이커머스 매출만 과징금 대상…각종 감면 거쳐 6200억 결정

쿠팡 과징금 최대 1.4조인데 실제부과 6246억 3개년 평균 매출서 무관 매출 제외 가중·감경 후 결정…부과율은 비공개 현행 개인정보보호법상 과징금은 전체 매출액의 3%를 넘지 않는 범위에서 부과할 수 있다. 쿠팡의 지난해 연결 기준 매출 45조4555억원에 상한을 단순 대입하면 1조4000억원에 육박한다. 하지만 실제 부과액은 6246억8100만원으로 절반에 못 미쳤다. 개인정보보호위원회는 11일 정부서울청사에서 쿠팡 제재 관련 브리핑을 열고 사건 발생 직전 3개년 평균 매출을 기준으로 과징금을 산정했다고 밝혔다. 유출 사고에는 약 30조원, 타사 활동기록 무단수집에는 약 36조원이 적용됐다. 두 사건의 위반행위 발생 시점이 달라 기준 금액이 다르다. 여기서 위반 행위와 관련 없는 쿠팡이츠, 쿠팡플레이, 기업 간 거래 등의 매출을 제외하고 사고가 발생한 이커머스 매출만 산정 대상으로 삼았다. 기준 매출이 정해지면 위반행위의 중대성 판단과 가중·감경을 거친다. 개인정보위는 "매출의 3%가 상한으로 규정돼 있지만 가중·감경을 반영하면 현실적으로 상한까지 부과되기 어렵다"고 밝혔다. 과거 최대 부과 사례들 역시 상한에 미치지 못했다. 중대성 판단에는 두 가지 안전조치 위반이 핵심으로 작용했다. 비상용 대체 인증 시스템의 마스터키 관리에 실패한 점과 개인정보가 담긴 페이지와 일반 상품 페이지의 이상 트래픽 차단 기준을 동일하게 설정해 침입 탐지에 실패한 점이다. 개인정보위는 쿠팡이 경제활동인구 대부분이 이용하는 플랫폼인 만큼 어떤 사업자보다 높은 수준의 탐지·대응 체계가 요구된다고 봤다. 여기에 위반 기간과 과거 처분 이력, 자료보전 명령 후 접속 로그를 삭제한 조사 방해, 피해 회복 노력 등이 가중·감경 요인으로 적용됐다. 감경 요소로 고려된 쿠팡의 '5만원 쿠폰팩' 보상은 쿠팡이 심의 과정에서 집행 실적을 답변하지 않아 제한적으로만 반영됐다. 매출 대비 실제 부과율은 공개되지 않았다. 개인정보위는 내부 절차에 따라 추후 공개하겠다고 밝혔다. 다만 부과율 기준으로는 역대 최대치가 아니라고 확인했다. 이번 과징금은 해외 사례와 비교하면 과도한 수준이 아니라는 입장이다. 유럽연합(EU)은 침해에 전 세계 매출의 4%, 유출에 2%까지 부과할 수 있어 부과율만 보면 한국이 더 과하다고 보기 어렵다는 것이다. 다만 오는 9월 11일부터는 셈법이 달라진다. 1000만명 이상 유출 등 요건에 해당하는 중대·반복 사고에 매출의 최대 10%까지 부과하는 징벌적 과징금이 발효된다. 송경희 개인정보위원장은 "요건에 해당된다면 과징금의 액수나 심각성은 더 커질 것"이라고 말했다. 김남석 기자 kns@dt.co.kr