서울의 한 쿠팡 캠프의 모습 [사진=연합뉴스]

[디지털데일리 김보민기자] 지난해 대규모 개인정보 유출 사고가 발생한 쿠팡에게 6000억원대 과징금이 부과됐다. 역대 최대 규모로, 기본적인 안전관리 체계가 미흡하고 정보주체 권리를 침해한 것이 주요 원인으로 꼽혔다.

개인정보보호위원회는 개인정보 유출과 불법 개인정보 수집·이용 행위 등을 이유로 쿠팡에 과징금 총 6246억8100만원과 과태료 1680만원을 부과한다고 11일 밝혔다. 개인정보보호법 위반에 따른 역대 최대 규모 제재다. 이전까지 개인정보위가 부과한 최대 과징금은 지난해 SK텔레콤 사고에 내린 1348억원이다.

개인정보위 조사 결과, 쿠팡은 인증 서명키 관리와 접근통제 등 기본적인 안전관리 체계를 제대로 갖추지 않아 약 3750만여명의 개인정보가 유출된 것으로 나타났다. 피해 유형을 나눠보면 회원 3322만여명과 비회원(회원이 아닌 정보주체) 433만여명이 대상이다.

개인정보위는 쿠팡이 유출 통지 의무와 개인정보 파기 의무를 위반했으며, 개인정보보호책임자(CPO) 독립성 보장 의무 위반과 조사 방해 행위도 추가로 확인했다고 설명했다. 이에 따라 유사 사고 재발 방지를 위한 안전조치 강화, 회원이 아닌 정보주체에 대한 유출 통지 실시, CPO의 실질적 역할 보장 등을 명령했다. 또한 탈퇴 회원 개인정보 처리 체계 개선을 권고하고, 3개월 이내 이행 결과를 제출하도록 했다.

타사 웹과 앱에 접속한 회원 약 1117만 명의 온라인 활동기록을 무단 수집해 적법한 근거 없이 수집·보관한 사실도 확인됐다. 조사 결과 쿠팡은 이용자가 방문한 웹페이지 URL과 앱 이름, 접속 일시, 접속 IP 주소 등 온라인 활동기록을 수집해 이용자를 식별할 수 있는 상태로 데이터베이스(DB)에 저장한 것으로 나타났다.

개인정보위는 또 쿠팡이 이른바 '납치광고'로 불리는 부정광고를 게재한 광고 파트너를 적절히 관리·감독하지 않아 이용자의 의사와 무관하게 쿠팡 서비스 이용기록이 수집되도록 방치한 사실도 확인했다고 설명했다. 개인정보위는 쿠팡에 개인정보 처리의 투명성을 높이고 맞춤형 광고에 대한 정보주체의 실질적인 선택권을 보장할 것을 명령했다. 부정광고 방지를 위한 광고 파트너 관리·감독 체계를 강화하는 내용의 시정명령도 함께 부과했다.

한편 계열사 쿠팡풀필먼트서비스(CFS)에 대해서도 개인정보 수집·이용 및 민감정보 처리 제한 위반을 이유로 과징금 2억4800만원이 부과됐다.

조사 결과 CFS는 물류센터 근무 이력이 없는 경찰청 출입기자단 명단을 수집해 취업 제한 목록에 등록·관리한 것으로 드러났다. 개인정보위는 이를 개인정보 수집·이용 목적과 범위를 벗어난 행위로 보고 개인정보보호법 위반에 해당한다고 판단했다.

또한 임직원 건강관리를 목적으로 보유·관리하던 근로자의 체중 정보를 산업재해 관련 소송 과정에서 법원에 제출한 사실도 확인됐다. 개인정보위는 체중 정보가 민감정보에 해당함에도 당초 수집 목적과 다른 용도로 활용된 점을 문제 삼아 민감정보 처리 제한 규정 위반으로 판단했다.