|
개인정보보호위원회(위원장 송경희)는 10일 전체회의에서 쿠팡 대응 현황과 개인정보 처리 실태를 점검한 뒤, 이용약관 개선·탈퇴 절차 간소화·유출 통지 보완 등 추가 개선 권고를 의결했다.
개인정보위는 쿠팡이 지난해 11월 이용약관(제38조)에 ‘서버에 대한 제3자의 불법적 접속 등으로 발생하는 손해에 대해 책임지지 않는다’는 면책 조항을 신설한 것을 문제 삼았다. 이는 개인정보보호법이 규정하는 안전조치 의무 및 손해배상 책임 원칙과 상충한다는 이유에서다.
현행법은 개인정보처리자가 안전조치를 확보해야 하며, 위반으로 이용자에게 손해가 발생했을 경우 고의·과실이 없음을 처리자가 스스로 입증해야 한다. 개인정보위는 쿠팡 약관이 이러한 입증 책임을 흐리게 했다고 판단했다.
이정은 개인정보위 조사2과장은 “개인정보위의 권고와 별개로, 관련 약관을 관할하는 공정거래위원회에도 의견을 적극 전달하겠다”고 밝혔다.
일각에서 “쿠팡이 유출 사실을 인지한 뒤 책임 회피를 위해 약관을 미리 바꾼 것 아니냐”는 의혹이 제기되는 가운데, 이 과장은 “정확한 사고 시점과 지속 기간에 대한 조사 후 판단할 사안”이라고 말했다.
멤버십 해지해야 탈퇴…“동의 철회 어렵게 하면 위법 소지”
복잡한 회원 탈퇴 절차, 이른바 ‘다크 패턴’ 논란에 대해서도 개인정보위는 쿠팡의 개선이 충분하지 않다고 지적했다.
쿠팡은 PC·앱의 탈퇴 방식을 통합하고 일부 단계를 줄이는 등 조치를 시행했지만, 유료 서비스인 와우 멤버십을 반드시 해지해야 탈퇴가 가능하고, 잔여 기간이 남아 있으면 해지가 불가능하다는 구조가 문제로 꼽혔다.
개인정보위는 이러한 구조가 개인정보보호법 제38조의 ‘동의 철회는 수집보다 어렵게 해서는 안 된다’는 원칙에 저촉될 소지가 크다며, 탈퇴 절차의 실질적 간소화를 다시 촉구했다.
‘비회원 피해자’는 통지 계획 미제출…공지 가시성도 부족
개인정보위는 지난 3일 긴급 전체회의에서 쿠팡이 해킹에 의한 ‘유출’을 ‘노출’로 축소 통지했다며 7일 이내 개선을 주문한 바 있다. 이후 쿠팡은 관련 내용을 수정해 재통지했지만, 배송지 명단에 포함돼 정보가 유출된 비회원 피해자에 대한 별도 통지 계획은 빠져 있었다.
이 과장은 “비회원은 스스로 사고와 무관하다고 여기기 쉽기 때문에 2차 피해 위험이 훨씬 크다”며 “즉각적인 개별 통지가 필수적”이라고 강조했다.
쿠팡이 홈페이지·앱 공지문을 게시한 조치 역시 ‘접근성과 가시성이 부족하다’는 평가를 받았다. 개인정보위는 30일 이상 명확히 보이는 위치에 공지할 것을 요구했다. 또 2차 피해 방지를 위해 전담 대응팀 운영을 보다 철저히 할 것을 당부했다.
이 과장은 “즉시 개선이 필요한 사안이라는 판단 아래 우선 권고를 의결한 것이며, 이행이 불충분할 경우 시정명령과 과태료 부과도 가능하다”고 밝혔다.
개인정보위는 쿠팡에 이날 지적한 미흡 사항을 7일 이내 다시 이행·보고하도록 명령했다. 또한 유출 경위와 법 위반 여부를 계속 조사해 사실이 확인될 경우 엄정 제재한다는 방침이다.
Copyright ⓒ 이데일리 무단 전재 및 재배포 금지
