쿠팡이 약 3750만명의 개인정보 유출과 이용자 온라인 활동기록의 불법 수집 등 중대한 개인정보보호 법규 위반으로 개인정보보호위원회로부터 역대 최대 규모의 제재를 받았다.

개인정보위는 10일 전체회의를 열고 쿠팡에 과징금 6246억8100만원, 과태료 1680만원, 그리고 시정명령·공표명령·고발·개선권고 등을 의결했다고 밝혔다.

이는 기존 최대였던 지난해 4월 SK텔레콤 과징금 1348억원을 크게 넘어서는 규모다. 쿠팡 물류 자회사 쿠팡풀필먼트서비스(CFS)에게도 개인정보 수집·이용 기준 위반과 민감정보 처리 제한 위반으로 2억4800만원의 과징금이 부과됐다.

개인정보위 조사에 따르면, 쿠팡은 인증 서명키 관리와 접근통제 등 기본적인 보안 체계를 제대로 운영하지 못해 대규모 개인정보 유출을 초래했다. 전직 직원이 퇴사 후에도 갱신 및 차단되지 않은 서명키를 그대로 이용해 회원정보 수정 페이지와 배송지 관리 페이지 등에 접근했다.

이 과정에서 3322만여명의 회원 정보와 최소 433만여명의 비회원 개인정보가 유출된 것으로 확인됐다. 유출된 개인정보는 △이름 △이메일 △주소 △전화번호 △공동현관 비밀번호(마스킹) 등 민감한 정보가 포함돼 피해 규모는 더욱 컸다.

유출 이후 대응도 부실했다. 쿠팡은 비회원 정보주체에 대한 유출 통지를 개인정보위가 네 차례 요구했음에도 이행하지 않았고, 추가 유출 사실을 인지하고도 법정 통지 기한인 72시간을 넘겨 통지했다.

또 탈퇴 회원의 배송지 정보 246만여 건과 계좌번호 31만여 건을 규정대로 파기하지 않아 일부가 유출로 이어졌다. 사고 조사 과정에서는 약 5개월치 웹 접속 로그를 수동 삭제하는 등 증거 보전을 방해한 정황도 드러났다.

쿠팡은 개인정보 유출 외에도 이용자 동의 없이 타사 웹·앱 방문기록을 무단 수집한 사실이 적발됐다. 2024년 12월부터 올해 2월까지 약 1117만명의 이용자에 대해 방문 URL, 애플리케이션 명칭, 접속 시각, IP 주소 등 온라인 활동 정보를 수집해 개인 식별이 가능한 형태로 저장했다.

CFS도 물류센터 근무 이력이 없는 경찰청 출입기자 71명의 개인정보를 취업 제한 명단으로 관리한 사실이 드러났으며, 직원 건강관리 목적으로 보유하던 근로자 체중 정보를 산업재해 소송 과정에서 법원에 제출해 민감정보 처리 제한 규정을 위반한 것으로 판단됐다.

개인정보위는 쿠팡에 대해 보안 체계 전면 개선, 비회원 포함 유출 통지 의무 이행, CPO의 독립성 보장, 광고 파트너 관리 강화 등을 명령했다. 또 탈퇴 회원 정보 처리 체계 전반에 대한 개선을 권고하고 3개월 내 이행 결과 제출을 요구했다. 개인정보위는 “법과 원칙에 따라 책임에 상응하는 처분을 부과했다”고 강조했다.