정부가 3755만명의 개인정보 유출 사고를 일으킨 쿠팡에 역대 최대 규모인 약 6247억원의 과징금을 부과했다. 이는 기존 최대였던 SK텔레콤의 과징금 1348억원의 약 4배에 달하는 규모다.
쿠팡 과징금이 크게 불어난 건 단순한 개인정보 유출뿐 아니라 타사 온라인 활동기록 무단 수집 사건까지 함께 제재 대상에 포함됐기 때문이다. 여기에 쿠팡이 유출 사고에 늑장 대응하고 정부 조사를 방해한 정황도 과징금 산정에 영향을 미친 것으로 전해졌다.
개인정보 유출·무단 정보 수집 함께 제재…조사 방해도 가중 요인
12일 정부에 따르면 개인정보보호위원회는 전날 브리핑을 열고 쿠팡의 안전조치 의무 위반 및 법적 근거 없는 개인정보 수집 등에 대해 과징금 6246억 8100만원과 과태료 1680만원 부과를 의결했다고 밝혔다. 이와 함께 시정명령과 공표 명령도 의결했다.
이는 단일 개인정보 유출 사고에 부과된 과징금으로는 역대 최대 규모다. 한 기업의 여러 위반 행위에 대해 부과된 과징금으로 계산해도 가장 많다. 기존 최대 과징금은 유심 정보 유출 사고를 일으킨 SK텔레콤에 부과된 1348억원이다. SKT 사건 당시에도 2324만명의 개인정보가 유출됐지만 이번 쿠팡 과징금의 4분의 1에도 미치지 못한다.
쿠팡 과징금이 6천억원을 훌쩍 넘은 이유는 우선 개인정보위가 개인정보 유출과 무단 정보 수집 사건을 함께 제재해서다. 개인정보위에 따르면 쿠팡은 회원 약 1117만명의 타사 웹·앱 방문 기록을 동의 없이 수집한 것으로 조사됐다. 이 사건에 대한 과징금 2011억 600만원이 개인정보 유출 관련 과징금 4235억 7500만원과 함께 이번에 부과됐다.
여러 안건을 한꺼번에 심의해 과징금 규모를 키운 것 아니냐는 취재진 질문에 송경희 개인정보보호위원장은 브리핑에서 "조사가 유사한 시기에 마무리된 것"이라며 "전체회의가 한 달에 두 번씩 열리기 때문에 같이 심의하는 것이 효율적"이라고 설명했다.
과징금 산정의 기준이 되는 매출 규모도 과징금 액수에 큰 영향을 미쳤다. 개인정보보호법에 따르면 개인정보 유출 사고 발생 시 안전조치 의무 위반 등이 확인되면 전체 매출의 3% 범위 내에서 과징금을 산정한다.
쿠팡의 경우 사고 발생 전년도인 2024년 매출 36조원 가운데 이커머스와 무관한 쿠팡이츠와 쿠팡플레이 매출을 제외한 약 30조원이 기준이 됐다. 이 기준으로 계산한 최대 과징금은 약 9천억원이다. 반면 SKT의 경우 2024년 매출 가운데 무선통신사업 매출 12조 7700억원이 과징금 산정 기준이 됐다. 이것만으로도 양사 간 과징금 규모 차이가 크게 벌어질 수밖에 없었다.
여기에 쿠팡 사건의 경우 여러 가중 요소가 있었다는 게 개인정보위 설명이다. 우선 쿠팡이 기본적인 안전관리 체계를 제대로 갖추지 못했다는 점이 과징금 산정에 주요하게 고려됐다. 해커가 정보 유출에 활용한 인증 서명키를 평문으로 확인할 수 있도록 관리 시스템을 운영하는 등 보안 관리가 허술했다는 게 개인정보위 판단이다. 또 해당 해커가 퇴사한 이후에도 서명키를 즉시 갱신하거나 폐기하지 않았다.
사후 대응 과정의 문제도 가중 요인으로 작용했다. 쿠팡은 개인정보 유출 사실을 인지하고도 법정 기한인 72시간이 지난 뒤에야 피해자들에게 이를 통지했다. 개인정보위가 반복적으로 피해자 통지를 요구했음에도 이에 응하지 않은 점 역시 가중 사유로 반영된 것으로 보인다.
증거인멸 정황도 과징금 산정에 영향을 미쳤다. 쿠팡은 정부의 자료 보전 명령에도 약 5개월 분량의 웹 접속 로그를 수동으로 삭제한 데다 사내 자동 삭제 정책도 중단하지 않았다. 이로 인해 전체 공격 접속 기록의 약 13%가 삭제돼 진상 조사를 어렵게 만든 것으로 나타났다.
반면 유출 사고 발생 이후 쿠팡이 시행한 고객 보상 프로그램은 감경 사유로 고려됐다. 쿠팡은 회원들에게 1인당 5만원 상당의 보상 쿠폰을 지급한 바 있다.
양청삼 개인정보위 사무처장은 브리핑에서 "(과징금 기준이) 매출액의 3%라고 돼 있지만 가중·감경 요소를 모두 고려하고 있다"며 "사건의 중대성과 피해 규모 등을 숙고하고 토론을 거쳐 그에 상응하는 처분을 내리기 위해 최선을 다했다"고 설명했다.
개인정보위는 전날 전체회의에서 13시간에 걸쳐 쿠팡 제재안을 논의한 것으로 전해졌다. 이는 개인정보위 출범 이후 최장 시간 회의로 알려졌다.
쿠팡, 행정소송 시사…과징금 감경 가능성도
다만 쿠팡이 행정소송 가능성을 내비치면서 향후 과징금이 감경될 여지도 있다.
쿠팡은 정부 발표 직후 입장문을 내고 "2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위원회의 결정에 충분히 반영되지 못한 점을 유감스럽게 생각한다"며 "법적 절차를 통해 사실관계가 명확하게 규명되기를 기대한다"고 밝혔다.
업계에서는 쿠팡이 행정소송에 나서더라도 실익이 적지 않을 것으로 보고 있다. 소송 과정에서 재판부 판단에 따라 과징금이 정부 산정보다 줄어들 가능성이 있기 때문이다. 실제로 SKT도 올해 1월 정부의 과징금 결정에 불복해 행정소송을 제기한 바 있다.
업계 관계자는 "기존 과징금 부과 사례와 비교해 규모가 지나치게 크다는 점을 들어 쿠팡이 형평성 문제를 제기할 가능성이 있다"고 말했다.
양 사무처장은 쿠팡 입장에 대해 "아직 2차 피해 사실이 확인되지 않았을 뿐 완전히 정보가 회수됐다고 판단할 수는 없다"며 "(불복 소송에 대해서는) 그에 맞춰 적극적으로 대응할 것"이라고 강조했다.
한편 정부는 쿠팡의 조사 방해 행위와 관련해 수사기관 고발 절차도 진행할 방침이다. 송 위원장은 "실제로 조사를 어렵게 한 행위들이 있었고 법에 따라 요건이 충족되면 고발하도록 돼 있다"며 "관련 절차를 진행할 것"이라고 밝혔다.