초강경 과징금 폭탄에 쿠팡 ‘당혹’… 로켓배송 엔진 꺼지나

개인정보보호위원회가 쿠팡에 전 세계 개인정보 유출 사건 관련 역대 최대 규모 과징금을 부과한 것은 이번 사고를 단순 외부 해킹이 아닌 사업자의 기본적인 안전관리 체계 실패로 판단했기 때문이다. 쿠팡에 엄중한 처분이 내려지면서 쿠팡 사태가 향후 개인정보 유출 제재의 새로운 기준점이 될 수 있다는 해석이 나온다. 다만 쿠팡에 부과된 과징금은 국내를 넘어 해외 사례를 종합해도 역대 최고 수준이어서 논란이 일 전망이다.

11일 개인정보위는 쿠팡에 과징금 6246억8100만 원과 과태료 1680만 원을 부과하고 시정명령, 공표·공표명령, 고발, 개선권고를 내렸다. 쿠팡풀필먼트서비스(CFS)에 대해서도 2억4800만 원의 과징금을 부과했다.

개인정보위 조사 결과, 쿠팡에서 대체 인증 기능을 직접 개발했던 전직 직원 출신 해커는 퇴사 전후 확보한 인증 서명키로 위조 인증토큰을 만들어 지난해 4월부터 11월까지 회원정보 수정, 배송지 관리, 주문목록 페이지 등에 접근했다. 이 과정에서 회원 3322만2472명과 비회원 최소 433만8368명의 배송지 정보가 유출됐다. 이름, 이메일, 전화번호, 주소, 일부 공동현관 비밀번호, 주문일·상품명·수량·가격 등이 유출 대상에 포함됐다.

맞춤형 광고와 관련해서는 쿠팡이 회원 약 1117만 명의 타사 웹·앱 방문 기록, 접속 일시, 접속 IP 등을 개인 식별이 가능한 상태로 저장한 사실이 확인됐다. 이른바 ‘납치광고’를 게재한 광고 파트너를 제대로 관리·감독하지 않은 점도 지적됐다. 계열사인 CFS는 취재를 방해하기 위해 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 목록에 올리고, ‘건강 관리’를 위해 수집한 근로자 체중 정보를 산업재해 관련 소송 과정에서 법원에 제출했다.

개인정보위는 재발 방지를 위한 후속 조치를 요구했다. 안전조치 체계 강화 및 비회원 유출 사실 통지, 조직 운영 개선 및 탈퇴 회원 개인정보 처리 체계에 대해서도 시정 명령 및 개선 권고를 내렸다. 이번 처분은 공정거래위원회의 쿠팡 동일인 지정 논란과 맞물려 정부의 대(對)쿠팡 규제 압박을 확대하는 차원으로도 해석된다.

한편 이번 과징금 규모는 지금까지 세계 각국 행정당국이 기업에 부과한 개인정보 유출 과징금 중에서도 최대 액수다. 약 6250억 원 과징금 중 유출 사고 관련 과징금은 4235억7500만 원인데, 이는 지금까지 전 세계 정부의 개인정보 유출 제재 사례와 비교하면 최고 수준이다.

쿠팡 사례처럼 무단 유출·해킹 등으로 인한 개인정보 유출을 뜻하는 ‘데이터 브리치(Data Breach·데이터 침해)’ 사건에 부과한 세계 최대 과징금 부과 사례는 메타다. 2021년 당시 아일랜드 데이터보호위원회가 5억3300만 명의 페이스북 ID와 이름·생년월일·전화번호 유출 등을 이유로 메타에 부과한 과징금은 2억6500만 유로(약 4200억 원)였다. 또 지난 2017년 사회보장번호·운전면허증 정보 등 미국 성인 인구 절반인 1억4700만 명의 정보가 유출된 신용평가사 에퀴팩스는 미국 당국으로부터 과징금 1억 달러(1528억 원)를 부과받았다. 쿠팡은 이들 기업보다 개인정보 유출 규모와 파장이 훨씬 적었는데도, 비슷하거나 더 많은 액수의 과징금을 부과받은 것이다.

쿠팡은 개인정보위의 공식 의결서를 수령한 후 과징금 부과 처분 취소 소송을 제기할 방침이다. 쿠팡 관계자는 “과징금 처분이 내려지는 순간 법적으로 기업의 납부 의무는 확정된 것이어서 2분기에 손실로 반영된다”며 “향후 법적 절차를 통해 사실관계를 명확하게 규명할 예정”이라고 밝혔다.

정지연 기자, 구혁 기자, 노기섭 기자