"빅테크보다 과중"vs"해외는 兆단위"…쿠팡 과징금 설왕설래

쿠팡에 국내 개인정보보호법 위반 사상 최대 과징금이 부과된 뒤 제재 수위를 둘러싼 기업과 정부 간 공방이 이어지고 있다. 이번 처분이 개인정보 유출 사건으로는 세계 최고 수준이라는 주장이 나오자 개인정보보호위원회는 이보다 큰 해외 제재 사례를 공개하며 반박했다.

14일 개인정보위에 따르면 미국 연방거래위원회(FTC)는 2019년 페이스북에 50억달러의 민사제재금을 부과했다. 2019년 평균 환율을 적용하면 약 5조8283억원이다.

페이스북이 이용자의 개인정보 통제권을 허위로 안내하는 등 2012년 FTC 동의명령을 반복해서 위반했다고 판단한 결과다. 당시 개인정보 분야에서 정부기관이 단일 기업에 부과한 역대 최대 규모의 민사제재금이었다.

같은 해 미국 신용평가회사 에퀴팩스도 2017년 발생한 개인정보 유출 사고로 최소 5억7500만달러, 당시 환율로 약 6702억원을 지급하기로 합의했다. 알려진 보안 취약점의 패치를 제때 적용하지 않아 약 1억4700만명의 개인정보가 유출된 사건이다.

두 사례를 쿠팡 과징금과 단순 비교하기는 어렵다. 국내 과징금은 행정기관이 법 위반에 대해 부과하고 국고에 귀속하는 행정제재다. 반면 미국에서는 규제기관과 기업 간 합의나 법원 절차를 통해 민사제재금과 피해자 보상, 시정조치가 함께 결정되는 경우가 많다.

에퀴팩스의 최소 합의금 5억7500만달러 가운데 3억달러는 피해자의 신용 모니터링과 손해보상을 위한 기금에 배정됐다. 1억7500만달러는 주·지역 당국에 지급됐고, 1억달러는 소비자금융보호국(CFPB)에 내는 민사제재금이었다. 피해자 구제 수요에 따라 전체 부담액은 최대 7억달러까지 늘어날 수 있는 구조였다.

쿠팡 처분도 전체 금액을 개인정보 유출 과징금으로 보면 안 된다. 쿠팡에 부과된 과징금 6246억8100만원 가운데 유출 관련 금액은 4235억7500만원이다. 나머지 2011억600만원은 회원 1117만여명의 타사 온라인 활동기록을 법적 근거 없이 수집한 행위에 대한 제재다.

해외 유출 사례와 비교하려면 쿠팡의 전체 과징금이 아닌 유출 관련 금액을 기준으로 삼아야 한다는 의미다.

메타가 2022년 아일랜드 데이터보호위원회에서 받은 과징금은 비교 가능한 사례 중 하나다. 약 5억3300만명의 페이스북 이용자 정보가 스크래핑돼 온라인에 공개된 사건으로, 메타에는 2억6500만유로의 과징금이 부과됐다. 개인정보위 환산 기준으로 약 3597억원이다.

쿠팡의 유출 관련 과징금 4235억7500만원은 이보다 약 18% 많다. 쿠팡 전체 과징금 6246억8100만원을 기준으로 하면 약 1.7배지만, 여기에는 별도의 온라인 활동기록 무단 수집 제재가 포함돼 동일 선상에서 비교하기 어렵다.

개인정보위가 해외 사례로 제시한 메타의 50억달러 처분 역시 해킹이나 단일 유출 사고에 대한 제재가 아니다. 장기간 이어진 개인정보 처리 관행과 기존 동의명령 위반을 종합한 처분이다. 액수만 보면 쿠팡보다 크지만 사건의 성격과 제재 구조는 다르다.

개인정보위는 지난 10일 쿠팡에 과징금 6246억8100만원과 과태료 1680만원을 부과했다. 쿠팡풀필먼트서비스(CFS)에는 과징금 2억4800만원을 부과했다. 쿠팡과 CFS의 과징금을 합하면 6249억2900만원이다.

결국 쿠팡 처분을 국내 역대 최대 개인정보 과징금이라고 평가하는 것은 가능하지만, 세계 최대라고 단정하기는 어렵다. 반대로 성격이 다른 해외 민사합의금과 피해구제기금까지 합산해 쿠팡 제재가 과도하지 않다고 결론 내리는 것도 적절치 않다.

업계 관계자는 "국가마다 제재의 법적 성격과 금액 구성, 피해구제 방식이 다르다"며 "유출 규모뿐 아니라 정보의 민감도와 기업의 안전조치, 위반 기간, 사후 대응 등을 함께 비교해야 처분 수위를 제대로 평가할 수 있다"고 말했다.