같은 공격자와 같은 수법에서 비롯된 쿠팡 개인정보 유출 사고를 두고 한국과 대만의 과징금 규모가 크게 엇갈렸다.
한국은 개인정보 유출 부분에만 4235억7500만원을 부과한 반면 대만은 약 6500만원에 그쳤다.
한국의 유출 인원이 훨씬 많다는 점을 감안해도 격차는 작지 않다. 유출 인원을 기준으로 단순 환산하면 유출 이용자 1명당 과징금은 한국이 대만보다 약 35배 높다.
대만 디지털발전부 청사 / 대만 디지털발전부
대규모 개인정보 유출에 엄중한 책임을 물어야 한다는 취지와 별개로, 한국의 제재 수준과 산정 방식이 적정했는지를 둘러싼 논의가 나올 수 있는 대목이다.
대만은 6500만원... '중대한 위반' 적용 안 해
22일 대만 당국에 따르면 쿠팡대만 개인정보 유출과 관련해 회사와 대표에게 각각 75만 대만달러씩 총 150만 대만달러의 과징금을 부과했다. 한화로 약 6489만원이다. 개인정보가 유출된 대만 이용자는 20만4552명이다.
대만 당국 조사에서 확인된 공격 경위는 한국 사건과 사실상 동일하다.
공격자는 쿠팡코리아 전 직원으로, 보유하고 있던 백업 인증키를 이용해 고객 정보에 접근한 것으로 조사됐다. 대만에서는 이름과 이메일, 전화번호, 배송주소, 일부 주문기록 등이 영향을 받았다.
대만 타오위안에 위치한 쿠팡의 네 번째 스마트 물류센터 / 쿠팡
대만 당국은 이번 사건에 더 높은 수준의 과징금을 부과할 수 있는 '중대한 위반' 조항은 적용하지 않았다.
실제 금전적 2차 피해가 확인되지 않은 데다 쿠팡이 이용자 보상과 보안 개선 등 후속 조치에 나선 점 등이 고려된 것으로 전해졌다.
한국은 유출 부분만 4236억원... 유출 인원 환산하면 35배
개인정보보호위원회는 지난 6월 쿠팡에 총 6246억8100만원의 과징금을 부과했다. 전체 과징금 가운데 약 3755만명의 개인정보 유출 사고에 부과된 금액은 4235억7500만원이다.
나머지 2011억600만원은 약 1117만명의 타사 웹·앱 이용기록을 적법한 근거 없이 수집했다는 별도 사안에 대한 제재다.
개인정보보호위원회가 공개한 쿠팡 개인정보 유출·침해 제재 처분 내용 / 개인정보보호위원회
개인정보 유출 부분만 비교하면 한국은 4235억7500만원, 대만은 약 6489만원이다.
한국의 유출 인원이 대만보다 약 184배 많다는 점을 감안해 유출 인원으로 단순 환산해도 1명당 과징금은 한국이 약 1만1280원, 대만이 약 317원으로 약 35.6배 차이가 난다.
다만 양국 모두 유출 인원을 기준으로 과징금을 산정하는 것은 아닌 만큼, 이는 제재 규모를 가늠하기 위한 단순 환산 수치다.
같은 사고, 다른 산정법... 한국은 '매출 연동'
이처럼 격차가 커진 데에는 양국의 과징금 산정 방식 차이가 영향을 미쳤다.
한국 개인정보보호법은 전체 매출액의 3%를 과징금 상한으로 두되, 실제 산정 과정에서는 위반행위와 관련 없는 매출액을 제외한다.
서울 송파구 쿠팡 본사의 모습 / 뉴스1
개인정보위는 쿠팡 개인정보 유출 사건 과징금을 산정하면서 약 30조원의 매출을 기준으로 삼되 쿠팡이츠와 쿠팡플레이 등 위반행위와 직접 관련이 없는 독립 사업 매출은 제외했다고 설명했다.
대만은 매출 규모에 일정 비율을 곱하는 한국과 달리 위반 유형과 정도에 따라 법에서 정한 범위 안에서 과징금을 부과하는 방식이다. 사고의 성격과 실제 피해, 기업의 사후 조치 등이 제재 수준에 영향을 미칠 여지가 상대적으로 크다.
결국 동일한 공격자와 같은 수법에서 비롯된 사고라도 국가별 법 체계에 따라 기업이 부담하는 제재 수준은 크게 달라질 수 있는 셈이다.
개인정보위는 쿠팡이 인증 서명키 관리와 접근통제 등 기본적인 안전조치를 충분히 갖추지 못해 약 3755만명의 개인정보가 유출됐다고 판단했다. 유출 통지와 개인정보 파기 의무, 개인정보보호책임자의 독립성 보장 등에서도 문제가 있었다고 봤다.
수천만명의 개인정보를 관리하는 대형 플랫폼인 만큼 높은 수준의 보안 책임을 요구해야 한다는 것이 개인정보위의 판단이다.
다만 대만의 처분이 나오면서 한국의 매출 연동형 과징금 체계가 사고의 성격과 실제 피해, 기업의 사후 대응을 얼마나 비례적으로 반영하고 있는지를 둘러싼 논의는 이어질 것으로 보인다.
쿠팡 대만 2호 풀필먼트센터 전경 / 쿠팡
개인정보 보호 책임을 강화하기 위한 제재 필요성에는 이견이 크지 않다.
다만 과징금이 기업의 보안 투자와 재발 방지를 유도하기 위한 수단이라면 매출 규모뿐 아니라 유출된 정보의 민감도와 실제 피해, 피해자 보상 및 사고 이후의 개선 노력까지 제재 수위에 어느 정도 반영할 것인지에 대한 논의도 필요해 보인다.