쿠팡 과징금 1조 넘을까⋯보안인증 취소 가능성까지 ‘이중고’[이커머스 보안 경고]

▲박대준 쿠팡 대표이사가 2일 서울 여의도 국회에서 열린 과학기술정보방송통신위원회의 쿠팡 고객 개인정보 유출 사태 관련 긴급 현안질의에 출석해 목을 가다듬고 있다. 신태현 기자 holjjak@

정부가 대규모 개인정보 유출 사태를 일으킨 쿠팡에게 대규모 과징금 부과에 나설지 이목이 쏠리고 있다. 과징금이 최대 1조 원을 넘길 수 있다는 분석이 나오는 가운데, 개인정보보호 관리체계(ISMS-P) 인증 취소 가능성까지 거론되고 있다.

4일 2023년 개정된 개인정보보호법에 따르면 관련 법을 위반했을 때 전체 매출액의 3%까지 부과할 수 있다. 쿠팡의 지난해 연 매출은 41조2901억 원이다. 단순 계산하면 법정 최대치는 1조2000억 원을 넘는다.

앞선 사례를 살펴보면 4월 발생한 개인정보 유출 사고가 발생한 SK텔레콤은 과징금으로 역대 최대 수준인 1347억9100만 원을 부과받았다. SK텔레콤의 지난해 연 매출인 17조9400억 원의 약 1% 규모다.

다만 업계에선 실제 과징금이 이 수준에 이르기는 쉽지 않다는 것이 중론이다. 위반행위와 직접 관련 없는 매출액은 과징금 산정에서 제외해야 하고, 고시에서 규정한 감경 요소를 적용해야 하기 때문이다.

이번 쿠팡 사안도 마찬가지로 기준금액을 산출한 뒤, 1·2차 조정에서 가중·감경을 적용하는 절차를 따르게 된다. 다만 쿠팡 사건은 사안의 성격을 고려할 때, 재량 감경을 적용하는 과정에서도 더 엄격한 판단이 내려질 가능성이 크다는 관측이 나온다.

한편 쿠팡의 ISMS-P 인증 취소 여부에도 관심이 쏠리고 있다. ISMS-P는 과학기술정보통신부와 개인정보위원회가 공동 운영하는 국내 유일의 정보보호·개인정보보호 관리체계 인증제도다.

쿠팡은 2021년과 2024년 두 차례 ISMS-P 인증을 받았지만, 이번 사고를 포함해 4건의 개인정보 유출이 발생하면서 제도 실효성 논란이 제기되고 있다.

송경희 개인정보위원장은 전날 정무위원회에서 "ISMS-P 인증 후 매년 모의해킹 등을 통해 실제 운영이 기준에 맞는지 점검하고, 심각한 위반이 확인되면 인증을 취소할 계획"이라고 밝혔다.