블로그

빅테크 기업들의 개인정보 보호 강화조치가 시장경쟁에 미치는 영향과
 공정거래 정책 방향 검토

서강대학교 법학전문대학원 교수 ∥ 홍대식

이 글은 한국공정거래조정원 『2022년 공정거래 학술연구 지원사업 연구보고서』 (2023. 1. 6.)에 실려 있는 글입니다.

(원문 보러 가기)

가. 디지털 경제에서의 플랫폼 비중의 증대 및 지배적 사업자 등장

플랫폼 기반의 양면시장은 지난 30년간 인터넷- 경제를 유지·발전시켜왔다. 플랫폼은 경제시스템의 신뢰를 보증하는 중개인의 역할을 하면서 일정한 수수료와 광고 수입을 창출한다. 반면에 플랫폼이 생태계 구성의 중심이 되는 시장구조는 네트워크 외부효과를 가져왔고, 승자독식의 구조를 가져오는 문제를 야기할 수 있다. 플랫폼 중심적인 생태계 내부에서 플랫폼 사업자는 양면시장형 사업모델을 통하여 이용자에게 혜택을 주는 제로 가격(zero-price) 서비스를 다양하게 공급하는 장점이 있다. 반면에 그와 같은 서비스 제공의 재원이 되는 상거래 또는 광고 서비스 영역에서 플랫폼에 의존하는 이용사업자에게 부과되는 가격 책정을 주도하고 이용사업자에게 불공정한 이용조건을 제시하는 등 플랫폼 생태계 내부에서 정보, 이용조건에 대한 협상과 결정에서의 힘의 균형을 자신에게 유리한 방식으로 유도할 능력을 가질 수 있다.

플랫폼 사업자가 자신을 둘러싼 플랫폼 생태계 내부에서 영향력을 행사할 능력을 갖는 것으로 보이더라도 역동적이고 혁신적인 디지털 경제의 현황에 비추어 그렇게 할 유인이 있는지를 살피는 것도 중요하다. 플랫폼 사업자가 실제로 그 영향력을 행사할 유인을 갖는지 여부는 생태계 간의 경쟁의 정도나 역동성, 플랫폼 생태계를 구성하는 이해당사자들의 의존성 등 여러 요인을 고려해서 판단하여야 한다. 다만 디지털 경제에서의 플랫폼 비중이 증대하고 특정 플랫폼으로의 쏠림(tipping) 현상이 발생하며 지배적 사업자가 등장함에 따라 최근 들어 디지털 경제의 상당한 부분에서 시장의 경합가능성과 공정성이 자율적으로 달성되기 어려울 것이라는 정책적인 우려가 높아지고 있다. 또한 플랫폼에서의 생산자와 이용자에 대한 권리보호뿐만 아니라 일부 플랫폼 노동자에 대한 보호에 미흡한 부분이 생길 수 있다.

나. 개인정보의 경제적 중요성 증대와 개인정보보호 이슈

플랫폼 중심적인 양면시장의 운영은 이용자의 개인정보를 필요로 한다. 데이터 경제의 출현과 활성화를 위한 개인정보의 경제적 중요성이나 가치가 높아지면서 수집하는 개인정보가 다양해지고 있다. 개인정보가 포함된 데이터의 수집과 상업적 이용의 단계에서 사업자와 소비자 간의 정보 비대칭과 그로 인한 소비자 이익 저해 우려에 대하여 개인정보보호법으로 대처하기 어려운 상황에서 소비자법 내지는 경쟁법의 역할에 대한 논의가 제기된다. 페이스북의 부당한 개인정보 수집․이용행위가 데이터 착취남용행위가 될 수 있다는 잠정적 판단을 전제로 하여 연방카르텔청의 처분에 대한 하급심법원의 집행정지 결정을 파기환송한 2020년 독일 연방대법원의 결정이 대표적인 사건이다. 우리나라에서도 메타(페이스북)가 국내 이용자의 최소 330만 명에 대한 학력, 경력, 출신지, 결혼·연애 여부 등을 이용자의 동의 없이 제3자에게 제공한 행위에 대하여 2020년 10월 개인정보보호위원회로부터 67억 원의 과징금이 부과되었다.

개인정보보호 수준은 경쟁법의 관점에서 비가격(non-price) 경쟁변수의 하나인 소비자 선택 가능성으로 인식될 수도 있고 품질을 구성하는 요소로 논의될 수 있다. 독일의 페이스북 사건은 개인정보보호 수준을 낮추는 행위를 소비자 선택 가능성 침해행위 또는 품질 저하로 인한 소비자이익 침해행위로서 경쟁법의 영역으로 포섭하기 위한 시도라고 볼 수 있다. 그러나 경쟁법은 실제적 또는 가상적 경쟁 상황에서 형성될 수 있는 개인정보보호 수준을 상정하여 이를 침해하는 행위를 사후적으로 규제할 수 있을 뿐 개인정보보호 수준을 특정한 수준 이상으로 개선하도록 유도하는 기능을 하기는 어렵다.

개인정보의 수집․활용을 사업모델의 원천으로 하는 사업자가 개인정보 보호 수준을 특정한 수준 이상으로 개선하도록 유도하는 제도적인 기반은 개인정보보호법제가 된다. 애플이나 구글과 같은 빅테크 기업이 개인정보보호를 강화하기 위한 새로운 정책을 도입하려고 하는 것도 다양한 개인정보보호 관련 법제의 발전과 관련이 있다. 유럽연합(EU)의 「일반데이터보호법」(General Data Protection Regulation, GDPR)에서 설계 단계부터 기술적으로 개인정보를 보호하는 구조를 갖출 것을 요구하고(data protection by design) 미국에서도 빅테크 기업들의 본사가 많이 소재하고 있는 캘리포니아에서 2020년 7월 「캘리포니아 소비자 프라이버시 보호법」(California Consumer Privacy Act, CCPA)이 시행되는 등 입법 환경의 변화가 빅테크 기업의 정책 변경에 영향을 주었다.

다. 빅테크의 개인정보보호 강화 움직임과 새로운 경쟁 문제의 대두

개인정보의 유출 사고나 미흡한 개인정보 관리로 인하여 기업의 리스크도 증대하고 있어 기업들은 개인정보보호를 강화하는 정책을 도입하고 있다. 빅테크 기업은 개인정보 처리에 관하여 보호 수준을 높이는 것에서 더 나아가 개인정보보호 강화를 명분으로 한 새로운 정책을 도입하거나 도입하려고 하고 있다. 대표적인 것이 애플과 구글의 ‘사용자 동의 없는 개인정보 추적 금지’ 정책 도입이다.

이처럼 개인정보보호를 강화하는 움직임에 대해서 개인정보보호와 데이터 시장의 독점적 지배력 강화의 두 가지 상충하는 문제가 발생할 수 있다. 개인정보보호 강화를 위한 새로운 정책이 이용자의 개인정보보호 수준을 높이더라도 이용사업자의 상업적 데이터 접근을 어렵게 할 경우 데이터 시장의 독점화 도구로 활용될 위험성이 제기될 수 있다. 온라인 서비스의 경쟁 과정에서 데이터의 중요성을 고려할 때, 개인정보보호 강화 정책이 데이터 경쟁우위를 갖지 못한 사업자의 데이터 접근 제한을 초래한다면 빅테크 기업의 데이터 독점과 맞물린 문제가 될 수 있다.

따라서 개인정보보호 강화를 위한 빅테크 기업들의 새로운 정책이 이용자의 개인정보보호 수준을 높이더라도 이용사업자의 상업적 데이터 접근을 어렵게 할 경우 데이터 시장의 독점화 도구로 활용될 위험성에 대한 연구가 필요하다. 우리나라의 경우 그동안 개인정보보호와 공정거래의 규제기관의 권한과 역할이 분리되어 있었다고 볼 수 있으나, 차후 두 영역에서 발생하는 문제는 혼재될 가능성이 있어 이에 대한 연구도 필요하다.

라. 개인정보를 내포한 데이터 접근 제한행위에 대한 경쟁법적 평가

데이터 접근 제한행위를 경쟁법적으로 평가하기 위하여 참고가 될 수 있는 사례는 이미 존재한다. EU의 Magill 사건, IMS Health 사건과 Microsoft 사건은 저작권에 의하여 보호되는 정보의 보유자가 그 정보에 대한 접근 허락을 거절한 행위가 문제 된 사건인데, 여기서 제시된 법리는 지식재산권과 같은 법적인 배타적 지배권으로 보호되지 않고 사실상 배타적 지배권이 인정되는 데이터에도 일정한 선행문제가 해결되는 것을 전제로 할 때 유추될 수 있다. 저작권에 의하여 보호되는 정보에 대한 접근 제한행위가 그 행위의 경쟁 관련성(relevance to competition)으로 인하여 경쟁법적 문제가 되는 것과 유사하게 개인정보를 내포한 데이터 접근 제한행위도 경쟁 관련성을 가질 수 있다는 점에서 경쟁법적 문제가 될 수 있다.

일반적으로 데이터 접근 제한행위가 경쟁 관련성을 갖는다는 점은 이미 경쟁법학계와 실무계에서도 폭넓게 받아들여지고 있다. 데이터의 경쟁 관련성은 기업의 경쟁력이 관련 데이터에 대한 적시의 접근 그리고 데이터를 이용하여 새롭고 혁신적인 애플리케이션과 상품을 개발하는 능력에 더욱더 의존하게 되는 상황과 연결된다. 이를 토대로 데이터 주도의 경제(data-driven economy)에 특유한 경쟁침해이론을 발전시키기 위한 이론적 시도가 일어나고 있다.

데이터 중에서도 개인정보가 내포된 데이터 접근 제한행위에 대한 경쟁법적 평가는 저작권에 의하여 보호되는 정보 접근 제한행위의 경우와 유사한 쟁점을 제기한다. 접근 제한행위의 대상이 되는 정보가 저작권에 의하여 보호되는 경우 저작권과 경쟁법의 교차 영역에서 가치 형량의 문제가 발생하는 것처럼 접근 제한행위의 대상이 되는 데이터에 개인정보가 내포된 경우 개인정보보호법과 경쟁법의 교차 영역에서 가치 형량의 문제가 발생할 수 있기 때문이다. 예를 들어 상업적 가치가 있는 데이터세트 보유자의 데이터 접근 제한행위가 경쟁법적으로 문제가 되더라도 그 보유자가 자신의 행위가 개인정보보호 조치를 위한 것이라고 주장하는 경우이다.

데이터 독점 관련 경쟁법 이슈 연구

서강대학교 법학전문대학원 교수 ∥ 홍대식

이 글은 한국공정거래조정원 『2020년 LEG 연구보고서 』 (2022. 12. 30.)에 실려 있는 글입니다.

(원문 보러 가기)

데이터는 오프라인 경제 시대에도 상품의 생산 또는 서비스의 제공 과정에서 중요한 역할을 해왔다. 데이터는 사업자가 어떤 상품 또는 서비스를 생산 또는 제공하여 어떤 가격 기타 거래조건으로 어떤 고객을 대상으로 제공할 것인지에 관한 의사결정 과정에서 중요한 역할을 하기 때문이다. 사업자가 의사결정 과정에 참조하기 위하여 데이터를 얻고 이를 내부적으로 처리하는 것이 그 자체로 문제가 되지는 않지만, 가격 기타 거래조건 결정에 민감한 경쟁자의 데이터를 교환하거나 부당한 방법으로 취득하는 것은 경쟁법적 문제를 야기할 수 있다. 또한 데이터가 개인정보의 성격을 갖는 것이라면 그 데이터의 수집, 이용, 제3자 제공 등의 처리가 개인정보보호법의 적용 대상이 될 수 있는데, 이는 특별한 상황이 아니면 경쟁법적 이슈는 아니다.

그러나 오프라인 경제에서의 데이터와 관련된 사업자의 활동을 데이터 경제(data economy) 또는 데이터 주도 경제(data-driven economy)와 연결시키지는 않는다. 오프라인 경제에서는 데이터가 사업자의 의사결정 과정에 도움을 주는 보조적인 역할을 할 뿐이지 그 자체가 독자적인 경제활동으로 인식되지는 않았기 때문이다. 데이터 경제 또는 데이터 주도 경제라는 용어가 본격적으로 등장하고 널리 사용된 것은 온라인서비스의 확대와 밀접한 관련이 있다. 온라인 서비스에서는 데이터가 단순히 의사결정 과정의 수단에 그치는 것이 아니라 서비스의 중요한 투입요소(input)가 되기 때문이다. 그에 따라 온라인 세계에서는 데이터 수집, 가공, 분석 등 처리하는 과정이 그 자체로 경제활동이 되고 있을 뿐만 아니라 이런 데이터를 투입요소로 하는 다양한 경제활동이 활발하게 일어나고 있다.

데이터 경제와 데이터 주도 경제라는 용어는 서로 구분 없이 사용되고 있지만, 굳이 구분하자면 데이터 처리 과정이 경제활동이 되는 경우를 데이터 경제로, 이런 데이터를 투입요소로 하는 경제활동이 이루어지는 경우를 데이터 주도 경제로 볼 수 있다. 데이터 경제 또는 데이터 주도 경제가 온라인 서비스와 밀접한 관련이 있다는 점에서, 여기서 말하는 데이터는 주로 디지털 데이터이다. 디지털 데이터는 기계 판독이 가능한 형태의 데이터를 말한다.

데이터 경제와 관련된 데이터를 단순한 데이터와 구별하여 빅데이터(big data)라고 부르고 특별한 의미를 부여하는 논의도 많이 발전하였다. 빅데이터는 표현 그대로 대용량의 데이터를 전제로 한 것이지만 단순히 용량이 많다는 것에 그치지 않고 그 안에 종전에 데이터베이스, 전자화된 파일 등의 형태로 이용되었던 정형(structured) 데이터뿐만 아니라 반정형(semi-structured) 데이터와 비정형(unstructured) 데이터도 포함되고, 이런 다양한 데이터가 분석 대상이 되어 가치 창출의 원천이 된다는 데 그 의의가 있다. 그런 점에서 빅데이터는 과거 시스템으로는 처리할 수 없었던 다양한 형태의 대용량의 데이터세트(dataset)와 그로부터 가치를 추출하고 결과를 분석하는 기술을 포함하는 의미로 이해할 필요가 있다.이런 의미에서의 빅데이터는 공정거래위원회('공정위')의 '기업결합심사기준'에서 정의하는 정보자산을 형성할 수 있다. 또한 빅데이터 기술의 발전은 지능정보서비스를 생산하고 이를 제공 또는 거래하는 시장을 창출하는 기반이 된다는 점에서 시장의 창출을 전제로 하는 경쟁법 분야에서 중요한 의미가 있다.

데이터 경제 또는 데이터 경제 시대에서의 경쟁법적 관점에서의 과제는 다음과 같은 몇 가지 측면에서 제기된다. 첫째, 데이터 경제의 출현과 그 활성화를 위해서는 온라인 서비스의 경쟁 과정에서의 데이터의 중요성이 강조되므로, 개인정보의 보호와 활용의 조화를 위한 법적 기준을 정립하기 위한 경쟁법의 역할이 요구된다. 둘째, 개인정보의 보호와 활용의 조화를 위한 법제가 어느 정도 정비된 것을 전제로 할 때, 개인정보가 포함된 데이터의 수집과 상업적 이용의 단계에서 사업자와 소비자 간의 정보 비대칭과 그로 인한 소비자 이익 저해 우려에 대처하기 위한 경쟁법의 역할이 검토될 수 있다. 셋째, 온라인 서비스의 경쟁 과정에서의 데이터의 중요성을 고려할 때, 데이터 경쟁우위를 갖고 있는 사업자와 그렇지 못한 사업자 간에 데이터 접근성 측면에서 경쟁자가 필적할 수 없는 경쟁 기반의 격차가 형성되는 것은 아닌지, 그로 인한 경쟁제한행위 발생 가능성은 없는지 경쟁법적으로 검토될 필요가 있다. 

첫째, 개인정보의 보호와 활용의 조화를 위한 법적 기준을 정립하기 위한 경쟁법의 역할은 경쟁법의 집행보다는 경쟁주창(competition advocacy)과 관련된 역할이다. 너무 엄격한 개인정보보호법제가 시행될 경우 빅데이터의 수집과 분석의 가능성이 영향을 받고 그로 인하여 데이터 수집, 활용을 통한 사업자들 간의 경쟁 과정이 저해될 수 있다. 유럽연합(EU)은 2016년 5월 「일반개인정보보호법(General Data Protection Regulation, ‘GDPR’)」을 제정하고 이 법은 2018년 5월부터 시행되고 있는데, 이 법의 제정 과정에서 데이터 경제에서의 국제적 경쟁의 왜곡을 회피하고 경쟁적인 평평한 운동장(level playing field)을 조성할 필요성이 회원국 경쟁당국에서 제기되었다. 우리나라에서도 기존의 개인정보보호법제가 데이터 주도의 양면시장형 사업모델에 잘 맞지 않고 데이터 경제 시대에 경쟁제한적인 규제로 작용할 수 있다는 문제가 제기되기도 하였으나, 실제로 2020년 2월 개정된 「개인정보보호법」 등 이른바 데이터 경제 3법의 개정 작업 과정에서 경쟁당국인 공정위나 경쟁법학계가 경쟁법적 관점에서 어떤 기여를 하였는지는 분명하지 않다. 

둘째, 개인정보가 포함된 데이터의 수집과 상업적 이용의 단계에서 사업자와 소비자 간의 정보 비대칭과 그로 인한 소비자 이익 저해 우려에 대처하기 위한 경쟁법의 역할이다. 개인정보보호법은 사업자가 개인정보처리자로서 정보주체인 개인으로부터 개인정보를 수집, 이용하거나 제3자에게 제공할 때 적용되는 사전동의 규칙과 사후통제 규칙을 마련하고 있는데, 이는 정보주체의 개인정보자기결정권이라는 헌법적 권리를 보호하기 위한 제도이지만 이를 통하여 소비자로서의 정보주체의 이익도 보호될 수 있다. 그러나 개인정보보호법은 데이터 거래와 이를 통한 시장의 형성을 전제로 한 법은 아니므로, 개인정보보호법만으로는 개인정보가 포함된 데이터의 상업적 이용에 따른 문제에 충분히 대처하기 어렵다는 문제 제기가 있어 왔다. 그에 따라 개인정보보호의 문제는 비단 개인정보보호법의 문제에 국한되지 않고 소비자 보호의 문제로, 더 나아가 경쟁 보호의 문제로 진화되었다.

특히 2013년 6월 유럽 데이터 보호 감독기관(European Data Protection Supervisor, 'EDPS')에서 주최한 워크숍은 빅데이터 문제를 경쟁법적 관심사로 인식하려는 시도가 국제적으로 공식화되는 계기가 되었다.EDPS는 2014년 3월 워크숍에서의 논의를 정리하여 보고서를 발간하였는데, 이 보고서는 2014년 2월 Facebook이 Whatsapp을 190억 달러에 인수하고 미국과 유럽의 경쟁당국이 이 기업결합 사건에 대한 심사를 하는 도중에 발표되어 미국과 유럽의 경쟁법 학자 및 실무자들 사이에 이 보고서에서 제시된 의견과 관련된 수많은 논쟁을 불러일으켰다. 미국에서는 이미 2007년 미국 연방거래위원회(Federal Trade Commission, 'FTC')에서 Google/DoubleClick 기업결합 사건의 결정과 이 사건에서의 Harbour 위원의 반대의견을 계기로 비가격 경쟁요소로서의 데이터의 중요성에 관한 유사한 논쟁이 진행되어왔다.

독일 연방카르텔청(Bundeskartellamt)이 2019년 2월 페이스북(Facebook)의 개인정보 수집과 이용에 관한 개인정보처리방침과 이용약관의 운영 방식을 문제삼아 이에 대하여 독일 경쟁법상 시장지배적 지위 남용행위 규정을 적용하여 규제한 사건은 데이터의 수집·이용 단계에서의 경쟁법 적용의 가능성을 보여준 대표적인 사례이다. 이 사건에서 독일 연방카르텔청은 문제되는 행위가 개인정보보호법에 위반한다는 성격 자체를 착취남용과 연결한 데 반하여, 연방카르텔청의 결정에 대한 법원의 집행정지 사건에서 연방대법원은 경쟁법 고유의 기준으로서 소비자 선택 기준을 적용하려고 시도하고 있다.

이에 비해 「약관의 규제에 관한 법률」('약관규제법')에 의하여 공정위가 약관에 대한 추상적 통제 권한을 갖고 있는 우리나라에서는 개인정보보호 수준이 문제된 온라인 서비스 사업자들의 약관조항이 약관규제법에 의한 제재를 받은 사례가 있을 뿐이다. 이 사건에서의 공정위의 판단에서 주목되는 부분은  문제되는 약관조항을 사용한 행위가 2020년 2월 개정 전 개인정보보호법이나 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(‘정보통신망법’)에 정한 원칙에 위배되거나 그 법률들에 정한 사업자의 의무를 준수하지 않은 행위의 성격을 갖고 있다는 점을 약관규제법상 불공정성 판단에서 매우 비중 있게 고려하고 있다는 점이다.