[서울=뉴시스]윤정민 기자 = 정부 조사 결과 쿠팡은 개인정보 유출뿐만 아니라 쿠팡 광고가 게재된 타사 웹사이트·앱에 접속한 회원 1117만613명의 온라인 활동기록을 적법한 근거 없이 수집한 사실이 드러났다. 또 '허위사실 유포'를 이유로 물류센터 근무 이력이 없는 경찰청 출입기자 71명의 개인정보를 취업제한 목록, 일명 '블랙리스트'에 등록한 것으로 확인됐다.

개인정보보호위원회는 지난 10일 정부서울청사에서 전체회의를 열고 개인정보 보호법을 위반한 쿠팡과 쿠팡풀필먼트서비스(CFS)에 총 과징금 6249억2900만원, 과태료 1680만원을 부과하고 시정명령, 결과공표, 공표명령, 개선권고, 고발 등을 의결했다고 11일 밝혔다.

이날 전체회의 안건에 올라간 쿠팡 관련 건은 총 3건이다. 개인정보 유출 사고와 관련해 과징금 4235억7500만원이 부과된 가운데 타사 온라인 활동기록 무단 수집 등 개인정보 침해 건에 대해서는 과징금 2011억600만원이 부과됐다. CFS의 개인정보·민감정보 처리 위반 건에는 과징금 2억4800만원이 부과됐다.

조사 결과  쿠팡은 제휴 마케팅 프로그램인 '쿠팡 파트너스'를 운영하는 과정에서 타사 웹사이트와 앱에 접속한 쿠팡 회원 1117만613명의 온라인 활동기록을 적법한 근거 없이 수집한 것으로 나타났다.

쿠팡 파트너스는 블로그, 홈페이지, 앱 등 온라인 매체를 운영하는 개인이나 법인이 쿠팡 상품을 홍보하고 구매가 발생하면 쿠팡으로부터 수익을 공유받는 제휴 마케팅 프로그램이다.

문제는 이용자가 해당 광고를 클릭하지 않더라도 쿠팡이 타사 웹·앱 방문 기록을 수집했다는 점이다. 쿠팡은 이용자가 쿠팡 광고가 설치된 외부 웹사이트나 앱에 접속하면 URL 또는 앱 명칭, 접속 경로, 접속 일시, 접속 IP, 운영체제, 브라우저, 언어, 화면 해상도 등 온라인 활동기록을 수집했다.

개인정보위는 쿠팡이 2024년 12월23일부터 지난 2월4일까지 1564만5338개의 웹페이지 또는 앱을 방문·사용한 쿠팡 이용자 1117만613명의 타사 온라인 활동기록을 무단 수집·저장했다고 밝혔다.

쿠팡은 이 정보를 기기식별자와 회원번호와 함께 광고 데이터베이스(DB)에 저장했다. 개인정보위는 타사 온라인 활동기록이 회원번호와 기기식별자와 결합돼 특정 개인을 식별할 수 있는 개인정보에 해당한다고 판단했다.

타사 온라인 활동 기록은 장기간 누적될 경우 개인의 관심사와 성향을 파악하는 데 활용될 수 있다.경우에 따라 사상·신념·건강 등 민감정보 추론으로 이어질 위험도 있다는 게 개인정보위 판단이다.

하지만 쿠팡은 이용자로부터 별도 동의를 받지 않았다. 개인정보 처리방침이나 맞춤형 광고 안내 페이지에도 타사 웹·앱 활동기록 수집 사실을 알리지 않았다.

개인정보위는 쿠팡이 타사 웹·앱에서도 회원을 식별한 개인정보 처리가 이뤄질 수 있다는 사실을 이용자에게 명확히 알리고 마케팅 관련 개인정보 수집·이용 동의를 쉽게 철회할 수 있도록 하라고 시정명령했다.

쿠팡은 일부 광고 파트너가 이용자 의사와 무관하게 쿠팡 웹이나 앱으로 강제 이동시키는 이른바 '납치광고'를 운영했는데도 쿠팡이 이를 제대로 관리·감독하지 않은 점도 지적했다.

개인정보위에 따르면 일부 광고 파트너는 광고 닫기 버튼을 누르더라도 쿠팡으로 이동되도록 화면 전체에 투명 버튼을 씌우거나 광고가 게재된 웹·앱에 접속하면 3초 뒤 자동으로 쿠팡으로 전환되도록 하는 방식의 부정광고를 게재했다.

이 경우 이용자는 쿠팡 접속을 원하지 않았는데도 쿠팡 웹·앱으로 이동하고 그 과정에서 쿠팡 서비스 이용기록이 수집될 수 있다.

쿠팡은 2022년 8월부터 납치광고를 인지하고 신고 제도와 탐지 시스템을 운영해 왔다고 소명했다. 하지만 조사 결과 쿠팡은 자체 정책상 계정 해지 기준에 해당하는 일부 광고 파트너에게 계정 해지 등 불이익을 적용하지 않았다. 오히려 일부 파트너에게는 적발 이후에도 추가 수수료율을 적용한 사실도 확인됐다.

개인정보위는 쿠팡이 이용자 의사에 반하는 서비스 접속과 이용기록 수집이 이뤄지지 않도록 광고 파트너를 관리·감독할 책임이 있는데도 이를 소홀히 했다고 판단했다. 이에 부정광고를 게재한 광고 파트너에 대한 제재 등 관리·감독을 강화하라고 시정명령했다.

CFS의 개인정보 처리도 제재 대상이 됐다. CFS는 쿠팡 물류센터 운영 계열사로 전국 물류센터에서 계약직·일용직 등 임직원을 채용하고 있다.

개인정보위 조사 결과 CFS는 2023년 9월부터 2024년 2월까지 물류센터에 근무한 이력이 없는 경찰청 출입기자 71명을 '허위사실유포' 사유로 취업제한 목록에 등록했다.이 과정에서 해당 기자들의 동의를 받거나 등록 사실을 알리지 않았다.

개인정보위는 CFS가 정보주체 동의 등 적법한 근거 없이 개인정보를 수집해 취업제한 목록에 등록한 행위가 개인정보 보호법 위반에 해당한다고 보고 과징금 2억2000만원을 부과했다.

CFS가 임직원 건강검진 정보를 소송 과정에서 활용한 행위도 민감정보 처리 위반으로 판단됐다.

CFS는 임직원 건강관리를 목적으로 건강검진 결과 제공에 동의한 임직원에 한해 건강검진기관으로부터 관련 정보를 제공받아 왔다. 하지만 2024년 3월 산업재해 관련 소송 과정에서 건강상 쟁점을 반박하기 위해 임직원 80명의 체중 수치 분석 자료 등을 법원에 제출한 것으로 조사됐다.

제출 자료에는 80명의 고용형태, 일부 마스킹한 로그인 아이디, 2021년부터 2023년까지의 체중 수치가 포함됐다.

개인정보위는 CFS가 임직원 건강관리 목적으로 제공받은 체중정보를 소송상 방어권 행사를 위해 법원에 제출한 것은 별도 동의나 법령상 근거 없는 민감정보 처리에 해당한다고 봤다.

개인정보위는 이번 처분이 대규모 플랫폼 기업의 개인정보 자기결정권 침해 행위에 상응하는 책임을 물은 사례라고 설명했다.

송경희 개인정보위 위원장은 "이번 처분이 국민 생활과 밀접한 온라인 플랫폼 전반의 보안 투자 확대와 내부 통제 강화를 유도하는 계기가 되기를 바라며 개인정보위도 플랫폼 내에서 국민의 개인정보를 안전하게 보호하고 이용할 수 있는 환경을 마련하기 위해 더욱 노력하겠다"고 밝혔다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지