개인정보보호위원회가 고객정보 유출과 정보 무단수집 등을 이유로 역대 최대 규모인 6200억원대 과징금을 물리자 쿠팡 내부에선 "당혹스럽다"는 반응이 나온다. 유출 정보의 민감도가 낮고 2차 피해가 확인되지 않아 내심 감경을 기대했지만 앞서 민감한 개인정보가 유출된 다른 기업과 비교해서도 제재 수위가 과도하다는 이유에서다.
11일 개인정보위에 따르면 이번에 쿠팡에 부과한 총 6246억8100만원의 과징금을 부과한 위법행위는 개인정보 유출 사고(4235억7500만원) 타사 온라인 무단 수집(2011억600만원) 쿠팡풀필먼트서비스 민감정보 처리 위반(2억4800만원) 등이다.
쿠팡은 전날 개인정보위 전원회의에서 소명한 내용이 과징금 산정 과정에서 거의 반영되지 않았다고 보고 있다. 유출된 정보의 민감도가 앞서 해킹 사고가 발생한 다른 기업보다 현저히 낮고, 유출된 정보를 활용한 2차 피해가 확인되지 않았고, 사건 발생 초기 개인정보 회수를 위한 노력 등을 설명했는데 대부분 인정되지 않았다는 이유에서다.
쿠팡은 전원회의에서 "사고 후 신속하게 유출 정보를 회수해 피해 회복 조치에 성공한 첫 사례"라고 강조한 것으로 알려졌다.
지난해 11월 말 사건이 발생한 뒤 정부와 협력해 유출자인 중국인 전 직원을 만나 "3000개 정보만 노트북에 저장하고 모두 폐기했다"는 진술을 얻었고 관련 장비와 자료를 회수해 일체 정부에 인계했다. 또 입수한 증거를 글로벌 사이버보안업체를 통한 포렌식 조사를 벌여 2차 피해 방지에 기여했다는 게 쿠팡의 주장이다.
하지만 개인정보위는 이날 브리핑에서 "2차 피해에 활용이 됐다는 사실이 확인이 안됐을 뿐, 완전히 정보가 회수됐다는 판단이 서지 않는다"며 "추후 여러가지 사이버 범죄에 활용될 가능성이 여전히 남아 경각심이 필요하다"고 했다. 이는 아직 2차 피해가 발생하지 않았지만 미래에 '혹시 모를' 피해가 있을 수 있다는 점을 강조한 차원으로 풀이된다.
쿠팡은 그동안 유출 정보의 민감도가 다른 업체와 비교하면 현저히 낮다는 점을 강조해왔다. 쿠팡에서 유출된 정보는 이름, 이메일, 주소, 전화번호 등이다. 이 가운데 가장 민감한 정보는 공동현관 비밀번호로 실제 유출 규모는 2600여건이었다.
이는 SK텔레콤, 듀오, 카카오, 인터파크 등 과거 타사에서 유출된 정보와 비교해도 민감도가 낮다는 게 쿠팡 측의 주장이다. 일례로 결혼정보업체 듀오의 경우 혈액형, 혼인 여부, 재산, 키와 몸무게, 원천징수 내역 등 24종의 내밀한 개인정보가 대거 유출됐음에도 12억원의 과징금 처분을 받았다.
개인정보보호법 23조에 따르면 듀오에서 유출된 종교·신장·체중·혈액형 등은 민감 정보로 더 강력한 규제를 받고 있다. 유출 정보 규모는 43만명으로 쿠팡보다 적지만 민감도가 훨씬 높아 2차 피해로 이어질 가능성이 더 크다는 것이다.
또 과거 카카오페이가 약 4000만명의 이용자 정보를 알리페이 등 국외 이전한 사례(과징금 59억6800만원), 2016년 1030만명의 개인정보가 유출된 인터파크 사태(과징금 44억원) 등과 비교해도 쿠팡에 부과된 과징금 규모는 과도하다는 지적이 나온다.
이와 관련 개인정보위는 "(쿠팡에서 유출된) 주소라든지 전화번호하고 이름 이런 정보들은 사상·신념이라든지 이런 정당 활동의 내역이라든지 이런 민감정보에는 해당되지 않는다"고 설명했다. 그러면서 "타사 사례 사건은 개별 사건과 성격 등이 다르기 때문에 일일이 비교하기 어렵다"며 "우리나라 경제활동 인구 전체를 커버하는 쿠팡 회원 규모를 고려해 엄중히 처분했다"고 덧붙였다.
이와 함께 개인정보위가 추가 조사를 통해 밝혀낸 쿠팡 파트너스 온라인 무단수집 사건에 대해 2011억원의 과징금을 책정한 것도 향후 법적 분쟁 과정에서 쟁점이 될 전망이다. 개인정보위는 이 부분이 엄중한 법 위반 행위라고 판단한 반면 쿠팡은 의도성이 없고 정보를 인지한 즉시 폐기해 제재 대상이 아니라는 입장을 밝히고 있다.