개인정보보호위원회(개인정보위)가 전체회의에서 쿠팡의 개인정보 처리 실태와 최근 대응 상황을 점검한 뒤, 이용약관과 회원탈퇴 절차·개인정보 유출 통지 체계 등에 대한 광범위한 개선을 요구했다고 10일 밝혔다.
개인정보위는 먼저 쿠팡이 지난 11월 개정한 이용약관 제38조에 ‘서버에 대한 제3자의 불법적 접속으로 발생한 손해에 대해 책임지지 않는다’는 내용의 면책 조항을 새로 넣은 사실을 확인했다.
개인정보위는 이러한 조항이 개인정보처리자의 안전조치 의무를 규정한 개인정보보호법 제29조와, 고의·과실이 없음을 처리자가 입증하도록 한 손해배상 규정(제39조 등)에 반할 소지가 있으며, 이용자에게 불필요한 혼란을 초래할 수 있다고 설명했다.
이에 쿠팡에 약관 개선을 요구하는 동시에, 관련 부처인 공정거래위원회에도 의견을 전달할 계획이라고 밝혔다.
또한 개인정보위는 쿠팡의 회원탈퇴 절차가 지나치게 복잡하고 접근하기 어렵게 설계돼 있다는 점을 지적했다. 특히 유료 서비스인 ‘와우 멤버십’ 가입자의 경우 멤버십 해지를 회원탈퇴의 필수 조건으로 두면서 여러 단계의 해지 절차를 거치도록 했고, 일부 회원에게는 멤버십 잔여 기간이 끝나야만 해지가 가능하도록 운영해 사실상 즉각적인 탈퇴가 불가능한 사례도 확인됐다.
개인정보위는 이는 개인정보 수집보다 동의 철회나 처리정지를 더 어렵게 해서는 안 된다는 개인정보보호법 제38조 제4항에 위반될 소지가 있다며, 탈퇴 절차 간소화와 이용자 안내 강화를 촉구했다.
개인정보 유출 관련 통지와 2차 피해 방지 조치에 대해서도 미흡한 부분이 지적됐다. 개인정보위가 쿠팡의 조치 이행 상황을 점검한 결과, 쿠팡이 ‘노출’을 ‘유출’로 수정해 재통지하고 누락됐던 유출 항목(공동현관 비밀번호)을 포함하는 등 일부 조치는 이행했지만 유출된 배송지 명단에 포함된 비회원 정보주체에 대한 개별 통지 계획이 마련되지 않았고, 홈페이지·앱 공지문의 접근성과 가시성이 부족하다는 점을 확인했다.
이에 개인정보위는 관련 공지를 30일 이상 유지하고, 2차 피해 예방을 위해 사고 전담 대응팀을 철저히 운영할 것을 추가로 요구했다.
최근 쿠팡 계정 정보가 인터넷이나 다크웹 등에서 유통되는 것으로 의심된다는 보도와 신고가 잇따르는 점을 고려해, 개인정보위는 쿠팡에 자체 모니터링과 신속 대응 체계를 더욱 강화할 것을 주문했다.
개인정보위는 이번 대규모 개인정보 유출 사건의 심각성을 인식하고 있으며, 유출 경위와 법 위반 여부를 면밀히 조사 중이라면서, 위반 사항이 확인될 경우 엄정한 제재를 실시하겠다고 밝혔다. 아울러 유출 정보를 악용한 2차 피해를 막기 위한 예방 조치도 지속해 나갈 방침이다.
Copyright ⓒ 아주경제 무단 전재 및 재배포 금지
