쿠팡 3건 통합해 6246억…개보위가 적용한 ‘과징금 산출 공식’

▲송경희 개인정보보호위원회 위원장이 6월 11일 오전 서울 종로구 정부서울청사에서 브리핑을 진행하고 있다. (사진제공=개인정보위)

개인정보보호위원회가 쿠팡에 부과한 역대 최대 규모의 과징금은 유출 사건 외에도 3가지 사건이 결합한 결과다. 유출 사고 과징금 4235억원에 타사 웹·앱 이용자의 온라인 활동기록 무단수집 사실이 드러나면서 2011억원의 과징금이 더해졌다.

개인정보위가 쿠팡에 부과한 과징금은 쿠팡 주식회사의 정보유출·온라인 활동기록 무단 수집, 쿠팡풀필먼트서비스(CFS)의 침해 사건 3갈래로 나뉜다. 유출 사고에 대해서는 과징금 4235억7500만원과 과태료 1680만원이 부과됐다. 타사 웹·앱 이용자의 온라인 활동기록을 법적 근거 없이 수집한 행위에 대해서는 과징금 2011억600만원, CFS에는 과징금 2억4800만원으로 결정했다. 총 6246억8100만원이다.

현행 개인정보보호법은 개인정보 유출 사고 발생 시 매출의 최대 3% 범위에서 과징금을 부과할 수 있도록 규정하고 있다. 11일 금융감독원 전자공시시스템에 따르면 쿠팡 주식회사 매출액은 2022년 25조7684억8700만원, 2023년 30조6640억300만원, 2024년 36조1276억4400만원, 2025년 41조8984억1600만원으로 꾸준히 증가했다.

개인정보 유출 사태의 경우 직전 3개 사업연도 매출액 평균이 30조8533억7800만원으로 단순 적용하면 법정 최대 과징금 규모는 9256억134만원이다. 전체 매출액을 기준으로 계산했을 때 과징금 4235억7500만원은 1.37% 정도다. 다만 개인정보위는 이날 과징금 산정의 기준이 된 매출액과 요율을 밝히지 않았다.

과징금 산정과 관련해 송경희 개인정보보호위원장은 “유출 사고의 경우 직전 3개 사업연도 매출액 평균이 30조원 가량”이라며 “사고가 발생한 쿠팡 이커머스 서비스 매출을 과징금으로 산정했고 쿠팡이츠·쿠팡플레이 등 관련없는 독립적인 매출액은 제외했다”고 설명했다.

양청삼 개인정보위 사무처장은 “비정상 트래픽에 대한 임계치를 동등하게 설정하고 비정상 접속 시도가 발생했음에도 침입 탐지에 실패한 것을 굉장히 중대한 위반 행위로 봤다”며 “주소나 전화번호, 이름 등은 현행법상 민감정보에 해당하지 않지만 국민의 일상생활과 밀접한 온라인 플랫폼인만큼 엄중하게 처분했다”고 말했다.

개인정보위에 따르면 조사 과정에서 드러난 비협조 행위도 제재 수위를 높였다. 쿠팡은 조사 착수 직후 사고 관련 접속기록 등 증거자료 보전 명령을 받았음에도 약 5개월치 웹 접속 로그를 수동 삭제했다. 6개월이 지나면 로그가 자동 삭제되는 내부 정책도 중단하지 않아 일부 애플리케이션 로그가 삭제됐으며 유출 규모 및 피해 범위 확인을 어렵게 했다.

이번 조사에서 개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1117만명의 온라인 활동기록을 동의 없이 수집해 이용자를 식별할 수 있는 형태로 데이터베이스(DB)에 저장한 사실도 추가로 적발했다. 이에 대해 개인정보위는 과징금 2011억600만원을 부과했다.

이 밖에도 개인정보위는 CFS가 개인정보 처리 과정에서 보호법상 안전조치 의무 등을 위반한 사실을 확인하고 과징금을 부과했다. CFS는 경찰청 출입기자단 명단을 ‘허위사실유포’ 사유로 취업제한 목록에 등록하고 근로자 체중정보를 소송 과정에서 법원에 제출한 것으로 조사됐다.

김도승 개인정보보호법학회장(전북대 로스쿨 교수)는 “매출액의 3%를 부과한 선례가 없었고 단일 기업에 대한 1000억원대 과징금도 지난해 SK텔레콤이 처음”이라며 “외부 침입보다 내부 유출을 막기가 훨씬 어려운 만큼 ‘기본적인 보안관리 소홀’이 향후 쟁점이 될 수 있다”고 말했다.