쿠팡이 개인정보 유출 사고와 총수 지정 문제를 둘러싸고 정부 당국과 전방위 충돌에 들어갔다. 개인정보보호위원회가 3300만 건 규모 개인정보 유출 사고에 대한 제재 절차를 사실상 마무리하며 역대 최대 수준의 과징금 가능성이 거론되는 가운데, 쿠팡은 공정거래위원회의 동일인 지정 결정에 불복해 사상 처음으로 행정소송을 제기했다.

12일 유통 및 보안 업계에 따르면 개인정보위는 지난 4월 초 쿠팡 측에 개인정보 보호법 위반 사항과 이에 따른 예정 처분 내용을 담은 사전통지서를 발송했다. 조사관의 결과 보고서를 토대로 작성된 이 통지서에는 처분의 근거가 되는 사실관계와 적용 법령 등이 명시되었으나 구체적인 과징금 액수는 확정되지 않은 채 포함된 것으로 전해졌다. 쿠팡은 이에 대해 방대한 분량의 의견서를 제출하며 개인정보위의 처분 방향에 동의하기 어렵다는 입장을 밝힌 상태다.

현재 개인정보위는 쿠팡이 제출한 의견서를 검토 중이며 이후 전체회의 상정 절차를 밟게 된다. 당초 상반기 내 사건 처리를 마무리한다는 방침이었으나 쿠팡 측의 의견서 검토에 상당한 시간이 소요되면서 최종 제재 수위는 이르면 6월 중순 이후에나 결정될 가능성이 높다.

과학기술정보통신부 민관합동조사단의 발표에 따르면 이번 유출 사고는 쿠팡의 '내 정보 수정' 페이지 등에서 이용자 성명과 이메일 정보 약 3367만 건이 노출되면서 시작되었다. 조사 결과 과거 쿠팡에서 근무했던 직원이 재직 당시 담당했던 인증 시스템의 서명키를 탈취해 퇴사 후에도 정상적인 로그인 절차 없이 시스템에 접근한 것으로 드러났다. 공격자는 이를 이용해 전자 출입증을 위조하고 자동화된 크롤링 방식으로 장기간에 걸쳐 대규모 정보를 수집했다.

당국은 이 과정에서 쿠팡의 부실한 보안 관리 체계도 확인했다. 퇴사자의 접근 권한 통제나 서명키 관리 이력이 미흡했을 뿐만 아니라 비정상적인 접속 행위에 대한 탐지 및 차단 시스템도 제대로 작동하지 않았다. 또한 쿠팡이 침해사고 인지 후 24시간 이내에 신고해야 하는 의무를 어기고 자료 보전 명령 이후에도 일부 기록을 삭제한 사실이 밝혀져 과태료 부과와 함께 수사 중이다.

현행 개인정보보호법상 유출 사고 발생 시 직전 3개년 평균 매출액의 최대 3%까지 과징금 부과가 가능하다. 지난해 쿠팡Inc의 매출이 약 49조 원임을 고려할 때 산술적인 최대 과징금은 1조 5000억 원대에 달한다. 다만 위반 행위와 직접적 관련이 없는 매출액 제외 및 고시에 따른 감경 요소 등을 적용하면 실제 부과액은 이보다 낮아질 것이라는 분석이 지배적이다. 그럼에도 유출 규모가 역대급인 만큼 지난해 SK텔레콤이 기록한 역대 최대 과징금인 1348억 원을 넘어설지 주목된다.

개인정보 유출 제재와 별개로 쿠팡은 공정거래위원회와의 갈등에서도 강경 대응 기조를 이어가고 있다.

쿠팡은 지난 8일 공정거래위원회의 '총수(동일인) 지정' 결정에 불복해 서울고등법원에 취소 소송과 집행정지 가처분 신청을 냈다. 1986년 제도 도입 이래 기업이 공정위 처분에 소송을 제기한 것은 이번이 처음이다.

공정위는 김범석 의장 친족의 경영 참여를 근거로 동일인을 법인에서 김 의장으로 변경했다. 이에 따라 김 의장은 계열사 지분 공시와 사익 편취 규제 대상이 된다. 쿠팡은 친족의 지분 보유나 임원 재직 사실이 없어 규제 명분이 부족하다며, 가처분 신청을 통해 공시 의무를 유예하는 등 강경한 법적 대응을 이어갈 방침이다.