#개인정보 유출

개인정보보호위원회(이하 개인정보위)가 3,750여만 명의 개인정보를 유출하고 1,000만 명이 넘는 회원의 온라인 활동기록을 무단 수집한 쿠팡에 역대 최대 규모인 총 6,246억8,100만원의 과징금을 부과했다.

개인정보위는 11일 전날(10일) 정부서울청사에서 전체회의를 열어 쿠팡의 개인정보 안전조치 의무 위반 제재안을 심의·의결했다고 밝혔다. 부과된 과징금은 개인정보 유출사고에 따른 4,235억7,500만원과 온라인 활동기록 무단 수집에 따른 2,011억660만원을 합산한 수치다.

단일 개인정보 유출사고 기준 역대 최대이자, 한 기업의 복수 위반행위에 부과된 과징금 중에서도 최고 기록이다. 개인정보위는 과태료 1,680만원도 함께 처분했다.

안전관리 허술…3,750만명 정보 줄줄 샜다

개인정보위 조사 결과, 쿠팡은 인증 서명키 관리와 접근 통제 등 기본적인 안전관리 체계를 소홀히 해 약 3,750여만 명의 고객 개인정보를 유출한 것으로 결론 내려졌다. 조사 과정에서는 개인정보 유출 통지 및 파기 의무 위반, 개인정보보호책임자(CPO)의 독립성 보장 위반, 조사 방해 행위 등 추가 위반사항도 확인됐다.

개인정보위는 이에 따라 유사 사고 재발 방지를 위한 안전조치 강화, 회원이 아닌 정보주체에 대한 유출 통지, CPO의 실질적 역할 보장 등을 시정명령했다. 탈퇴 회원의 개인정보 처리체계에 대해서는 개선을 권고하고, 3개월 이내 이행 여부를 확인하기로 했다.

앞서 지난해 11월 불거진 쿠팡 개인정보 유출 사고와 관련해, 올해 2월 과학기술정보통신부 민관합동조사단은 쿠팡의 ‘내 정보 수정 페이지’ 취약점을 통해 성명·이메일·주소 등이 포함된 고객 정보 3,367만3,817건이 유출된 사실을 확인한 바 있다.

1,117만명 활동기록 무단 수집…과징금 2,011억 별도 부과

개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만명의 온라인 활동기록을 법적 근거 없이 수집한 위반행위도 확인했다. 수집된 정보에는 타사 웹·앱 방문 기록(URL·앱 이름 등), 접속 일시, 접속 IP 등이 포함됐으며, 이용자 개인을 식별한 상태로 데이터베이스에 저장된 것으로 파악됐다. 이에 대해 과징금 2,011억660만원이 별도 부과됐다.

또 이른바 ‘납치광고’로 불리는 부정광고를 게재한 광고 파트너를 쿠팡이 적절히 관리·감독하지 않아, 이용자 의사에 반한 서비스 이용기록이 수집된 사실도 확인됐다. 개인정보위는 쿠팡에 개인정보 처리의 투명성 제고, 맞춤형 광고에 대한 정보주체의 실질적 선택권 보장, 부정광고 방지를 위한 관리·감독 강화 등의 시정명령을 내렸다.

경찰청 기자단 블랙리스트 등재·근로자 체중 정보 소송 제출도 위반

이번 조사에서는 쿠팡 자회사인 쿠팡풀필먼트서비스(CFS)가 자사 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 목록에 등록·관리한 행위도 개인정보 수집·이용 규정 위반으로 적시됐다.

아울러 ‘임직원 건강관리’ 목적으로 보유하던 근로자의 체중 정보를 산업재해 소송 과정에서 법원에 제출한 행위는 민감정보 처리 위반으로 판단돼, 별도 과징금 2억4,800만원이 부과됐다.

업계에서는 이번 처분이 향후 개인정보 유출 사고에 대한 정부의 주요 판단 기준이 될 것으로 보고 있다. 최근 티빙과 편의점 CU의 개인정보 유출 사고가 연이어 발생한 가운데, 이번 쿠팡 제재가 기업들의 개인정보 관리 수준을 가늠하는 사실상의 기준선으로 작용할 것이라는 전망이 나온다.

• 유출 사고 시 감점 최대 20점 상향 및 사후대응 미흡 페널티 신설… 1,464개 기관 정밀 점검
• 전문가 심층평가 비중 50%로 대폭 확대… 9월부터 서면·현장 검증 거쳐 결과 공식 발표

공공기관의 잇따른 개인정보 유출 사고를 막기 위해 정부가 평가 기준을 대폭 강화하고 사고 발생 시 부여하는 페널티를 두 배로 늘린다.

개인정보보호위원회(이하 개인정보위)는 지난 8일 전체회의를 열고, 전국 1,464개 공공기관을 대상으로 하는 ‘2026년 공공기관 개인정보 보호수준 평가 추진계획’을 최종 확정했다. 이번 계획은 단순한 법적 의무 이행 확인을 넘어 실질적인 사고 예방과 대응 역량을 검증하는 데 초점이 맞춰졌다.

가장 눈에 띄는 변화는 사고 발생 기관에 대한 엄중한 문책이다. 개인정보 유출 사고 발생 시 적용되는 감점 최대치를 기존 10점에서 20점으로 대폭 상향했으며, 사고 발생 이후 사후 조치가 미흡하다고 판단될 경우 최대 5점의 추가 감점을 부여하는 조항을 신설했다. 이는 사고 예방뿐만 아니라 사고 발생 직후의 신속한 대처까지 기관의 책임 범위를 넓히겠다는 의지로 풀이된다.

내부 직원에 의한 고의적 유출이나 관리 소홀을 차단하기 위한 예방 지표도 강화된다. 개인정보위는 올해의 핵심 테마로 ‘내부자 보안’을 선정하고, 모의 해킹과 취약점 점검 실적을 정성적으로 평가하는 ‘사고 예방 및 대응 노력’ 지표를 새롭게 도입했다. 특히 기관장의 보호 노력을 평가하는 배점을 높여 조직 차원의 선제적 보안 체계 마련을 강력히 독려할 방침이다.

평가의 변별력을 확보하기 위한 등급 체계 정비와 사후 관리도 엄격해진다. 자체평가를 수행하는 소속기관과 교육지원청에 대해 3등급(보통·일부 미흡·미흡) 체계를 적용하고, 최하위 등급인 ‘미흡’을 받은 기관의 명단을 대중에 공개하기로 했다. 성적이 저조한 기관은 보완 조치서 제출이 의무화되며, 전문가가 직접 참여하는 심층평가 비중이 전체의 절반인 50%까지 확대되어 형식적인 평가를 방지한다.

이번 평가는 중앙행정기관부터 지방자치단체, 공공기관, 시도교육청 등 총 1,464개 기관을 대상으로 진행된다. 올해 9월부터 본격적인 서면 평가와 현장 검증에 착수하며, 전문가 평가단의 최종 검증을 거쳐 2027년 4월 결과가 공식 발표될 예정이다. 결과에 따라 우수 기관에는 포상을 실시하는 한편, 미흡 기관에는 개선 권고와 이행 점검, 그리고 1대1 맞춤형 컨설팅을 통해 실질적인 보안 수준 향상을 지원할 계획이다.