이정렬 개인정보보호위원회 부위원장이 25일 쿠팡 개인정보 유출 사건과 관련해 "조사가 마무리 단계에 있다"며 "법과 원칙에 따라 아주 엄정하게 보고 있다"고 밝혔습니다.
이 부위원장은 이날 정례브리핑에서 "쿠팡이 자체 입장문을 내고 있으나 추가 확인이 필요한 부분이 있다"며 "유출 규모와 개인정보보호법 위반 여부를 중심으로 조사하고 있다"고 말했습니다.
이어 "신고를 접수한 직후인 11월 30일 전담팀을 구성해 현재도 현장(쿠팡)에 상주하고 있다"며 "가장 경험 있는 전문가들과 조사관을 실제 조사팀에 투입해 한국인터넷진흥원(KISA)과 함께 아주 면밀하게 보고 있다"고 밝혔습니다.
앞서 과학기술정보통신부 민관합동조사단 발표에 따르면 쿠팡 '내 정보 수정 페이지'에서 이용자 성명과 이메일이 포함된 개인정보 3,367만 3,817건이 유출된 것으로 확인됐습니다.
조사단은 또 공격자가 '배송지 목록 페이지'에서 이름·전화번호·배송지 주소와 함께 특수문자로 비식별화된 공동현관 비밀번호가 포함된 개인정보를 1억 4,800만여 차례 조회한 사실을 확인했다고 밝혔습니다.
이 부위원장은 "조회를 1억 5천만 건 했다는 것이 1억 5천만 개의 계정 유출을 의미하는 것은 아니다"라며 "한 계정에 수없이 들어갈 수도 있다"고 말했습니다.
이어 "한 사람이 두 개 계정을 가질 수도 있다"며 "배송지 주소에 비회원 정보가 포함돼 있다는 것은 확인했는데, 이게 구체적으로 몇 건인지 밝힐 필요가 있다"고 덧붙였습니다.
다만 그는 조회 행위의 법적 성격에 대해서는 선을 그었습니다.
그는 "무단 조회는 유출"이라며 "이 부분은 분명히 결론을 내렸다"고 말했습니다.
그러면서 "우리나라뿐 아니라 유럽연합(EU) 일반개인정보보호법（GDPR）에서도 처리자의 관리·통제권을 벗어나 무단으로 공개되거나 접근하는 행위를 유출로 본다"고 강조했습니다.
이날 쿠팡의 모회사인 쿠팡Inc는 전 직원이 무단 접근한 계정 중 약 20만 개가 대만 소재 계정으로 확인됐다고 밝혔습니다.
이와 관련 이 부위원장은 "쿠팡의 자체 조사 결과로 파악하고 있다"며 "개인정보위가 확인한 내용이 아니다"라고 말했습니다.
그러면서 "쿠팡 측에 자료를 다시 요청했습니다. 필요하다면 대만에 협조를 요청할 수도 있다"고 덧붙였습니다.
쿠팡 사태 외 잇따르고 있는 개인정보 해킹사건에 대해서도 설명했습니다.
KT의 해킹사고에 대해 이 부위원장은 "작년 9월부터 문제가 된 사안이라 바로 조사에 들어갔고, 악성코드 감염으로 조사 서버가 늘어나면서 볼 게 더 많아졌다"며 "머지않은 시간에 마무리하려고 한다"고 말했습니다.
서울 공공자전거 '따릉이'의 회원정보 유출 사건에 대해서는 "막 조사에 들어가는 단계로, 10부 능선 중 1∼2부 수준"이라고 설명했습니다.
교원그룹과 관련해서는 "신고가 1월에 접수돼 자료 제출을 요청하고 확인하는 단계"라며 "조금 시간이 걸릴 것 같고, 지금 유출 규모를 이야기하기는 어렵다"고 밝혔습니다.
개인정보위의 조사·처분 건수가 늘고 과징금 규모가 커지면서 소송도 이어지고 있습니다.
대표적으로 SKT는 1,348억 원 규모의 과징금 부과 취소 소송을 제기한 상태입니다. 이는 위원회 출범 이후 최대 규모 과징금입니다.
이 부위원장은 "위원회는 지금까지 총 34건의 소송이 있었고, 이 중 16건은 완료됐으며 18건은 현재 진행 중"이라고 밝혔습니다.
그러면서 "현재 소송 전담팀은 비직제팀으로 운영되고 있고, 법무부 공익법무관 지원 등을 받아 5∼6명 정도가 함께 일하고 있다"며 "송무과를 꼭 신설해야 한다는 생각을 갖고 있다"고 강조했습니다.
한편, 지난 12일 고의·중과실에 따른 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 하는 개인정보보호법 개정안이 국회 본회의를 통과했습니다.
이 부위원장은 "시행령과 고시로 풀어야 할 부분이 있다"며 "업계와 전문가와 소통하면서 안을 만들겠다"고 밝혔습니다.
이어 "선제적이고 모범적인 투자를 한 경우 필수 감경에 포함할 예정"이라며 "투자가 비용이 아니라 기업 경쟁력을 확보하는 중요한 수단이라는 것을 명확하게 제시한 것"이라고 덧붙였습니다.
댓글
(0)