“쿠팡 과징금 6,246억 원”… 3,750만 명 개인정보 유출에 1,117만 명 정보 무단 수집까지

개인정보보호법 위반으로 역대 최대 규모의 과징금을 부과받은 쿠팡 사태는 기업의 정보 관리 책임과 이용자 권리 보호에 새로운 기준을 제시합니다.

개인정보보호위원회가 지난 10일 전체회의를 열고 쿠팡 및 쿠팡풀필먼트서비스(CFS)의 개인정보보호법 위반에 대해 총 6,246억 8,100만 원의 과징금 부과를 의결했다고 11일 발표했다.

이는 개인정보위 출범 이후 국내외 기업을 통틀어 역대 최대 규모로, 기존 최고 기록이던 SK텔레콤 과징금 1,348억 원의 약 4.6배에 달한다.

이번 제재는 과징금에 그치지 않는다. 쿠팡에는 1,680만 원의 과태료가 별도로 부과됐고, CFS에는 2억 4,800만 원의 과징금이 추가됐다. 개인정보위는 시정명령·공표·고발·개선권고 등 복합적 조치도 함께 결정했다.

총 3,750만 건의 유출과 위법 행위의 전말

민관합동조사단과 개인정보위 조사에서 쿠팡 회원 3,367만 3,817명의 ‘내 정보 수정 페이지’에 저장된 성명·이메일·주소 등이 담긴 개인정보와 비회원 최소 433만 8,368명의 배송지 정보가 유출된 것으로 확인됐다. 국내 성인 인구 대부분을 포괄하는 규모다.

개인정보위는 쿠팡이 내부 시스템 접속에 사용되는 인증 서명키를 부실하게 관리해 퇴직 직원의 접근을 차단하지 못하는 등 기본적인 안전관리 체계를 갖추지 않았다고 판단했다.

여기에 고객 개인정보 유출 통지·파기 의무 위반, 개인정보보호책임자(CPO)의 독립성 미보장, 조사 방해 행위까지 복수의 위반 사항이 확인됐다. 2025년 11월 유출 사고가 공개된 이후 약 7개월의 조사와 심의를 거쳐 최종 제재 수위가 결정된 셈이다.

온라인 추적·기자단 명단·체중정보까지 위법

유출 사고 외에도 다양한 개인정보 오남용 행위가 드러났다. 개인정보위는 쿠팡이 약 1,117만 명의 정보주체 온라인 활동 기록을 법적 근거 없이 무단 수집해 데이터베이스에 저장한 사실을 확인했다.

수집된 정보에는 쿠팡 광고가 게재된 외부 웹·앱 이용자의 방문 기록(URL·앱 이름), 접속 일시, 접속 IP 주소 등이 포함됐다.

부정광고를 게시한 광고 파트너를 제대로 관리·감독하지 않아 이용자 의사와 무관하게 서비스 이용 기록이 수집된 점도 지적됐다.

CFS의 위반도 심각했다. 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 정보를 취업 제한 목록에 등록·관리한 행위는 개인정보 수집·이용 위반으로 인정됐다.

또 건강관리 목적으로 보유하던 물류센터 노동자의 체중 정보를 산업재해 소송 과정에서 법원에 제출한 것은 민감정보 처리 제한 규정 위반으로 판단됐다.

시정명령·3개월 이행 점검, 정보주체 선택권 강화

개인정보위는 유사 사고 재발 방지를 위해 쿠팡에 안전조치를 강화하고, 회원 여부와 관계없이 모든 정보주체에게 유출 사실을 통지하도록 시정명령을 내렸다. 탈퇴 회원 개인정보 처리 체계 개선과 CPO의 실질적 역할 보장도 권고했다.

맞춤형 광고와 관련해서는 개인정보 처리의 투명성 제고, 정보주체 선택권 보장, 광고 파트너 관리·감독 강화를 별도 시정명령으로 요구했다. 이행 여부는 약 3개월 안에 점검할 계획이다.

쿠팡의 한국 법인 연간 매출이 약 45조~49조 원 수준으로 알려져 있는 만큼, 개인정보보호법상 매출의 최대 3%까지 부과 가능한 법정 상한과 비교하면 이번 과징금은 그 절반 수준이다. 그럼에도 6,246억 원이라는 절대 금액은 국내 개인정보 보호 집행 역사에서 전례 없는 수치다.

개인정보 유출 사고의 파급력과 제재 강도가 동시에 새로운 기준점을 세웠다는 점에서 이번 결정은 국내 기업 전반의 개인정보 관리 체계를 다시 점검하게 만드는 계기가 될 전망이다.

쿠팡이 3개월 이내 시정명령을 충실히 이행하는지, 그리고 이번 제재가 실질적인 개선으로 이어지는지가 향후 관전 포인트다.