“13시간 회의 끝 결론 냈다”…역대급 6000억대 과징금 처분 받은 쿠팡 [현장+]

개인정보보호위원회(개인정보위)가 쿠팡의 개인정보보호 위반 관련 ‘철퇴’를 내렸다. 개인정보 보호 관리 소홀뿐만 아니라 이용자 동의 없는 온라인 활동기록 무단 수집 등을 종합, 역대 최고 규모의 과징금을 부과했다.

송경희 개인정보위 위원장은 11일 오전 11시 정부서울청사에서 열린 쿠팡의 개인정보보호 위반 제재 관련 브리핑에서 “쿠팡의 안전조치 의무 및 개인정보 수집 위반에 대해 총 과징금 6246억8100만원, 과태료 1680만원을 부과하고 쿠팡 풀필먼트서비스(CFS)의 개인정보 처리 위반에 대해서는 2억4800만원 과징금 부과한다”고 밝혔다.

세부적으로 살펴보면 쿠팡에서 3322만2462명의 회원 정보와 최소 433만8368명의 회원이 아닌 정보주체의 개인정보가 유출된 것으로 확인됐다. 개인정보위는 쿠팡이 안전조치 의무를 위반, 대규모 개인정보 유출을 초래한 행위에 대해 과징금 4235억7500만원을 부과하고 개인정보 유출 통지 및 파기 의무를 위반한 행위에 대해 과태료 1680만원을 부과하기로 했다.

쿠팡 이용자 총 1117만613명에 대한 타사 온라인 활동기록을 무단 수집·저장, 정보 주체의 권리를 침해한 행위에 대해서는 2011억600만원의 과징금을 부과한다.

자회사인 쿠팡풀필먼트서비스(CFS)가 경찰청 출입기자 71명을 동의 없이 취업제한 목록에 등록하거나 임직원의 체중 수치 분석 자료를 소송 과정에서 동의 없이 법원에 제출한 점 등에 2억4800만원이 부과됐다.

이번 과징금은 역대 최고 수준이다. 기존 역대 최고 과징금이었던 SKT(1347억원)의 4배를 웃돈다. 개인정보위는 개인정보를 침해한 기업에 전체 매출액의 3%까지 과징금을 부과할 수 있다. 사고 발생 직전 3개년 평균 매출액을 기준으로 무관하고 독립적인 매출을 제외하고 산정한다.

개인정보위에 따르면 쿠팡의 개인정보 유출 사고 관련 과징금은 3개년 평균 매출 30조원을 기준으로 산정됐다. 개인정보 침해 관련 과징금은 3개년 평균 매출 36조원으로 기준으로 했다. 다만 여기서 쿠팡플레이와 쿠팡이츠, B2B 매출 등은 제외됐다.

송 위원장은 “매출액의 전체 3%까지 부과할 수 있다고 하지만 실제로 가중 감경 여부를 다 고려하면 그렇게까지 나오게 설계돼 있지는 않다”라고 설명했다.

이번 제재에서는 ‘국민 플랫폼’이라는 쿠팡의 위치와 위반 행위가 중대하다는 점 등이 고려됐다.

양청삼 개인정보위 사무처장은 “쿠팡은 국민 경제 인구 대다수가 이용하는 온라인 플랫폼이다. 어떤 사업자보다도 개인정보 처리 시스템에 대한 침입 탐지나 대응 분석 등이 고도로 요구된다”며 “일반 상품 페이지와 개인정보 페이지에 있어 비정상적인 트래픽에 대한 임계치를 동등하게 설정한다든지 하는 부분은 굉장히 중대한 개인정보보호 위반 행위로 봤다”고 말했다. 그는 “과징금 사례나 위반 행위 기간, 조사 방해, 관리 요소, 피해회복을 위한 프로그램 등을 적절하게 가중감경에 반영했다”고 이야기했다.

통상적인 사안과 다르게 쿠팡에 대한 제재 처분 의결에는 긴 시간이 걸렸다. 개인정보위는 지난 10일 오전 10시부터 회의를 시작했다. 회의는 이날 오후 11시를 넘겨 종료됐다. 장장 13시간으로 역대 회의 중 최장 시간이다. 쿠팡 측은 개인정보 유출 관련 사안에 대해 5시간, 정보주체의 권리 침해에 대해서는 3시간가량 의견진술을 하고 질의응답을 진행한 것으로 전해졌다.

송 위원장은 “위원들 간 상당히 많은 논의가 있었다. 충분히 이 사건에 대해 숙지하고 많은 토론을 거쳤다”며 “쿠팡 측의 의견을 충분히 듣고 의견을 진술할 기회를 부여하고자 했다”고 강조했다.

자료 폐기 등 조사 방해와 관련 쿠팡에 대한 고발도 진행된다. 쿠팡은 개인정보위의 각종 증거자료 보전 명령에도 지난해 7월부터 11월까티 5개월 분량의 웹 접속 로그를 수동 삭제했다. 또한 로그 자동 삭제 정책을 중단하지 않아 어플리케이션 로그가 자동삭제돼 유출 규모 및 피해 범위 확인이 제한되도록 조사를 방해했다는 지적을 받았다.

송 위원장은 “조사를 어렵게 하는 행위들이 있었다”며 “법에 따라 요건이 충족되면 고발을 하기로 했기에 그렇게 진행이 될 것”이라고 말했다.

2차 피해가 발생하지 않았음에도 처벌이 과중하다는 지적도 나왔다. 이에 대해 양 사무처장은 “2차 피해가 확인되지 않았을 뿐이지 유출된 개인정보가 완전히 회수되지 않았다”며 “새로운 사이버 범죄 등에 활용될 가능성이 여전히 남아 있다”고 했다.

개인정보 유출 피해자를 위해 과징금을 활용하는 방안도 언급됐다. 양 사무처장은 “정부 차원에서 신고·포상 등에 대한 기금을 기획하고 있는데 개인정보위에서도 참여하는 방안을 검토하고 있다”며 “정보 주체의 피해 지원을 위한 사업에 활용하는 부분으로 살펴보고 있다”고 밝혔다. 이어 “정보 주체의 권리 보호를 위한 정책 기능을 조금 획기적으로 강화해야 겠다는 판단 하에 업무를 대폭 정비해나가려고 한다”고 덧붙였다.

쿠팡은 이번 결정과 관련 고개를 숙였다.쿠팡은 “이번 개인정보 유출 사고로 인해 고객과 국민 여러분께 심려를 끼쳐드린 점에 대해 사과드린다”며 “개인정보 보호 프레임워크를 더욱 강화하고 새로운 의지로 고객 신뢰 회복을 위해 노력하겠다”고 밝혔다.

다만 “지난해 데이터 유출 사태와 관련 2차 피해를 방지하기 위해 선제적 조치와 명확한 사실관계에 근거한 설명이 이번 결정에 충분히 반영되지 못한 점 유감스럽게 생각한다”고 이야기했다.

온라인 활동기록을 무단 수집했다는 지적에 대해서는 “쿠팡 파트너스는 다른 글로벌 기업들과 동일한 제휴 모델을 사용하여 고객 데이터를 보호하고 적법하게 운영하고 있다”고 반박했다.

쿠팡은 “개인정보위원회로부터 공식 의결서를 수령한 후 법적 절차를 통해 사실관계가 명확하게 규명되길 기대한다”고 했다.

이소연 기자 soyeon@kukinews.com