[서울타임즈뉴스 = 서연옥 기자] 개인정보보호위원회가 쿠팡에 6246억8100만원의 과징금을 부과했다. 3750만명 규모의 개인정보 유출 사고와 1117만명 회원의 온라인 활동기록 무단 수집 사실이 드러나면서 국내 개인정보보호 분야에서 가장 큰 규모의 제재가 내려졌다.
11일 개인정보위에 따르면 쿠팡은 개인정보 유출과 안전조치 의무 위반, 온라인 활동기록 무단 수집 등 개인정보보호법 위반 행위로 과징금 6246억8100만원과 과태료 1680만원을 부과받았다. 지난해 SK텔레콤 유심 정보 유출 사고에 부과된 1347억9100만원보다 4배 이상 많은 규모로, 개인정보위 출범 이후 단일 기업 기준 최대 제재다.
개인정보위는 쿠팡이 인증 서명키 관리와 접근통제 등 기본적인 보안 체계를 제대로 운영하지 못해 약 3750만명의 개인정보가 외부에 유출된 것으로 판단했다. 유출된 정보에는 회원 정보뿐 아니라 배송 과정에서 입력된 가족과 지인 등의 개인정보도 포함된 것으로 조사됐다.
사고 발생 이후 대응 과정에서도 문제가 드러났다. 개인정보위는 쿠팡이 이용자들에게 유출 사실을 적시에 알리지 않았고, 보유 목적이 끝난 개인정보를 제대로 정리하지 않았다고 설명했다. 개인정보보호책임자(CPO)의 독립적 업무 수행이 충분히 보장되지 않았으며 조사 과정에서 자료 보전과 제출 절차 역시 미흡했다고 지적했다.
과징금은 위반 행위별로 나뉘어 부과됐다. 개인정보 유출 사고에 대한 과징금은 4235억7500만원이다. 여기에 온라인 활동기록 무단 수집 행위에 대해 2011억660만원이 추가됐다. 특히 맞춤형 광고 운영 과정에서 이뤄진 정보 수집이 주요 쟁점으로 떠올랐다.
조사 결과 쿠팡은 회원 약 1117만명의 타사 웹사이트와 애플리케이션 이용 기록을 수집해 데이터베이스에 저장한 것으로 나타났다. 방문 URL과 앱 정보, 접속 시간, IP 주소 등이 포함됐다. 개인정보위는 해당 정보가 개인 식별이 가능한 형태로 관리된 점을 문제 삼았다. 또 이른바 '납치광고'를 운영한 일부 광고 파트너에 대한 관리가 제대로 이뤄지지 않아 이용자 의사와 관계없이 서비스 이용기록이 축적된 것으로 봤다.
이에 따라 개인정보위는 보안 체계 강화와 정보주체 대상 유출 통지, 개인정보보호책임자의 권한 보장 등을 시정명령했다. 맞춤형 광고 운영의 투명성을 높이고 광고 파트너 관리 체계를 개선하라는 조치도 함께 내렸다. 탈퇴 회원 개인정보 처리 방식에 대해서는 별도 개선 권고를 하고 3개월 내 이행 여부를 점검할 예정이다.
계열사인 쿠팡풀필먼트서비스(CFS)도 제재를 받았다. 개인정보위는 CFS가 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 대상자로 관리한 행위를 개인정보 수집·이용 위반으로 판단했다. 임직원 건강관리 목적으로 보유하던 근로자 체중 정보를 산업재해 소송 과정에서 제출한 행위에 대해서도 민감정보 처리 제한 규정 위반으로 보고 과징금 2억4800만원을 부과했다.
쿠팡은 즉각 반발했다. 쿠팡 측은 개인정보 유출 사고에 대해 사과하면서도 개인정보위 결정에 일부 사실관계와 회사의 대응 조치가 충분히 반영되지 않았다고 주장했다. 또 개인정보 수집과 광고 운영 방식은 적법하게 이뤄졌다는 입장을 내놓으며 공식 의결서를 받은 뒤 법적 절차에 나서겠다고 밝혔다.
