쿠팡 과징금 '형평성 논란'···"글로벌 사례보다 과도"

국내외 유사 사건 대비 '역대 최대' 처벌 2차 피해 미확인 불구 대규모 제재쿠팡 "법적 대응 검토, 고객 신뢰 회복 노력"

쿠팡. 사진=강민석 기자

개인정보보호위원회가 개인정보보호위원회의 쿠팡 개인정보 유출 사고에 대해 역대 최대 수준의 과징금을 부과하면서 업계 안팎에서 형평성과 비례성 논란이 확산되고 있다. 개인정보 보호 강화 필요성에는 공감하면서도 유출 정보의 성격과 국내외 유사 사례 대비 처분 수위가 지나치게 높다는 지적이 동시에 제기된다.

11일 개보위는 쿠팡에 대해 안전조치 의무 위반 및 법적 근거 없는 개인정보 수집 등을 이유로 과징금 6246억8100만원과 과태료 1680만원을 부과했다. 이는 지난해 해킹 사고로 1347억9100만원의 과징금과 과태료 960만원을 부과받은 SK텔레콤 이후 최대 규모다.

개보위는 쿠팡이 인증 서명키 관리와 시스템 접근 통제 등 기본적인 보안 관리 체계를 충분히 갖추지 못했다는 점을 제재 근거로 들었다.

다만 업계에서는 이번 제재 수준이 과도하다는 평가가 적지 않다. 개인정보 유출 사건의 제재는 유출 규모뿐 아니라 정보의 민감도, 2차 피해 가능성, 기업의 대응 노력 등을 종합적으로 고려해야 하지만 이번 처분은 기존 사례와 비교해도 이례적으로 높다는 것이다.

실제 결혼정보업체 듀오는 혈액형, 혼인 여부, 재산 정보, 원천징수 내역 등 24종 개인정보가 유출됐음에도 약 12억원대 과징금을 받은 바 있다. 당시에도 피해 통지 지연 문제로 논란이 있었지만 유출 정보의 민감성을 감안할 때 쿠팡 사례와 비교된다는 지적이 제기됐다.

또 다른 비교 대상으로는 SK텔레콤과 KT, 신한카드 등이 거론된다. 이들 사례는 유심 인증키, 금융 정보 등 고위험 정보 유출이 포함됐지만 과징금 규모는 이번 쿠팡 제재보다 낮거나 제한적 수준에 머물렀다.

특히 SK텔레콤의 경우 사고 인지까지 약 3년 8개월이 소요됐고 유심 인증키 등 민감 정보가 포함됐지만 당시 법상 최대 과징금과 사후 수습 노력 등을 고려해 1348억원 수준이 부과됐다.

반면 쿠팡은 최초 유출 시점부터 사고 인지까지 약 5개월이 소요된 것으로 알려졌다. 이는 주요 개인정보 유출 사례 중에서는 상대적으로 빠른 대응에 해당한다는 평가도 있다.

또 현재까지 해당 사고와 직접 연관된 결제 피해나 금융사기, 신원 도용 등 2차 피해는 확인되지 않은 것으로 알려졌다. 지난 2월 과학기술정보통신부 민관합동조사단 역시 "외부 전송 정황이나 결제 피해, 2차 피해는 발견되지 않았다"고 발표한 바 있다.

쿠팡 모회사 쿠팡 Inc. 역시 다크웹 및 딥웹 유통 여부를 점검한 결과 정보 유통 정황이 확인되지 않았으며 고도 민감 정보 접근도 없었다고 밝힌 바 있다.

이번 제재의 적정성을 둘러싼 논란은 해외 사례와의 비교로도 이어지고 있다. 메타는 페이스북 데이터 스크래핑 사건으로 약 5억명 이상 정보가 유출됐지만 과징금은 약 3800억원 수준에 그쳤다.

에퀴팩스는 1억4700만명 규모 정보 유출에도 약 1180억원 수준의 제재를 받았고 메리어트 인터내셔널 역시 최대 5억명 고객 정보 유출에도 약 970억원 수준의 과징금에 머물렀다.

업계에서는 "수억 명 규모 유출 사건과 비교해도 쿠팡 제재가 과도하게 높다"며 "민감 정보 수준과 2차 피해 여부를 고려할 때 국제 기준과 괴리가 있다"는 반응이 나온다.

반면 규제 강화 흐름 자체는 불가피하다는 시각도 있다. 개보위는 최근 반복적·중대한 개인정보 침해 행위에 대해 전체 매출의 최대 10%까지 과징금을 부과할 수 있도록 제도 강화를 추진 중이며 관련 시행령 개정안은 오는 9월 시행될 예정이다.

다만 이번 사례가 향후 국내 기업 제재 기준의 '새 기준점'으로 작용할 수 있다는 점에서 업계의 긴장감도 커지고 있다. 국내 주요 플랫폼과 유통 기업들은 대규모 개인정보를 보유하고 있어 보안 투자 확대에도 불구하고 해킹 위험을 완전히 차단하기 어렵다는 점이 현실적 한계로 꼽힌다.

업계 관계자는 "제재 강화 필요성은 인정하지만 과징금은 위반의 중대성과 실제 피해 수준에 비례해야 한다"며 "예측 가능성이 떨어지면 기업 부담이 과도해질 수 있다"고 말했다.

한편 쿠팡은 이번 결정에 대해 법적 대응 방침을 밝혔다. 쿠팡은 "개인정보 유출 사고로 고객과 국민께 심려를 끼쳐드린 점은 사과드린다"면서도 "사실관계와 대응 노력이 충분히 반영되지 못한 점은 유감"이라고 밝혔다. 이어 "의결서를 수령한 후 법적 절차를 통해 사실관계를 규명하겠다"고 덧붙였다.