South Korea's Personal Information Protection Commission imposes record fine on Coupang

개인정보보호위원회가 쿠팡과 물류 자회사 쿠팡풀필먼트서비스(CFS)에 부과한 과징금은 총 6천250억원에 육박해, 역대 최대 규모다. 종전 최고액인 SK텔레콤(SKT) 유심 정보 유출 사고 과징금(1천347억9천100만원)의 4.6배 수준이다.

과징금이 역대 최대 규모로 불어난 것은 대규모 개인정보 유출 사고뿐 아니라 법적 근거 없는 개인정보 수집·이용 행위, 계열사의 개인정보 침해 행위까지 함께 적발됐기 때문이다.

개인정보위는 ▲ 인증서명키 관리 및 접근통제 소홀 등에 따른 개인정보 유출 ▲ 회원의 타사 웹·앱 온라인 활동기록 무단 수집 ▲ 물류 자회사 쿠팡풀필먼트서비스(CFS)의 개인정보 침해 행위를 함께 심의했다.

이에 따라 개인정보 유출 사고에 대해서는 과징금 4천235억7천500만원과 과태료 1천680만원이 부과됐다.

타사 웹·앱 이용자의 온라인 활동기록을 법적 근거 없이 수집한 행위에 대해서는 과징금 2천11억600만원이 부과됐으며, CFS에는 과징금 2억4천800만원이 의결됐다.

개인정보 유출에 대한 과징금 규모가 특히 컸던 것은 유출 규모가 SKT를 크게 웃돈 데다 과징금 산정 기준이 된 쿠팡의 사고 직전 3개 사업연도 평균 매출액이 약 36조원에 달한 점도 영향을 미쳤다.

특히 쿠팡에서는 지난해 4월부터 11월까지 회원 3천322만명과 회원이 아닌 정보주체 최소 434만명의 개인정보가 유출됐다.

전체 규모는 약 3천756만명으로 SKT 유출 규모인 2천324만명보다 1천400만명 이상 많다.

개인정보위는 연간 매출액이 30조원을 웃도는 대규모 개인정보처리자인 쿠팡이 인증 시스템과 인증서명키 관리를 소홀히 하고 다수의 이상 행위를 탐지하지 못해 대규모 유출 사고로 이어진 점을 위반행위의 중대성 판단에 반영했다고 설명했다.

조사 과정에서 드러난 비협조 행위도 제재 수위를 높인 요인으로 꼽혔다.

개인정보위에 따르면 쿠팡은 조사 착수 직후 사고 관련 접속기록 등 증거자료 보전 명령을 받았음에도 약 5개월치 웹 접속 로그를 수동 삭제했다.

또 6개월이 지나면 로그가 자동 삭제되는 내부 정책을 중단하지 않아 일부 애플리케이션 로그가 삭제되도록 방치했다.

개인정보위는 이로 인해 최초 유출 시점과 피해 규모, 피해 범위 확인이 어려워지는 등 사실관계 규명이 제한됐다고 판단했다.

삭제된 기간 공격자의 배송지 관리 페이지 접속 횟수는 약 1천900만회로 전체 접속 횟수의 약 13%에 달해 해당 기간 유출된 정보주체를 특정하는 데도 제약이 발생했다고 설명했다.

조사 과정에서는 유출 통지 의무 위반, 개인정보 파기 의무 위반, 개인정보보호책임자(CPO) 독립성 침해 등도 확인됐다.

쿠팡은 해킹 사고와 관련한 자체 조사 결과를 공개하는 과정에서 CPO를 의사결정 과정에서 배제하고 관련 정보를 공유하지 않은 것으로 조사됐다.

이 외에 개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1천117만명의 온라인 활동기록을 동의 없이 수집해 이용자를 식별할 수 있는 형태로 데이터베이스(DB)에 저장한 사실도 적발했다.

쿠팡이 수집한 정보에는 타사 웹·앱 방문 기록(URL·앱 명칭), 접속 일시, 접속 인터넷프로토콜(IP) 등이 포함됐다.

개인정보위는 여러 서비스와 웹·앱에 걸친 온라인 활동기록이 장기간 축적될 경우 개인의 관심사와 성향을 분석할 수 있고, 경우에 따라 건강 상태나 정치적 성향, 종교 등 민감한 정보까지 추론할 수 있어 정보주체 권리 침해 우려가 크다고 지적했다.

이 밖에도 개인정보위는 CFS가 개인정보 처리 과정에서 보호법상 안전조치 의무 등을 위반한 사실을 확인하고 과징금을 부과했다.

구체적으로 CFS는 물류센터에 근무한 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 목록에 등록·관리한 점이 개인정보 수집·이용 관련 규정을 위반했다고 봤다.

또 '임직원 건강관리'를 목적으로 보유·관리하는 근로자 체중정보를 산업재해 관련 소송 과정에서 법원에 제출한 것도 민감정보 처리 위반으로 판단했다.