[KJtimes=김지아 기자] 개인정보보호위원회가 대규모 개인정보 유출 사고와 이용자 정보 무단 수집 행위가 확인된 쿠팡에 총 6246억8100만원의 과징금과 1680만원의 과태료를 부과했다.

개인정보위는 쿠팡의 안전조치 의무 위반과 법적 근거 없는 개인정보 수집·이용, 개인정보 파기 의무 위반 등을 확인하고 시정명령과 공표 명령도 함께 의결했다.

10일 개인정보위에 따르면 쿠팡에서는 약 3755만명 규모의 개인정보가 유출된 것으로 조사됐다. 이 가운데 회원 개인정보는 3322만여명, 회원이 아닌 배송지 등록 정보 주체는 최소 433만여명에 달했다.

조사 결과 이번 사고는 외부 해커의 고도화된 공격보다는 인증 서명키 관리와 접근통제 등 기본적인 보안 체계 미비에서 비롯된 것으로 판단됐다. 해커는 과거 쿠팡에서 근무했던 전직 직원으로, 인증 서명키를 활용해 회원정보 수정 페이지와 배송지 관리 페이지 등에 접근하며 개인정보를 장기간 유출한 것으로 나타났다.

◆"광고 위해 타사 이용기록도 무단 수집"

개인정보위는 개인정보 유출 외에도 쿠팡이 이용자 동의 없이 타사 웹사이트와 애플리케이션 방문 기록을 수집한 사실을 적발했다.

조사 결과 쿠팡은 자사 광고가 게재된 외부 웹·앱을 방문한 이용자 1117만여명의 온라인 활동기록을 수집해 광고 데이터베이스에 저장했다. 수집된 정보에는 방문 URL, 앱 이름, 접속 시간, 접속 IP 등이 포함됐다.

개인정보위는 이용자에게 이를 충분히 고지하거나 별도 동의를 받지 않은 점을 문제 삼아 2011억600만원의 과징금을 부과했다. 또한 이른바 '납치광고'를 게재한 광고 파트너를 적절히 관리·감독하지 않아 이용자 의사와 무관하게 쿠팡 서비스 접속 기록이 수집되도록 한 점에 대해서도 시정을 명령했다.

쿠팡 물류 자회사인 쿠팡풀필먼트서비스(CFS)에 대해서도 별도 제재가 내려졌다.

개인정보위는 CFS가 물류센터 근무 이력이 없는 경찰청 출입기자 71명의 개인정보를 수집해 취업제한 명단으로 관리한 행위를 개인정보 수집·이용 위반으로 판단했다. 또한 임직원 건강관리를 목적으로 보유하던 체중 정보를 산업재해 소송 과정에서 법원에 제출한 행위 역시 민감정보 처리 제한 위반으로 봤다.

이에 따라 CFS에는 총 2억4800만원의 과징금이 부과됐다. 개인정보위는 쿠팡에 대해 인증체계 전반의 보안 강화, 회원이 아닌 정보주체 대상 유출 통지, 개인정보 파기 체계 정비, 개인정보 보호책임자(CPO)의 독립성 보장 등을 시정명령했다.

송경희 개인정보위 위원장은 "국민 생활과 밀접한 플랫폼 기업이라면 국내외 기업을 막론하고 동일한 기준과 책임이 적용돼야 한다"며 "이번 처분이 플랫폼 업계 전반의 보안 투자 확대와 내부통제 강화의 계기가 되길 기대한다"고 밝혔다.