‘쿠팡’ 개인정보 유출 사건 징벌적 손해배상 제도 도입이 필요하다.

‘쿠팡’ 개인정보 유출 사건 징벌적 손해배상 제도 도입이 필요하다.

글: 배성준

11월 29일 쿠팡에서 3,370만 명의 개인정보(가입자 이름, 이메일, 주문 정보, 배송지(이름, 전화번호, 주소))가 유출되었다는 뉴스가 나왔다. 대한민국 국민 중 어린이를 제외한 모든 국민의 정보가 유출되었다고 볼 수 있는 수치이다.

서울 송파구 쿠팡 본사, 출처:연합뉴스

과로사, 산업재해 등 노동자들이 집에 돌아갈 수 없게 만드는 걸로 악명높은 기업 쿠팡에서 이제는 개인정보 유출 사고까지 발생한 것이다. 쿠팡 발 사고의 끝은 어디일지 가늠이 되지 않는다.
 
쿠팡의 개인정보 유출 사고는 이번까지 포함하면 4번째이다. 2021년 10월 고객 정보 유출, 2020년 8월 ~ 2021년 11월까지는 쿠팡이츠 배달원 개인정보 유출에 이어 2023년 12월에도 개인정보가 유출됐다. 
앞선 3건의 개인 정보 유출 사고로 쿠팡에 부과된 과징금은 16억밖에 되지 않는다.
 
이번 유출 사건이 더욱 심각한 것은 쿠팡이 먼저 인지한 것이 아니라 협박 메일을 받았다는 고객의 항의를 받고서야 뒤늦게 알게 되었다는 점이다. 개인정보가 유출된 지 5개월이 지난 뒤였다.

 

5개월 동안 개인정보가 유출되었는지도 모르는 쿠팡은 지난달 대만에서 ‘패스키(passkey)를 보급하는 등 보안 강화 홍보를 진행했었다. 패스키(passkey)는 비밀번호 없이 생체인식(얼굴, 지문 등) 또는 핀(PIN)을 활용하는 방식으로 외부 해킹과 탈취 위험이 적어 보안을 강화하는 방법으로 사용한다.

고객의 정보가 유출되었는데도 인지하지 못하고 있으면서 보안 강화를 홍보하는 쿠팡의 모습에 실소를 금할 수밖에 없다.

쿠팡 개인정보 유출사례, 출처:중앙일보

 

기업들의 개인정보 유출 사고는 왜 반복적으로 발생하는가?

기업들이 이윤을 더 늘리기 위해 정보보호에 대한 투자를 소홀히 하는 것, 유출 사고가 발생했을 때의 솜방망이 처벌에 있다.

‘개인정보 보호법 시행령’에서 개인정보가 유출되었을 때 과징금 부과 기준율을 가장 위반행위가 중대한 '매우 중대한 위반행위'의 경우 위반행위 관련 매출액의 2.1%~2.7% 이하, 가장 위반행위가 사소한 '약한 위반행위'의 경우는 0.03%~0.9% 미만으로 규정하고 있다.
또한, 과징금은 1, 2차 조정을 거치면서 최대 50% 감경받을 수 있다. 기업의 입장에서는 정보보호에 큰 돈을 들이느니 과징금을 내면 된다고 생각할 수밖에 없다.

반면 해외 다른 나라들의 개인정보 유출이 되었을 때 부과되는 과징금은 어떠한가?
독일은 최대 2,000만 유로(약 322억 원) 또는 전 세계 연간 총매출의 4% 중 더 큰 금액의 과징금이 부과된다.
호주는 최대 5,000만 호주달러(약 440억 원), 정보 이용을 통해 얻는 이익의 3배, 해당 기간 기업의 조정된 매출액의 30% 중 가장 큰 금액을 부과한다. 

미국은 위반 경중에 따라 건당 2,500달러(약 350만 원)에서 7,500달러(약 1,000만 원) 이하의 과태료 처분을 받을 수 있다.

이번 쿠팡 개인정보 유출 건을 미국 캘리포니아주 기준으로 계산한다면 최소 1조 2,300억 원에서 최대 3조 6,900억 원의 과태료 처분을 받을 수 있다.
 
징벌적 손해배상이 가능한 미국 기준으로 과징금을 부과했다면 작년에 발생한 SK텔레콤 개인정보 유출 사건도, 이번에 발생한 쿠팡 개인정보 유출 사건도 발생하지 않을 것이다. 개인정보 유출 사건으로 인한 과징금이 기업의 운명을 좌우할 수 있는 수준이기 때문이다.
 
자신들의 이윤을 높이기 위해서 정보보호 투자를 소홀히 하는 기업. 사고가 발생했을 때만 잠깐 보완하는 척하는 기업들에 더 큰 책임을 질 수 있도록 기업에 대한 징벌적 손해배상 제도를 도입해야 할 것이다.