[메디컬투데이=유정민 기자] 국내 최대 전자상거래 업체인 쿠팡이 대규모 개인정보 유출 사건으로 인해 최대 1조 원대 과징금 부과 가능성에 직면했다. 더불어 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 취소 가능성까지 제기되며 파장이 예상된다.

5일 개인정보보호법에 따르면, 개인정보 유출 사고 발생 시 기업 매출액의 최대 3%까지 과징금이 부과될 수 있다. 쿠팡의 지난해 매출액은 41조 원에 달해, 단순 계산 시 법정 최대 과징금은 1조 2천억 원을 넘어선다.

그러나 실제 부과액은 위반 행위와 직접 관련 없는 매출액을 제외하고, 고시된 감경 요소를 적용하는 절차를 거치므로 이 수준에 이르기는 어려울 것으로 전망된다.

개인정보보호위원회 출범 이후 SK텔레콤에 부과된 1,347억 9천만 원이 최대 규모의 과징금 사례로 기록되어 있다.

당시 SK텔레콤은 무선통신사업 매출을 기준으로 최대 3천억 원대 중반의 과징금 부과 가능성이 제기되었으나, 사고 이후의 시정 조치 및 이용자 보호 노력 등이 감경 사유로 반영되어 실제 부과액은 그보다 낮았다. 쿠팡 역시 기준 금액 산출 후 1, 2차 조정 과정을 통해 가중 및 감경 요소를 적용받게 된다.

한편, 정치권에서는 쿠팡에 대한 '엄벌론'이 거세지고 있다. 더불어민주당 허영 의원은 국회 정무위원회 현안 질의에서 송경희 개인정보보호위원장에게 쿠팡의 ISMS-P 인증을 이유로 과징금을 감면할 것인지 질의했다.

송 위원장은 "여러 상황을 엄격히 보겠다"며 "감경 역시 재량적으로 할 수 있는 여지가 있는 만큼, 사안의 엄중성에 따라 엄격하게 판단하겠다"고 답했다.

김승원 더불어민주당 의원은 현행법상 고의 또는 중대한 과실로 인한 개인정보 유출 시 손해액의 최대 5배까지 징벌적 손해배상을 청구할 수 있다는 점을 지적하며 쿠팡의 경우 1조 2천억 원의 과징금에 더해 최대 6조 원까지 징벌적 손해배상이 가능하다는 점을 언급했다.

송 위원장은 관련 규정이 있음을 인정하면서도, 징벌적 손해배상 제도가 재판 절차의 복잡성, 소송 장기화, 손해액 입증의 어려움 등으로 인해 실효성 있게 작동하지 못하는 현실을 지적했다.

개인정보위는 과징금 강화와 더불어 징벌적 손해배상 제도의 실효성을 제고할 방안을 강구 중이라고 밝혔다.

쿠팡의 ISMS-P 인증 취소 여부 또한 주목받고 있다. ISMS-P는 국내 최고 수준의 정보보호 및 개인정보보호 관리체계 인증 제도로, 한국인터넷진흥원(KISA)의 엄격한 심사를 통과해야 부여된다.

SK텔레콤, KT, 롯데카드 등 ISMS-P 인증 기업에서도 사고가 발생한 바 있으며, 쿠팡은 2021년과 2024년 두 차례 인증을 받았음에도 불구하고 이번 사고를 포함해 총 4건의 개인정보 유출이 발생하며 제도 실효성에 대한 의문이 제기되고 있다.

송 위원장은 “ISMS-P 인증 이후에도 매년 모의 해킹 등 실질 점검을 실시하고, 심각한 위반 시 인증 취소까지 검토하겠다”고 밝혔다.

쿠팡 개인정보 유출 사안은 인증을 받았더라도 실제 보안 운영이 부실하면 막대한 과징금·징벌적 손해배상 등 법적 책임과 함께 ISMS-P 취소 ‘첫 사례’가 될 수 있다.