3755만명 개인정보 유출 결론
“안전조치 의무 위반 및 법적 근거 없는 개인정보 수집”

[보안뉴스 강현주 기자] 3755만명의 개인정보가 유출된 쿠팡의 사고에 대해 개인정보보호위원회(위원장 송경희)가 6236억원의 과징금을 의결했다. 이는 지난해 SK텔레콤의 사고에 대한 1348억원의 4배가 넘는 금액으로 역대급 규모다.

개인정보위는 10일 제11회 전체회의를 열고, 개인정보 보호 법규를 위반한 쿠팡 주식회사에 총 6246억 8100만 원의 과징금 및 1680만 원의 과태료 부과와 함께 시정 명령, 공표 및 공표 명령 등을 의결했다고 11일 밝혔다.


[출처: 연합]

또 개인정보위는 개인정보 보호 법규 위반이 확인된 쿠팡풀필먼트서비스 유한회사(CFS)에 대해서도 총 2억4800만 원의 과징금 부과를 의결했다.

개인정보위는 2025년 11월 20일 쿠팡의 신고를 접수하고, 11월 21일 개인정보 유출 조사에 착수했다.

조사 결과 인증 서명키 관리 및 접근통제 소홀 등 기본적인 안전관리 체계 미흡으로 약 3755만 명의 개인정보가 유출됐다는 결론이다. 유출통지·파기 의무 및 개인정보 보호책임자(CPO)의 독립성 보장 위반 및 조사 방해 등도 추가 확인됐다.

개인정보위는 유사 사고 재발방지를 위한 안전조치 강화, 회원이 아닌 정보주체 대상 유출 통지 실시, CPO의 실질적 역할 보장 등을 시정 명령함과 동시에 탈퇴회원 개인정보 처리 체계 관련 개선 권고를 했다. 3개월 내 이행 및 조치 결과를 확인할 예정이다.

이와 함께 쿠팡에서 타사 웹·앱에 접속한 회원 약 1117만 명의 온라인 활동기록을 무단 수집해 DB에 저장한 사실을 확인했다. 쿠팡 광고가 게재된 타사 웹·앱에 대한 이용자의 방문기록(URL·앱 이름), 접속일시, 접속IP 등이다.

부정광고(납치광고)를 게재하는 광고 파트너를 적절히 관리·감독하지 않아 이용자 의사에 반하여 쿠팡 서비스 이용기록이 수집되도록 한 사실도 함께 확인했다.

이에 대해 개인정보위는 개인정보 처리의 투명성 제고, 맞춤형 광고에 대한 정보주체의 실질적 선택권 보장, 부정광고 방지를 위한 관리·감독 강화 등 시정명령을 내렸다.

개인정보위는 쿠팡 서비스가 국민 대다수가 일상적으로 이용하는 생활 인프라 성격의 플랫폼으로 개인정보 유출·침해 발생 시 대국민 영향도가 큰 점 등을 고려해 한국인터넷진흥원(원장 이상중)과 함께 집중조사 태스크포스를 구성했다.

개인정보위는 국회 청문회, 언론보도 및 타 부처 등으로부터 납치광고, 취업 제한 목록 등과 관련된 쿠팡 및 CFS의 개인정보 침해 소지가 다수 제기됨에 따라 2026년 1월 7일 추가적인 조사를 추진했다.

물류센터에 근무한 이력이 없는 경찰청 출입기자단 명단(71명)을 수집해 취업제한 목록에 등록·관리한 것은 개인정보 수집·이용 위반으로 판단했다.

또 ‘임직원 건강 관리’를 목적으로 보유·관리 중인 임직원의 체중정보를 산업재해 관련 소송 과정에서 법원에 제출한 것은 민감정보 처리 위반으로 판단했다.

개인정보위 관계자는 “관련 사실관계, 개인정보 보호 법규 위반 여부 등을 중점 확인했고, 국내·외 기업 여부 등에 대한 고려 없이, 오직 ‘법과 원칙에 따라 책임에 상응하는 처분 부과’라는 원칙 하에 이번 조사를 진행했다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>