인싸잇=이동수 기자 | 쿠팡이 지난해 발생한 개인정보 유출 사건으로 개인정보보호위원회가 부과한 6000억 원대 과징금 부과 등 결정에 법적 대응을 시사하며 사실상 불복 의사를 밝혔다. 

지난 10일 국무총리 직속 장관급 중앙행정기관인 개인정보보호위원회(이하 개보위)는 제11회 전체회의를 열고, 지난해 4월부터 11월까지 발생한 쿠팡의 개인정보 보호 의무 위반과 법적 근거 없는 타사 이용기록 무단 수집을 이유로 과징금 6246억 8100만 원과 과태료 1680만 원을 부과하기로 결정했다.

개보위가 쿠팡에 부과한 과징금은 지난해 쿠팡의 영업이익 6790억 원에 맞먹는 규모다.

이번 개보위의 결정 직후, 쿠팡은 미국 증권거래위원회(SEC)에 공시한 보고서에서 “서울행정법원을 통해 적극적으로 법적 구제 절차를 밟을 것”이라며 “약 4억 1000만 달러에 달하는 과징금은 올해 2분기 영업현황에서 판매관리비로 간주될 것”이라고 밝혔다. 

사실상 개보위의 결정에 반기를 든 셈이다. 

전날 개보위의 발표에 따르면, 지난 2024년 12월 31일에 쿠팡에서 퇴사한 중국인 개발자 A씨는 자신이 직접 개발한 인증 시스템의 서명키를 획득했다.

이후 지난해 1월 이를 이용해 유출 테스트를 진행한 뒤, 4월부터 11월까지 회원정보 수정, 배송지 관리, 주문목록 페이지를 조회해 총 3322만 2472명의 회원과 433만 8368명 이상의 비회원의 개인정보를 유출한 것으로 확인됐다.

개보위는 A씨가 퇴사한 이후에도 쿠팡이 그의 서명키를 갱신하거나 폐기하지 않아 유출에 악용됐고 밝혔다. 또 정보 유출 기간 동안 해당 페이지에 대한 접속량이 이례적으로 급증했음에도, 쿠팡이 A씨로부터 협박을 받기 전까지 이를 인지하지 못했다고 설명했다.

이어 쿠팡이 올해 1월 30일 배송지 정보 추가 유출을 파악하고, 법령에서 정한 72시간 이내에 회원들에게 이를 통지하지 않은 점 그리고 비회원의 이름, 전화번호, 주소가 유출됐지만 이를 피해 당사자들에게 통지하라는 위원회의 요청을 이행하지 않은 점도 이번 결정의 원인으로 작용했다.

또 지난해 12월 9일부터 18일까지 A씨에 대한 자체 조사를 진행하고, 같은 달 25일 그 결과를 홈페이지에 공지하는 과정에서 개인정보 보호책임자를 의사 결정에서 배제한 점도 문제가 됐다. 그의 주장에만 의존한 자체 조사 결과가 제대로 된 사실관계 검증을 거치지 않고, 홈페이지와 언론을 통해 공개돼 사회적 혼란을 야기했다는 설명이다.

이어 탈퇴회원의 배송지 정보 246만 5592건을 파기하지 않아 그 중 일부가 유출되는 상황을 유발했으며, 2025년 11월 21일 위원회가 조사에 필요한 증거자료 보전을 명령했으나 쿠팡이 6일 뒤 2024년 7월부터 11월까지의 웹 접속 로그를 수동 삭제하여 조사에 지장을 초래했다고 발표했다.