'개인정보 유출' 쿠팡 과징금 역대 최대…6246억

개인정보보호위원회가 쿠팡의 3300만 건이 넘는 대규모 개인정보 유출 사고에 대해 과징금 약 6246억8000만 원을 부과했다.

개인정보 유출에 약 4236억 원을 부과하고, 약 1117만 명의 온라인 활동 기록을 무단 수집한 위반 행위 등에는 2011억 원의 과징금 처분을 내렸다.

개인정보 유출 사고에 내린 과징금 규모로는 역대 최대치다.

개인정보보호위원회는 10일, 정부서울청사에서 전체회의를 열고 쿠팡의 개인정보보호법 위반 여부와 과징금 부과 방안을 심의했고, 다음날 과징금 4235억7500만원을 부과하기로 의결했다고 밝혔다. 또 쿠팡에 과태료 1680만 원도 처분했다.

개인정보위는 쿠팡의 인증 서명키 관리와 접근 통제 소홀 등 기본적인 안전관리 체계 미흡으로 인해 약 3750여만 명의 개인정보가 유출됐다고 판결했다.

지난해 11월, 쿠팡의 개인정보 유출 사실이 알려진 지 약 7개월 만이다.

쿠팡 개인정보 유출 사고 일지

조사 과정에서 쿠팡의 개인정보 유출 통지와 파기 의무 위반, 개인정보보호책임자(CPO)의 독립성 보장 위반과 조사 방해 등도 추가로 확인됐다. 개인정보위는 유사 사고 재발 방지를 위한 안전조치 강화와 회원이 아닌 정보주체에 대한 유출 통지, CPO의 실질적인 역할 보장 등을 내용으로 하는 시정명령을 내렸다.

이와 별도로 개인정보위는 쿠팡이 약 1117만 명의 이용자가 타사 웹사이트나 앱에 접속한 기록을 무단 수집해 이용자를 식별할 수 있는 형태로 데이터베이스에 저장한 사실도 확인했고, 이에 대해 과징금 2011억660만원을 추가 부과했다.

쿠팡이 무단 수집한 회원들의 온라인 활동 기록은 타사 웹사이트 혹은 앱 방문 기록과 접속 일시, 접속 IP 등이 포함된 것으로 조사됐다.

현재까지 개인정보위가 부과한 역대 최대 과징금은 지난해 SK텔레콤 유심 정보 유출 사고에 대한 1348억 원(2025년 8월)이다.

이 밖에도 구글·메타가 이용자 동의 없이 맞춤형 광고 목적으로 개인정보를 수집한 위반행위로 약 1000억 원(2025년 8월), 메타가 개인정보보호법 위반으로 약 216억 원(2022년 9월), 루이비통코리아는 개인정보 유출 사고로 213억 8000만 원(2026년 2월)의 과징금을 부과받은 바 있다.

앞서 과학기술정보통신부 민관합동조사단은 올해 2월 조사 결과를 발표하고 쿠팡 '내 정보 수정 페이지'의 취약점을 통해 이용자 개인정보 3367만 건이 유출된 것으로 확인됐다고 밝혔다. 유출된 정보에는 이름과 이메일 주소 등이 포함됐다.

한편, 국회는 최근 고의 혹은 중대한 과실로 대규모 개인정보 유출이 발생할 경우 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 개인정보보호법 개정안을 통과시켰다. 해당 규정은 오는 9월 시행될 예정이라 이번 쿠팡 사건에는 적용되지 않는다.

현행 개인정보보호법은 개인정보 유출 사고가 발생한 경우 위반행위와 관련된 매출액 최대 3% 범위에서 과징금을 부과할 수 있도록 규정하고 있다.

쿠팡이 공시한 지난해 매출은 약 45조5000억 원으로, 단순히 계산하면 법정 상한은 1조 3000억 원을 웃도는 수준이다. 다만 실제 과징금은 위반행위와 관련된 매출 규모를 기준으로 산정되며, 안전 조치 의무 위반 정도와 사고 예방 노력, 사고 이후 대응 조치, 피해 확산 여부 등도 함께 고려된다.