쿠팡, 개인정보 유출로 역대 최대 과징금 6조2468억8천1만원 부과

쿠팡이 3천756만명의 개인정보를 유출하고 타사 웹·앱에 접속한 회원 약 1천117만명의 온라인 활동 기록을 법적 근거 없이 수집한 데 대한 책임을 물어 개인정보보호위원회가 역대 최대 과징금 6조2468억8천1만원을 부과했다. 이 과징금은 쿠팡의 2023년 매출액(약 24조원)의 26%에 해당한다. 쿠팡은 지난해 11월 개인정보 유출 사실을 공개하면서 초기에 피해 규모를 4천500여건으로 발표했지만 9일 뒤 이를 약 3천370만건으로 정정했다. 유출 규모가 약 7천500배로 늘어나면서 소비자 불안과 사회적 공분이 커졌다. 이는 2천324만여명의 유심 정보가 유출된 SK텔레콤 해킹 사고를 뛰어넘는 규모다. 이재명 대통령은 지난해 12월 개인정보위 업무보고에서 "경제 제재가 너무 약해서 규정 위반을 밥 먹듯이 하고 신경을 안 쓴다"며 "국민에게 피해를 주면 엄청난 경제 제재를 받아 '회사가 망한다'는 생각이 들도록 해야 한다"고 말했다. 국회는 올해 2월 고의 또는 중대한 과실에 따른 반복 위반이나 대규모 개인정보 유출에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 개인정보보호법 개정안을 통과시켰다. 오는 9월 11일 시행되는 개정법은 최근 3년 내 고의·중과실에 따른 개인정보 유출 사고가 반복됐거나, 고의·중과실로 1천만명 이상 정보주체에게 피해를 발생시킨 경우 '징벌적 과징금'을 부과할 수 있도록 했다. 기존 과징금 상한이 전체 매출액의 3%였던 점을 고려하면 제재 수위가 대폭 강화된 것이다. 개인정보위 관계자는 "쿠팡을 비롯한 대규모 개인정보 유출 사고가 잇따르면서 법 개정 논의에 동력이 붙었고 비교적 빠르게 입법이 이뤄졌다"고 말했다. 과징금 부과 기준도 강화됐다. 지난달 시행된 개인정보 보호법 시행령과 과징금 부과 기준 개정안은 '매우 중대한 위반행위'에 대해서는 과징금 감경을 제한하고, 과징금 산정 기준도 '직전 사업연도 매출액'과 '최근 3개 사업연도 평균 매출액' 가운데 더 큰 금액을 적용하도록 했다. 그동안 정보기술(IT)·플랫폼 기업처럼 매출이 빠르게 증가하는 기업의 경우 실제 경제 규모에 비해 과징금이 낮게 산정될 수 있다는 지적이 제기돼 왔다. 개인정보위는 이번 제도 개선으로 기업의 현재 경제력과 위반행위 정도에 상응하는 과징금을 부과할 수 있을 것으로 기대하고 있다. 다만 정작 쿠팡에는 이 같은 강화된 제도가 적용되지 않는다는 점은 한계로 꼽힌다. 행정처분은 원칙적으로 위반행위 당시의 법령을 적용해 소급 적용이 어렵기 때문이다. 보안업계 관계자는 "쿠팡이나 KT 사례에 강화된 제재 규정을 적용할 수 없는 점은 아쉽지만, 대규모 개인정보 유출 사고를 계기로 제도 개선이 이뤄졌다는 점에서 의미가 있다"며 "향후 발생하는 유사 사고에 대해서는 훨씬 강력한 책임을 물을 수 있는 기반이 마련됐다"고 말했다. 앞서 개인정보위는 3천756만명의 개인정보를 유출하고 타사 웹·앱에 접속한 회원 약 1천117만명의 온라인 활동 기록을 법적 근거 없이 수집한 데 대한 책임을 물어 쿠팡에 6조2468억8천1만원의 과징금을 부과했다.