국내 기업에 부과된 개인정보 관련 과징금 가운데 역대 최대 금액이 쿠팡에 확정됐다. 총 6천250억원에 달하는 이번 제재는 단순한 정보 유출 사고를 넘어 불법적인 개인정보 수집 행위와 계열사의 법 위반까지 동시에 드러났기 때문에 가능했다.
개인정보보호위원회가 10일부터 11일 자정까지 13시간이 넘는 장시간 심의를 거쳐 의결한 내용을 살펴보면, 크게 세 가지 위반 사항이 적발됐다. 연합뉴스에 따르면 인증서명키 관리 부실과 접근통제 미흡으로 인한 대규모 정보 유출이 첫 번째이고, 회원들의 타사 웹사이트 및 앱 활동 내역을 무단으로 수집한 행위가 두 번째다. 물류 자회사인 쿠팡풀필먼트서비스(CFS)의 개인정보 침해도 함께 제재 대상에 올랐다.
위반 유형별로 과징금이 나뉘어 부과됐다. 정보 유출에 대해서는 4천235억7천500만원의 과징금과 1천680만원의 과태료가, 타사 온라인 활동기록 무단 수집에는 2천11억600만원이 각각 매겨졌다. CFS에도 2억4천800만원의 과징금이 결정됐다.
유출된 개인정보의 규모가 제재 수위를 끌어올린 핵심 요인이다. 지난해 4월부터 11월 사이 쿠팡에서 빠져나간 정보는 회원 3천322만명분과 비회원 최소 434만명분을 합쳐 약 3천756만명에 이른다. 이는 SKT 사태 당시 유출 규모인 2천324만명을 1천400만명 이상 웃도는 수치다. 과징금 산정의 기준이 되는 직전 3개 사업연도 평균 매출액이 약 36조원에 달한 점도 천문학적 금액 산출에 영향을 미쳤다.
과징금 계산 방식은 3개년 평균 매출에서 위반 행위와 무관한 부문을 제외한 뒤 중대성을 평가하고 가중·감경 요소를 반영하는 구조다. 쿠팡플레이와 쿠팡이츠, 기업간 거래(B2B) 관련 매출은 제외 대상이었다. 송상재 위원장은 법정 상한인 매출액 3%가 실제로 부과되기는 현실적으로 어렵다면서도, 이번 사안의 중대성과 피해 규모를 숙고해 적정한 처분을 도출하기 위해 최선을 다했다고 밝혔다.
연간 매출 30조원을 넘기는 대형 개인정보처리자임에도 인증 시스템 관리에 소홀했고 다수의 이상 징후를 포착하지 못한 점이 중대한 위반으로 판단됐다. 여기에 조사 과정에서의 비협조적 태도가 제재 강도를 더욱 높였다. 사고 관련 접속기록 보전 명령을 받고도 약 5개월치 웹 접속 로그를 수동으로 지웠고, 6개월 후 자동 삭제되는 내부 정책을 중단하지 않아 일부 애플리케이션 로그가 사라지도록 방치한 사실이 드러났다.
타사 플랫폼 이용 내역 무단 수집 문제도 심각하게 다뤄졌다. 쿠팡은 동의를 받지 않은 채 약 1천117만명 회원의 외부 웹·앱 방문 기록을 수집해 이용자를 특정할 수 있는 형태로 데이터베이스에 저장해왔다. 수집 항목에는 방문 URL과 앱 명칭, 접속 시각, 접속 IP 주소 등이 포함됐다.
CFS의 위반 내용도 이례적이다. 경찰청 출입기자단 명단을 채용 제한 목록으로 관리했고, 근로자 체중 정보를 산업재해 소송에 활용한 사실이 조사 과정에서 확인됐다.
세 건의 안건을 동시에 심의하면서 회의가 길어졌다. 10일 오전 10시에 시작된 전체회의는 자정 무렵에야 종료됐다. 송 위원장은 피심인들에게 충분히 의견을 진술할 기회를 주기 위해 시간이 길어졌다고 설명했다. 정보 유출 건에 대한 의견 진술과 질의응답에만 약 5시간이 소요됐고, 온라인 활동기록 수집 등 침해 사건에도 3시간가량이 투입됐다. 월 2회 열리는 전체회의 일정을 고려할 때 유사한 시기에 조사가 완료된 안건들을 한꺼번에 다루는 것이 효율적이었다는 게 위원장의 부연이다.
Copyright ⓒ 나남뉴스 무단 전재 및 재배포 금지
