개인정보위는 10일 정부서울청사에서 전체회의를 열고 쿠팡의 개인정보 안전조치 의무 위반 등에 대해 과징금 4,235억7,500만원을 의결했다고 11일 밝혔다. 온라인 활동기록 무단 수집 행위에 대해서는 2,011억660만원을 별도로 부과했다. 이로써 전체 과징금은 6,247억원에 달한다. 신고 지연 등에 따른 과태료 1,680만원도 함께 처분했으며, 조사 방해 정황에 대해서는 수사기관 고발을 병행하기로 했다.

조사 결과 쿠팡은 인증 서명키 관리와 접근통제 등 기본적인 안전조치를 소홀히 해 약 3,750만명의 개인정보가 유출된 것으로 파악됐다. 이는 앞서 민관합동조사단이 발표한 3,367만명보다 약 400만명 늘어난 규모다.

유출 대상은 회원 계정 약 3,322만명과 비회원 정보주체 최소 433만명이다. 회원정보 수정 페이지에서는 3,305만명의 이름·이메일 등이, 배송지 관리 페이지에서는 2,237만명 이상의 배송지 정보 6,398만건이 외부로 유출됐다. 일부 배송지에는 공동현관 비밀번호도 포함됐다. 주문내역 27만2,000여건(회원 5만8,000여명)도 빠져나간 것으로 조사됐다.

개인정보위는 정보주체 인증수단 관리 미흡, 침해사고 대응을 위한 접근통제 부실 등을 주요 위반 사유로 지적했다. 유출 통지 및 파기 의무 위반, 개인정보보호책임자(CPO) 독립성 미보장, 조사 방해 행위도 확인됐다. 이에 재발방지 대책 마련, 비회원 정보주체에 대한 유출 통지, CPO 역할 보장 등을 시정명령했다.

아울러 쿠팡이 타사 웹·앱 접속 기록을 통해 회원 약 1,117만명의 온라인 활동정보를 무단 수집·식별해 데이터베이스에 저장한 행위도 적발했다. 쿠팡 물류 자회사 쿠팡풀필먼트서비스가 경찰청 출입기자단 71명의 명단을 수집·관리하고, 근로자 체중정보를 소송 과정에서 제출한 행위에 대해서도 각각 위반 판단과 과징금 2억4,800만원을 부과했다.

양청삼 개인정보위 사무처장은 타 기업 제재와의 형평성 논란에 대해 “사건별 위반 내용과 적용 법조가 달라 단순 비교는 어렵다”고 밝혔다. 고의·중과실 유출 시 매출액의 최대 10%를 부과하는 ‘징벌적 과징금’ 제도는 오는 9월 시행 예정으로, 이번 사안에는 적용되지 않았다.

송경희 개인정보위원장은 “소송이 제기될 경우 적극 대응하겠다”며 “법과 원칙에 따라 면밀한 검토 끝에 내린 처분”이라고 강조했다. 개인정보위는 KT 등 다른 유출 사건에 대한 심의도 이어갈 방침이다.

한편 쿠팡은 공식 입장을 내고 “개인정보 유출로 고객과 국민께 불편을 끼쳐 사과한다”며 “보호 체계를 강화하고 신뢰 회복에 최선을 다하겠다”고 밝혔다. 다만 2차 피해 방지를 위한 선제 조치와 사실관계에 대한 설명이 충분히 반영되지 못한 점은 아쉽다고 했다.

쿠팡은 파트너스 프로그램이 국내 크리에이터·소상공인 등이 참여하는 제휴 모델로, 글로벌 기업과 동일한 방식으로 운영되고 있으며 고객 데이터 보호와 적법 절차를 준수하고 있다고 설명했다. 회사는 공식 의결서를 수령한 뒤 법적 절차를 통해 사실관계를 다투겠다는 입장이다.