개인정보컴플라이언스 | 개인정보위원회, 쿠팡에 6246억 원 과징금 부과…기업 개인정보 관리 범위 확대

이번 제재는 하나의 위반행위가 아닌 복수의 위반행위가 함께 인정됐다는 점을 먼저 살펴볼 필요가 있습니다.

개인정보보호위원회는 인증서명키 관리와 접근통제 등 안전조치 의무 위반으로 대규모 개인정보 유출이 발생했다고 판단했습니다.

이와 별도로 이용자의 온라인 활동기록을 수집·보관한 행위 역시 개인정보보호법 위반에 해당한다고 봤습니다.

과징금 규모 자체보다 주목되는 부분은 개인정보 유출과 데이터 활용 문제가 각각 독립적인 위반행위로 평가됐다는 점입니다.

개인정보 유출 사고가 발생하지 않았더라도 온라인 활동기록 처리 방식만으로 별도 제재가 가능하다는 의미이기도 합니다.

개인정보보호위원회는 쿠팡이 회원들의 온라인 활동기록을 수집해 개인 식별이 가능한 상태로 데이터베이스에 저장했다고 판단했습니다.

조사 대상에는 URL 정보, 접속 일시, 접속 IP, 앱 이용 정보 등이 포함됐습니다.

개인정보보호법 제15조는 개인정보 수집·이용의 법적 근거를 규정하고 있으며, 개인정보처리자는 처리 목적과 수집 범위를 명확하게 정해야 합니다.

개인정보보호위원회는 이번 사건에서 온라인 활동기록 수집 및 보관 과정이 관련 법령 기준에 부합하는지 여부를 검토했으며, 해당 위반행위에 대해 약 2,011억 원의 과징금을 부과했습니다.

개인정보컴플라이언스 체계에서 개인정보보호책임자(CPO)는 개인정보 보호 업무를 총괄하는 역할을 수행합니다.

개인정보보호법 제31조는 개인정보처리자에게 개인정보보호책임자를 지정하도록 규정하고 있으며, 개인정보 처리 현황 점검, 내부 관리계획 수립 및 운영 등의 업무를 담당하도록 하고 있습니다.

개인정보보호위원회는 이번 조사에서 쿠팡의 개인정보보호책임자 독립성이 충분히 보장되지 않았다고 판단했습니다. 또한 개인정보보호책임자가 개인정보 처리 과정에 대한 관리·감독 기능을 실질적으로 수행할 수 있는 체계가 적절하게 운영됐는지 여부도 함께 검토했습니다.

이에 따라 이번 사건에서는 개인정보 유출과 온라인 활동기록 처리 문제 외에도 개인정보보호 조직의 운영체계가 조사 대상에 포함됐습니다.

개인정보보호위원회는 쿠팡의 광고 파트너 운영 과정에서 이용자 의사와 무관하게 서비스 이용기록이 수집된 사실을 확인했다고 밝혔습니다.

조사 결과에는 광고 파트너가 이용자의 웹사이트 방문기록과 앱 이용기록 등을 수집하는 과정도 포함됐습니다.

개인정보보호위원회는 쿠팡이 광고 파트너를 통해 수집된 정보의 처리 과정을 적절하게 관리·감독했는지 여부를 조사했고 그 결과 개인정보 처리의 투명성 확보와 이용자 선택권 보장 측면에서 개선이 필요하다고 판단해 관련 시정명령을 내렸습니다.

또한 쿠팡풀필먼트서비스(CFS)의 근로자 체중정보 활용 과정도 조사 대상에 포함됐습니다.

개인정보보호위원회는 CFS가 임직원 건강관리 목적으로 수집·보관하던 체중정보를 산업재해 관련 소송 과정에서 활용한 사실을 확인했습니다.

이에 해당 정보가 건강상태와 관련된 민감정보에 해당한다고 보고, 수집 목적 범위를 벗어나 활용됐는지 여부를 검토했습니다.

개인정보보호법 제23조는 건강정보와 같은 민감정보를 처리하는 경우 별도의 법적 근거가 있거나 정보주체의 별도 동의를 받도록 규정하고 있습니다.

개인정보보호위원회는 체중정보 활용 과정이 이러한 민감정보 처리 요건에 부합하지 않는다고 판단했고, 이에 대해 별도 과징금을 부과했습니다.

이번 사건에서 개인정보보호위원회는 약 3,750만 명의 개인정보 유출뿐 아니라 온라인 활동기록 처리 과정에 대해서도 별도의 위반행위가 성립한다고 판단했습니다.

전체 과징금 6,246억 원 가운데 약 2,011억 원이 온라인 활동기록 수집 및 활용과 관련된 위반행위에 부과됐다는 점도 눈여겨볼 부분입니다.

또한 개인정보보호위원회는 개인정보 유출 사실만 확인한 것이 아니라 개인정보보호책임자 운영체계, 광고 파트너 관리·감독 체계, 민감정보 활용 과정까지 함께 조사했습니다.

이는 개인정보 처리 결과뿐 아니라 개인정보를 수집하고 이용하는 과정, 내부 관리체계 운영 현황도 조사 대상이 될 수 있음을 보여줍니다.

이번 사건 이후 기업은 개인정보 유출 방지를 위한 보안체계뿐 아니라 개인정보 처리방침 운영 현황, 온라인 활동기록 활용 방식, 민감정보 보유 여부, 개인정보보호책임자 운영체계, 위탁사 및 제휴사 관리 현황까지 함께 점검해야 할 필요성이 커졌습니다.

특히 온라인 서비스 운영 기업의 경우 광고·마케팅 과정에서 활용되는 데이터가 어떤 방식으로 수집되고 이용되는지, 이용자에게 관련 내용이 적절하게 고지되고 있는지 여부를 확인할 필요가 있습니다.

개인정보 관련 이슈는 정보보호 부서만의 문제가 아닙니다.

개인정보 처리 과정에서 위반사항이 확인될 경우 법무, 마케팅, IT, 인사 등 여러 부서가 동시에 영향을 받을 수 있으며, 경우에 따라 과징금 부과와 시정명령 이행, 손해배상 대응까지 검토해야 할 수 있습니다.

따라서 기업은 개인정보 처리 과정 전반에 대한 정기적인 점검 체계를 마련하고, 개인정보 처리방침과 실제 운영 현황이 일치하는지 확인할 필요가 있습니다.

또한 온라인 활동기록 활용 방식, 민감정보 처리 절차, 위탁업체 관리 현황 등에 대한 법률 검토를 통해 잠재적인 위험 요소를 사전에 확인하는 것이 바람직합니다.