쿠팡 본사 [사진=연합뉴스]

[디지털데일리 왕진화기자] 쿠팡이 개인정보 유출 사고로 역대 최대 규모인 6246억원의 과징금을 부과받으면서 국내 기업을 넘어 글로벌 정보보호 규제 역사에서도 이례적인 사례로 기록될 전망이다. 유출 규모가 수배에서 수십 배에 달했던 해외 주요 기업들의 정부 제재액과 비교해도 처분 강도가 훨씬 높다는 분석이 나오면서 산업계의 관심이 집중되고 있다.

이번 처분은 2325만명의 유심 등 25종 정보가 해킹된 종전 국내 최대 규모인 SK텔레콤(1348억원)을 크게 뛰어넘은 결과다. 하지만 해외로 넓혀도 외부 해커·전 직원 등의 유출 행위에 대한 정부의 벌금·과징금으로만 한정할 때 유출 규모와 비례해 처분 강도가 세계 1위 수준이라는 분석이다.

일부 시민단체들이 “법적 최고 한도인 1조원 이상을 매겨야 한다”고 나서지만, 산업계에서는 “이미 세계 최대 규모 과징금을 맞았는데 산업을 정보 유출 사건으로 모두 죽이는 짓”이라는 반발도 나온다.

◆“3억명 털린 글로벌 기업 과징금 1000억..쿠팡은 4배 넘어”

11일 개보위는 지난 10일 전체 회의 결과 3755만명의 개인정보를 유출한 개인정보 유출 위반 등에 6246억8100만원의 과징금을 부과하기로 했다. 개보위가 조사한 사건은 크게 3가지로 ▲개인정보 유출 사고 ▲타사 온라인 활동기록 무단 수집 ▲쿠팡풀필먼트서비스(CFS)의 개인정보 수집 이용 처리 위반이다. 과징금은 각각 개인정보 유출 사고(4235억7500만원), 타사 온라인 무단 수집(2011억600만원), CFS(2억4800만원) 등으로 요약된다.

쿠팡 측은 전날 개보위와 전원회의에서 ▲2차 피해가 발견되지 않았다는 점 ▲개인정보 회수 노력에 최선을 다했다는 점 ▲개보위로부터 보안체계 운영 우수성으로 ISMS-P 인증을 받았다는 점 등을 적극 어필한 것으로 전해졌다. 그러나 국내 최대 규모의 과징금을 피하지 못했다. 쿠팡 내부에서도 과징금 규모에 당혹감을 보이는 것으로 알려졌다.

업계에 따르면 쿠팡의 과징금 처분 규모는 국내를 넘어 세계무대에서도 유출 규모 대비 매우 강도 높은 처분으로 보인다. 현재까지 알려진 정부의 과징금 1위는 메타로, 5억3300만명의 이용자 정보가 해킹 포럼에 스크래핑 방식으로 유출됐다.

이름과 거주지, 생년월일, 이력, 전화번호, 이메일 등이 털린 이 사건을 조사한 아일랜드 데이터보호위원회는 메타에 2억6500만유로(3800억원)의 처분을 내렸다. 쿠팡의 정보 유출 규모는 메타의 7%지만, 개인정보 유출 과징금은 11%가 더 많다. 유출 규모와 비교해 개보위의 과징금 처분 강도가 높은 것이다.

사회보장번호(SSN), 운전면허증, 일부 신용카드번호 등 미국 성인 인구 절반인 1억4700만명의 정보가 털린 신용평가업체 에퀴팩스(1180억원)나 호텔체인 메리어트 인터내셔널(3억2700만명·970억원)의 정부 처분과 비교해도 쿠팡에 대한 처분은 강력한 편이다.

여권 번호와 이름이 유출된 메리어트는 3억명 정보가 유출된 2018년 이후 몇 년 뒤 자사 애플리케이션 로그인 해킹으로 520만명 정보가 추가 유출됐다.

그러나 영국과 미국 당국이 매긴 합산 과징금이 1000억원 안팎이었다. 이밖에 미국 모바일(7600만명), 캐피탈원(1억600만명) 등도 유출 규모가 쿠팡의 2~3배에 이르지만 정부 과징금 처분은 1000억원을 웃돌았다.

다만 이 사례들은 순수하게 외부 해커 또는 제3자의 개인정보 유출 사건들로 정부가 거둬들이는 과징금 또는 민사상 벌금(Civil penalty) 규모에 한정한 것이다. 추가 소비자 집단소송 합의금이나 기업의 피해 구제 기금, 화해 분담금 등은 포함되지 않는다.

하지만 미국 소비자 소송이 기각(메리어트)되거나, 집단소송 합의금을 모두 포함을 하더라도 전체 개인정보 유출에 대한 기업 부담이 4000~6000억원에 이르는 경우(캐피탈 원 등)도 있다. 때문에 업계에선 쿠팡도 국내외에서 집단소송이 다양하게 제기된 상황에서 순수한 정부 과징금 처분만 세계적인 규모에 속한다는 점에 의심의 의지가 없다는 반응이 나오고 있다.

국내와 비교해서도 마찬가지다. 카카오페이가 약 4000만명의 이용자 정보를 알리페이 등 국외 이전한 사례(과징금 59억6800만원), 2016년 1030만명이 털린 인터파크 개인정보 유출 사태(과징금 44억원), 결혼여부, 혈액형 등 민감정보를 포함해 개인정보 25종이 털린 듀오(12억원)과 비교해서도 압도적으로 높은 처분이란 반응이다.

서울의 한 쿠팡 캠프의 모습 [사진=연합뉴스]

◆개인정보 유출만 하면 법정 최고액? “이미 전 세계 최고 수준 처분…산업 죽어”

해외 정부에서는 예상하지 못한 외부 해킹 정보 유출에 대한 과징금보다는, 기업의 조직적인 자사 이득을 위한 개인정보 정책 위반을 더 심각하게 보는 경향이 있다. 국외에 무단 전송하거나, 광고 등을 위해 개인정보를 무단수집하는 행위에 더 큰 과징금을 물린다는 것이다.

메타의 경우 유럽 이용자들의 데이터를 미국 본사 서버에 불법 전송한 혐의로 12억 유로(1조7000억원)의 과징금을 낸 적이 있고, 8700만명의 정보를 정치컨설팅업체 케임브리지 애널리티카에 무단으로 넘기고도 방치한 문제로 미국 연방거래위원회로부터 50억달러의 과징금 처분을 받았다.

한 정보기술(IT) 업계 관계자는 “기본적으로 전 직원이나 외부 해킹은 기업이 보안 의무를 소홀히 했더라도 공격을 당한 ‘피해자’ 성격을 일부 가지고 있지만, 무단 정보 수집으로 국외 전송하는 등의 행위는 조직적이고 고의적인 위법 행위로 본다”며 “근본적으로 과실이 더 무거워 처벌수위가 높아진다”고 말했다.

국내 업계 일각에선 일부 시민단체들이 “개인정보 유출 기업에 법정 최고액을 매겨야 한다”고 나서는 것은 기업 입장에서 일정 부분 개인정보 유출로 피해를 본 만큼 경영을 크게 위축하는 일이라고 호소한다.

개인정보 과징금 처분이 오는 9월부터 매출의 10%까지 매겨지는 시행령 시행이 예정된 상황인데다 보안 투자를 늘려도 불특정 3자의 해킹이나 유출 시도를 100% 원천적으로 막기 어려운 처지도 감안해야 한다는 것이다.

업계 관계자는 “쿠팡의 이번 처분을 보면 보안 관리 위반이 핵심이고 개인정보를 위한 회수 노력이나, 2차 피해가 발견되지 않았다는 점이 크게 반영되지 않은 것 같다”며 “과징금 처벌 수위가 앞으로 최대 3배 늘게 되면 기업들이 ‘과징금 포비아’에 걸릴 수밖에 없다”고 말했다.