쿠팡 개인정보 유출 과징금 4236억, 속기록 보니…순액법·약한위반 요구 모두 불수용

개인정보위 전체회의 속기록 공개…매출 기준·위반 중대성 판단 경위 확인

개인정보보호위원회가 쿠팡에 역대 최대 과징금 6246억원을 부과한 6월 11일, 서울 쿠팡 본사 건물이 보이고 있다. 연합뉴스

개인정보보호위원회가 쿠팡의 개인정보 유출 사고에 과징금 4235억7500만원을 부과하면서 쿠팡이 요구한 순액법 적용과 '약한 위반' 판단을 모두 받아들이지 않은 것으로 확인됐다.

개인정보위는 지난 6월 11일 전체회의에서 쿠팡의 회원 개인정보 유출과 이용자 온라인 활동기록 무단 수집에 대해 각각 4236억원과 2011억원의 과징금을 의결했다. 국내 개인정보 제재 사상 가장 큰 금액으로, 직전 최대였던 SK텔레콤(1347억9100만원)의 4.6배다.

27일 공개된 개인정보위 전체회의 속기록에 따르면, 쿠팡은 심의 과정에서 과징금 산정 기준인 매출액 계산 방식에 이의를 제기했다. 제재 대상이 된 유출은 지난해 11월 공개된 사건으로, 약 3750만명 규모의 회원 정보가 빠져나갔으며, 개인정보위는 쿠팡이 인증 서명키를 평문으로 확인할 수 있게 운영하고 접근권한 관리도 부실하게 해 전체 회원 계정에 무단 접근이 가능한 구조를 방치했다고 판단했다.

쿠팡은 직매입 매출에 순액법을 적용해 상품 매입 원가와 배송·보관 금액 등을 제외해야 한다고 주장했다. 직매입은 상품 판매액 전체가 매출로 잡히는 반면 오픈마켓은 중개수수료만 매출로 잡혀 같은 거래 규모라도 과징금 산정 기준에 차이가 생긴다는 논리였다. 쿠팡 측은 "거래금액과 시장점유율은 거의 동등하지만 2024년 매출을 기준으로 보면 매출이 무려 10배 가까이 차이가 난다"고 주장했다.

그러나 개인정보위는 이를 받아들이지 않았다. 윤영미 위원은 "피심인의 요청을 수용하면 기존 과징금 부과 기준과의 일관성이 사라지고 향후 다른 사례에도 같은 기준을 적용해야 한다"며 "개인정보 보호법 규정에 어긋나는 결정을 요구하는 것이나 다름없다"고 지적했다. 개인정보위는 다른 사례와 마찬가지로 쿠팡이 회계기준에 따라 공시한 매출액을 기준으로 삼았다. 다만 쿠팡이츠·쿠팡플레이·기업간거래(B2B) 등 개인정보 유출과 관련 없는 매출은 제외했다.

쿠팡은 위반 정도도 '약한 위반'으로 봐야 한다고 요구했다. 이번 사고가 전직 직원의 범죄행위에서 비롯됐고 영리 목적도 없었으며, ISMS-P 인증 등 다층적 보안 체계를 갖추고 피해 확산 방지와 고객 보상도 실시했다는 이유였다. 그러나 개인정보위는 이번 사고를 고도의 해킹이 아니라 기본적인 안전관리 체계 미비와 관리 소홀에서 비롯된 사고로 판단했다. 16개 IP로 배송지 관리 페이지에 약 1억4800만회 접근이 이뤄졌고, 쿠팡은 고객 민원이 접수될 때까지 6개월 이상 공격을 인지하지 못했다.

개인정보보호법에 따르면 과징금은 전체 매출액에서 위반행위와 관련 없는 매출을 제외한 금액에 부과기준율을 적용해 기준금액을 정한 뒤, 위반행위의 중대성·피해 규모·위반 기간·최근 3년간 동종 위반 전력·조사 협조 여부·피해 회복 노력 등을 반영해 최종 금액을 결정한다.

1차 조정에서는 위반 기간이 1년 초과 2년 미만인 점으로 25%, 최근 3년간 과징금 처분을 2회 이상 받은 점으로 30%를 각각 가중했다. 반면 위반행위로 취득한 이익이 없다는 점은 30% 감경 요인으로 반영됐다.

2차 조정에서는 로그 삭제 등 조사방해 행위에 10%를 가중하고, 시정 완료·피해보상·개인정보 보호 노력 등을 고려해 50%를 감경했다. 사무처가 처음 제시한 안은 조사방해 가중 20%·감경 40%였으나, 위원들의 논의를 거쳐 가중률은 10%로 낮아지고 감경률은 50%로 높아졌다.

쿠팡 측은 "선제적 조치나 사실 관계에 근거한 설명이 반영되지 않아 유감스럽다"며 "법적 절차를 통해 사실 관계가 명확하게 규명되길 기대한다"고 밝혔다. 쿠팡은 행정소송 등 법적 대응을 예고한 상태다.

업계 일각에서는 유출 정보의 민감도와 실제 피해 규모보다 기업 규모가 과징금 결정에 더 큰 영향을 미치는 것 아니냐는 지적도 제기된다. 이에 대해 개인정보위는 쿠팡이 국내 기업인지 해외 기업인지가 판단 기준이 아니며 개인정보보호법 위반 여부와 증거, 조사 결과만을 근거로 처분했다고 설명했다.