국내외 커머스 분야에선 새로운 흐름에 맞춰 변화가 지속되고 있습니다. 그만큼 흥미로운 현상도 생기고 논란이 발생하기도 하죠. 디지털데일리는 이곳에서 일어나는 재밌는 이야기들을 찾아 전달하고자 합니다. ‘트렌디’한 소비자가 되는 길, 시작해볼까요? <편집자 주>

송경희 개인정보위 위원장이 11일 서울 종로구 정부서울청사에서 쿠팡사태 제재안 의결 브리핑을 하고 있다. 개보위는 3천750만명의 개인정보를 유출하고, 법적 근거 없이 회원들의 온라인 활동기록을 무단 수집한 쿠팡에 과징금 총 6천246억원을 부과했다. 2026.6.11[사진=연합뉴스]

[디지털데일리 왕진화기자] “나는 쿠팡 회원도 아닌데 왜 피해자가 됐을까.”

개인정보보호위원회가 최근 쿠팡에 6246억원의 과징금을 부과하면서 소비자 관심이 커지고 있습니다. 역대 최대 규모라는 숫자도 눈길을 끌지만, 이번 사건에서 더 주목해야 할 부분은 따로 있습니다. 쿠팡 회원이 아닌 사람도 개인정보 유출 피해자가 될 수 있다는 점입니다.

개인정보위 조사 결과 유출이 확인된 쿠팡 회원은 3322만여명입니다. 그런데 여기에 회원이 아닌 정보주체 최소 433만명이 추가됐습니다. 쿠팡 회원이 배송지로 등록한 가족이나 지인, 직장 동료 등의 이름과 전화번호, 주소가 함께 유출된 것입니다.

예를 들어 자녀가 부모 집을 배송지로 등록했거나, 배우자 회사 주소로 물건을 보냈다면 해당 정보 역시 공격자에게 노출됐을 가능성이 있다는 의미입니다.

더 큰 문제는 이 숫자가 확정치가 아니라는 점입니다. 개인정보위는 이번 발표에서 “회원이 아닌 정보주체 최소 433만명”이라는 표현을 사용했는데요. 송경희 개인정보위 위원장은 브리핑에서 “433만명은 개인정보위가 확인할 수 있었던 규모”라며 “로그 기록이 삭제돼 있어 실제 피해자는 더 있을 개연성이 상당히 높다”고 밝혔습니다.

실제로 개인정보위에 따르면 쿠팡은 조사 착수 직후 사고 관련 접속 기록 등 증거자료 보전을 명령받았음에도 약 5개월 분량의 웹 접속 로그를 삭제했습니다. 6개월이 지나면 로그가 자동 삭제되는 내부 정책도 유지했습니다.

개인정보위는 이 때문에 최초 유출 시점과 실제 피해 규모를 정확히 확인하기 어려워졌다고 판단했습니다. 결국 개인정보위는 과징금 부과와 별도로 쿠팡을 수사기관에 고발하기로 결정했습니다. 송 위원장은 “실제 조사를 어렵게 한 행위가 있었고 법상 요건이 충족되면 당연히 고발하도록 돼 있다”고 설명했습니다.

서울의 한 쿠팡 캠프의 모습 [사진=연합뉴스]

이번 사건에는 개인정보 유출만 있는 것이 아닙니다. 개인정보위는 쿠팡이 약 1117만명의 온라인 활동기록도 법적 근거 없이 수집했다고 판단했습니다.

쉽게 말하면 이용자가 쿠팡이 아닌 다른 웹사이트나 애플리케이션(앱)을 방문했을 때의 기록이 쿠팡 서버로 전송됐다는 의미입니다. 개인정보위 설명에 따르면 뉴스 사이트나 커뮤니티, 블로그, 쇼핑 앱 등에 방문한 기록이 회원 식별번호와 결합된 상태로 데이터베이스(DB)에 저장됐습니다.

쿠팡은 맞춤형 광고 제공 과정에서 자연스럽게 저장된 정보라는 취지로 설명했지만 개인정보위는 받아들이지 않았습니다. 이용자가 이를 인지하거나 동의한 적이 없고, 회원 식별번호와 결합해 저장한 만큼 개인정보 수집에 해당한다고 판단했습니다.

이른바 ‘납치광고’ 문제도 적발됐습니다. 납치광고는 이용자가 광고를 누르지 않았는데도 특정 사이트나 앱으로 강제로 이동되는 광고를 말합니다. 인터넷 창을 닫으려 했는데 쿠팡 페이지가 열리거나, 몇 초 뒤 자동으로 쿠팡 앱으로 연결되는 방식입니다.

개인정보위는 일부 광고 파트너가 이런 광고를 운영하고 있다는 사실을 쿠팡이 인지하고 있었음에도 충분히 관리·감독하지 않았다고 봤습니다. 일부 파트너는 제재 대상임에도 활동을 이어갔고, 추가 수수료까지 지급받은 것으로 조사됐습니다.

반면 쿠팡은 강하게 반발하고 있습니다. 쿠팡 모회사인 미국 뉴욕증권거래소 상장사 쿠팡Inc는 미국 증권거래위원회(SEC) 공시를 통해 개인정보위 처분이 사법적 심사 대상이라며 서울행정법원에서 적극적으로 다투겠다고 밝혔습니다.

개인정보위 역시 물러서지 않겠다는 입장입니다. 송 위원장은 “법과 원칙에 근거해 충분한 검토와 숙고 끝에 내려진 처분”이라며 소송이 제기될 경우 적극 대응하겠다고 밝혔습니다.

이에 따른 피해 구제 절차도 다시 시작됩니다. 개인정보분쟁조정위원회는 쿠팡을 상대로 제기된 집단분쟁조정 절차를 재개했습니다. 지난해 제기된 집단분쟁조정 신청 두 건은 하나로 병합됐으며, 이달 26일까지 추가 참가 신청도 받습니다.

결국 이번 사건은 과징금 부과로 끝난 것이 아닙니다. 개인정보위 고발 절차와 행정소송, 집단분쟁조정이 동시에 진행될 가능성이 높습니다. 특히 개인정보위조차 “실제 피해 규모가 더 클 수 있다”고 밝힌 만큼 쿠팡 개인정보 유출 사태는 여전히 현재진행형인 셈입니다.