개인정보위, 쿠팡 개인정보 유출 조사 마무리…“원칙대로 처분”

지난해 발생한 쿠팡의 대규모 개인정보 유출 사고에 대한 개인정보보호위원회(이하 개인정보위) 조사가 마무리됐다. 개인정보위는 조사 결과를 쿠팡 측에 사전 통지했고, 현재 사업자 의견을 검토하고 있다. 검토가 끝나면 개인정보위 전체회의에서 최종 처분을 의결할 예정이다.

송경희 개인정보위 위원장은 12일 ‘예방 중심 개인정보 관리체계 전환 계획’ 브리핑에서 쿠팡 조사 현황을 묻는 질문에 “개인정보위가 쿠팡에 대한 조사를 다 마무리했다”며 “조사 결과에 대해 행정절차법에 따라 상대 사업자에게 사전 통지를 보냈고, 사업자가 제출한 의견을 받아 검토 중”이라고 밝혔다.

행정절차법상 사전 통지는 행정청이 제재 처분을 내리기 전 당사자에게 처분의 원인과 내용을 미리 알리는 절차다. 사업자는 이에 대해 의견을 낼 수 있다. 개인정보위는 이 의견을 검토한 뒤 전체회의에서 처분 수위와 내용을 결정한다.

개인정보위 설명을 종합하면, 쿠팡 사건은 조사 단계에서 처분 절차 단계로 넘어간 상태다. 조사는 끝났고 개인정보위는 사전 통지 이후 쿠팡 측 의견을 받아 검토하고 있다.

송 위원장은 “검토가 완료되면 개인정보위 전체회의에서 의결하도록 할 것”이라며 “지금 이 단계가 빠르게 진행되고 있다”고 말했다. 다만 구체적인 처분 시점이나 과징금 규모는 공개하지 않았다. 유출 경위, 법 위반 여부, 책임 범위 등 조사 세부 내용도 이날 브리핑에서 별도로 언급하지 않았다.

신설 과징금 기준은 시행 이후 사건부터 적용

쿠팡 사건에 새로 강화되는 과징금 기준이 적용되는지도 쟁점으로 나왔다.

개인정보위는 중대·반복 개인정보보호법 위반에 대해 매출액의 최대 10%까지 과징금을 부과하는 징벌적 과징금 제도를 오는 9월 11일부터 시행할 예정이다. 과징금 산정 기준도 기존 3년 평균 매출액에서 직전 연도 매출액과 3년 평균 매출액 가운데 높은 금액을 적용하는 방식으로 바꾼다. 이 기준은 오는 19일부터 시행된다.

송 위원장은 쿠팡 사건에 신설 기준을 적용할 수 있는지에 대해 “징벌적 과징금은 9월 11일부터 시작하고, 직전 연도 매출액과 3년 평균 매출액 중 높은 것을 적용하는 시행령 개정은 5월 19일부터 적용된다”며 “이후에 일어난 사건부터 적용된다”고 설명했다.

이는 쿠팡 사건에 강화된 새 과징금 기준을 예외적으로 소급 적용하지 않겠다는 뜻으로 풀이된다. 송 위원장은 “법적 안정성 등을 고려해 그렇게 시행하는 것이 맞고, 다른 법에서도 기본 원칙으로 되어 있다”고 말했다.