쿠팡 '말장난'에 철퇴 내린 개보위 "노출 아닌 유출로 재통지"…무슨 차이길래

3일 오전, 개인정보보호위원회(개보위)는 긴급 전체회의를 열고 쿠팡에 "내린 사과문을 다시 올리고, 노출이 아닌 '유출'로 수정해 다시 통지하라"는 시정 조치를 의결했다. 노출과 유출, 그 한 글자 차이에 어떤 차이가 있기에 정부 기관까지 나서서 정정을 요구한 걸까.

법적으로 두 단어는 하늘과 땅 차이다. '노출'은 단순히 정보가 외부에 드러날 가능성이 있는 상태를 뜻한다. 반면 '유출'은 개인정보처리자가 정보에 대한 통제권을 상실하고, 권한 없는 자에게 정보가 넘어간 상태를 의미한다.

쿠팡 사건의 경우, 미확인자가 비정상적인 방법으로 시스템에 접근해 고객 정보를 획득했다. 이는 명백히 쿠팡의 통제권 밖에서 벌어진 일이다. 법조계 관계자는 "권한 없는 자가 정보를 가져갔다면 이는 빼도 박도 못하는 유출에 해당한다"며 "쿠팡이 굳이 노출이라는 표현을 쓴 건 사태를 축소하려 했다는 의심을 사기에 충분하다"고 지적했다.

반쪽짜리 통지에 정부 '제동'

더 심각한 문제는 쿠팡이 피해 규모를 축소하려 한 정황이다. 쿠팡은 초기 통지에서 공동현관 비밀번호가 유출된 사실을 쏙 뺐다. 주거 안전과 직결된 치명적인 정보임에도 이를 누락한 것이다. 또한, 본인이 직접 주문한 고객뿐만 아니라 '배송지 명단'에 포함된 제3자의 정보까지 유출됐음에도 이들에게는 제대로 알리지 않았다.

개보위는 "빠진 유출 항목을 모두 포함하고, 배송지 명단에 있는 피해자들에게도 식별 가능한 범위 내에서 즉각 통지하라"고 명령했다. 사실상 쿠팡의 초기 대응이 부실을 넘어 은폐에 가까웠음을 정부가 공식화한 셈이다.

공지도 이틀 만에 내렸다... 혹 떼려다 혹 붙인 쿠팡

쿠팡은 유출 사실을 인정한 뒤에도 홈페이지에 관련 내용을 단 1~2일만 게시하고 내렸다.

하지만 이 꼼수는 자충수가 됐다. 개보위는 "홈페이지 초기 화면이나 팝업창을 통해 일정 기간 이상 유출 내용을 공지하라"고 명령했다. 잠깐 띄웠다 내리는 식의 눈속임이 더 이상 통하지 않게 된 것이다.

권고 아니라 명령... 쿠팡, 선택지 없다

개보위의 이번 조치는 단순한 권고가 아니다. 법적 구속력을 가진 시정조치 명령이다.

개인정보 보호법 제64조에 따르면, 개보위는 법 위반 사업자에게 시정조치를 명할 수 있다. 만약 쿠팡이 이를 무시하고 재통지를 하지 않는다면 3천만 원 이하의 과태료 처분을 받게 된다.

법조계 "징벌적 손해배상·과징금 폭탄 피하기 어려울 것"

쿠팡의 이러한 행보는 향후 법적 책임 공방에서 치명적인 약점이 될 전망이다.

법조계 관계자는 "유출 항목을 누락하고 사과문을 조기에 내린 행위는 법원에서 피해 확산 방지 의무를 소홀히 한 것으로 간주될 수 있다"며 "이는 과징금 액수를 높이거나, 피해자들에게 징벌적 손해배상을 해야 하는 결정적 근거가 될 것"이라고 경고했다.

개보위 역시 "사안의 중대성을 무겁게 인식하고 있다"며 "조사 결과 위반 사항이 확인되면 엄정하게 제재하겠다"고 밝혔다.

한편, 박대준 쿠팡 대표는 3일 국회 정무위원회 현안질의에서 '개인정보가 유출됐는지 모르는 사람이 있다. 애플리케이션 첫 화면에 게재해야 하지 않느냐'는 질의에 "그렇게 하겠다"고 답했다.