쿠팡 개인정보 유출·침해 제재처분 분석

6월 11일 오전, 개인정보보호위원회(이하 '개인정보위')는 쿠팡 주식회사와 그 물류 자회사 쿠팡풀필먼트서비스 유한회사(이하 'CFS')에 대한 제재처분을 발표하였습니다. 전날인 6월 10일 제11회 전체회의에서 의결된 이 처분은 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과하고 시정명령, 공표 및 공표 명령, 개선권고에 더해 고발까지 포함하는 것으로, 국내 개인정보 제재 역사상 최대 규모입니다. CFS에 대해서도 별도로 과징금 2억 4,800만 원이 부과되었습니다. 이번 처분은 지난해 11월 약 3,755만 명 규모의 회원·비회원 개인정보가 유출된 사고에 대한 제재인 동시에, 조사 과정에서 추가로 드러난 약 1,117만 명의 타사 온라인 활동기록(쿠팡 외부 웹·앱 방문기록) 무단 수집, 부정광고(이른바 '납치광고') 관리·감독 소홀, 그리고 CFS의 기자단 명단 취업제한 목록 등록과 임직원 체중정보 법원 제출까지 함께 다룬 복합 제재입니다. 쿠팡은 발표 당일 사과와 함께 "공식 의결서를 수령한 후 법적 절차를 통해 사실관계를 명확하게 규명할 것"이라며 사실상 행정소송을 예고하였습니다.

본 리포트에서는 개인정보위 보도자료(2026.6.11.) 원문을 기준으로 사건의 전개 과정과 처분의 세부 구조를 정리하고, 심의 과정에서 드러난 양측의 주장과 쟁점, 국내 주요 개인정보 제재 사례와의 비교, 향후 행정소송과 민사·형사 절차를 포함한 전망과 기업 실무 점검 사항을 살펴봅니다.

핵심 요약

개인정보위는 6월 10일 전체회의에서 쿠팡에 과징금 6,246억 8,100만 원(유출 관련 4,235억 7,500만 원, 행태정보 무단 수집 관련 2,011억 600만 원)을 부과하고 고발을 포함한 제재를 의결하였습니다. 이는 종전 국내 최대였던 SK텔레콤 처분(1,348억 원)의 4.6배에 이르는 규모입니다.

위원회는 이번 사고를 고도의 해킹이 아니라 인증 서명키 관리와 접근통제 실패 등 기본적인 안전관리 체계 미비에서 비롯된 것으로 판단하였고, 유출통지·파기 의무 위반, CPO 독립성 침해, 자료 폐기 등 조사 방해까지 추가로 확인하였습니다. 쿠팡이 주장한 감경 사유는 대부분 받아들여지지 않았습니다.

쿠팡이 법적 대응을 공식화함에 따라 과징금 산정 기준과 타사 온라인 활동기록의 개인정보 해당 여부가 행정소송의 핵심 쟁점이 될 전망이며, 유사 쟁점에서 개인정보위가 구글·메타 상대 1심에서 전부 승소한 선례가 있어 소송 결과가 플랫폼 업계 전반의 데이터 수집 관행에 미칠 영향이 큽니다. 기업으로서는 인증키 수명주기 관리, 퇴직자 권한 회수, CPO 거버넌스, 행태정보 동의 체계를 점검할 시점입니다.

제01장 사건 경과

2025년 11월 유출 신고 접수부터 2026년 6월 제재 의결까지 약 7개월의 전개 과정을 정리합니다. 유출 자체는 2025년 1월의 사전 테스트에서 시작되어 4월부터 11월까지 장기간 진행되었으며, 쿠팡과 정부 모두 협박 메일을 받은 고객의 민원이 접수되기 전까지 이를 인지하지 못했습니다.

1. 공격의 전개

개인정보위와 한국인터넷진흥원(KISA) 합동 조사 결과에 따르면, 유출을 감행한 해커는 2024년 말 퇴사한 쿠팡의 전직 직원으로, 재직 당시 백업 인증 목적의 대체 인증 체계(2024년 4월 도입)를 직접 개발했던 인물입니다. 해커는 재직 중 접근이 가능했던 대체 인증 서명키를 이용해 위조 인증토큰을 만들어 회원 페이지에 접근하는 방식을 사용했습니다. 쿠팡의 토큰 기반 인증체계는 전자서명 검증만으로 인증을 허용하는 구조여서, 서명키가 유출되면 전체 회원 계정에 대한 무단 접근이 가능했습니다.

아래 표는 보도자료에 적시된 공격 단계별 시기와 규모를 정리한 것입니다.

시기	단계	대상 페이지	접근 규모
2025.1.25.	사전 유출 테스트	회원정보 수정, 배송지 관리(95개 계정)	242회
2025.4.14.~6.25.	유효 회원번호 파악 및 배송지 정보 유출	배송지 관리	약 1억 4,800만 회
2025.6.24.~10.12.	회원 이름·이메일 유출	회원정보 수정	34,966,812회
2025.9.26.~11.8.	공동현관 비밀번호·주문정보 추가 유출	배송지 수정, 주문목록	50,474회 / 85,213회
2025.11.9.~11.25.	회원·쿠팡 대상 협박 메일 발송(2회)	-	-

※ 자료: 개인정보보호위원회 보도자료 「개인정보위, 쿠팡 및 계열사의 개인정보 유출 및 침해 제재처분 의결」(2026.6.11.). 위 표는 보도자료에 기재된 해커의 공격 단계별 시기, 대상 페이지, 접근 횟수를 정리한 것입니다. 사전 테스트의 접근 규모(242회)는 보도자료상 회원정보 수정 페이지 101회와 배송지 관리 페이지 141회를 합산한 수치입니다.

특히 2025년 4월부터 6월까지 해커는 단 16개의 IP만으로 배송지 관리 페이지에 약 1억 4,800만 회 접근하였고, 이 가운데 6월 한 달에만 약 1억 1,700만 회가 집중되었습니다. 실제 존재하지 않는 회원의 인증토큰 약 4,400만 개를 이용한 비정상 접속도 다수 발생했습니다. 그럼에도 쿠팡은 협박 메일을 받은 고객의 민원이 접수될 때까지 약 6개월 이상 이상행위를 인지하지 못했고, 개인정보위는 이를 접근통제 의무 위반의 핵심 근거로 삼았습니다.

2. 신고와 조사의 전개

쿠팡은 2025년 11월 20일 회원 4,536명 유출로 최초 신고를 하였으나, 11월 25일 해커의 2차 협박 메일을 받고 자체 검증을 거쳐 11월 29일 3,300만 개 이상 계정 유출로 2차 신고를 하였고, 2026년 2월 5일에는 약 16만 5천여 개 계정의 추가 유출로 3차 신고를 하였습니다. 개인정보위는 최초 신고 다음 날인 11월 21일 조사에 착수하고 11월 30일 KISA와 집중조사 태스크포스를 구성했으며, 국회 청문회와 언론 보도, 방송미디어통신위원회의 이첩(2025.12.23.) 등으로 납치광고와 취업제한 목록 관련 침해 소지가 제기되자 2026년 1월 7일 추가 조사에 들어갔습니다. 유출 조사와 침해 조사가 비슷한 시기에 마무리되면서 처분 절차는 종합하여 진행되었고, 6월 10일 전체회의는 오전 10시에 개최되어 사업자 의견 진술과 질의응답을 거쳐 밤 11시 30분경 최종 처분안을 확정했습니다.

3. 확정된 유출 규모

최종 확인된 유출 규모는 회원 33,222,472명(계정 기준)과 회원이 아닌 정보주체 최소 4,338,368명(휴대전화번호 기준)으로, 합계 약 3,755만 명입니다. 올해 2월 과학기술정보통신부 민관합동조사단이 발표한 3,367만여 건과 차이가 나는 이유에 대해 개인정보위는, 합동조사단은 회원정보 수정 페이지 조회 건수를 기준으로 산정한 반면 위원회는 중복 조회와 탈퇴로 데이터가 없는 경우를 제외하는 대신 배송지에 포함된 비회원 정보주체를 추가로 산정했기 때문이라고 설명했습니다. 경로별로는 회원정보 수정 페이지에서 33,057,012명의 이름과 이메일이, 배송지 관리 페이지에서 최소 22,375,359명의 회원이 등록한 배송지 정보(이름, 전화번호, 주소, 마스킹된 공동현관 비밀번호) 63,986,351건이 유출되었습니다. 배송지 수정 페이지에서는 2,580명의 마스킹되지 않은 공동현관 비밀번호 4,226건이, 주문목록 페이지에서는 58,349명의 주문내역 272,470건이 유출되었습니다.

주의사항

배송지 관리 페이지 유출 규모는 조사 당시 확인 가능했던 2025년 6월 3일 이후 로그를 기준으로 한 최소 수치입니다. 해커의 공격 기간(2025.4.14.~6.25.)과 협박 메일에서 배송지 정보 1억 2천만 건 보유를 주장한 점을 고려하면 실제 유출 정보주체는 더 많을 것으로 추정된다고 개인정보위는 밝혔습니다. 쿠팡이 자료보전 명령 이후 일부 로그를 삭제하여 특정 기간의 유출 정보주체를 특정하지 못한 사정도 있습니다.

제02장 처분 내용 분석

이번 처분은 성격이 다른 세 갈래의 사건을 한 번에 의결한 것입니다. 유출 사고에 대한 제재, 행태정보 무단 수집에 대한 제재, 그리고 자회사 CFS의 정보주체 권리 침해에 대한 제재가 각각 별도의 사실관계와 근거 조항으로 심사되었습니다. 분석에 앞서 세 건의 차이를 개요표로 정리합니다.

구분	(가) 쿠팡 유출 관련	(나) 쿠팡 침해 관련	(다) CFS 침해 관련
핵심 사실	전직 직원의 서명키 악용으로 약 3,755만 명 개인정보 유출	약 1,117만 명의 타사 온라인 활동기록 무단 수집, 납치광고 관리·감독 소홀	기자단 71명 취업제한 목록 등록, 임직원 80명 체중정보 법원 제출
위반 조항	보호법 제29조, 제34조 제1항, 제21조 제1항, 제31조 제6항, 제63조 제2항	보호법 제15조 제1항, 제3조 제1항	보호법 제15조 제1항, 제23조 제1항
과징금	4,235억 7,500만 원	2,011억 600만 원	2억 4,800만 원
기타 처분	과태료 1,680만 원, 시정명령, 결과공표, 공표명령, 개선권고, 고발	시정명령, 공표명령	-

※ 자료: 개인정보보호위원회 보도자료(2026.6.11.) 붙임1 '사업자 위반 및 시정조치 내역'. 위 표는 세 건의 처분 대상별 핵심 사실, 위반 조항, 과징금과 부수 처분을 비교 정리한 것입니다.

한 문장으로 구분하면, (가)는 '지키지 못한 책임'(안전조치 실패로 인한 유출), (나)는 '수집해서는 안 될 것을 수집한 책임'(법적 근거 없는 행태정보 수집), (다)는 '가진 정보를 잘못 쓴 책임'(목적 외 이용과 민감정보 처리)에 대한 제재입니다. 이하에서 각각을 살펴봅니다.

과징금 구성 (단위: 억 원)

※ 자료: 개인정보보호위원회 보도자료(2026.6.11.). 위 그래프는 이번 의결에서 부과된 과징금을 처분 대상별로 구분한 것입니다. 유출 관련 4,235억 7,500만 원과 침해(행태정보) 관련 2,011억 600만 원의 합계가 쿠팡 주식회사에 부과된 6,246억 8,100만 원이며, CFS 2억 4,800만 원은 별도 법인에 대한 처분입니다.

1. 유출 관련 처분: 다섯 가지 위반과 조사 방해

개인정보위는 이번 유출이 고도의 해킹이 아니라 쿠팡의 기본적인 안전관리 체계 미비와 관리 소홀에서 비롯되었다고 결론지었습니다. 인정된 위반은 다섯 갈래입니다.

첫째, 인증수단 관리 실패입니다(제29조 안전조치의무). 쿠팡은 업무상 서명키 열람이 불필요한 경우에도 키를 평문으로 볼 수 있도록 키 관리 시스템을 운영했고, 키 접근이 가능했던 해당 직원이 2024년 12월 31일 퇴사한 뒤에도 서명키를 갱신하거나 폐기하지 않았습니다. 둘째, 접근통제 소홀입니다(같은 조). 공격 기간 중 개인정보 페이지의 트래픽이 평상시 대비 급증하고 존재하지 않는 회원의 인증토큰을 이용한 비정상 접속이 다수 발생했음에도 이를 탐지하지 못했고, 차단 임계치 설정이 미흡했으며 탐지된 이상행위에 대한 상세 분석도 수행하지 않았습니다.

셋째, 유출통지 의무 위반입니다(제34조 제1항). 쿠팡은 약 16만 명의 추가 유출을 2026년 1월 30일경 인지하고도 법정 기한인 72시간을 넘긴 2월 5일에야 통지했습니다. 또한 유출된 배송지 정보에 포함된 비회원 정보주체에 대해 개인정보위가 2025년 12월부터 네 차례에 걸쳐 통지를 촉구했음에도 이행하지 않아, 해당 정보주체들은 2차 피해 예방 기회를 잃었습니다. 넷째, 파기 의무 위반입니다(제21조 제1항). 탈퇴회원의 배송지 정보 2,465,592건과 계좌번호 318,499건을 내부 규정과 달리 파기하지 않았고, 문자·이메일 발송용으로 복사한 별도 DB에서도 탈퇴 후 90일이 지난 717,865명의 개인정보를 파기하지 않았습니다. 파기되지 않은 정보 중 일부는 실제 유출로 이어졌습니다.

다섯째, CPO의 독립적 업무수행 방해입니다(제31조 제6항). 쿠팡은 2025년 12월 해커에 대한 자체 조사를 진행하고 그 결과를 공개하는 과정에서 개인정보 보호책임자(CPO)를 의사결정에서 배제하고 관련 정보를 공유하지 않았습니다. 그 결과 해커의 진술에만 의존한 조사 결과가 검증 없이 공개되어 사회적 혼란이 야기되었다고 위원회는 판단했으며, 이를 단순한 내부 소통 부재가 아니라 CPO 제도를 형해화한 것으로 보았습니다.

여기에 조사 방해(제63조 제2항)가 더해졌습니다. 개인정보위가 조사 착수 즉시 증거자료 보전을 명령(2025.11.21.)했음에도 쿠팡은 11월 27일 약 5개월 분량(2024년 7~11월)의 웹 접속 로그를 수동 삭제했고, 6개월 경과 시 삭제되는 자동 삭제 정책을 중단하지 않아 애플리케이션 로그가 추가로 소실되었습니다. 삭제된 기간(2025.5.25.~6.2.)의 공격자 접속은 약 1,900만 회로 전체의 약 13%에 해당하며, 이로 인해 해당 기간 배송지 정보가 유출된 정보주체를 특정하지 못하게 되었습니다. 붙임 자료상 고발 조치는 이 유출 관련 건에 포함되어 있습니다. 다만 고발의 구체적 대상자와 적용 죄명은 보도자료에 명시되지 않아 의결서 공개 시 확인이 필요합니다.

이상의 위반에 대해 과징금 4,235억 7,500만 원과 과태료 1,680만 원(통지·파기 의무 위반)이 부과되었고, 인증체계 전반의 키 관리·통제 체계 정비와 접근통제 강화, 비회원 정보주체 대상 유출통지 실시, 파기 정책과 내부 거버넌스 정비 등이 시정명령되었습니다. 탈퇴회원 개인정보 처리 체계와 처리방침 현행화에 대해서는 개선권고가 내려졌으며, 개인정보위는 3개월 내 이행 결과를 확인할 예정입니다. 처분 사실은 쿠팡 홈페이지와 개인정보위 홈페이지에 공표됩니다.

2. 침해 관련 처분: 행태정보 무단 수집과 납치광고

과징금의 약 3분의 1을 차지하는 두 번째 갈래는 유출 사고와 무관하게 조사 과정에서 드러난 것으로, 제휴 마케팅 프로그램 '쿠팡 파트너스'의 운영 방식에 관한 것입니다. 광고 파트너의 웹·앱에 쿠팡 광고가 게재되면, 이용자가 광고를 클릭하지 않더라도 기기 식별자(GAID, IDFA, 쿠키)와 함께 방문한 URL이나 앱 이름, 접속 일시, 접속 IP 등 타사 온라인 활동기록이 쿠팡 서버로 전송되어 광고 DB에 저장되었습니다. 개인정보위 조사 결과 쿠팡은 2024년 12월 23일부터 2026년 2월 4일까지 15,645,338개의 웹페이지 또는 앱을 방문한 이용자 총 11,170,613명의 활동기록을 동의 없이 수집·저장했습니다.

쿠팡은 심의 과정에서 URL과 앱 명칭 등은 특정 개인을 알아볼 수 없고 쉽게 결합이 어려워 개인정보가 아니며, 의도적으로 수집한 것도 아니라고 주장했습니다. 그러나 위원회는 해당 정보가 회원번호 및 기기 식별자와 결합된 상태로 저장되어 그 자체로 개인 식별이 가능한 개인정보에 해당하고, 쉽게 이용 가능한 DB 형태로 구성하여 실제 조회까지 한 이상 수집 의도가 없었다고 볼 수 없다고 판단했습니다. 이에 동의 등 법적 근거 없는 수집으로 보호법 제15조 제1항 위반을 인정하여 과징금 2,011억 600만 원을 부과했습니다. 다만 위원회는 타사 사례와 달리 해당 정보를 맞춤형 광고 알고리즘 학습 등 분석에 사용하지 않은 점, ISMS-P 인증 취득·유지와 자율규제 규약 이행 등 보호 노력을 감경 요소로 참작했다고 밝혔습니다. 쿠팡은 조사 과정에서 위법 사실을 인지하고 2026년 4월 17일 해당 기록을 삭제했으며, 이후 개인 식별 상태의 수집이 이루어지지 않도록 조치했습니다.

납치광고 건은 별도의 위반으로 다루어졌습니다. 일부 광고 파트너가 광고를 클릭하지 않아도 쿠팡 웹·앱으로 강제 전환되도록 하는 부정 광고를 게재하여 이용자 의사에 반해 쿠팡 서비스 이용기록이 수집되도록 했는데, 쿠팡은 2022년 8월부터 이를 인지하고 탐지 시스템을 운영했다고 소명했음에도, 스스로 정한 계정 해지 기준에 해당하는 파트너에게 불이익을 적용하지 않고 오히려 추가 수수료율을 적용한 사실이 확인되었습니다. 위원회는 이를 최소 수집과 적법·정당 수집을 요구하는 보호법 제3조 제1항(개인정보 보호 원칙) 위반으로 보아, 부정 광고 파트너에 대한 엄격한 제재 등 관리·감독 강화를 시정명령했습니다. 이 건에 별도 과징금은 부과되지 않았습니다.

3. CFS 처분: 블랙리스트와 민감정보

물류 자회사 CFS에 대해서는 두 가지가 인정되었습니다. 먼저 2023년 9월부터 2024년 2월까지 물류센터 근무 이력이 전혀 없는 경찰청 출입기자 71명을 '허위사실유포' 사유로 취업제한 목록에 동의나 통지 없이 등록한 행위에 대해 제15조 제1항 위반으로 과징금 2억 2,000만 원이 부과되었습니다. 또한 '임직원 건강 관리' 목적으로 동의를 받아 제공받은 건강검진 결과 중 임직원 80명의 체중 수치 분석 자료를 2024년 3월 산업재해 관련 소송에서 방어 목적으로 법원에 제출한 행위에 대해, 별도 동의나 법령상 근거 없는 민감정보 처리로서 제23조 제1항 위반을 인정하여 과징금 2,800만 원이 부과되었습니다. 금액 자체는 크지 않으나, 수집 목적과 다른 용도의 이용은 소송상 방어권 행사라는 사정으로도 정당화되지 않는다는 판단이어서 인사·노무 실무에 시사하는 바가 있습니다.

4. 과징금 산정 구조

현행 「개인정보 보호법」상 과징금은 전체 매출액의 3%를 초과하지 않는 범위에서 위반행위와 관련 없는 매출액을 제외한 금액을 기준으로 산정하며, 위반행위의 중대성, 피해 규모, 위반 기간, 최근 3년 내 동종 위반 전력, 조사 협조 여부, 보호 노력과 피해 회복 노력 등을 고려한 가중·감경을 거칩니다. 개인정보위는 이번 건에서 사고가 발생한 쿠팡 이커머스 서비스 매출을 기준으로 삼고 쿠팡이츠, 쿠팡플레이 등 관련 없는 독립적 매출은 제외했다고 밝혔습니다. 행태정보 건에서는 쿠팡 파트너스의 운영 목적이 이용자 유입과 이커머스 매출 증대에 있다는 점을 들어 온라인 쇼핑 매출액 전체를 기준 매출액에 포함했습니다.

쿠팡의 지난해 매출이 45조 5,000억 원 규모임을 고려하면 단순 계산상 법정 상한은 약 1조 3,637억 원이며, 당초 1조 원이 넘는 과징금 가능성도 거론되었습니다. 실제 부과액 6,246억 8,100만 원은 상한 대비 약 46% 수준이지만, 연간 매출 30조 원을 상회하는 대규모 개인정보처리자가 인증키 관리를 소홀히 하여 대규모 유출로 이어진 점이 중대성 판단에 반영되었고, 업계에서는 쿠팡이 주장해 온 감경 사유(2차 피해 부재, 유출 정보의 낮은 민감도, 적극적 정보회수)가 거의 반영되지 않았다는 평가가 나옵니다. 특히 조사 방해가 인정된 점은 조사 협조 여부라는 산정 요소에서 불리하게 작용했을 것으로 분석됩니다.

제03장 쟁점과 이해관계자 입장

전체회의 심의는 13시간 넘게 이어졌고, 쿠팡이 의결 직후 법적 대응을 공식화하면서 주요 쟁점은 그대로 행정소송의 쟁점으로 옮겨갈 전망입니다. 심의 과정에서 드러난 양측의 주장을 정리합니다.

1. 핵심 쟁점별 양측 주장

쟁점	쿠팡 측 주장	개인정보위 판단
유출 사고의 성격	전직 직원이 재직 중 정당하게 알던 서명키를 퇴사 후 악용한 것으로 일반적 유출과 다르며, 법상 요구되는 키 관리와 이상행위 탐지를 충분히 이행	서명키 유출에 취약한 인증체계를 설계·운영하면서 과도한 접근권한 부여, 키 관리 정책 부재 등 기본적 내부 보안 관리 미흡으로 발생한 사고
이상행위 탐지	탐지·대응을 충분히 수행	과도한 트래픽과 비정상 접속에도 6개월 이상 유출 시도를 인지하지 못해 접근통제 불충분
타사 온라인 활동기록	URL·앱 명칭은 개인 식별이 어려워 개인정보가 아니며 의도적 수집도 아님	회원번호·기기 식별자와 결합 저장되어 그 자체로 개인정보이며, DB로 구성해 실제 조회한 이상 수집 의도 부정 불가
납치광고 관리	파트너 관리·감독이 어렵고 방지 노력을 충분히 수행	적발 파트너가 계정 해지 기준에 해당함에도 활동을 지속하고 일부에는 추가 수수료까지 지급하는 등 관리·감독 소홀

※ 자료: 개인정보보호위원회 보도자료(2026.6.11.) 붙임2 '주요 질의 답변'. 위 표는 심의 과정에서 제시된 쿠팡 측 주요 주장과 이에 대한 위원회의 판단을 쟁점별로 대비한 것입니다.

2. 각 계의 입장

이해관계자	주요 입장	근거 또는 논점
개인정보위	법과 원칙에 따른 책임 상응 처분	국내외 기업을 막론한 동일 기준 적용, 플랫폼 보안 투자와 내부 통제 강화 유도
쿠팡	사과하되 처분에는 유감, 법적 대응 예고	2차 피해 방지를 위한 선제 조치와 사실관계 설명이 결정에 충분히 반영되지 않았다는 입장. 쿠팡 파트너스는 글로벌 기업과 동일한 제휴 모델로 적법 운영 중이라고 반박
피해 소비자	분쟁조정·집단소송으로 손해배상 추진	분쟁조정 신청 약 2,578명(집단 2건 1,676명, 개인 902명) 접수, 6월 12일 절차 재개 예정. 서울중앙지법에 손해배상 소송 2건 계류
국회·정치권	제재 실효성 강화 요구	청문회 개최와 위증 고발 의결 등 책임 추궁, 2026년 2월 과징금 상한을 전체 매출액 10%로 올리는 개정안 본회의 통과
업계·학계	제재 수위 상향 추세에 대한 긴장	감경 사유가 거의 반영되지 않았다는 평가와 함께, 과징금 산정의 예측 가능성과 투명성 요구

※ 자료: 개인정보보호위원회 보도자료(2026.6.11.) 및 파이낸셜뉴스·서울경제·머니투데이·헤럴드경제 보도(2026.6.11.), 보안뉴스(2026.2.12.) 종합. 위 표는 처분을 둘러싼 주요 이해관계자별 입장과 그 논거를 정리한 것입니다.

행정 제재 외의 절차도 병행되고 있습니다. 민사에서는 소송대리인 측 안내에 따르면 2026년 1월 30일 원고 1,700명, 3월 24일 원고 214명의 손해배상 소송이 서울중앙지방법원에 각각 접수되어 있으며, 이번 처분으로 위반 사실이 공적으로 확인됨에 따라 원고 측 입증 부담이 상당 부분 덜어질 것으로 전망됩니다. 조사로 일시정지되었던 분쟁조정 절차는 6월 12일부터 재개되며 추가 참여도 가능합니다. 형사에서는 유출자에 대한 경찰 수사와 쿠팡의 자체 조사 발표 관련 수사가 진행 중이었고, 여기에 이번 고발 의결이 더해집니다. 한편 개인정보위는 2025년 11월부터 3개월간 온라인 불법유통 게시물을 집중 탐지한 결과 현재까지 유출 정보의 불법 유통 정황은 확인되지 않았다고 밝히면서도, 피싱과 스미싱, 금융사기 악용 우려가 있어 주의가 필요하다고 안내했습니다.

제04장 국내 제재 사례 비교와 향후 전망

이번 과징금은 국내 개인정보 제재의 규모를 한 단계 끌어올린 처분입니다. 최근 수년간의 주요 제재와 비교하여 그 위치를 확인하고, 행정소송을 포함한 향후 변수와 기업 실무 점검 사항을 정리합니다.

1. 국내 주요 제재와의 비교

개인정보위 주요 과징금 처분 비교 (단위: 억 원)

※ 자료: 개인정보보호위원회 보도자료(2026.6.11.), 한국경제·YTN(2024.5.9.), 연합뉴스(2024.5.24.), 헤럴드경제(2026.6.11.) 종합. 위 그래프는 개인정보위의 주요 과징금 처분을 의결 연도순으로 비교한 것입니다. 구글·메타(2022)는 두 회사에 대한 처분 합계 약 1,000억 원이며 유출이 아닌 행태정보 무단 수집에 대한 제재입니다. 쿠팡(2026)은 유출 관련과 행태정보 관련을 합산한 6,246억 8,100만 원입니다.

표면적인 금액 비교 이상으로 주목할 점이 세 가지 있습니다. 첫째, 제재 수위의 상승 속도입니다. 국내 기업 기준 역대 최대 과징금은 LG유플러스 68억 원(2023년), 골프존 75억 원(2024년 5월), 카카오 151억 원(2024년 5월), SK텔레콤 1,348억 원(2025년)으로 경신을 거듭해 왔는데, 이번 처분은 그 SK텔레콤 건의 4.6배이자 지난해 개인정보위 연간 과징금 총액(1,677억 원)의 약 4배에 이릅니다. 2023년 법 개정으로 과징금 기준이 '관련 매출액 3%'에서 '전체 매출액 3%(무관 매출 제외)'로 바뀐 효과가 대규모 플랫폼에서 본격적으로 나타난 것입니다. 둘째, 유출 제재와 행태정보 제재가 한 처분에 결합된 첫 대형 사례라는 점입니다. 셋째, 직접 비교 대상이 되는 SK텔레콤 건은 유심 정보라는 민감한 인증정보 유출이었음에도, 이번 건의 과징금이 훨씬 큰 것은 유출 규모와 함께 통지·파기 위반, CPO 배제, 조사 방해 등 사고 이후 대응 과정의 위반이 누적된 결과로 해석됩니다. 사고 자체보다 사고 후 대응이 제재 규모를 좌우할 수 있다는 의미입니다.

2. 행정소송 전망: 구글·메타 선례

쿠팡이 의결서 수령 후 법적 절차를 예고함에 따라 과징금 부과처분 취소소송과 집행정지 신청 가능성이 거론됩니다. 이때 참고할 직접적인 선례가 있습니다. 개인정보위는 2022년 9월 이용자 동의 없이 타사 행태정보를 수집한 구글과 메타에 합계 약 1,000억 원의 과징금을 부과했는데, 두 회사가 제기한 처분 취소소송 1심에서 위원회가 전부 승소했고 현재 2심이 진행 중입니다. 이번 쿠팡 행태정보 건은 그 사건과 쟁점 구조(타사 온라인 활동기록의 개인정보 해당성, 동의 없는 수집의 위법성)가 상당 부분 겹치므로, 1심 판결의 논리가 유지되는 한 쿠팡으로서는 이 부분의 다툼이 쉽지 않을 것으로 전망됩니다. 반면 유출 관련 4,235억 원 부분은 안전조치 의무의 이행 수준과 과징금 산정의 재량 일탈 여부가 다투어질 것으로 보이며, 전직 직원의 키 악용이라는 사고 경위를 법원이 어떻게 평가할지가 변수입니다.

3. 향후 일정과 변수

확정된 사항과 불확실한 사항을 구분하면 다음과 같습니다. 확정된 일정으로는 시정명령·개선권고에 대한 3개월 내 이행 결과 확인, 6월 12일 분쟁조정 절차 재개, 쿠팡 홈페이지와 개인정보위 홈페이지 공표가 있습니다. 가능성이 높은 전개로는 쿠팡의 행정소송 제기가 있으며, 회사가 공식 입장으로 법적 절차를 예고한 만큼 의결서 송달 후 90일 이내 제소가 유력합니다. 과징금 납부 부담을 고려한 집행정지 신청 여부도 관전 대상입니다. 불확실한 영역으로는 소송의 결과와 기간, 고발 사건의 수사·기소 여부, 집단소송과 분쟁조정에서의 배상 수준이 있습니다. 아울러 2026년 2월 12일 국회를 통과한 개정 「개인정보 보호법」은 고의·중과실 또는 반복·대규모 침해의 경우 과징금 상한을 전체 매출액의 10%까지 올리는 내용으로, 이번 처분에는 적용되지 않으나 시행 이후 발생하는 사고부터는 제재 상한 자체가 세 배 이상 커집니다. 이번 6,246억 원이 향후 기준으로는 오히려 보수적인 수치가 될 수 있다는 의미입니다.

결론

이번 처분은 대규모 플랫폼의 개인정보 사고에 대한 제재가 수십억 원 단위에서 수천억 원 단위로 이동했음을 보여 주는 분기점입니다. 위반의 인정 범위 또한 유출 그 자체를 넘어 통지, 파기, CPO 거버넌스, 조사 협조까지 사고 전후의 전 과정으로 확장되었습니다. 행정소송에서 일부 금액이 조정될 가능성은 남아 있으나, 개인정보 보호 의무 위반이 경영상 중대 리스크라는 방향성 자체는 되돌려지기 어려울 것으로 전망됩니다.

4. 기업 실무 점검 사항

이번 의결서에 적시된 위반 유형은 그대로 기업의 점검 목록이 됩니다. 첫째, 인증 체계와 키 관리입니다. 서명키, API 키 등 시스템 전체에 대한 접근을 좌우하는 비밀정보에 대해 평문 열람 권한을 최소화하고, 퇴직자 발생 시 해당 인원이 접근했던 키를 즉시 갱신·폐기하는 절차가 제도화되어 있는지 확인할 필요가 있습니다. 둘째, 이상행위 탐지입니다. 개인정보 페이지에 대한 트래픽 임계치 설정과 탐지된 이상행위에 대한 분석 절차가 실제로 작동하는지가 관건이며, 6개월간의 미탐지가 이번 사건에서 중대성 가중 요소로 작용했습니다. 셋째, 유출 대응 절차입니다. 추가 유출 인지 시 72시간 내 통지가 가능한 내부 프로세스, 그리고 회원이 아닌 정보주체(배송지에 포함된 가족, 지인 등)에 대한 통지 방안까지 미리 설계해 둘 필요가 있습니다.

넷째, CPO 거버넌스입니다. 침해사고 대응과 대외 공개 의사결정에서 CPO가 배제되는 구조는 그 자체로 법 위반이 될 수 있음이 이번에 확인되었습니다. 다섯째, 파기 관리입니다. 본 DB뿐 아니라 마케팅 발송용 DB 등 복제본까지 파기 정책이 일관되게 적용되는지 점검해야 합니다. 여섯째, 광고·마케팅 데이터입니다. 제휴 마케팅이나 광고 SDK를 통해 자사 서비스 바깥의 이용자 행태정보가 식별 가능한 형태로 수집되고 있지 않은지, 수집된다면 그에 상응하는 고지와 동의가 갖추어져 있는지 확인이 필요하며, 이는 구글·메타 건 이후 일관되게 유지되고 있는 집행 방향입니다. 마지막으로, 조사 개시 시 자료 보전입니다. 보전 명령 이후의 로그 삭제는 자동 삭제 정책의 방치까지 포함하여 조사 방해로 평가될 수 있으므로, 침해사고 대응 매뉴얼에 로그 자동 삭제 중단 절차를 포함해 두는 것이 안전합니다.

참조 자료

[1]

개인정보보호위원회 보도자료, 「개인정보위, 쿠팡 및 계열사의 개인정보 유출 및 침해 제재처분 의결」(2026.6.11.). 원문은 개인정보보호위원회 홈페이지에서 확인 가능 https://www.pipc.go.kr

[2]

파이낸셜뉴스, '개보위, 쿠팡에 6247억 과징금 철퇴⋯"고도 해킹 아닌 기본 관리 소홀"(종합)'(2026.6.11.) https://www.fnnews.com/news/202606111039375345

[3]

파이낸셜뉴스, '쿠팡 "개인정보위 결정 유감⋯공식 의결서 검토 후 법적 대응"(종합)'(2026.6.11.) https://www.fnnews.com/news/202606111146019459

[4]

서울경제, '쿠팡, 6246억 과징금에 "개보위 결정 유감⋯법적절차로 사실 규명"'(2026.6.11.) https://www.sedaily.com/article/20054509

[5]

헤럴드경제, "'3750만명' 개인정보 유출⋯쿠팡 '6247억' 역대 최대 과징금"(2026.6.11.) https://biz.heraldcorp.com/article/10769466

[6]

머니투데이, "쿠팡 과징금 6247억원, 어떻게 계산?⋯'유출' '무단수집' 따로 산정"(2026.6.11.) https://www.mt.co.kr/tech/2026/06/11/2026061110370556726

[7]

머니투데이, "'6246억' 세계 최대 과징금 맞은 쿠팡⋯5억명 유출 메타의 1.6배"(2026.6.11.) https://www.mt.co.kr/living/2026/06/11/2026061110103822486

[8]

지디넷코리아, "개인정보위, 쿠팡 6247억 '철퇴'⋯작년 과징금 총액 4배"(2026.6.11.) https://zdnet.co.kr/view/?no=20260611104544

[9]

보안뉴스, '개인정보 유출 과징금, 전체 매출 10%까지 부과⋯개정안 국회 본회의 통과'(2026.2.12.) https://m.boannews.com/html/detail.html?idx=142162

[10]

한국경제, '221만명 고객정보 털린 골프존⋯과징금 75억 역대 최대'(2024.5.9.) 및 YTN, "'2백만 회원 정보 유출' 골프존⋯과징금 75억 '철퇴'"(2024.5.9.) https://www.hankyung.com/article/2024050988951

[11]

연합뉴스, "68억→75억→151억⋯세진 개인정보위 과징금에 업계 '전전긍긍'"(2024.5.24.) https://www.lawnb.com/Info/ContentView?sid=N000BAAEA0FBE723

[12]

뉴탐사 공지, '쿠팡 개인정보 유출 집단소송 진행 경과 안내'(소송대리인 측 안내 기준). 1차 소송 2026.1.30. 접수(원고 1,700명), 2차 소송 2026.3.24. 접수(원고 214명) https://newtamsa.org/notice/A9CEYV-36CNU634RMXS

※ 본 리포트 작성 기준일: 2026년 6월 11일. 본 리포트는 개인정보보호위원회 보도자료(2026.6.11.)와 당일 언론 보도를 기준으로 작성되었습니다. 고발의 구체적 대상과 죄명, 과징금 산정의 세부 내역은 의결서가 공개되지 않아 확인되지 않았으며, 쿠팡의 행정소송 제기 여부와 분쟁조정·집단소송의 진행 경과에 따라 본문 일부 내용은 향후 변경될 수 있습니다. 집단소송 현황([12])은 소송대리인 측 안내에 근거한 단일 출처 정보임을 밝힙니다.

쿠팡 과징금 의결 종합 브리핑