쿠팡 공지 문자 뜯어보니…'언제·어떻게' 쏙 뺀 꼼수, 명백한 법 위반이다

쿠팡 이용자들의 휴대전화가 일제히 울렸다. 일부 개인정보가 털렸다는 청천벽력 같은 소식을 알리는 문자였다. 하지만 이 짧은 문자 한 통에는 고객을 두 번 울리는 꼼수가 숨겨져 있었다. 쿠팡이 발송한 통지 문자를 면밀히 분석한 결과, 현행법 위반 소지가 있는 대목이 다수 발견됐다.

언제 털렸는지, 왜 털렸는지… 알맹이가 쏙 빠졌다

가장 큰 문제는 핵심 정보 누락이다. 개인정보 보호법 제34조는 유출 사고 시 언제(시점), 어떻게(경위) 유출됐는지를 반드시 알리도록 규정하고 있다.

하지만 쿠팡의 문자에는 "현재까지 조사된 결과"라며 유출된 항목(이름, 주소 등)만 나열했을 뿐, 언제부터 내 정보가 새어나갔는지에 대한 언급은 쏙 빠져 있다. 언론을 통해 "지난 6월부터 유출됐다"는 사실이 알려졌음에도, 정작 피해 당사자인 고객에게는 침묵한 것이다.

유출 경위 역시 "비인가 조회로 파악되었으며"라는 모호한 표현으로 얼버무렸다. 내부 직원의 소행인지, 외부 해킹인지 구체적인 설명은 어디에도 없다. 법률 전문가들은 "법이 정한 필수 고지 사항을 빠뜨린 명백한 법 위반"이라며 과태료 부과 대상이라고 지적했다.

유출 아닌 '노출'?…링크 통지도 도마 위

단어 선택도 교묘하다. 법률 용어인 '유출' 대신 '노출'이라는 표현을 썼다.

법조계 관계자는 "유출은 정보가 밖으로 빠져나가 회수 불가능한 상태를 뜻하지만, 노출은 잠깐 드러났다는 뉘앙스를 풍긴다"며 "사태의 심각성을 축소하려는 의도가 다분하다"고 비판했다.

피해 구제 절차나 담당 부서 연락처도 문자 본문에는 없다. 대신 "링크에는 문의처가 포함되어 있으며"라며 URL 주소 하나만 남겼다.

법원은 "홈페이지 공지나 링크만으로는 정보주체가 구체적인 피해 사실을 알았다고 보기 어렵다"고 판시한 바 있다(서울중앙지법 2021나79386). 특히 디지털 기기 사용에 익숙하지 않은 고령층에게 '링크 클릭'을 요구하는 방식은 사실상 통지 의무를 해태한 것이나 마찬가지다.

즉, 쿠팡의 링크 통지는 형식적 요건을 갖췄다고 주장할지 몰라도 실질적인 고지 의무를 다하지 않아 고객의 알 권리를 침해한 불성실한 태도로 법원에서 불리하게 작용할 수 있다.

한편, 쿠팡은 이번 사고로 이름과 배송지 등이 노출됐으나 결제나 로그인 정보 같은 민감한 금융 정보는 포함되지 않았다고 선을 그었다. 이에 따라 고객들이 별도로 계정 정보를 변경할 필요는 없다는 입장이며, 박대준 대표가 직접 나서 사과하고 내부 보안 강화와 수사 협조를 약속했다.