)
[관련조항]
개인정보 보호법(2015. 7. 24. 법률 제13423호로 개정된 것)
제29조(안전조치의무) 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.
구 개인정보 보호법(2020. 2. 4. 법률 제16930호로 개정되고, 2023. 3. 14. 법률 제19234호로 개정되기 전의 것)
제39조의15(과징금의 부과 등에 대한 특례) ③ 보호위원회는 제1항에 따른 과징금을 부과하려면 다음 각 호의 사항을 고려하여야 한다.
1. 위반행위의 내용 및 정도
2. 위반행위의 기간 및 횟수
3. 위반행위로 인하여 취득한 이익의 규모
④ 제1항에 따른 과징금은 제3항을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다.
제73조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처한다.
1. 제23조 제2항, 제24조 제3항, 제25조 제6항, 제28조의4 제1항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손당한 자
제75조(과태료) ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만 원 이하의 과태료를 부과한다.
6. 제23조 제2항, 제24조 제3항, 제25조 제6항, 제28조의4 제1항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자
구 개인정보 보호법 시행령(2020. 8. 4. 대통령령 제30892호로 개정되고, 2023. 9. 12. 대통령령 제33723호로 개정되기 전의 것)
제48조의2(개인정보의 안전성 확보 조치에 관한 특례) ① 정보통신서비스 제공자("정보통신망 이용촉진 및 정보보호 등에 관한 법률" 제2조 제1항 제3호에 해당하는 자를 말한다. 이하 같다)와 그로부터 이용자(같은 법 제2조 제1항 제4호에 해당하는 자를 말한다. 이하 같다)의 개인정보를 법 제17조 제1항 제1호에 따라 제공받은 자(이하 "정보통신서비스 제공자등"이라 한다)는 이용자의 개인정보를 처리하는 경우에는 제30조에도 불구하고 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야 한다.
2. 개인정보에 대한 불법적인 접근을 차단하기 위한 다음 각 목의 조치
나. 개인정보처리시스템에 대한 침입차단시스템 및 침입탐지시스템의 설치ㆍ운영
3. 접속기록의 위조ㆍ변조 방지를 위한 다음 각 목의 조치
가. 개인정보취급자가 개인정보처리시스템에 접속하여 개인정보를 처리한 경우 접속일시, 처리내역 등의 저장 및 이의 확인ㆍ감독
구 개인정보 보호법 시행령(2020. 8. 4. 대통령령 제30892호로 개정되고, 2022. 7. 19. 대통령령 제32813호로 개정되기 전의 것)
제48조의11(과징금의 산정기준 등에 관한 특례) ④ 법 제39조의15 제4항에 따른 과징금의 산정기준과 산정절차는 별표 1의5와 같다.
별표 1의5 ([별지]와 같다)
3. 청구인의 주장
가. 심판대상조항은 안전조치의무 위반과 개인정보 유출 사이에 인과관계가 없는 경우에도 안전조치의무 위반행위가 있고 개인정보 유출이 발생하기만 하면 과징금을 부과할 수 있도록 규정하고 있어 자기책임원리에 반하고, 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
나아가 심판대상조항이 인과관계를 요구하지 아니함으로 인하여 개인정보 유출의 결과 발생과 인과관계가 인정되는 안전조치의무 위반행위가 있는 기간 뿐 아니라 인과관계가 없는 안전조치의무 위반행위가 있는 기간까지 위반기간으로 산입되어 과징금 산정 시 금액이 가산될 수 있는데, 이는 청구인에게 과다한 경제적 부담을 가하는 것으로서 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
나. 심판대상조항은 과징금의 상한을 ‘위반행위와 관련한 매출액의 100분의 3’으로 정하고 있는데, 매출액의 100분의 3이라는 수치는 위반자의 영업 이익 등과 비교할 때 지나치게 높은 수치로서 과징금이 과다하게 될 우려가 있어 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
다. 안전조치의무 위반행위가 있으면 구 ‘개인정보 보호법’ 제75조 제2항 제6호에 따라 과태료를 부과 받는데, 그에 더하여 개인정보가 유출된 경우 심판대상조항에 의하여 과징금을 부과 받을 수 있다. 그런데 개인정보 유출의 결과 발생과 안전조치의무 위반 사이에 인과관계가 없는 경우까지 목적과 성질이 유사한 금전적 제재를 중복하여 부과하는 것은 과잉금지원칙에 반하여 청구인의 직업수행의 자유 및 재산권을 침해한다.
4. 판단
가. 쟁점의 정리
(1) 심판대상조항은 이용자의 개인정보를 유출한 경우로서 정보통신서비스 제공자가 ‘개인정보 보호법’ 제29조의 조치를 하지 아니한 경우에 해당하면 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과함으로써 정보통신서비스 제공자의 직업수행의 자유를 제한하고, 그 책임재산을 감소시킨다는 측면에서 재산권도 제한한다(헌재 2022. 5. 26. 2020헌바259 참조).
따라서 심판대상조항이 과잉금지원칙에 위배되어 정보통신서비스 제공자의 직업수행의 자유 및 재산권을 침해하는지 여부를 살펴본다.
(2) 청구인은 심판대상조항이 위반행위와 개인정보 유출 사이에 인과관계가 없거나 정보통신서비스 제공자에게 귀책사유가 없는 경우에도 과징금을 부과할 수 있도록 정하고 있어 자기책임원리에 위반된다고 주장한다. 그러나 이와 같은 청구인의 주장은 심판대상조항이 인과관계 증명을 요구하지 않는 것이 과중한 내용의 제재라는 것이므로 과잉금지원칙 위반 여부를 판단하면서 함께 검토할 수 있으므로 자기책임원리 위반을 별도로 판단하지 않는다.
나. 과잉금지원칙 위반 여부
(1) 목적의 정당성 및 수단의 적합성
정보화기술의 발달에 따라 많은 사람들이 각종 정보통신서비스를 사용하기 위하여 정보통신서비스 제공자에게 성명, 주민등록번호 등의 개인정보를 제공하고 있는 상황에서, 기업 간 고객유치 경쟁 등으로 개인정보의 수요가 급증하면서 개인정보 대량 유출 사례도 자주 발생하여 사회적 문제가 되어왔다. 개인정보가 유출될 때에는 명의도용, 신분증 위조, 보이스피싱 등 범죄에 악용되어 2차 피해가 발생할 우려가 있다.
심판대상조항은 개인정보를 처리하는 정보통신서비스 제공자가 ‘개인정보 보호법’이 정한 개인정보처리자의 안전조치의무를 이행하도록 강제하여 이용자의 개인정보가 유출되는 것을 방지함으로써 이용자를 보호하기 위한 것으로서, 입법목적의 정당성이 인정된다. 과징금 부과는 개인정보를 처리하는 정보통신서비스 제공자로 하여금 안전조치의무를 이행하도록 하는 효과가 있으므로, 수단의 적합성도 인정된다(헌재 2022. 5. 26. 2020헌바259 참조).
(2) 침해의 최소성
(가) 정보통신기술은 급속히 발전하고 개인정보 유출 범죄도 날로 지능화되어 가므로, 개인정보를 처리하는 정보통신서비스 제공자가 제3자에 의한 개인정보 유출을 완벽하게 방지하는 것은 기술적으로 한계가 있다. 그러나 정보통신서비스 제공자 역시 개인정보처리자로서 법률상ㆍ계약상 정보주체의 개인정보를 안전하게 관리하여야 할 의무가 있으므로(개인정보 보호법 제3조 제4항 참조), 고도의 기술을 이용한 해킹 등을 사전에 완벽하게 방지하기는 어렵다고 하더라도 적어도 법령상 요구되는 기술적ㆍ관리적 조치를 다하여야 한다(헌재 2022. 5. 26. 2020헌바259 참조).
정보통신기술의 급속한 발전과 개인정보 유출 범죄의 지능화를 고려하면 개인정보 보호위원회가 모든 개인정보 유출 사안에 대하여 정보통신서비스 제공자의 고의ㆍ과실로 인한 의무위반 행위와 유출 사이의 인과관계를 증명하는 것 역시 마찬가지로 기술적 한계가 있다고 할 것이다.
심판대상조항은 과징금 부과의 요건으로 정보통신서비스 제공자의 안전조치의무 위반행위와 유출 사이의 인과관계 증명을 명시적으로 요구하고 있지는 않지만, 이 사건에서처럼 개인정보 보호에 필수적인 조치로서 법령에 명시된 안전성 확보를 위한 조치를 하지 않은 경우에만 과징금을 부과할 수 있도록 하고 있다. 즉, 정보통신서비스 제공자가 제3자에 의한 개인정보 유출을 방지하지 못하였더라도 위와 같은 안전조치의무를 준수하였다면 과징금 부과 대상이 되지 않으며, 개인정보가 유출되었다는 사실만으로 정보통신서비스 제공자의 고의ㆍ과실을 묻지 않고 과징금이 부과되는 것은 아니다(헌재 2022. 5. 26. 2020헌바259 참조).
한편, 정보통신서비스 제공자가 과징금을 부과 받지 않기 위하여 취하여야 할 안전조치의무는 법령에 명시된 것에 한하므로, 이는 정보통신서비스 제공자가 개인정보처리자로서 법률상ㆍ계약상 정보주체의 개인정보를 안전하게 관리하여야 할 의무보다 경감된 의무이다. 따라서 정보통신서비스 제공자가 법령에서 정하고 있는 안전조치의무를 다 하였다면 심판대상조항에 따라 과징금이 부과되지는 아니한다.
또한 심판대상조항은 과징금의 부과 여부를 재량행위로 규정하고 있으므로 개인정보 보호위원회로서는 구체적ㆍ개별적 사정을 고려하여 과징금을 부과하지 아니할 수 있다. 나아가 과징금 부과처분은 행정목적의 달성을 위하여 행정법규 위반이라는 객관적 사실에 착안하여 가하는 제재적 행정처분으로서 행정법규 위반자의 의무 해태를 탓할 수 없는 정당한 사유가 있는 등의 특별한 사정이 있는 경우에는 부과될 수 없다고 보아야 하므로(대법원 2002. 5. 24. 선고 2001두3952 판결; 대법원 2014. 10. 15. 선고 2013두5005 판결; 대법원 2020. 7. 9. 선고 2020두36472 판결; 헌재 2016. 4. 28. 2014헌바60등 참조), 정보통신서비스 제공자로서는 재판절차 등에서 정당한 사유 등 특별한 사정이 있다는 점을 주장할 수도 있을 것이다.
위와 같은 사정을 고려할 때 심판대상조항이 정보통신서비스 제공자에게 책임의 범위를 넘는 지나친 제재를 가하는 것이라고 볼 수 없다.
(나) 구 ‘개인정보 보호법’은 안전조치의무 위반행위에 대한 제재수단으로 심판대상조항이 정한 과징금 외에도 과태료(제75조 제2항 제6호) 및 형사처벌(제73조 제1호)을 두고 있으며, 경우에 따라서는 과징금과 함께 과태료나 형사처벌이 부과될 수도 있다.
그러나 심판대상조항에 따른 과징금은 이용자의 개인정보가 유출된 경우로서 정보통신서비스 제공자가 개인정보 안전성 확보조치를 하지 아니한 경우에 부과할 수 있는 반면, 과태료는 개인정보 안전성 확보조치를 하지 아니한 사실 자체만으로 부과되고, 형사처벌은 개인정보 안전성 확보조치를 하지 아니하고 이것이 원인이 되어 개인정보의 유출 등이 발생한 경우에 이루어지므로, 각 별도의 요건에 따라 부과되는 것일 뿐 하나의 사실에 대해 거듭 제재를 가하는 것이 아니다(헌재 2022. 5. 26. 2020헌바259 참조).
형사처벌은 범죄행위에 대한 국가형벌권의 행사이고, 과태료는 질서위반행위에 대한 행정적 제재로서 이뤄지는 것임에 반하여 과징금은 법령 위반 행위에 대하여 행정적 제재를 가함과 동시에 위반 행위로 얻은 이득을 환수하기 위하여 부과되는 것이므로, 과태료 및 형사처벌과 과징금은 서로 추구하는 목적이나 기능, 제재의 효과 등에 차이가 있고, 행정목적을 최적으로 실현하기 위해서는 그 지향점과 효과에 차이가 있는 다양한 의무이행수단을 동원하는 것이 필요할 때도 있다(헌재 2001. 5. 31. 99헌가18등; 헌재 2016. 4. 28. 2014헌바60등 참조). ‘개인정보 보호법’ 제29조에 규정된 안전조치의무는 다수 이용자의 개인정보를 분실, 도난, 유출 등의 위험으로부터 보호할 수 있는 가장 기본적이고 필수적인 조치로서, 이를 위반한 경우에는 설령 유출의 결과가 발생하지 않았더라도 위반행위 자체에 대하여 과태료 등의 제재를 가할 필요가 있다. 한편, 개인정보 유출로 인한 피해의 심각성과 광범성을 고려할 때, 실제로 유출이 발생한 경우에는 안전조치의무 위반에 대하여 상대적으로 소액의 과태료를 부과하는 것만으로는 실효성 있는 제재가 되기에 부족하고, 위반행위와 관련한 매출액의 일정 비율을 상한으로 하는 보다 고액의 과징금을 부과함으로써 제재의 실효성을 확보할 필요성이 인정된다(헌재 2022. 5. 26. 2020헌바259 참조). 또한 개인정보 유출로 인한 피해는 비가역적임을 고려할 때, 정보통신서비스 제공자의 안전조치의무 위반과 관련한 이득을 환수할 것을 규정함으로써 사전에 정보통신서비스 제공자가 안전조치의무의 이행을 소홀히 하는 경제적 유인을 박탈하여 개인정보 유출을 미연에 방지할 수 있다는 점에서 형사처벌이나 과태료 부과 이외에 부당이득 환수적 성격을 가지는 과징금을 부과하여야 할 필요성이 인정된다.
따라서 상황에 따라 과징금 부과처분과 함께 과태료나 형사처벌이 부과될 수 있다는 이유만으로 심판대상조항이 침해의 최소성을 갖추지 못하였다고 볼 수는 없다.
(다) 심판대상조항은 ‘위반행위와 관련한 매출액의 100분의 3’을 과징금의 상한으로 정하고 있다. 심판대상조항에 의한 과징금은 부당이득의 환수뿐만 아니라 제재를 통하여 위반행위를 억지하는 데에도 목적이 있으므로, 입법자는 정책적 관점에서 과징금의 상한을 정할 수 있다. 영리를 목적으로 하는 정보통신서비스 제공자가 법 위반행위를 하는 것은 궁극적으로는 경제적 이익을 얻기 위한 것이므로, 위반행위로 인하여 취득한 이익 및 위반행위와 관련한 분야의 일반적인 경제적 능력을 동시에 반영하는 ‘위반행위와 관련한 매출액’을 기준으로 과징금의 상한을 정한 것이 불합리하다고 보기는 어렵다(헌재 2022. 5. 26. 2020헌바259 참조).
심판대상조항에서 과징금 상한 산정의 기준으로 정한 ‘위반행위와 관련한 매출액’이란 ‘위반행위로 인하여 직접 또는 간접적으로 영향을 받는 서비스의 매출액’(헌재 2022. 5. 26. 2020헌바259 참조)을 의미하고, 이는 유출사고가 발생한 개인정보를 보유ㆍ관리하고 있는 서비스의 범위를 기준으로 판단(대법원 2023. 10. 12. 선고 2022두68923 판결 참조)하게 되는 등 명확한 기준에 의하여 결정되므로, 그 범위가 무한정 확대되는 과중한 제재라고 볼 수 없다.
매출액을 기준으로 함으로써 경우에 따라 과징금의 상한이 매우 높아질 수도 있으나, 매출액이 큰 정보통신서비스 제공자는 다량의 개인정보를 수집ㆍ보관하고 있을 가능성이 높으므로 개인정보 유출에 따른 피해가 광범위하여 제재의 필요성이 더 크다. 또한 개인정보 보호를 위한 기술적ㆍ관리적 조치를 위해서는 상당한 비용이 소요될 수 있으므로, 제재로 인한 경제적 손실이 개인정보 보호조치에 소요되는 비용에 비해 미미하거나 매출액 규모에 비추어 무시할 만한 수준이라면 위반행위 억지의 효과를 충분히 확보할 수 없다(헌재 2022. 5. 26. 2020헌바259 참조).
한편, 심판대상조항의 ‘위반행위와 관련한 매출액의 100분의 3’이라는 기준은 과징금의 상한을 정한 것이고, 최종적인 과징금 액수는 개인정보 보호위원회가 위반행위의 내용 및 정도, 위반행위의 기간 및 횟수, 위반행위로 인하여 취득한 이익의 규모 등을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다(구 ‘개인정보 보호법’ 제39조의15 제3항, 제4항 참조). 이에 따라 제정된 과징금 산정기준을 구체적으로 살펴보면, 과징금은 위반행위와 관련한 매출액에 고의ㆍ중과실 여부, 영리 목적의 유무, 위반행위로 인한 개인정보의 피해규모, 개인정보의 공중에 노출 여부 및 위반행위로 인하여 취득한 이익의 규모 등을 고려한 위반행위의 중대성에 따라 구분된 과징금 산정비율을 곱하여 산출한 금액으로 하되, 위반행위의 기간과 횟수 등을 고려하여 기준금액의 100분의 50의 범위에서 필수적으로 가중ㆍ감경하고, 개인정보 보호를 위한 노력의 정도, 위반행위에 대한 조사의 협조 여부, 위반행위의 주도 여부 등을 종합적으로 고려하여 필수적 가중ㆍ감경을 거친 금액의 100분의 50의 범위에서 추가적으로 가중ㆍ감경할 수 있다[구 개인정보 보호법 시행령(2020. 8. 4. 대통령령 제30892호로 개정되고, 2022. 7. 19. 대통령령 제32813호로 개정되기 전의 것) 제48조의11 제4항 별표 1의5 참조].
이처럼 개별 상황의 특성 및 불법의 정도에 비례하는 상당한 금액의 범위 내에서만 과징금을 부과할 수 있으므로, 이러한 점에서도 심판대상조항이 입법목적 달성에 필요한 수준 이상으로 과중한 제재를 가한다고 볼 수 없다(헌재 2022. 5. 26. 2020헌바259 참조).
(라) 따라서 심판대상조항은 침해의 최소성을 갖추었다.
(3) 법익의 균형성
심판대상조항에 따르면 개인정보를 처리하는 정보통신서비스 제공자가 개인정보처리자의 안전조치의무를 위반한 경우 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 과징금을 부과 받게 될 수 있고, 매출액이 높은 정보통신서비스 제공자는 경우에 따라 상당한 고액의 과징금을 부과 받게 될 수도 있다. 그러나 개인정보 유출은 다양한 2차 피해를 발생시킬 수 있으며, 특히 오늘날은 정보통신기술의 발달로 개인정보를 대규모로 처리하고 이용하는 것이 용이해지고 비대면 금융거래 등이 활성화되면서 타인의 개인정보를 악용할 위험성도 증대되었다. 이와 같은 상황에서 ‘개인정보 보호법’에서 정한 최소한의 안전조치의무를 위반하는 행위를 제재함으로써 개인정보의 유출을 방지하고자 하는 공익은 의무를 위반한 정보통신서비스 제공자가 받게 되는 금전적 불이익에 비하여 훨씬 중대하다(헌재 2022. 5. 26. 2020헌바259 참조).
따라서 심판대상조항은 법익의 균형성을 갖추었다.
(4) 소결론
심판대상조항은 과잉금지원칙을 위반하여 정보통신서비스 제공자의 직업수행의 자유 및 재산권을 침해하지 않는다.
5. 결론
그렇다면 심판대상조항은 헌법에 위반되지 아니하므로 관여 재판관 전원의 일치된 의견으로 주문과 같이 결정한다.