"3750만명 정보 유출"…쿠팡에 역대 최대 과징금 총 6249억원 부과

직전 최대 과징금인 SKT의 4배 이상 부과
CFO 독립성 보장 위반·조사 방해 등 확인
CFS, 경찰청 기자단 71명 취업 제한 등록

지난해 11월 대규모 개인정보 유출 사고를 낸 쿠팡과 계열사 쿠팡풀필먼트서비스(CFS)가 총 6249억원의 역대 최대 과징금 처분을 받았다.

개인정보보호위원회는 전날 전체회의를 열고 쿠팡 처분안을 12시간 넘게 심의한 끝에 안전조치 의무 위반 및 법적 근거 없는 개인정보 수집 동의 등에 대해 과징금 6246억8100만원을 의결했다고 밝혔다. 과태료는 1680만원을 책정했다. CFS에는 개인정보 처리 위반 관련 과징금 2억4800만원을 부과했다.

현행 개인정보보호법에서 정한 개인정보 유출 사고 발생 시 부과할 수 있는 과징금 상한선(전체 매출액의 최대 3% 이내)인 1조3637억원의 절반 수준이다. 직전 역대 최대 과징금 처분을 받은 SK텔레콤(1348억원)과 비교하면 4배 이상 많다.

개인정보위는 쿠팡의 인증 서명키 관리·접근 통제 소홀 등 기본적인 안전관리 체계 미흡으로 약 3750만명의 개인정보가 유출됐다고 결론내렸다. 계정 기준 3322만여명의 회원 개인정보와 휴대폰 번호 기준 최소 433만명의 회원이 아닌 정보주체(배송지 관리 페이지 내 포함)의 개인정보가 유출됐다는 것이다.

개인정보위는 "유출 통지·파기 의무와 개인정보보호책임자(CPO)의 독립성 보장 위반, 조사 방해 등을 추가 확인했다" 며 "유사 사고 재발 방지를 위한 안전조치 강화, 회원이 아닌 정보주체 대상 유출 통지 실시, CPD의 실질적 역할 보장 등을 시정 명령했다"고 설명했다. 이어 "탈퇴회원 개인정보 처리 체계를 개선토록 권고했으며, 3개월 내 이행·조치 결과를 확인할 것"이라고 덧붙였다.

쿠팡은 또 타사 웹·애플리케이션(앱)에 접속한 회원 약 1117만명의 온라인 활동 기록을 무단 수집해 이용자 개인을 식별한 상태로 데이터베이스(DB)에 저장하는 등 정보주체 권리를 침해한 것으로 드러났다. 쿠팡 광고가 게재된 타사 웹·앱 이용자의 방문기록(URL·앱 이름)과 접속일시, 접속 IP 등이 해당한다.

개인정보위는 "부정광고(납치광고)를 게재하는 광고 파트너를 적절히 관리·감독하지 않아 이용자 의사에 반해 쿠팡 서비스 이용기록이 수집되도록 한 사실을 함께 확인했다"며 "개인정보 처리 투명성 제고, 맞춤형 광고에 대한 정보주체의 실질적 선택권 보장, 부정광고 방지를 위한 관리·감독 강화 등을 시정명령했다"고 전했다.

CFS의 경우 물류센터에 근무한 이력이 없는 경찰청 출입기자단 명단(71명)을 수집해 취업제한 목록에 등록·관리하고(개인정보 수집·이용 기준 위반), 임직원 건강 관리를 목적으로 보유·관리 중인 근로자의 체중 정보를 산업재해 관련 소송 과정에서 제출한(민감정보 처리 기준 위반) 것으로 파악됐다.

한편 개인정보위는 지난 2월 과학기술정보통신부 민관합동조사단이 발표한 조사 결과(개인정보 3367만3817건 유출)와 차이가 있는 데 대해서 "조사단은 접속 기록 등을 바탕으로 '회원정보 수정 페이지' 조회 건수를 기준으로 산정했고, 개인정보위는 공격자가 중복 조회한 경우나 회원 탈퇴 등으로 DB 내 개인정보가 없는 경우 등을 제외했다"며 "대신 회원이 아닌 정보주체를 최소한으로 추가했다"고 설명했다.

노경조 기자 felizkj@asiae.co.kr