개인정보위 "쿠팡 유출 조사 마무리 단계…필요시 대만 당국과 협조"

[서울=뉴시스] 신효령 기자 = 개인정보보호위원회가 쿠팡의 대규모 개인정보 유출 사고에 대한 조사를 마무리 단계에 접어들었다고 발표했다. 25일 드러난 쿠팡 대만 법인 이용자들의 개인정보 유출건과 관련해 필요하다면 대만 정부 당국과 공조하겠다는 방침이다.

이정렬 개인정보보호위원회 부위원장은 25일 정부서울청사에서 기자간담회를 열고 "쿠팡의 유출 신고 접수 직후 전담팀을 구성해 현장에서 면밀하게 조사를 진행해왔으며 현재 마무리 단계에 있다"고 밝혔다.

"무단 조회는 통제권 이탈…명백한 유출로 간주"

개보위는 지난해 11월 29일 쿠팡으로부터 개인정보 유출 신고를 접수한 직후 전담팀을 꾸려 현장 조사에 착수했다. 이후 민관합동조사단이 발표한 조사 결과와 관련 자료를 공유받아 추가 사실관계 확인 작업을 진행해 왔다.

개보위는 배송지 주소를 포함한 비회원 개인정보 유출 여부와 실제 유출 규모를 중심으로 정밀 분석을 실시하고 있다.

현재 개인정보 처리자의 관리·통제권을 벗어난 접근 행위가 있었는지 여부를 핵심 쟁점으로 보고 있다.

이 부위원장은 "개인정보 처리자의 관리 통제권을 벗어난 무단 조회나 무단 접근은 국내 개인정보보호법뿐 아니라 유럽연합 일반개인정보보호법(GDPR) 기준에서도 명백한 개인정보 유출 행위에 해당한다"고 설명했다.

앞서 정부 민관합동조사단은 개인정보 조회 건수가 약 1억5000만 건에 달하며, 계정 기준으로는 3300만건 이상의 정보가 영향을 받은 것으로 추정된다고 발표한 바 있다.

다만 개보위는 조회 건수 자체가 곧 개인정보 유출 규모를 의미하지는 않는다는 입장이다. 이 부위원장은 "조회 건수는 단순 접근 횟수를 의미하며 실제 개인정보 유출 건수와는 구분된다"며 "하나의 계정이 여러 차례 조회될 수 있는 만큼 조회 건수만으로 유출 규모를 단정할 수는 없다"고 말했다.

또 "계정 역시 개인 단위와 반드시 일치하는 것은 아니기 때문에 실제 유출 규모를 확정하기 위해서는 추가적인 분석이 필요하다"고 덧붙였다.

개보위는 현재 유출 경위와 법 위반 여부를 중심으로 사실관계를 최종 확인 중이며 조사 결과를 토대로 행정처분 여부를 결정할 방침이다.

최근 불거진 쿠팡 대만 법인의 유출 의혹에 대해서도 입장을 밝혔다. 이 부위원장은 "오늘 오전 언론 보도 인지 즉시 쿠팡 측에 관련 자료를 요청했다"며 "필요하다면 대만 당국과도 국제 협조 체계를 가동할 것"이라고 덧붙였다.

서울시 공공자전거 '따릉이' 회원정보 유출 사고와 관련해 이 부위원장은 "서울경찰청과 초기부터 긴밀히 공조해 수 차례 현장 확인을 마쳤으며, 유출 규모를 통지받아 엄중하게 조사 중"이라고 밝혔다.

KT 조사에 대해서는 "조사 과정에서 악성코드에 감염된 서버 441대가 추가로 발견되면서 확인 범위가 넓어졌다"며 "위법 사실을 확인하고 있으며 조만간 최종 결론을 내릴 것"이라고 말했다.

교원그룹 사건에 대해서 이 부위원장은 "현재 자료 제출 및 확인 단계로, 8개 계열사에 걸친 광범위한 유출 규모를 확정하는 데 주력하고 있다"고 말했다.

9월부터 징벌적 과징금 시행…CEO 책임 명문화

오는 9월부터는 개정된 개인정보 보호법에 따라 제재 수위가 대폭 강화된다. 고의·중과실로 인한 대규모 유출 시 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 징벌적 제재가 본격 가동된다. 경영진의 책임도 무거워진다. 그동안 실무자인 CPO(최고개인정보보호책임자)에게만 전가되던 관리 책임을 CEO(최고경영자)에게 명문화했다. CEO가 예산과 인력을 직접 결정하는 만큼, 최종 책임을 지게 함으로써 보안을 경영의 핵심 과제로 격상시키겠다는 의지다. CPO의 임면 사항을 이사회에 보고하도록 하는 의무도 신설된다. 동시에 기업의 선제적 투자를 유도하는 '필수 감경 제도'도 도입한다. 법적 기준 이상의 암호화 기술이나 이상행위 탐지 시스템(FDS)을 도입한 기업에는 과징금을 반드시 감경해준다는 방침이다. 이 부위원장은 "투자가 비용이 아니라 기업 경쟁력을 확보하는 수단임을 명확히 하겠다는 시그널"이라고 강조했다.

사후 규제 버리고 '사전 예방' 패러다임 전환

이 부위원장은 "AI 기술 확산으로 개인정보 처리가 기본이 된 디지털 환경이 유출 위험을 키우고 있다"며 정책 패러다임의 전환을 선언했다. 개보위는 최근 '예방조정심의관실'과 '사전실태점검과'를 신설해 고위험 시설 집중 점검과 영세 업체 컨설팅을 병행하고 있다. 또한 다크웹 내 불법 정보 탐지 솔루션 개발 등 R&D(연구·개발) 투자를 확대하고, 개인정보 전문 인력 양성을 위해 대학원 과정 지원 등 인프라 구축에도 박차를 가한다. 이 부위원장은 "조사관 인력이 31명 수준으로 열악하지만, 포렌식 센터 인력을 보강하고 정예 요원을 투입해 적체된 사건들을 신속히 처리하겠다"며 "국민의 소중한 정보를 지키는 보루로서 엄정하게 대응해 나가겠다"고 강조했다. ◎공감언론 뉴시스 snow@newsis.com

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지