쿠팡, 개인정보 3370만개 유출...사실상 모든 고객 털렸다 : 중앙일보

쿠팡은 지난 18일 약 4,500개 계정의 개인정보가 무단으로 노출된 사실을 인지했으며 이를 즉시 경찰청과 한국인터넷진흥원, 개인정보보호위원회에 신고했다고 밝혔다.

쿠팡은 이후 후속 조사에서 고객 계정 약 3,370만개가 무단 노출된 것으로 확인했다고 밝혔다.

이번 쿠팡이 밝힌 개인정보가 무단 노출된 계정 개수는 앞서 인정한 약 4,500개에 비하면 7,500배 수준으로, 사실상 모든 고객의 정보가 노출된 것으로 보인다.

<개인정보 유출 사고 최대 매출 10% 과징금 부과·집단 손배 청구(종합) : 뉴시스>

개인정보보호위원회가 개인정보 보호 체계를 사후 제재 중심에서 사전 예방으로 전환한다. 반복적이거나 중대한 법 위반 행위에 대해 매출액의 10%까지 부과하는 징벌적 과징금을 신설하고, 단체소송 요건에 손해배상을 포함해 피해 구제를 강화할 계획이다. ·

송경희 개인정보보호위원회 위원장은 12일 '2026년 개인정보보호위원회업무보고' 사후브리핑에서 이같이 밝혔다. 개인정보위는 이날 이재명 대통령에게 보고한 '2026년 업무 추진계획'을 통해 ▲실효적 제재 및 보호투자 촉진 ▲공공·민간의 선제적 예방·점검 ▲신뢰 기반의 AI(인공지능) 사회 구축 ▲국민 생활 속 프라이버시 보호 ▲글로벌 데이터 신뢰 네트워크 구축 등 5대 핵심 추진 방향을 제시했다.

--------------------------------------------------------------------------------

“유출 이후(以後)”가 아니라 “기록 이전(以前)”이 문제다

개인정보 보호에 대한 사회적 관심은 어느 때보다 높습니다. 대한민국 성인 총인구수에 조금 못미치는 3,390만개의 고객정보가 유출된 쿠팡 사태를 비롯하여 대규모 유출 사고가 발생할 때마다 기업은 사과문을 내고, 감독기관은 과징금과 시정명령을 부과합니다.

그러나 반복되는 사고를 지켜보면, 한 가지 근본적인 의문이 남습니다.

“왜 우리는 늘 ‘유출 이후’에만 대응하고 있는가?”

문제의 핵심은 개인정보 보호법 자체의 부재가 아니라, 데이터 관리 과정에 존재하는 구조적 사각지대에 있습니다.

본 글에서는 개인정보 보호법상 안전성 확보조치 중 상대적으로 간과되어 온 접속기록·권한 관리 의무의 법적 성격과 책임 범위를 검토해 보고자 합니다.

1. 개인정보 보호의 맹점, ‘접속기록’과 ‘관리 흔적’

현행 개인정보 보호 체계는 수집·이용·제공·파기에 대한 규율에는 비교적 충실합니다. 그러나 실제 사고의 상당수는 이 단계 이전, 즉 누가, 언제, 어디서, 어떤 개인정보에 접근했는지에 대한 관리 부실에서 발생합니다.

✔ 내부 직원의 무단 열람

✔ 외주업체 계정을 통한 접근

✔ 퇴사자 계정 미삭제

✔ 로그 기록은 존재하나 형식적 보관에 그치는 경우

이러한 사안들은 개인정보가 “유출되었는지” 여부보다 먼저, “관리되었는지” 자체가 문제 되는 영역입니다. 그럼에도 실무에서는 접속기록 관리가 여전히 보안 부서나 IT 부서의 기술적 문제로만 취급되는 경우가 많습니다.

2. 개인정보 보호법상 안전성 확보조치의 법적 구조

법률상 근거

개인정보 보호법은 개인정보처리자에게 개인정보의 안전성 확보를 위한 조치를 취할 의무를 부과하고 있고(개인정보보호법 제29조), 이에 대한 구체적 내용은 시행령과 보호위원회 고시를 통해 단계적으로 규정됩니다.

특히, 시행령은 개인정보처리자가 접근통제 장치 설치, 접속기록의 보관·관리 등 필요한 조치를 하도록 명시하고 있습니다다(개인정보보호법 시행령 제30조 제1항).

고시에 따른 접속기록 관리 의무

「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시)은 접속기록 관리와 관련하여 보다 구체적인 기준을 제시하는데, 동 고시는 개인정보처리시스템에 대한 접속기록을 최소 1년 이상 보관·관리하도록 규정하며, 개인정보를 대량으로 처리하거나 고위험 정보가 포함된 경우에는 2년 이상 보관하도록 정하고 있습니다(고시 제8조 제1항, 제2항).

이 규정의 문언상 ‘보관·관리’는 단순한 저장 행위에 그치지 않고, 접속기록의 무결성 확보 및 위·변조 방지를 포함하는 개념으로 이해됩니다.

3. 접속기록 관리의 실질화와 위법 판단 기준

1. ‘기록의 존재’와 ‘관리의 적정성’의 구별

실무상 개인정보처리자들은 접속기록을 자동 생성·보관하고 있다는 점을 들어 안전성 확보조치 의무를 다하였다고 주장하는 경우가 많습니다. 그러나 법적 평가는 보다 엄격합니다. 즉, 접속기록이 존재하더라도 ▲ 정기적인 점검이 이루어지지 않았거나, ▲ 이상 접근 여부를 확인할 체계가 부재하거나, ▲ 관리 책임자가 이를 인식·통제할 수 없는 구조였다면, 이는 안전성 확보조치 위반으로 평가될 수 있습니다. 이와 같은 해석은 개인정보 보호 의무를 사후 결과 중심이 아닌 사전 관리 중심으로 전환하는 것입니다.

2. 개인정보 유출 여부와 위법성 판단의 분리

주목할 점은, 개인정보가 외부로 실제 유출되었는지가 반드시 위법성 판단의 전제가 되지 않는다는 점입니다. 접속기록 및 접근권한 관리 부실로 인해 무단 접근 가능성이 구조적으로 방치된 상태라면, 그 자체로 개인정보 보호법 제29조 위반이 문제 될 수 있습니다. 이는 개인정보 보호법이 위험 예방적 규범임을 전제로 한 해석으로 이해됩니다.

4. 접근권한 관리와 내부자 위험의 법적 평가

1. 최소권한 원칙의 실효성 문제

고시는 개인정보 취급자에게 필요한 최소한의 접근권한만을 부여하도록 요구하고 있습니다(고시 제6조 제1항). 그러나 현실에서는 직무 변경·퇴사 이후에도 권한이 유지되거나, 외주업체 계정이 광범위하게 활용되는 사례가 적지 않습니다. 이 경우 문제는 단순한 내부자의 일탈이 아니라, 권한 설정·변경·말소 절차의 부재 또는 형식화에 있습니다.

2. 관리 책임의 귀속

개인정보 보호법상 책임은 개별 직원이 아니라 개인정보처리자에게 귀속됩니다. 따라서 내부자의 위법 행위가 있었다 하더라도, 그 접근을 가능하게 한 관리체계가 미흡하였다면 개인정보처리자의 책임이 부정되기 어렵습니다. 이와 관련하여 감독기관은 ▲ 접근권한 관리 기준의 명확성, ▲접속기록 점검의 주기성, ▲ 관리 책임자의 감독 가능성 등을 종합적으로 고려하여 위반 여부를 판단하고 있습니다.

5. 실무적·이론적 시사점

개인정보 보호법상 안전성 확보 조치는 기술적 조치에 한정되지 않습니다. 접속기록과 접근권한 관리는 조직의 통제 구조와 책임 배분을 전제로 한 법적 의무로 이해되어야 합니다.

변호사 실무에서는 ▲ 사전 자문 단계에서 접속기록·권한 관리 체계의 실질적 작동 여부를 점검하고, ▲ 분쟁 단계에서는 유출 결과 이전에 관리의무 위반 자체를 독립된 쟁점으로 검토할 필요가 있습니다.

6. 결론

개인정보 보호에 관한 법적 평가는 점차 “사고가 발생했는가”에서 “사고를 방지할 관리가 이루어졌는가”로 이동하고 있습니다. 접속기록과 접근권한 관리의 사각지대를 방치한다면, 개인정보 보호법상 책임 역시 피하기가 어렵습니다.

☞ 자세한 내용은 아래 블로그 링크를 통해 확인 부탁드립니다.

https://blog.naver.com/jinsim0801/224119615658