쿠팡, 회원의 타사 온라인 기록까지 무단 수집했다···역대 최대 과징금 6246억원 부과

안전조치 소홀로 3700만영 개인정보 유출
법적 근거 없이 이용자 기록 수집도 드러나
개인정보위 “정보 주체 권리 침해 위험성 커”
과징금 2011억600만원 추가해 ‘철퇴’

송경희 개인정보보호위원회(개인정보위) 위원장이 10일 서울 종로구 정부서울청사에서 열린 전체회의에서 발언하고 있다. 연합뉴스

개인정보보호위원회가 3750만여명의 개인정보를 유출하고, 이용자의 온라인 기록을 무단으로 수집한 쿠팡에 6246억원의 과징금을 부과했다. 개인정보위가 부과한 과징금 액수로 역대 최고치다. 이미 알려진 대규모 개인정보 유출 외에 쿠팡에서 타사 웹이나 앱에 접속한 회원 약 1117만명의 온라인 활동기록을 무단 수집한 사실도 함께 적발됐다.

개인정보위는 지난 10일 전체회의를 열고 개인정보 보호 법규를 위반한 쿠팡에 총 6246억8100만원의 과징금, 1680만원의 과태료를 부과하기로 의결했다고 11일 밝혔다. 또 쿠팡을 조사 방해 혐의로 수사기관에 고발할 방침이다. 쿠팡 측은 법적 대응을 예고했다.

개인정보위는 쿠팡이 해킹 사태에서 안전조치 의무를 다하지 않아 약 3755만명의 개인정보가 유출된 것으로 보고, 이에 대해 과징금 4235억7500만원을 부과했다. 단일 개인정보 유출사고에 내린 과징금 규모로는 역대 최대치로, 한 기업의 여러 위반행위에 부과한 과징금 규모로도 가장 많다.

지난해 4월부터 11월까지 해킹으로 쿠팡 회원 3322만2472명의 이름· e메일 등 개인정보와 최소 433만8368명의 비회원 개인정보 등 총 3750여만명의 개인정보가 유출된 것으로 확인됐다. 비회원 개인정보 유출은 이번 조사에서 처음 확인됐다.

개인정보보위는 해킹 사태가 쿠팡의 기본적인 안전관리 체계 미비 및 관리 소홀로 인해 발생했다고 판단했다. 쿠팡은 전직 직원인 유출자가 퇴사한 뒤에도 서명키를 제대로 관리하지 않았고, 해커가 지난해 4월부터 11월까지 1억4800만여회 공격을 시도했음에도 이를 인지하지 못한 것으로 드러났다.

쿠팡이 회원들의 타사 온라인 활동기록을 무단으로 수집한 사실도 새롭게 드러났다. 쿠팡은 2024년12월부터 지난 2월까지 1564만5338개 웹페이지 또는 앱을 방문·사용한 이용자 1117만613명에 대한 타사 온라인 활동기록을 무단 수집·저장했다.

쿠팡이 무단 수집한 정보는 그 자체로 개인 식별이 가능한 개인정보로, 개인의 사상·건강 등 민감 정보를 추론할 수 있어 정보 주체 권리 침해 위험성이 크다고 개보위는 설명했다. 이같은 행위에 대해서는 과징금 2011억600만원을 부과했다.

개보위는 쿠팡풀필먼트서비스(CFS)가 경찰청 출입기자단 명단을 수집해 취업제한목록으로 관리한 이른바 ‘블랙리스트’ 혐의도 과징금 2억2000만원을 부과했다. 법적 근거없이 임직원의 건강 관리 정보를 제공받은 행위에도 과징금 2800만원을 부과했다.

송경희 개인정보보위 위원장은 “쿠팡은 대규모 고객정보를 기반으로 이커머스 서비스를 제공해 비약적으로 성장했다”면서 “기본적인 안전조치 소홀과 개인정보 자기결정권 침해 행위에 대해 법과 원칙에 따라 책임에 상응하는 처분을 부과했다”고 말했다.

김세훈 기자 ksh3712@kyunghyang.com