[Why&Next]개인정보위 오늘 쿠팡 처분안 심의…최대 과징금 받을까

결제·2차 피해 無…감경 사유 되나
늑장·축소 신고 등은 당시 논란키워
'매출 최대 10%' 과징금은 미적용

지난해 11월 3367만건이 넘는 개인정보 유출 사고를 낸 쿠팡에 대한 처분이 이르면 10일 결정된다. 국내 기업 중 유출 규모가 가장 컸던 만큼 과징금도 역대급 수준일지, 결제 정보와 같은 민감 정보가 유출되지 않은 점 등이 과징금 결정에 참작될지 관심이 쏠린다.

서울 시내의 한 쿠팡 물류센터 모습. 연합뉴스

개인정보보호위원회는 이날 전체회의를 열고 쿠팡의 개인정보 유출 사고에 대한 처분안을 심의한다. 사고가 발생한 지 약 7개월 만이다. 개인정보위는 지난 4월 쿠팡에 개인정보보호법 위반 사항과 예정 처분 내용 등을 담은 사전통지서를 발송했고, 쿠팡은 소명 의견을 제출한 것으로 알려졌다. 개인정보위는 최근까지 해당 의견서를 검토하며 심의를 준비해왔다.

앞서 과학기술정보통신부 민관합동조사단이 지난 2월 발표한 조사 결과에 따르면, 쿠팡에서 유출된 개인정보는 이름, 이메일주소, 배송지 주소록 등 3367만817건에 달한다. 지난해 4월 발생한 SK텔레콤의 유심 정보 유출(2324만명)을 능가하는, 국내 민간 기업 가운데 최대규모다. 게다가 쿠팡 회원이 등록해 둔 가족·친구 등 제3자의 배송지 주소·연락처도 털려 실제 해킹 영향을 받은 국민은 훨씬 더 많을 것으로 예측됐다.

이에 업계에서는 쿠팡이 역대 최대 수준의 과징금 처분을 받을 수 있다는 전망이 나온다. 업계에서는 SKT 과징금의 2~3배 수준을 예상하고 있다.

현행 개인정보보호법은 개인정보 유출 사고 발생 시 매출액의 최대 3% 이내에서 과징금을 부과할 수 있도록 정하고 있다. 쿠팡이 밝힌 지난해 매출은 45조5000억원으로, 단순 적용 시 과징금 규모는 1조3637억원 수준이다. 다만 실제 과징금은 법 위반 행위와 관련된 매출 범위와 감경·가중 사유 등을 반영해 결정되므로 법정 상한선에 근접하지 않을 가능성도 열려 있다. 현재까지 개인정보위가 역대 최대 과징금 처분을 내린 SKT만 해도 사후 수습 노력이 인정돼 매출의 1% 수준인 1348억원만 부과됐다.

쿠팡은 2차 피해가 확인되지 않았고, 금융·결제 정보나 유심 인증키 등 민감 정보는 유출되지 않았다고 강조했다. 사고 후 적극적으로 개인정보 회수에 나섰다고도 했다. 민관합동조사단도 "공격자의 외부 전송 사실을 확인할 수 없었으며 결제와 2차 피해는 없었다"고 밝힌 바 있다.

하지만 정부가 유출 경로를 파악하기 위해 내린 자료 보전 명령을 어기고 5개월 분량의 웹 접속 로그 기록 등을 삭제한 점, 최초 사고 신고 당시 유출 규모를 축소해 보고한 점 등은 당시 큰 논란이 됐다.

개인정보위는 감경·가중 사유를 엄격하게 적용할 것이라고 예고한 상황. 송경희 개인정보위원장은 지난달 브리핑에서 "법 원칙에 따라 잘못한 책임이 있다면 그에 상응하는 처분이 이뤄질 수 있도록 하겠다"고 말했다.

최근 개인정보 유출 사고가 발생한 온라인동영상서비스(OTT) 티빙과 CU편의점 택배 등은 이번 쿠팡의 심의 결과를 주시하고 있다. 이들 모두 과징금을 매출의 최대 10%까지 부과할 수 있다는 내용의 개인정보보호법 개정안은 적용받지 않는다. 개정안은 오는 9월 시행될 예정이다.

노경조 기자 felizkj@asiae.co.kr