[비즈니스포스트] 쿠팡이 개인정보 유출 사고로 개인정보보호위원회의 심판대에 오른다.

개인정보보호위원회는 10일 전체회의를 열고 개인정보를 유출한 쿠팡의 제재안을 심의한다고 9일 밝혔다.
 

과학기술정보통신부 민관합동조사단 조사 결과 전직 쿠팡 직원이 회원 정보를 빼돌린 '쿠팡 개인정보 유출' 사태로 3367만 명의 개인정보가 유출된 것으로 드러났다.

개인정보위원회는 전체회의에서 쿠팡의 개인정보보호법 위반 여부 및 제재 수위를 결정한다. 구체적인 과징금 액수와 처분 내용은 위원들의 심의를 거쳐 최종 확정된다.

현행 개인정보보호법은 개인정보 유출 사고 발생 시 매출의 최대 3% 범위에서 과징금을 부과할 수 있도록 규정하고 있다.

쿠팡이 공시한 지난해 매출은 45조5천억 원이다. 이를 단순 적용하면 법정 최대 과징금 규모는 약 1조3637억 원이다.

실제 과징금은 위반 행위의 내용과 정도, 피해 규모, 사고 대응 과정 등을 종합적으로 고려해 산정되는 만큼 법정 상한선에 근접한 수준으로 부과될 가능성은 크지 않다는 관측도 나온다.

개인정보위원회가 부과한 역대 최대 과징금은 지난해 SK텔레콤 유심(USIM) 정보 유출 사고와 관련해 내린 1348억 원이다.

개인정보보호법 시행령은 1천 명 이상의 개인정보가 유출된 경우 개인정보처리자가 유출 사실을 안 때부터 72시간 이내에 신고하도록 규정하고 있다. 개인정보 유출은 개인정보가 개인정보처리자의 관리·통제 범위를 벗어나 제3자가 알 수 있는 상태에 이른 경우를 말한다.

쿠팡은 지난해 11월16일 한 고객으로부터 개인정보 유출이 의심된다는 이메일 관련 문의를 접수했다. 이후 지난해 11월19일 고객 계정 4536개의 이름과 이메일 주소 등이 유출됐다는 내용으로 한국인터넷진흥원에 침해사고를 신고했다.

한국인터넷진흥원은 현장조사를 통해 유출 규모가 최초 신고된 4536개 계정이 아니라 3천만 건 이상이라는 사실을 확인했다.

민관합동조사단은 웹과 애플리케이션 접속기록 등 관련 자료를 분석해 공격 범위와 유출 규모를 조사했다. 조사단은 쿠팡이 제출한 공격자 PC 저장장치와 쿠팡 개발자 노트북에 대한 포렌식 분석도 진행했다.

과학기술정보통신부 조사 결과 유출된 정보에는 이용자 이름과 이메일 주소 등이 포함됐다. 일부 배송지 목록 페이지에서는 이름과 전화번호, 주소 등이 조회된 것으로 조사됐다. 조성근 기자