[일문일답] 개인정보위 "자료보전 어긴 쿠팡 고발…기본 안전조치 사실상 실패" 작성일 06-11 26 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="1dyyKAAiWB"> <figure class="figure_frm origin_fig" contents-hash="51f455d5a0eaa7fa711262a85db17403c640f5d1e6de7e28532095a271fcab62" dmcf-pid="tJWW9ccnlq" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/11/552796-pzfp7fF/20260611133457295ydrw.jpg" data-org-width="640" dmcf-mid="5Chh7ooMSb" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/11/552796-pzfp7fF/20260611133457295ydrw.jpg" width="658"></p> </figure> <p contents-hash="eb176e349c34df291fcc591460c9034c13040f6bbc5cb6ffe385c063b18305f5" dmcf-pid="FiYY2kkLyz" dmcf-ptype="general">[디지털데일리 김보민기자] 개인정보보호위원회가 대규모 개인정보 유출이 발생한 쿠팡에 6000억원대 과징금을 부과한 가운데, 조사 절차를 방해한 이유로 수사기관 고발을 병행하겠다는 입장을 밝혔다.</p> <p contents-hash="fbb9e8c811ef3321dcd81ea3377d4ad1c29db2f58254db8824473c7f142f0358" dmcf-pid="3nGGVEEov7" dmcf-ptype="general">송경희 개인정보위 위원장은 11일 서울 종로구 정부서울청사에서 브리핑을 열고 "개인정보위는 조사 착수 즉시 사고 관련 접속 기록 등 각종 증거 자료 보전을 명령했지만 쿠팡은 약 5개월 분량의 앱 접속 로그를 수동 삭제하고 6개월이 경과한 애플리케이션 로그를 자동 삭제하는 자사 정책을 중단하지 않았다"며 "(유출) 사안에 대해 고발이 진행될 것"이라고 밝혔다.</p> <p contents-hash="ff94f8e54db041206a2f327a1d5b8747c767dff37934869a577e2db1eb26e211" dmcf-pid="0LHHfDDgCu" dmcf-ptype="general">현재 개인정보위는 고발과 관련해 의견서를 의결하고 서명 절차를 진행하고 있다. 관련 절차가 마무리되면 담당 기관에 고발할 수 있도록 준비한다는 계획이다. 송 위원장은 "실제 조사를 어렵게 한 행위가 있었고 법에 따라 요건이 충족되면 당연히 고발을 하기로 되어 있다"고 부연했다.</p> <p contents-hash="6a24915e080253853cf05abc449059e592077a8a5461bc5804bcf0be3316f38d" dmcf-pid="pa556mmjlU" dmcf-ptype="general">개인정보위는 유출에 대한 과징금 규모가 역대 최고로 높은 이유에 대해서는 과징금 산정 기준이 된 쿠팡의 사고 직전 3개 사업연도 평균 매출액이 약 36조원에 달한 점이 영향을 미쳤다고 설명했다.</p> <p contents-hash="e272644c28763a1429f8732167c1e8b95aaf27afc2b768a493416a8dfeb962aa" dmcf-pid="UN11PssAWp" dmcf-ptype="general"><strong>다음은 이날 브리핑에 참석한 송 위원장, 양청삼 개인정보위 사무처장과의 일문일답 일부.</strong></p> <p contents-hash="9e0019c6886366f11573ab54ae6582f9922e2001cfc3bcc1e4c21b9cbd72a1c1" dmcf-pid="ujttQOOch0" dmcf-ptype="general"><strong>Q. 쿠팡의 경우 미국 상장사인 만큼 '달러' 기준으로 과징금을 산정했을 것 같은데 환율 시점은 언제였나. 이커머스 서비스 등 구체적으로 매출을 어떤 기준으로 계산했나.</strong></p> <p contents-hash="6635305aac6a959290840b67a978648a9ce12d0a58b97e9e33e0410682825aa9" dmcf-pid="7AFFxIIkT3" dmcf-ptype="general">A. (송경희 위원장) 매출에 대한 처분을 대린 상대는 쿠팡 주식회사다. 한국 쿠팡 주식회사라는 의미다. 한국 쿠팡 주식회사에 대한 매출은 다트(DART)에 공시가 돼 있어 이를 기준으로 산정했다. 실제로 사업자에 의해서도 매출 금액을 제출 받았다.</p> <p contents-hash="3fc65b3181e97370c3f01f1fda6af58abb665671ca78727bc1be8afecbbf7a64" dmcf-pid="zc33MCCEvF" dmcf-ptype="general">개인정보 유출 사고에 대해서는 현행법상 사고가 발생하기 직전 3개년도 평균을 적용하도록 돼 있다. 그렇기 때문에 3개년도 평균을 기준으로 했다.</p> <p contents-hash="482a64ff7761c9650fc5984c34b82874443ff391d434e7d67749b184865709a9" dmcf-pid="qk00RhhDyt" dmcf-ptype="general"><strong>Q. 쿠팡이 타사 온라인 활동 기록을 무단 수집했다는 것과 관련해, 구체적으로 소비자 관점에서 설명해달라.</strong></p> <p contents-hash="f1d2c303e01ee4a5f314b38c2e151dcd04035cacf2d33b4a2bda30b56fa9cb84" dmcf-pid="BEppellwT1" dmcf-ptype="general">A. (송경희 위원장) 특정 사이트를 방문했다고 예를 들어보면 해당 사이트에 방문만 해도 일시(시간), 인터넷주소(URL) 등 관련 정보가 쿠팡으로 전송이 된다. 쿠팡의 광고 도구가 게재된 사이트를 방문했을 때 방문 기록 등 개인을 식별할 수 있는 형태, 즉 회원 일련번호와 결합이 된 상태로 쿠팡 데이터베이스(DB)에 저장이 돼 있다. 일부는 직전에 방문했던 기록도 일부 포함돼 있었다.</p> <p contents-hash="656ff70bee6941269497f0e9673b6999c26d5ff83e8d283edbbf9c10b27f483f" dmcf-pid="bDUUdSSrC5" dmcf-ptype="general"><strong>Q. 회원이 아닌 정보주체(비회원) 피해 규모가 최소 433만명으로 기재돼 있는데, 추후 유출 규모가 더욱 커질 가능성도 있나.</strong></p> <p contents-hash="04e01e435ff5aee6853ef001716f39821ae90fa447c185c4bda6712002f4d482" dmcf-pid="KwuuJvvmTZ" dmcf-ptype="general">A. (송경희 위원장) 433만명은 개인정보위에서 확인이 가능했던 규모다. 앱 로그 기록들이 몇 개월 분이 삭제가 돼 있어서 사실은 다 확인이 어려웠다. 접속한 횟수와 공격자 이메일 등 종합적으로 고려했을 때 (피해자가) 더 있을 개연성도 상당히 높다고 보여진다.</p> <p contents-hash="569a1fb2eeec9a8b7b8472ea5363ec7ff787a16e5d5ae346212d937d66ab542b" dmcf-pid="9HxxmUUZTX" dmcf-ptype="general"><strong>Q. 과징금 산정 과정에서 유출 규모보다 안전조치 의무 위반의 중대성을 더 크게 다뤘나.</strong></p> <p contents-hash="7697484c0f4e3b5a187f11c48e7946440578ed45ef084599e202daa07cc6a637" dmcf-pid="2XMMsuu5vH" dmcf-ptype="general">A. (송경희 위원장) 그렇다. 결국 안전조치 의무를 다 지키지 않아서 이런 사고가 일어난 것이다. 가장 중요하게 보는 것은 안전조치 의무 위반이긴 하지만, 결국 국민에게 미치는 영향도 있는 만큼 유출 규모도 당연히 중요하게 고려한다.</p> <p contents-hash="694d2a7bd5fefcddea9fb1dea7aa704ef0785f7a1954af1292f4384558dcb05f" dmcf-pid="VZRRO771yG" dmcf-ptype="general"><strong>Q. 쿠팡에서 이번 제재안을 미국과의 외교 문제로 연결 지으려는 움직임이 있다. 전날 (과징금 산정을 위한) 장시간 회의에서도 이러한 문제에 대한 언급이 있었나.</strong></p> <p contents-hash="e501a042906ddd461c3d65d8b5ecec5580459a61ae2dd15bc936de62659ff9e3" dmcf-pid="f5eeIzztWY" dmcf-ptype="general">A. (송경희 위원장) 쿠팡이 개인정보보호법에 위반한 사실과 증거, 조사 결과에 집중해서 이번에 결론을 내렸다. 외부(에서 이야기하는) 국내 회사냐, 해외 회사냐, 또 그걸 둘러싼 다른 영향들에 대해서는 고려하지 않았다.</p> <p contents-hash="2267f20b373866f8342975dfa65a43030e5b1715f7fc3a7aec4457473331e047" dmcf-pid="41ddCqqFCW" dmcf-ptype="general"><strong>Q. 전날 회의가 긴 시간 동안 진행됐는데, 쟁점이 된 사안이 있었나.</strong></p> <p contents-hash="b7871360950fe43dc3e2b983ed6f9659e971474546c470a663aadc57b02121ae" dmcf-pid="8tJJhBB3Cy" dmcf-ptype="general">A. (송경희 위원장) 우리 위원들 간 상당히 많은 논의가 이미 사전 그런 회의를 통해서 여러 번 있었다. 충분히 이 사건에 대해서 숙지하고 많은 토론을 거쳤고, 또 어제의 경우에는 실제로 피심인 측 의견을 충분히 들었다. 피심인들이 입장을 충분히 얘기하고 의견 진술할 기회를 부여하고자 하는 게 컸다.</p> <p contents-hash="9dfbbfedf7e29d96a0af699ff427610b9c729c36794c3d6db29c808db5006897" dmcf-pid="6Fiilbb0ST" dmcf-ptype="general">실제적으로 확인하고 질답하는 그런 과정들이 꽤 길게 있었다. 그래서 유출의 경우에는 5시간 정도 진행됐다. 침해의 경우에도 3시간 가량 피심인들의 의견 진술과 질답하는 과정이 있었다.</p> <p contents-hash="4b471e1b6f555f80902dc8a2d0f3f5c2fe7dfbe9ac7bd96f3cdadedd52f6db08" dmcf-pid="P3nnSKKpyv" dmcf-ptype="general"><strong>Q. 쿠팡 측 소명 내용 중에 받아들여진 부분이 있나.</strong></p> <p contents-hash="a974f0c24e1a27ca6040822d7760e5af33447e1bf14fdd7623cce2b89e36324f" dmcf-pid="Q0LLv99UvS" dmcf-ptype="general">A. (송경희 위원장) 쿠팡 측에서 제안한 의견들에 대해서는 사실 여부를 면밀하게 서로 질답을 통해서도 확인하고 조사 결과와도 대비해서 여러 번 확인하는 과정을 거쳤다. 물론 사실과 부합하는 것들은 감안된 내용이 있다.</p> <p contents-hash="ab53f9850e27d1e8080144a02f79e3fe4d01e0cfe40469cd50b7df36a71f8a67" dmcf-pid="x2wwtRRfyl" dmcf-ptype="general">다만 해당 내용은 이미 조사 결과에서도 사실인 것들이다. 쿠팡 측에 의견서도 미리 받았었다. 어제 회의에서는 현장 어떤 확인과 질답이었다고 보면 된다. 그전에 의견서들도 받았었기 때문에 상당한 기간 동안 면밀한 검토를 거쳤다고 보면 된다.</p> <p contents-hash="bd4d3b2436eab2d04b08001022def661875fc4163547b0932fd5309482e5d611" dmcf-pid="yOBBoYYChh" dmcf-ptype="general"><strong>Q. 매출 기준액을 36조원으로 보고 (개인정보보호법상 최대 과징금 부과 기준인) 3%를 적용하면 1조원이 넘는데, 이에 비교하면 적은 수치인 것 같다.</strong></p> <p contents-hash="30e436753c190446239195a300206a16e2c14ea404b83c9f39c1defe307f3640" dmcf-pid="WIbbgGGhWC" dmcf-ptype="general">A. (송경희 위원장) 매출 기준에 대해서는 침해는 36조 원이 기준이지만 거기에 전혀 관련이 없다고 하는 독립적인 매출에 대해서는 제외했다. 이는 쿠팡이츠, 쿠팡플레이, 기업간거래(B2B) 금액이다.</p> <p contents-hash="a2ec2edb4c8d8b8d8ec513d622d6db9848e22df3cc8f69113588909a7df328ad" dmcf-pid="YCKKaHHllI" dmcf-ptype="general">실제로는 이커머스에 대한 전반적인 매출액은 다 포함이 돼 있다. 유출에 대해서는 30조원이지만 역시 직접적·간접적 관련이 있는 것들은 다 포함이 돼 있고 무관하다고 보여지는 독립적인 서비스에 대해서만 제외한 상태다.</p> <p contents-hash="623ec553ae87b252701704e4bcb58d7c9790d7dc42bfcb4e5c59829021139d36" dmcf-pid="Gh99NXXSlO" dmcf-ptype="general"><strong>Q. SK텔레콤처럼 쿠팡 역시 불복하고 소송에 나설 가능성이 있다. 향후 대응 방안은. KT 처분의 경우 언제 발표할 예정인가.</strong></p> <p contents-hash="1f246ade922068ffbc7a7f9f88dbb088a4b25105e6f18cbb89ab625abd084624" dmcf-pid="Hl22jZZvys" dmcf-ptype="general">A. (송경희 위원장) 소송이 만약에 제기가 된다면 적극적으로 대응하겠다. 법과 원칙에 근거해서 매우 면밀한 검토와 충분한 숙고 끝에 내려진 타당한 처분이라고 생각하기 때문에 만약에 소송 제기를 한다면 거기에 맞춰서 적극적으로 대응하도록 하겠다.</p> <p contents-hash="4f86f87feecafc158f95e44cdd326b29b34b4685d4c90d9e98c393455761acb1" dmcf-pid="XSVVA55Tym" dmcf-ptype="general">KT 처분에 대해서는 이미 사전통지가 돼 있고 의견 제출을 받아서 현재 검토 중이다. 그렇게 멀지 않은 시기에 처분을 내리려고 한다.</p> <p contents-hash="7a21c9e24192fba1fa7a6aa1d453177a573458ea80f5f3c04df2731180a88fd6" dmcf-pid="Zvffc11yyr" dmcf-ptype="general"><strong>Q. 과징금을 산정하는 과정은 고시에 이미 나와 있고 그중에서 중대성 판단이나 가중·감경에 개인정보위 판단이 들어간다고 생각된다. 어떤 부분을 제일 엄중하게 봤나.</strong></p> <p contents-hash="9297c53d7306b406e11baccbcf65fbcfe9d4a05886c7e2a28f29236e234395fe" dmcf-pid="5T44kttWvw" dmcf-ptype="general">(양청삼 사무처장) 안전조치 의무 위반 사항을 두 가지를 잡았었는데 하나는 인증체계에 관련된 것이었다. 쿠팡은 인증토큰 기반의 권한관리시스템을 쓰면서도 그에 합당하게 필요한 필수적인 키 관리, 매니지먼트를 하는 데 실패했다고 보여진다. 안전한 인증수단을 관리해야 한다는 보호법을 위반했다는 점을 주목했다.</p> <p contents-hash="16616dd6a7779aa28cd705b691edb02bc6e0bac057e221a70101437c142aee08" dmcf-pid="1LHHfDDgCD" dmcf-ptype="general">그리고 쿠팡은 국내 경제활동인구가 많이 이용하는 온라인 플랫폼이다. 온라인 플랫폼에서 다루는 개인정보처리시스템에 대한 침입 탐지, 대응분석 체계가 사실은 어떤 사업자보다도 고도로 높을 것이 요구되는데, 쿠팡의 경우 일반 상품과 개인정보 페이지에 대한 비정상 트래픽 임계치를 동등하게 설정하는 등 침입 탐지에도 실패했다고 판단했다.</p> <p contents-hash="6e051e3b5e6edc4d6d95f761118469279022f86a3e8c448d3c4a7004764a19bd" dmcf-pid="toXX4wwalE" dmcf-ptype="general">개인정보위는 이런 부분들을 중대한 위반 행위로 봤고 과징금 처분 중대성을 고려했다. 이 외에도 가중·감경에서 과거의 유출 사고로 인한 과징금 사례라든지 위반 행위의 위반 기간이라든지 그리고 조사 방해 관련된 요소들 그리고 피해 회복과 관련된 일부 프로그램을 진행한 바가 있고 그에 대한 어떤 요소들을 적절하게 가중·감경에 반영했다.</p> <p contents-hash="a6f3583b6d6ad5dd5d8eaeac87c928bf746e62c726722419d64f33b67bb09669" dmcf-pid="FgZZ8rrNCk" dmcf-ptype="general"><strong>Q. 2차 피해가 발생하지 않았고 글로벌 기업들과 동일한 제휴 모델로 파트너스프로그램을 운영한 것이라는 쿠팡 측 의견이 담긴 입장문이 나왔다. 이에 대한 생각은.</strong></p> <p contents-hash="b20dcbbe801bda1f588aa073a54f1a05b0d4ed50bd8d5afaf26f8afba955387b" dmcf-pid="3a556mmjvc" dmcf-ptype="general">(양청삼 사무처장) 쿠팡에서 유출된 정보가 2차 피해에 활용이 됐다는 사실이 확인이 안 됐을 뿐이지, 완전히 정보가 회수가 된 상황이라고 판단되지 않는다. 그 부분과 관련해서는 여전히 경각심을 가져야 된다. (유출 피해가) 3700만여명이라고 돼 있지만 해커 협박 메일을 보면 사실은 그보다 훨씬 더 큰 규모로 정보가 사실상 유출된 것이다. 이러한 정황들이 있기 때문에 추후 사이버 범죄에 활용될 가능성이 여전히 남아 있다.</p> <p contents-hash="b39280f3fd67cc56f2f097d71f6b3496202a09e028bf2380270e9646a667b48f" dmcf-pid="0N11PssATA" dmcf-ptype="general">파트너스프로그램과 관련해서 쿠팡에서도 심의·의결 과정에서 사실상 정보 주체한테 어떤 명확하게, 그러니까 쿠팡에서도 기본적으로 이게 타사의 웹과 앱의 온라인 활동 기록이 쿠팡 DB에 적재가 됐다는 사실들은 인정을 했다. 그리고 이용자 식별번호, 즉 개인을 식별할 수 있는 번호와 결합해 적재한 사실도 인정했다.</p> <p contents-hash="cc24844705d63cdf5f804ff1beaa9f19a09062c429ccffb58302b1f466748315" dmcf-pid="pjttQOOclj" dmcf-ptype="general">이와 관련해 쿠팡 측은 '비의도적인 거다', '자연적으로 적재가 됐다'고 주장했는데 인터넷 통신 규약상에 자연적으로 적재할 수 있는 형태가 아니다. 기본적으로 광고 도구를 배포했고 그리고 기기 식별자를 회원들 브라우저에 그런 부분들을 이렇게 설치를 했고 그를 바탕으로 해서 타사의 웹·앱의 온라인 기록들을 쿠팡 서버에 들어왔을 적에 회원 식별번호와 결합해서 의도적으로 DB에 쌓아 놨기 때문에 충분히 의도성이 있었다고 본다.</p> <p contents-hash="de5d2afb377120ba8641bc2fecf2217af3d1be3798c4045a666a30e2e6dedbb8" dmcf-pid="UAFFxIIkCN" dmcf-ptype="general"><strong>Q. 피해자를 구제하기 위한 지원 방안은. 분쟁조정도 다시 재개될 예정인데 추가 접수 기간은 언제인가.</strong></p> <p contents-hash="9b244af8831a05b7cbcf9e1a993f462f47ae58bb4f690bc97e534d64a4b7dbc9" dmcf-pid="uc33MCCEva" dmcf-ptype="general">A. (양청삼 사무처장) 굉장히 중요한 정책적 관심사 중 하나다. 일단 정부 차원에서 추진되고 있는 기금이 있는데, 개인정보보호위원회도 이에 참여해 정보 주체와 피해 지원을 쓰는 방안들을 검토 중이다. 그 외에도 정보 주체 권리 보호를 위한 정책 기능을 획기적으로 강화해야 되겠다는 판단이 있어서 관련 사업이라든지 업무 추진체계를 대폭 정비하려 한다.</p> <p contents-hash="bc65d3f828f9c0760e6a40f8505d62481103f27af59ed0dc648b72839cead01b" dmcf-pid="7k00RhhDCg" dmcf-ptype="general">분쟁조정 접수는 내일(6월12일)부터 재개되며, 추가 당사자 모집은 6월26일까지다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 6247억원 과징금 처분받은 쿠팡…결정적 잘못 4가지 06-11 다음 "마지막 월드컵? 결정은 제가 한다" 손흥민의 4번째 월드컵 도전 06-11 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
