[IE 산업] 약 3750만 명의 고객 개인정보를 유출한 쿠팡이 역대 최대 규모 과징금을 받았다. 이는 지난해 정보가 새어나간 SK텔레콤(SKT) 사건 당시 부과된 과징금 5배에 달하는 수치다.

11일 개인정보보호위원회(개보위)에 따르면 전날 개보위는 전체회의를 개최해 개인정보 보호 법규를 위반한 쿠팡 주식회사에 과징금 6246억8100만 원과 과태료 1680만 원을 부과했으며 시정명령과 공표 및 공표명령, 고발 및 개선 권고를 내렸다. 더불어 경찰청 출입기자들을 '허위사실유포' 사유로 취업 제한 목록에 등록한 '쿠팡필먼트서비스'에도 2억4800만 원의 과징금이 결정됐다.

앞서 지난해 11월 개보위와 한국인터넷진흥원(KISA)가 집중조사 태스크포스(TF)를 통해 조사한 결과 쿠팡에서는 2024년 퇴사한 쿠팡 직원이 총 3322만2472명의 회원 정보와 최소 433만8368명의 비회원 개인정보를 유출됐다.

구체적으로 보면 회원정보 수정 페이지에서 3305만7012명의 회원 개인정보, 배송지 관리 페이지에서 최소 2237만5359명의 회원이 등록한 배송지 정보 6398만6351건, 주문 목록 페이지에서 회원 5만8349명의 주문내역 27만2470건이 노출됐다. 여기서 회원이 아닌 정보 주체는 최소 433만8368명으로 집계됐다.

개보위는 쿠팡이 인증 수단을 안전하게 관리하지 않은 데다, 불법 접근 및 참해사고 방지를 위한 접근 통제를 소홀히 했다고 판단했다. 또 지난 1월30일 배송지 관리 페이지를 통해 회원 약 16만 명의 개인정보가 추가 유출된 사실을 확인했음에도 법령에서 정한 72시간이 지난 2월 5일에 통지했다.

여기 더해 회원정보는 탈퇴 후 90일이 지나면 파기해야 하는 내부 규정이 존재했지만 탈퇴 회원이 등록한 배송지 정보 246만5592건을 지우지 않아 일부가 유출됐다. 탈퇴 회원의 계좌번호 31만8499건도 즉시 없애지 않은 것으로 드러났다.

이 밖에도 개보위가 증거자료 보전을 요청했지만, 쿠팡은 5개월 부냥의 웹 접속 로그를 수동으로 삭제하는 동시에 6개월 경과 시 삭제되는 로그 자동 삭제 정책을 중단하지 않았다.

이번 조사에서는 쿠팡이 온라인 광고를 통한 무단 개인정보 수집도 밝혀졌다. 쿠팡은 지난 2018년 7월부터 타사 홈페이지와 앱, 블로그, 광고지면 등을 보유 또는 운영하는 개인 또는 법인에 쿠팡 상품을 광고하는 '쿠팡 파트너스'를 운영 중인데, 이들은 타사 홈페이지에 띄운 광고를 누른 사용자들의 온라인 활동 정보를 동의 없이 데이터베이스에 저장, 사용자 맞춤형 광고를 올렸다.

이용자가 광고를 클릭하지 않아도 온라인 방문 기록을 가져가 저장·보관하기도 했다. 이런 방식로 지난 2024년 12월 23일부터 올해 2월 4일까지 156만5333개 웹페이지나 애플리케이션(앱)을 방문한 1117만613명의 기록을 가져갔다.

여기 더해 쿠팡의 물류센터 자회사 쿠팡풀필먼트서비스는 지난 2023년 9월부터 2024년 2월까지 물류센터에 근무한 이력이 없는 경찰청 출입기자 71명을 '허위사실 유포'라는 사유로 시스템상 '취업제한 목록'에 등록했다. 이 외에도 2024년 3월 소송 과정에서 건강상 쟁점을 반증하고자 별도 동의 없이 임직원 80명 체중 수치 분석 자료를 법원에 제출했다.

개보위 결정에 대해 쿠팡 측은 "작년 데이터 유출 사태에 대한 2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 결정에 충분히 반영되지 못한 점 유감스럽다"며 "공식 의결서를 수령한 후 법적 절차를 통해 사실관계가 명확하게 규명되길 바란다"고 말했다. 또 쿠팡 파트너스의 경우 다른 글로벌 기업들과 같은 제휴 모델을 사용해 고객 데이터를 보호하고 적법하게 운영 중이라고 해명했다.

한편, 개보위는 이번 과징금 산정에 대해 쿠팡 이커머스 서비스 매출을 기준으로 ▲위반 기간 ▲최근 3년 내 동종행위로 과징금 부과 여부 ▲조사방해·협조 여부 ▲개인정보 보호 노력 및 피해 회복 노력 등 다양한 요소를 고려했다고 설명했다.

/이슈에디코 강민호 기자/