개인정보위 과징금 절반이 쿠팡 몫…6247억 적정했나

[아이뉴스24 구서윤 기자] 개인정보보호위원회가 지난 6월 쿠팡에 부과한 6000억원대 과징금을 두고 제재 비례성과 형평성을 둘러싼 논쟁이 이어지고 있다. 최근 과징금 산정과정이 담긴 개인정보위 전체회의 속기록이 공개된 데 이어 개인정보위 출범이후 누적과징금 절반이상이 쿠팡 관련 처분에 집중된 것으로 나타났기 때문이다.

개인정보 침해에 엄정한 책임을 물어야 한다는 데에는 이견이 없지만 수천억대 제재를 둘러싸고 산정기준을 보다 명확하게 해야 한다는 목소리가 나오고 있다.

29일 업계에 따르면 개인정보위는 지난 6월 개인정보 유출과 온라인 활동기록 무단수집 등을 이유로 쿠팡에 과징금 총 6246억8100만원을 부과했다. 개인정보 유출사고에 4235억7500만원, 이용자 타사 웹·앱 온라인 활동기록을 법적근거 없이 수집한 별도 위반행위에 2011억600만원을 각각 부과했다.

2020년 9월 개인정보위 출범이후 올해 7월까지 부과된 과징금은 총 1조1149억7000만원이다. 이 가운데 쿠팡 관련 처분액이 전체 약 56%를 차지한다. 단일기업에 부과된 과징금이 개인정보위 출범이후 전체 과징금 절반이상을 넘어선 셈이다.

개인정보 유출사고에 엄정한 책임을 물어야 한다는 데에는 이견이 적다. 다만 업계에서는 다른 대규모 개인정보 침해사례와 비교해 쿠팡에 부과한 과징금이 큰 만큼 산정과정과 가중·감경기준을 보다 명확하게 할 필요가 있다는 지적이 나온다.

SK텔레콤은 약 2324만명 개인정보와 유심 관련 정보가 유출된 사고로 과징금 1347억9100만원을 부과받았다. 쿠팡 개인정보 유출사고에 부과된 과징금은 이보다 3배를 웃돈다.

KT는 실제 금전피해도 발생했다. KT에서는 1만6647명 개인정보가 유출됐고 탈취된 인증정보를 이용한 무단 소액결제로 368명이 약 2억4000만원 금전피해를 입었다. 개인정보위가 KT에 부과한 과징금은 539억7900만원이었다.

반면 쿠팡에서는 3755만명 개인정보가 유출된 것으로 조사됐지만 현재까지 유출정보를 이용한 2차 금전피해는 정부조사에서 확인되지 않았다. 쿠팡은 사고이후 다크웹과 딥웹 등을 모니터링하고 피해보상과 보안강화 조치를 시행했다는 점을 강조하고 있다.

쿠팡은 "2차 피해를 방지하기 위한 선제적 조치와 명확한 사실관계에 근거한 설명이 개인정보위 결정에 충분히 반영되지 못한 점을 유감스럽게 생각한다"는 입장을 유지하고 있다. 행정소송 등 법적대응도 준비중이다.

카카오페이 사례와 비교해도 과징금 격차는 크다. 개인정보위 조사결과 카카오페이는 2018년부터 2024년까지 이용자 동의 없이 휴대전화 번호와 이메일 주소, 충전잔액, 결제·송금건수 등 정보를 알리페이에 전송한 것으로 조사됐다.

이에 개인정보위가 부과한 과징금은 59억6800만원이었다. 쿠팡 개인정보 유출 관련 과징금과 비교하면 70배이상 차이가 난다.

같은 쿠팡 개인정보 유출사고를 두고 한국과 대만당국이 내린 처분에서도 큰 차이가 나타났다. 대만에서는 쿠팡 고객 20만4552명 이름과 이메일, 전화번호, 배송주소, 일부 주문기록 등이 노출됐지만 현지당국이 쿠팡 대만법인과 대표에게 부과한 과징금은 총 150만대만달러로 약 6500만원이었다.

한국 피해인원이 대만보다 약 184배 많지만 개인정보 유출 관련 제재액은 6500배이상 차이가 난다. 피해자 1명당 과징금으로 환산하면 한국이 대만보다 약 35배 높은 수준이다.

다만 양국의 과징금 규모를 단순 비교하기에는 제도 자체가 다르다. 한국은 위반행위와 관련 없는 매출을 제외한 매출액을 토대로 과징금을 산정하고 위반 정도와 가중·감경사유 등을 반영한다. 대형 플랫폼일수록 같은 위반에도 절대적인 과징금 규모가 커질 수 있는 구조다.

반면 대만은 기업 매출과 연동하지 않고 위반 유형별로 법에서 정한 범위안에서 과징금을 부과한다. 대만 당국은 이번 쿠팡사고를 최고수준의 '중대한 위반'으로 분류하지 않았으며 2차 금전피해가 확인되지 않은 점과 사고이후 보완조치 등도 종합적으로 고려한 것으로 알려졌다.

개인정보위는 쿠팡사건 경우 유출인원이 3700만명을 넘고 인증서명키 관리와 접근통제 등 안전조치가 미흡했다는 점에서 위반정도가 중대하다고 판단했다. 실제 2차 피해가 발생하지 않았다는 이유만으로 대규모 개인정보 유출 위험이 사라졌다고 볼 수 없다는 것이다.

한 업계 관계자는 "대규모 개인정보 유출에 강한 제재가 필요하다는 점과 과징금 산정기준이 비례적이고 예측가능해야 한다는 문제는 별개"라며 "수천억원대 과징금이 부과되는 사건일수록 기준금액과 가중·감경요소가 어떤 방식으로 최종금액에 반영됐는지 충분히 설명할 필요가 있다"고 말했다.