개인정보위 “쿠팡은 해킹 면책조항·회원탈퇴 절차 바꿔라”

개인정보보호위원회(위원장 송경희, 이하 개인정보위)는 10일 열린 제26회 전체회의에서 쿠팡의 개인정보 처리 실태와 유출 대응 조치를 점검한 뒤, 이용약관·회원탈퇴 절차·유출 통지 미흡 사항에 대한 개선을 공식 요구했다고 밝혔다.

개인정보위는 쿠팡이 2024년 11월 이용약관에 ‘서버에 대한 제3자의 불법적 접속 등으로 발생한 손해에 책임지지 않는다’는 면책 조항을 추가한 사실을 확인했다.

개인정보위는 이 조항이 개인정보보호법 제29조(안전성 확보조치)와 제39조·제39조의2(손해배상 및 입증책임)의 취지에 비춰 이용자에게 혼란을 줄 수 있다고 판단해 개선을 요구했다. 또한 약관 소관부처인 공정거래위원회에도 의견을 전달할 계획이라고 밝혔다.

회원탈퇴 절차 역시 문제로 지적했다. 쿠팡은 와우 멤버십 해지를 회원탈퇴의 필수 조건으로 두고 여러 단계의 해지 절차를 거치게 하거나, 일부 회원에게는 멤버십 잔여기간이 끝날 때까지 해지를 불가능하도록 운영해 왔다.

개인정보위는 이러한 구조가 개인정보보호법 제38조제4항(동의철회·처리정지 절차는 수집 절차보다 어렵지 않아야 함)에 위반될 소지가 있다고 보고, 탈퇴 절차를 간소화하고 이용자가 쉽게 찾을 수 있도록 공개할 것을 요구했다.

유출 통지와 2차 피해 방지 조치도 미흡한 부분이 확인됐다. 쿠팡은 공동현관 비밀번호 등 누락된 유출 항목을 포함해 재통지하고 홈페이지·앱 공지문을 게시했다.

하지만 배송지 명단에 포함된 ‘비회원’ 정보주체에 대한 통지 계획을 제출하지 않았고, 공지문의 접근성과 가시성도 부족한 것으로 파악됐다.

이에 개인정보위는 보호법 제34조제1항 및 시행령 제39조제3항에 따라 30일 이상 공지하도록 요구하고, 사고 전담 대응팀 운영과 다크웹·인터넷 모니터링 강화를 지시했다.

또한 최근 쿠팡 계정 정보가 온라인·다크웹에서 유통되고 있다는 제보가 이어지고 있는 만큼, 개인정보위는 쿠팡에 즉각 대응 체계를 마련해 7일 이내 조치 결과를 제출하도록 했다.

개인정보위는 이번 유출 사건을 중대하게 보고 있으며, 위법 사항이 확인되면 엄정 제재하고 2차 피해 예방 조치를 계속 시행하겠다고 밝혔다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network