개인정보보호위원회가 약 3750만명의 개인정보를 유출한 쿠팡에 6246억8100만원의 과징금을 부과했다. 국내 개인정보보호법 위반 제재 가운데 역대 최대 규모다.
개인정보위는 11일 전체회의에서 쿠팡과 계열사의 개인정보 유출·침해 행위에 대해 과징금 총 6249억2900만원과 과태료 1680만원을 부과하기로 의결했다. 쿠팡에 6246억8100만원, 쿠팡풀필먼트서비스(CFS)에 2억4800만원이 각각 부과됐다.
쿠팡 과징금 중 개인정보 유출에 따른 몫은 4235억7500만원이다. 조사 결과 쿠팡 회원 3322만2472명과 회원이 아닌 정보주체 최소 433만8368명의 개인정보가 유출됐다. 이름과 이메일, 전화번호, 주소를 비롯해 공동현관 비밀번호와 주문정보 등이 포함됐다
개인정보위는 쿠팡이 인증 서명키 관리와 접근통제를 소홀히 하는 등 기본적인 안전조치 의무를 다하지 않아 약 3750만명의 개인정보가 유출됐다고 판단했다. 유출 통지와 개인정보 파기 의무, 개인정보보호책임자(CPO)의 독립성 보장 의무 위반과 조사 방해 행위도 확인했다.
이번 과징금은 종전 최대였던 지난해 SK텔레콤 1347억9100만원보다 약 4.6배 많다. 쿠팡의 2025년 영업이익 4억7300만달러(약 7211억원)와도 맞먹는 규모다.
쿠팡은 이번 처분이 개인정보 유출 사고에 대한 과징금으로는 세계 최고 수준이며 지나치게 무겁다는 입장이다. 메타가 2022년 약 5억3300만명의 개인정보 노출 사건으로 부과받은 2억6500만유로보다 큰 규모라는 것이다. 다만 쿠팡 과징금에는 정보 유출뿐 아니라 이용자 온라인 활동기록의 무단 수집 등 복수의 위반행위에 대한 제재가 포함됐다.
한편 오는 9월 시행되는 개정 개인정보보호법이 적용되면 법정 과징금 상한은 지금보다 3배 이상 높아진다. 개정법은 고의·중과실에 따른 반복 위반이나 1000만명 이상의 대규모 피해가 발생한 경우 과징금 상한을 전체 매출액의 3%에서 10%로 올린다. 쿠팡의 경우 지난해 매출 약 45조5000억원을 기준으로 단순 계산하면 법률상 과징금 상한은 약 1조3650억원에서 4조5500억원으로 높아진다. 이번 쿠팡의 과징금은 지난해 매출액의 1.4% 수준이었다.