개인정보보호위원회가 쿠팡에 내려진 6천억원 수준의 과징금 처분에 대해 "법과 원칙에 근거해 면밀한 검토와 충분한 심의 끝에 이뤄졌다"고 밝혔다.
ADVERTISEMENT
송경희 개보위 위원장은 11일 정부서울청사에서 쿠팡의 개인정보보호법 위반에 대한 심의 결과를 발표한 이후, 쿠팡이 법적 대응을 시사한 것에 대한 입장을 묻는 취재진의 질문에 "소송이 제기된다면 적극적으로 대응하겠다"며 "이번 처분은 법과 원칙에 근거해 매우 면밀한 검토와 충분한 심의 끝에 내려진 타당한 처분이라고 생각한다"고 말했다.
데이터 유출 사태와 관련된 2차 피해를 방지하기 위한 선제적 조치를 했다는 점이 과징금 등 결정에 반영되지 못했다는 쿠팡의 주장에 대해서는 사실이 아니라고 밝혔다. 송 위원장은 "조사 과정에서 유출된 정보가 2차 피해에 활용됐다는 사실이 확인되지 않은 것일 뿐, 정보가 완전히 회수된 상황이라고는 판단되지 않는다"고 설명했다.
ADVERTISEMENT
이어 "오늘 발표한 유출 규모는 3,700만 명이지만 해커의 협박 메일을 보면 그보다 훨씬 더 큰 규모로 유출된 정황이 있어, 추후에도 실제 사이버 범죄에 활용될 가능성이 여전히 남아 있어 경각심을 가져야한다"고 강조했다.
한편, 쿠팡은 이날 공식 입장문을 통해 개보위의 이번 처분에 대해 법적 대응에 나서겠다고 밝혔다.
이하 개보위와 취재진의 질의응답 내용.
Q. 과징금이 매출 기준으로 산정됐다는데 구체적으로 매출을 얼마를 기준으로 봤나.
A. 개보위가 처분을 내린 상대방은 한국의 쿠팡 주식회사로, 전자공시시스템(DART)에 공시된 매출액을 기준으로 산정했다. 기준이 된 매출액은 개인정보 유출 사고 발생 직전 3개 연도 평균을 기준으로 본다.유출 사고의 경우에는 약 30조 원, 침해 사고는 약 36조 원 가량 된다.
ADVERTISEMENT
Q. 30조 원 기준으로 전체 매출액의 몇 퍼센트를 과징금으로 부과한 건가.
A. 어떤 기준율을 썼느냐에 대해서는 내부 절차에 따라 이후에 정리되어 공개될 것이다.
Q. 쿠팡의 매출 산정에서 구체적으로 어떻게 기준을 잡았나.
A. 위반 행위와 직접적·간접적으로 관련 없는 독립적 매출, 예를 들어 쿠팡플레이, 쿠팡이츠, B2B 금액들은 제외했다. 유출의 경우 30조 원, 침해의 경우 36조 원이 기준이지만 관련 없는 독립적 서비스 매출은 제외한 상태다. 매출액 전체의 3%라고 되어 있지만 실제로 가중·감경 요소를 다 고려하면 현실적으로는 그렇게 나오게 설계되어 있지는 않다.
ADVERTISEMENT
Q. 이번 과징금이 역대 최대인데 EU 등 해외와 비교하면 어떤가.
A. EU도 전 세계 매출의 4%까지 부과할 수 있고, 유출에 대해서는 전 세계 매출액의 2%를 하게 되어 있다. 부과율을 보면 우리나라가 오히려 더 높다고 말할 수는 없는 부분도 있다. 다만 법 체계가 다르다 보니 1대 1 비교는 어렵다. 이번 유출 행위가 얼마나 중대한지, 피해 규모 등을 매우 숙고하고 토론을 거쳐 책임에 상응하는 처분을 내리기 위해 최선을 다했다.
Q. 쿠팡이 타사의 온라인 정보를 무단 수집했다는 것은 어떤 내용인가.
A. 쿠팡의 광고 도구가 게재된 사이트에 방문만 해도 방문 일시, URL 등에 관한 정보가 쿠팡으로 전송된다. 이 정보는 개인을 식별할 수 있는 형태, 즉 개인의 회원 일련번호와 결합된 상태로 쿠팡 DB에 저장됐다. 일부는 직전에 방문했던 사이트 기록도 포함돼 있다. 쿠팡 파트너스 프로그램이 약 15만 개 웹·앱에 적용되어 있으며, 서브 페이지까지 하면 1,500만 개에 달하는 URL들이다. 이 15만 개 웹·앱에 접속하게 되면 쿠팡 배너를 클릭하지 않더라도 자동으로 URL과 기기 식별자가 쿠팡으로 전송돼 광고용 DB에 적재된다. 정보 주체는 타사 웹·앱의 온라인 활동 기록이 수집된다는 고지를 받은 바 없고, 실질적인 선택권도 행사하지 못했기 때문에 동의 의무 위반이라고 판단했다.
ADVERTISEMENT
Q. 개인정보 유출 규모를 최소 433만 명이라고 기재했는데, 추후 더 늘어날 가능성도 있나.
A. 433만 명은 저희가 기록상 증거를 통해 확인할 수 있었던 규모다. 웹 로그 기록들을 다 확인하기 어려웠지만, 접속 횟수라든지 공격자의 이메일 등을 종합적으로 고려했을 때 더 있을 개연성도 상당히 높다.
Q. 이번 과징금 산정에서 어떤 부분을 가장 엄중하게 봤나. 감경은 어떻게 이뤄졌나.
A. 안전조치 의무 위반 두 가지를 중대하게 봤다. 하나는 인증 체계 관련으로, 비상시 작동되는 콜백 대체 인증 시스템의 마스터 키가 잘못 관리되면 전체 회원의 개인정보에 접근할 수 있는 가능성이 생기는데 쿠팡은 이에 실패했다. 다른 하나는 침입 탐지 체계 관련으로, 일반 상품 페이지와 개인정보 페이지의 비정상 트래픽 임계치를 동등하게 설정함으로써 배송지 관리 페이지, 회원 정보 수정 페이지, 주문 목록 페이지 등 개인정보를 수록한 페이지에 대한 침입 탐지에 실패했다. 이 외에도 과거 유출 사고로 인한 과징금 사례, 위반 행위 기간, 조사 방해 관련 요소, 피해 회복 프로그램 진행 여부 등을 가중·감경 단계에 적절히 반영했다.
Q. 최종 결정을 내리는 전체회의가 왜 그렇게 길어졌나.
A. 위원들 간에 사전 회의를 통해 이미 상당히 많은 논의가 있었고 사건에 대해 충분히 숙지하고 토론을 거쳤다. 어제의 경우에는 피심인 측의 의견을 충분히 듣기 위한 것이 컸다. 피심인들이 입장을 충분히 얘기하고 의견을 진술할 기회를 부여하고자 했고, 사실을 확인하고 질의응답하는 과정도 꽤 길게 있었다. 유출의 경우 한 5시간 정도, 침해의 경우도 거의 3시간 가까이 피심인들의 의견 진술과 질의응답 과정이 있었다.
Q. 쿠팡에서 조사를 어렵게 한 행위가 구체적으로 무엇인가.
A. 접속 로그 기록에 대한 삭제가 있었다. 개보위에서 조사를 개시하고 자료 보전 명령을 내렸는데도 그 이후에 삭제가 이뤄졌다. 자동 삭제 시스템도 중단시키지 않아 한 번 더 자동 삭제되는 일도 있었다. 이로 인해 확인한 것에 기초해 최종 처분을 내릴 수밖에 없었다.
Q. 쿠팡에서 개보위가 선제적 조치나 사실관계에 대한 근거 설명을 충분히 반영하지 않았다고 주장하는데.
A. 쿠팡은 유출 사고와 침해 사고 모두 상당히 장기간에 걸쳐 유출 사고 관련해서는 한 5~6시간 정도의 의견 진술 기회 및 QnA 기회가 충분히 있었다. 침해 사건도 마찬가지다. 그 이전에 이미 수백 페이지에 달하는 의견서도 제출받았다. 유출 사건과 침해 사건 모두 관련 내용들을 면밀하게 검토했고, 위원들이 심의 의결하는 과정에 충분히 참작되었다고 보여진다.
Q. SKT의 전례를 보더라도 쿠팡이 과징금 처분에 불복해 소송에 나설 가능성이 있다. KT의 과징금 부과 결과는 언제 나오나.
A. 소송이 제기된다면 적극적으로 대응하겠다. 이번 처분은 법과 원칙에 근거해 매우 면밀한 검토와 충분한 심의 끝에 내려진 타당한 처분이라고 생각한다. KT 처분에 대해서는 이미 사전 통지가 되어 있고, 의견 제출을 받아 현재 검토 중이기 때문에 멀지 않은 시기에 처분을 내리려고 한다.
Q. 징벌적 과징금 도입 이후 향후 제재 수위는 더 높아지나.
A. 징벌적 과징금은 9월 11일부터 발효된다. 중대하고 반복적인 사고, 천만 명 이상 이용자 정보 유출, 시정 명령 불이행으로 인한 사고 등의 법적 요건이 있다. 해당 요건에 해당된다면 중대한 과실이나 고의에 의한 것인지를 판단해 최고 10% 이내에서 결정하게 된다. 요건에 해당된다면 과징금의 액수나 심각성은 더 커질 것이다.
Q. 쿠팡이 2차 피해가 발생하지 않았다고 주장하는데.
A. 조사 과정에서 유출된 정보가 2차 피해에 활용됐다는 사실이 확인되지 않은 것일 뿐, 정보가 완전히 회수된 상황이라고는 판단되지 않는다. 오늘 발표한 유출 규모는 3,700만 명이지만 해커의 협박 메일을 보면 그보다 훨씬 더 큰 규모로 유출된 정황이 있어, 추후에도 실제 사이버 범죄에 활용될 가능성이 여전히 남아 있다. 경각심이 필요하다.
Q. 쿠팡 파트너스 프로그램이 글로벌 기업과 동일한 제휴 모델로 적법하게 운영됐다는 쿠팡 주장에 대해서는.
A. 쿠팡도 심의 의결 과정에서 타사 웹·앱의 온라인 활동 기록이 쿠팡 DB에 적재됐다는 사실, 그리고 이용자 식별 번호와 결합해 적재한 사실은 인정했다. 쿠팡은 비의도적이라고 항변했으나, 광고 도구를 배포하고 기기 식별자를 회원들 브라우저에 설치한 뒤 타사 온라인 기록을 회원 식별 번호와 결합해 의도적으로 DB에 쌓아놨다고 판단했다. 이후 쿠팡이 해당 DB를 조회한 사실도 확인했다.
Q. 유출된 이름·주소·계좌번호 등이 법상 민감 정보가 아니라는 쿠팡의 주장에 대한 입장은.
A. 보호법이 정하는 민감 정보는 사상·신념이라든지 정당 활동의 내역 등을 말하며, 이번 유출 정보는 그에 해당되지 않는다. 그러나 국민 일상생활과 관련된 실 주소가 광범위하게 유출됐다는 점은 위반 행위의 중대성을 판단할 적에 충분히 고려됐다.
Q. 피해자 보상 프로그램으로 5만 원 쿠팡캐시를 지급했는데 실질적인 보상이 아니라는 비판이 있다. 이게 과징금 감경에 반영됐나.
A. 심의 의결 과정에서 쿠팡이 시행한 프로그램이 어느 정도로 이용자들에게 이용됐는지 정확히 확인하는 게 중요했다. 모 위원께서 질의를 하셨는데 쿠팡에서 답변을 하지 않아 정확하게 얼마가 집행됐는지 확인이 안 됐다. 종합적으로는 가중·감경 판단 시 일부 고려가 됐다.
Q. 과거 처분과 비교해 이번 과징금이 역대 최대인 이유는 무엇인가.
A. 개별 사건마다 성격과 위반 행위의 성격, 적용 법조가 다르기 때문에 일일이 비교하는 것은 쉽지 않다. 쿠팡은 우리나라 경제활동 인구가 거의 모두 이용하는 온라인 플랫폼으로, 해커의 주장에 따르면 1억 2천만 개의 주소들이 관리되고 있는 등 국민 일상생활과 밀접하다. 보호법이 정하는 법과 원칙에 따라 국내외 사업자 차별 없이 처분했다.
Q. 과징금을 피해자를 위해 활용하는 방안이 있나.
A. 정부 차원에서 신고·포상을 장려하는 기금을 기획하고 있으며, 개보위도 참여해 정보 주체의 피해 지원 사업에 활용하는 방안을 검토 중이다. 정보 주체의 권리 보호를 위한 정책 기능을 획기적으로 강화하고, 관련 사업과 업무 추진 체계도 대폭 정비해 나가려고 하고 있다.
Q. 분쟁 조정 절차는 언제 재개되나. 추가 접수 기간은 언제까지인가.
A. 6월 12일 내일부터 재개된다. 추가 당사자 모집은 내일부터 6월 26일까지다.
Q. 경찰청 출입기자단 명단 수집이 쿠팡 위장 취업 보도에 대응하기 위한 것이었나. 쿠팡은 어떻게 해명하나.
A. 쿠팡 측에서는 허위사실 유포 등에 대응하기 위해 등록돼 있었다고 주장하고 있다. 쿠팡 본인들은 사업장 안전 등을 이유로 했다고 얘기하고 있다.