개인정보 3750여만 건이 유출된 쿠팡에 6000억 원대 과징금이 부과됐다. 단일 개인정보 유출 사고에 대한 제재로는 역대 최대 규모다. 쿠팡은 사과 입장을 내면서도 개인정보보호위원회의 판단에 유감을 표하고 법적 대응 가능성을 열어뒀다.
개인정보보호위원회는 지난 10일 전체회의를 열고 쿠팡의 개인정보 안전조치의무 위반행위에 대해 총 과징금 6246억8100만 원과 과태료 1680만 원을 부과하기로 의결했다고 11일 밝혔다. 지난해 SK텔레콤 유심정보 유출 사고에 부과된 과징금 1348억 원을 크게 웃도는 금액이다.
과징금은 두 갈래로 나뉘어 부과됐다. 개인정보 유출 사고와 관련해서는 약 4236억 원이 부과됐다. 회원의 온라인 활동기록을 무단 수집해 개인 식별 상태로 데이터베이스에 저장한 행위 등에 대해서는 약 2011억 원의 과징금이 별도로 매겨졌다.
개인정보보호법은 개인정보 유출 사고가 발생할 경우 관련 매출의 최대 3% 범위에서 과징금을 부과할 수 있도록 하고 있다. 쿠팡의 지난해 매출이 약 45조5000억 원에 이르는 만큼, 제재 규모가 조 단위까지 갈 수 있다는 관측도 있었지만 최종 과징금은 6246억 원대로 결정됐다.
개인정보위는 이번 유출 사고가 쿠팡의 기본적인 안전관리 체계 미흡에서 비롯됐다고 판단했다. 인증 서명키 관리와 접근 통제에 문제가 있었고, 전직 쿠팡 직원 해커가 이를 악용해 회원정보 수정 페이지, 배송지 관리 페이지, 주문목록 페이지 등에 접근한 것으로 조사됐다.
개인정보위는 지난해 11월 한국인터넷진흥원과 태스크포스를 구성해 조사를 진행했다. 조사 결과 해커는 지난해 4월부터 11월까지 쿠팡 시스템에 접근해 개인정보를 유출한 것으로 확인됐다. 유출 규모는 회원 3322만2472명, 비회원 최소 433만8368명 등 모두 3750여만 명에 달했다.
개인정보위는 쿠팡의 유출 통지와 개인정보 파기 의무 위반도 확인했다고 밝혔다. 개인정보보호책임자의 독립성 보장 위반, 조사 방해 정황도 제재 사유에 포함됐다. 이에 따라 쿠팡에는 유사 사고 재발 방지를 위한 안전조치 강화와 비회원 정보주체에 대한 유출 통지, 개인정보보호책임자의 실질적 역할 보장 등을 명령했다.
탈퇴회원 개인정보 처리체계를 개선하라는 권고도 내려졌다. 개인정보위는 쿠팡이 3개월 안에 시정명령 이행과 조치 결과를 보고하도록 했다. 대규모 유출 사고 이후 피해자 통지와 재발 방지 체계가 실제로 개선되는지가 향후 점검 대상이다.
제휴 마케팅 프로그램인 “쿠팡 파트너스” 운영 과정에서도 위반 사항이 확인됐다. 개인정보위는 쿠팡이 2024년 12월부터 올해 2월까지 타사 웹사이트와 애플리케이션에 접속한 회원 1117만여 명의 온라인 활동기록을 무단 수집해 저장했다고 봤다. 수집된 정보에는 타사 웹·앱 방문 기록, 접속 일시, 접속 IP 등이 포함됐다.
부정광고 관리 부실도 문제로 지적됐다. 일부 광고 파트너는 이용자가 광고를 클릭하지 않았는데도 쿠팡 웹사이트나 앱으로 강제 이동하게 하는 이른바 “납치광고”를 게재한 것으로 조사됐다. 개인정보위는 쿠팡이 이런 광고 파트너를 적절히 관리·감독하지 않았다고 판단했다.
쿠팡은 정책상 계정 해지 기준에 해당하는 일부 광고 파트너에게 계정 해지나 불이익을 적용하지 않았고, 추가 수수료율 적용 등 제재도 하지 않은 것으로 파악됐다. 개인정보위는 맞춤형 광고에 대한 이용자의 실질적 선택권 보장과 부정광고 방지를 위한 관리·감독 강화를 시정명령했다.
물류 계열사인 쿠팡풀필먼트서비스도 제재 대상에 포함됐다. 개인정보위는 쿠팡풀필먼트서비스가 2023년 9월부터 2024년 2월까지 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 블랙리스트에 등록·관리한 사실을 확인했다. 정보주체 동의 등 적법한 근거 없이 개인정보를 수집·이용했다고 보고 과징금 2억2000만 원을 부과했다.
쿠팡풀필먼트서비스가 2024년 3월 산업재해 관련 소송 과정에서 임직원 80명의 체중수치 분석자료 등을 법원에 제출한 행위도 별도 제재를 받았다. 개인정보위는 건강 관련 쟁점을 부각하기 위한 목적이었다고 해도 동의나 법령상 근거 없이 민감정보를 처리한 행위에 해당한다고 보고 과징금 2800만 원을 부과했다.
쿠팡은 개인정보위 결정 이후 입장문을 내고 “개인정보 유출 사고로 국민께 심려를 끼쳐드린 점에 대해 사과드린다”고 밝혔다. 이어 “개인정보 보호 프레임워크를 더욱 강화하고 고객 신뢰 회복을 위해 노력하겠다”고 했다.
다만 쿠팡은 개인정보위 판단에 대해서는 유감을 나타냈다. 쿠팡은 지난해 데이터 유출 사태와 관련해 2차 피해를 방지하기 위한 선제 조치와 명확한 사실관계에 근거한 설명이 결정에 충분히 반영되지 못했다고 주장했다. 또 공식 의결서를 받은 뒤 법적 절차를 통해 사실관계가 명확히 규명되길 바란다며 법적 대응을 시사했다.
쿠팡 파트너스에 대해서도 쿠팡은 적법하게 운영해 왔다는 입장을 냈다. 회사는 해당 프로그램이 국내 크리에이터와 블로거, 소상공인이 상품을 추천하고 수익을 창출하는 제휴 모델이며, 글로벌 기업들과 동일한 방식으로 운영되고 있다고 설명했다.
이번 제재는 플랫폼 기업의 개인정보 관리 책임을 다시 드러냈다. 회원 정보 유출, 온라인 활동기록 무단 수집, 광고 파트너 관리 부실, 계열사의 개인정보 처리 문제까지 한꺼번에 확인되면서 쿠팡은 신뢰 회복과 법적 다툼이라는 두 과제를 동시에 안게 됐다. 개인정보위의 최종 의결서와 쿠팡의 후속 대응이 향후 플랫폼 개인정보 규제의 기준을 가를 전망이다.
