‘카카오페이’가 고객 약 4000만 명의 개인정보를 동의 없이 중국 간편결제 서비스업체 알리페이에 넘겼다는 의혹과 관련해 경찰이 강제 수사에 들어갔다. 경기남부경찰청 반부패·경제범죄수사대는 지난 6일과 7일 이틀 동안 성남시에 있는 카카오페이 본사에서 압수수색을 진행했다고 9일 밝혔다. 카카오페이는 2018년부터 2024년 5월까지 고객 약 4000만 명의 개인정보 542억 건을 중국 간편결제 서비스인 ‘알리페이’ 측에 전송한 혐의를 받고 있다. 경찰은 압수물 분석을 마친 뒤에는 참고인과 피의자 조사를 이어갈 방침이다. 현재까지 입건된 피의자는 카카오페이 임직원과 법인이다. 금융감독원은 지난 3월 카카오페이를 고객정보 유출 혐의로 경찰에 수사 의뢰했다. 경찰은 카카오페이가 알리페이에 제공한 고객 정보의 규모와 관련 경위 등을 확인하기 위해 전자 정보 등을 확보한 것으로 알려졌다. 개인정보 무단 제공 의혹과 관련해 카카오페이는 지난해 1월 개인정보보호위원회로부터 시정명령과 함께 과징금 59억 6000만원을 부과받은 데 이어 지난 2월 금융감독원에서도 기관 경고와 함께 과징금 129억 7600만 원을 부과받은 바 있다. 당시 개인정보위 조사 결과 카카오페이는 애플이 알리페이에 위탁한 ‘NSF 점수’ 산출 모델을 구축하기 위해 전체 이용자 정보를 넘긴 것으로 드러났다. ‘NSF 점수’는 애플 서비스 이용자의 결제 대금 부족 가능성을 평가하기 위해 산출하는 일종의 고객별 점수다. 카카오페이는 적법한 업무 위수탁에 따른 정보 제공이었다고 주장하며 개인정보위를 상대로 행정소송을 제기했으나 법원은 지난달 11일 원고 패소로 판결했다. 카카오페이는 현재 항소한 상태다.

박 대표 취임 100일 첫 비전 제시6G·위성 확대 안정적 통신망 제공‘통신 본업’ 보안·네트워크에 12조전국에 1GW 데이터센터 만들고해저케이블 등 AI 인프라에 6조 미래 먹거리 ‘토큰 팩토리’ 추진 취임 100일을 맞은 박윤영 KT 대표가 첫 경영 청사진을 내놨다. 보안 강화로 통신 본업을 다시 세우고, 데이터센터와(DC) 해저케이블 등 AI 인프라를 앞세워 기업들의 AI 전환(AX)을 뒷받침하는 ‘AX 플랫폼 컴퍼니’로 탈바꿈하겠다는 것이다. 이를 위해 보안, 네트워크, AI 인프라를 중심으로 총 18조원을 투자한다. 박 대표는 6일 서울 광진구 풀만 앰배서더 서울 이스트폴에서 기자간담회를 열고 이런 내용을 담은 중장기 전략을 발표했다. 핵심은 통신 경쟁력을 높이는 동시에 AI 사업의 기반을 구축하는 것이다. 보안과 네트워크에 향후 3년간 12조원을 투자하고, AI DC와 산업 현장에서 AI를 실시간으로 구동하는 AI 에지(Edge), 해저케이블 등 AI 인프라에는 6조원을 투입한다. 이를 바탕으로 금융과 공공, 제조 등 기업들의 AI 전환을 지원하는 플랫폼 사업을 새로운 성장동력으로 키운다는 계획이다. 네트워크 분야에서는 6세대 이동통신(6G)과 위성, 데이터센터 상호연결(DCI) 등 미래 기술 투자도 확대한다. 정지궤도(GEO)와 저궤도(LEO) 위성을 함께 운영해 재난 상황에서도 안정적인 통신망을 제공할 계획이다. 보안과 IT 경쟁력부터 강화 방안에 대해 박 대표는 취임 후 100여일 동안 전국 사업장을 살펴본 결과 AI 시대일수록 연결의 품질과 신뢰를 높이는 것이 가장 중요하다고 판단했다고 설명했다. KT는 정보보안과 IT 혁신에 4조원을 투입해 제로 트러스트 기반 보안 체계를 구축하고, 정보보호최고책임자(CISO)와 개인정보보호책임자(CPO)를 분리하는 한편 보안 인력도 두 배로 확대한다. 박 대표는 “AI 중심으로 연결의 대상은 달라져도 KT의 본질은 연결”이라고 말했다. AI 인프라 투자에는 AI 서비스를 처리할 데이터센터와 네트워크 수요도 함께 커지고 있다는 판단이 깔려 있다. KT는 전국에 1GW(기가와트) 규모의 AI 데이터센터를 구축하고, 해저케이블에도 1조원을 투자해 용량을 90Tbps 이상 확대할 계획이다. 이를 통해 늘어나는 글로벌 AI 트래픽에 대응하고 해외 빅테크의 국내 AI 데이터센터 투자도 유치한다. 박 대표는 “투자는 실수요를 기반으로 추진할 것”이라며 데이터센터 운영 경험과 네트워크 경쟁력을 KT의 차별화 요소로 꼽았다. 해저케이블은 글로벌 빅테크와 협력해 구축하는 방안을 추진한다. 신규 사업 모델도 공개했다. 생성형 AI 이용이 늘면서 기업들의 비용 부담이 커지는 점에 착안해 ‘토큰 팩토리’를 내세웠다. 여러 AI 모델 중 가장 효율적인 모델을 자동으로 연결하고 토큰 생성과 과금까지 지원하는 플랫폼을 구축하겠다는 것이다. 박 대표는 “AI 시대의 경제 단위는 토큰”이라며 “통신사가 가장 잘하는 과금 역량을 AI 사업으로 확장하는 모델”이라고 설명했다. KT는 금융, 공공, 제조·의료를 중심으로 AI 사업을 확대할 계획이다. 기존 마이크로소프트(MS)와의 협력은 유지하면서 구글과 팔란티어, 국내 AI 기업 등으로 파트너십을 넓혀 글로벌 AX 시장도 공략한다는 구상이다.

휴대전화를 새로 개통하거나 가입된 이동통신사를 바꿀 때 ‘안면(얼굴) 인증’을 통한 강화된 본인확인 절차가 6일부터 적용된다. 보이스·스미싱 범죄와 대포폰 개설을 포함한 명의도용을 방지하겠다는 취지다. 과학기술정보통신부는 이동통신 3사와 알뜰폰 사업자가 6일부터 전국 대리점과 판매점, 온라인 등 대면·비대면 등 모든 채널에서 기존 신분증 확인보다 엄격해진 본인확인 절차를 시행한다고 5일 밝혔다. 이는 명의도용을 통한 불법 개통을 막아 대포폰과 보이스피싱 등 민생 범죄를 예방하려는 조치다. 정부는 지난해 말부터 시범 운영해 온 제도를 전 채널로 확대 적용하기로 했다. 신규 가입이나 번호이동 신청자는 얼굴 인증, 행정안전부 모바일 신분증 앱, 당일 발급된 주민등록초본 중 하나를 직접 선택해 본인 인증을 받아야 한다. 같은 통신사에서 단말기만 교체하는 기기 변경은 대상이 아니다. 당초 정부는 얼굴 인증을 의무화하려 했다. 하지만 개인정보보호위원회와 국가인권위원회가 얼굴 정보의 민감성을 이유로 선택권 보장을 권고하면서 다중 인증 체계로 수정됐다. 정부 관계자는 “휴대전화가 금융거래와 각종 온라인 서비스의 본인 확인 수단으로 폭넓게 활용되는 만큼 개통 단계부터 명의도용을 차단해 대포폰 유통과 보이스피싱 등 범죄를 줄이는 데 효과가 있을 것”이라고 기대했다. 한편 얼굴 정보의 유출 우려에 대해 과기정통부는 “얼굴 원본 이미지를 저장하지 않고 대조 즉시 파기한다”면서 “시범 운영과 한국인터넷진흥원(KISA)의 보안 점검에서도 취약점은 발견되지 않았다”고 설명했다. 다만 일각에서는 노후화된 신분증 사진은 얼굴 인증 시 정확도가 떨어질 수 있고, 시스템 오류가 발생하면 가입자의 불편이 커질 것이라는 전망도 나온다. 정부는 이번 제도를 시작으로 휴대전화 부정 개통 방지 체계를 지속해 보완할 계획이다. 정부 관계자는 “추가적인 본인 확인 수단을 도입하고 주민등록초본 진위 확인 시스템을 연계하고 관련 법령 정비를 추진하는 한편 부정 개통에 연루된 유통망 관리를 강화해 휴대전화 개통 과정의 신뢰성을 높여 나갈 계획”이라고 말했다.

외주업체 직원, 고객 닉네임·CI 유출프로젝트 종료 뒤 고객정보 잔존 논란개보위·금감원, 법 위반 여부 점검우리은행이 외부 개발업체에 제공한 고객 개인정보가 프로젝트 종료 뒤에도 업체 직원에게 남아 있다 유출된 것으로 파악됐다. 은행 내부 전산망이 뚫린 사고는 아니지만, 수탁업체에 넘긴 고객정보가 제대로 관리됐는지를 두고 은행권의 외주 관리 부실 문제가 다시 도마에 올랐다. 5일 금융권에 따르면 우리은행의 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 수행한 외부 개발업체 직원이 고객 개인정보 1만 7551건을 개발자 플랫폼에 올리면서 정보가 유출됐다. 유출된 정보는 고객의 이용자 닉네임과 온라인상 개인 식별값인 연계정보(CI)다. 해당 정보는 우리은행이 2024년 9월 프로젝트 수행 과정에서 외부 개발업체에 제공한 것이다. 우리은행 관계자는 “업체 직원이 개발 관련 자료를 공유하는 과정에서 고객정보가 포함된 사실을 알지 못한 채 올린 것으로 보고 있다”고 전했다. 우리은행은 지난달 30일 유출 사실을 인지한 뒤 개발업체를 통해 관련 정보 접근을 차단했다. 정진완 우리은행장 명의의 사과문에서도 “이용자 닉네임은 회원 ID나 로그인 계정 정보가 아니며, CI만으로는 특정 개인을 알아볼 수 없다”고 설명했다. 다만 CI는 주민등록번호를 기반으로 생성돼 평생 변하지 않는 고유값인 만큼, 다른 개인정보와 결합되면 보이스피싱이나 명의도용 등에 악용될 가능성을 배제할 수는 없다. 우리은행은 출처가 불분명한 전화나 문자메시지 내 URL 클릭 등에 주의를 당부하고, 피해가 발생하면 신속히 확인해 보상하겠다는 입장이다. 은행에 따르면 이날까지 유출 정보가 온·오프라인에서 확산되거나 악용된 사례는 확인되지 않았다. 은행권에서 외주업체 등을 통한 고객정보 외부 유출 사고가 불거진 것은 이번이 처음이 아니다. 2013년 한국SC은행(현 SC제일은행) 외주 IT업체 직원이 고객정보 10만여건을, 한국씨티은행 내부 직원이 3만 4000여건을 빼내 대출모집인에게 넘긴 사실이 검찰 수사로 드러났다. 한편 이번 사고와 관련해 개인정보보호위원회는 외주 개발업체로부터 유출 신고를 접수하고 개인정보보호법 위반 여부를 들여다보고 있다. 금융감독원도 우리은행에 사고 경위 자체 점검과 재발방지대책 마련을 요구했다. 금감원은 필요하면 현장점검에 나서고, 위법 사항이 확인되면 검사로 전환할 방침이다. 관건은 프로젝트 종료 뒤 외부 개발업체에 고객정보가 남아 있었던 경위, 우리은행의 수탁업체 관리·감독 의무 이행 여부다.

우리은행에서 외부 업체 과실로 고객정보 1만 7000여건이 유출되는 사고가 발생했다. 유출된 정보 악용으로 실제 고객 피해가 발생한 사례는 아직 발견되지 않았다. 3일 우리은행은 고객 공지를 통해 “외부 개발업체가 임의로 보관하고 있던 개인정보 1만 7551건이 해당 업체 직원 과실로 유출되는 일이 발생했다”고 밝혔다. 온라인에서 개인을 식별하기 위한 암호화 정보인 연계정보(CI)와 고객 닉네임이 유출됐다. 은행 측에 따르면 해당 정보는 2024년 9월 우리은행이 체불가토큰(NFT) 플랫폼 구축 프로젝트를 진행하면서 외부 개발업체에게 공유한 정보다. 이후 프로젝트가 종료됐지만, 해당 업체 직원이 정보를 임의 보관하고 있다가 개발자 플랫폼에 이를 공유하면서 외부로 유출됐다. 우리은행은 “지난달 30일 유출 사실을 인지한 즉시 개발 업체를 통해 관련 정보 접근을 차단했다”며 “개인정보보호위원회에 신고하고 홈페이지에 관련 사실을 공지했다”고 밝혔다. 그러면서 “현재까지는 유출된 정보가 온·오프라인에서 확산되거나 악용된 사례는 발생하지 않은 것으로 파악된다”고 덧붙였다. 유출된 정보만으로 특정 개인을 식별할 수 없다는 설명이다. 다만 혹시 유출된 고객 정보로 보이스피싱, 스미싱 등 피해가 발생할 수 있어 해당 고객에게 출처가 불분명한 전화번호 수신 및 문자메시지 내 URL 링크 클릭에 각별한 주의를 기울여 달라고 당부했다. 별도의 이상금융거래탐지시스템(FDS)를 적용해 미연의 사고에 대비하고 있다고도 부연했다. 우리은행은 “이번 일을 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점은 시정 조치하겠다”며 “고객에게 피해가 발생할 경우 최대한 신속하게 확인하고 보상하겠다”고 강조했다.

정부가 인공지능(AI) 확산에 맞춰 개인정보 보호체계를 전면 개편한다. 개인정보 처리 위험도에 따라 보호 기준을 달리 적용하는 ‘위험비례 보호체계’를 마련하고 법 위반에는 이행강제금을 도입해 제재 실효성을 높이기로 했다. 개인정보보호위원회는 3일 이런 내용의 ‘제3차 개인정보 보호 기본계획’(2027~2029년)을 발표했다. 개인정보 보호 기본계획은 개인정보보호법에 따라 3년마다 수립하는 법정 계획이다. 개보위는 이번 계획의 비전을 ‘신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회’로 정했다. 핵심은 AI 환경에 맞춘 개인정보 규율체계 개편이다. 개보위는 기존의 일률적 규제 방식만으로는 AI 서비스 확산과 데이터 활용 증가에 대응하기 어렵다고 보고 있다. 앞으로는 개인정보 처리 위험도에 따라 보호 기준과 안전조치를 차등 적용한다. 이상민 개인정보보호위원회 개인정보정책국장은 브리핑에서 “지금까지는 개인정보 처리 환경에 대한 고려 없이 천편일률적인 규제가 적용된 측면이 있었다”며 “위험도가 높은 영역에는 더 높은 기준과 안전조치를 적용하겠다”고 말했다. AI 서비스의 성격과 처리 데이터 유형에 따라 위험도를 따지고 고위험 영역에는 강화된 보호 원칙을 제시한다. 이 국장은 “기술 변화에 따라 개별 기술을 사전에 모두 규제하는 것은 불가능하다”며 “고위험 영역에 필요한 원칙을 제시하고 그 원칙에 맞춰 구체화하는 유연한 체계를 마련하겠다”고 설명했다. 안전한 데이터 활용 기반도 넓힌다. 개보위는 개인정보 관련 법적 불확실성을 줄이기 위해 ‘AX 안심지원센터’를 운영한다. 지역 거점별로 가명·익명 데이터 연계 활용 허브도 구축한다. 국민이 자신의 정보 활용을 직접 관리할 수 있는 기반도 강화한다. 개보위는 온마이 플랫폼을 고도화하고 마이데이터 인프라를 금융·복지·돌봄 등 사회 문제 해결에 활용할 계획이다. 보호체계는 사후 대응에서 사전 예방 중심으로 바뀐다. 개보위는 ISMS-P 인증제도와 개인정보 처리방침 평가체계의 기준·절차를 개선한다. 대규모 개인정보를 처리하는 공공 분야의 안전조치와 점검체계도 강화한다. 기업의 자발적인 보호 투자도 유도한다. 선제적으로 개인정보 보호에 투자한 기업에는 유출 과징금을 감면하는 등 인센티브를 제공한다. 반면 법 위반에는 이행강제금 도입 등으로 엄정 대응하기로 했다. 중소·영세기업에는 맞춤형 개인정보 컨설팅과 보호·보안 지원을 제공한다. 유출 사고가 발생하면 사고 복구도 지원한다. 유출 사고 대응은 제재 중심에서 회복력 중심으로 보완한다. 이 국장은 “유출 사고가 발생했을 때 제재도 필요하지만 서비스를 빠르게 정상화하는 것이 본질적 목표”라며 “특히 작은 기업은 기술 지원을 통해 회복을 돕는 데 중점을 둘 필요가 있다”고 말했다. 개인정보 정책의 컨트롤타워 기능도 강화한다. 개보위는 개인정보보호법과 개별 법령 간 중복 규제를 정비하고 관계부처 협력을 확대할 방침이다. 위치정보, 개인신용정보 등 다른 법령과 개인정보보호법 간 규율이 겹쳐 현장 혼선이 생길 수 있다는 지적을 반영한 조치다. 국민 권리구제 체계도 손본다. 개인정보 유출이나 침해 사고가 발생하면 신고부터 조사, 분쟁조정, 손해배상까지 이어지는 원스톱 권리구제 체계를 마련한다. AI 기반 개인정보관리 플랫폼도 구축해 국민이 자신의 개인정보 처리 현황을 쉽게 확인하고 권리를 행사할 수 있도록 할 계획이다. 다만 과제별 세부 일정은 연도별 이행계획에서 구체화된다. 개보위는 이번 기본계획이 향후 3년간의 방향성과 목표를 담은 상위 계획인 만큼, 12대 추진과제별 일정은 별도 계획을 통해 제시하겠다고 밝혔다.

지난해 고객 개인정보 유출 사태로 홍역을 치른 SK텔레콤이 사고 이후 주요 정보보호 혁신 활동과 성과를 담은 ‘정보보호백서 2025’를 1일 발간했다. 이번 백서는 SK텔레콤이 정보보호 체계를 전면 재정비하고 재발 방지와 신뢰 회복을 위해 추진해 온 각종 대책을 담은 첫 공식 보고서다. 백서에 따르면 SK텔레콤은 지난해 4월 고객 정보 침해 사고를 인지·신고한 이후 수립한 전사 차원의 정보보호 강화 체계를 ▲정보보호 거버넌스 ▲정보보호 아키텍처 및 기술 ▲개인정보보호 등 크게 3개 범위로 나누고 257개의 세부 추진과제를 선정했다. 전사 ‘보안 리터러시’ 강화, 주요 정보 암호화 확대, 고객보호 서비스 개발 등 세부 과제 중에 지난달까지 66.5%인 171개 과제를 이행했고 올해 안에 37개 과제를 이행 완료할 예정이다. 또 정보보호 거버넌스를 재정립해 최고경영자(CEO)와 정보보호최고책임자(CISO)가 직접 지휘하는 최상위 의사결정 책임 구조를 확립하고 5년간 약 7000억원을 투입해 고객 보호 체계를 지속적으로 강화한다. CEO 직속 통합보안센터가 전사의 보안 컨트롤타워 역할을 하고, CISO 직속으로 모의해킹 전담조직 ‘레드팀’을 둬 잠재 위험을 사전에 식별한다. 정재헌 SK텔레콤 CEO는 발간사에서 “정보보호 투자를 확대하고, 통합보안센터를 중심으로 전사적 보안 관리 체계를 강화하여 경영진의 의사결정이 현장의 철저한 보안 실행으로 이어지도록 최선을 다하고 있다”며 “무엇보다 고객이 체감할 수 있는 ‘실질적인 변화’를 위해 스미싱·보이스피싱 등 사이버 범죄로부터 고객 피해를 예방하기 위한 선제적 노력을 멈추지 않을 것”이라고 밝혔다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 SK텔레콤은 정보보호 투자 규모에서 통신 3사 중 가장 큰 증가폭을 기록했다. SK텔레콤과 자회사 SK브로드밴드의 합산 정보보호 투자액은 지난해 1434억원으로 전년(933억원) 대비 53.7% 증가했다. 정보보호 전담 인력도 526명으로 전년(337명) 대비 56.0% 늘었다.

경찰이 2022년 국민의힘 서울 서초갑 국회의원 보궐선거 후보 경선 과정에서 정치 브로커 명태균씨로부터 여론조사를 무상으로 제공받은 혐의를 받는 조은희 국민의힘 의원을 검찰에 넘겼다. 경찰청 3대 특검 인계사건 특별수사본부는 조 의원을 개인정보보호법 및 정치자금법 위반 혐의로, 명씨를 개인정보보호법 위반 혐의로 각각 불구속 송치했다고 30일 밝혔다. 조 의원은 2022년 2월 8일 제21대 국회의원 보궐선거 서울 서초갑 국민의힘 후보 경선 과정에서 서초구 책임당원 2200여명의 안심번호를 명씨에게 제공해 여론조사를 진행하도록 한 혐의를 받는다. 또한 해당 여론조사를 무상으로 제공 받아 약 200만원 상당의 여론조사 비용에 해당하는 정치자금을 받은 혐의도 적용됐다. 명씨는 조 의원으로부터 받은 안심번호를 활용해 여론조사를 실시한 뒤 2022년 2월 9일 ‘여론조사 응답 결과 원본 데이터’ 일부를 조 의원에게 전달해 개인정보를 유출한 혐의를 받는다. 경찰은 여론조사 결과로 가공된 데이터를 다시 전달한 행위 역시 개인정보 유출에 해당한다고 판단했다. 해당 여론조사는 하루 만에 진행된 것으로 전해졌다. 한편 이번 사건은 김건희 특별검사팀에서 경찰 특별수사본부로 이첩된 사건이다. 특수본은 지난 9일 조 의원을, 지난 18일 명씨를 각각 한 차례씩 조사한 뒤 이날 사건을 서울중앙지검에 송치했다.

■ 개인정보보호위원회 △개인정보보호정책과장 최윤정

정부가 대포폰과 보이스피싱 등 민생 범죄를 막기 위해 추진한 ‘이동통신서비스 안면인증 제도’가 7월 6일부터 시행된다. 과학기술정보통신부는 30일 이런 내용이 담긴 ‘휴대전화 부정사용 방지 종합대책’을 발표했다. 최우혁 과기정통부 정보보호네트워크정책실장은 “대포폰이 각종 민생범죄의 핵심수단이 되고 있는 상황에서 개통단계의 본인확인 강화는 국민의 재산과 신원을 보호하는 가장 효과적인 사전 예방책이 될 수 있다”고 설명했다. 경찰청이 추산한 지난해 대포폰 적발 건수는 2만 건, 보이스피싱 피해액은 1조 3000억원에 달하는 만큼, 안면인증 제도를 도입해 민생 범죄 발생 가능성을 차단하겠는 판단이다. 지난해 12월 23일 시범운영을 시작한 안면인증은 7월 6일부터 단계적으로 시행된다. 적용 대상은 이동통신 3사와 알뜰폰사의 대면·비대면 개통 채널이다. 당초 올해 3월 전 채널 도입을 목표로 했지만, 업계 혼란을 최소화하고 이용자들의 거부감을 줄이기 위해 시범 운영 기간을 이달 말까지 연장했다. 과기정통부는 개인정보보호위원회와 국가인권위원회의 개선 권고를 반영해 안면인증 과정에서 이용자 선택권도 보장한다고 강조했다. 스마트폰 이용자는 행정안전부 모바일 신분증 앱 인증을 활용할 수 있고, 스마트폰 미보유자는 당일 발급한 주민등록초본 확인 등 대체 인증 수단을 이용할 수 있다. 앞서 안면인증 제도 도입을 두고 개인정보 유출에 대한 우려가 꾸준히 제기됐다. 이에 과기정통부 관계자는 “현재 원본을 저장하거나 보관하지 않고 대조점 확인 즉시 관련 정보를 파기하고 있으며, 사전점검 시에도 정보 유출 관련 취약점은 발견되지 않았다”고 밝혔다.

딥페이크 성착취물 등 인공지능(AI) 발전으로 급증하고 있는 관련 범죄 대응에 범부처가 나선다. 방송미디어통신위원회는 26일 ‘AI 범죄 대응 범부처 협의체’ 킥오프 회의를 열었다. 협의체는 최근 크게 늘고 있는 딥페이크 성착취물, AI 허위 광고, 금융 사기 등 다양한 분야와 서비스에서 일어나는 범죄에 관계부처 간 공동 대응을 하기 위해 출범했다. 협의체에는 방미통위, 과학기술정보통신부, 외교부, 법무부, 성평등가족부, 금융위원회, 공정거래위원회, 개인정보보호위원회, 식품의약품안전처, 경찰청 등이 함께한다. 협의체는 이날 그간 세 차례 실무회의를 통해 마련한 ‘AI 범죄 근절 종합 대응 계획’과 ‘AI 범죄 통합 대응체계 구축 방안’을 논의했다. 회의에선 AI 범죄 예방, 탐지·차단, 수사·단속, 피해 회복, 재발 방지 등 모든 대응 과정을 아우르는 대처 방안 등을 다뤘다. 이들은 AI 범죄 정보를 신속하게 공유하고 징후를 함께 분석하고 대응할 수 있도록 상시적 통합 대응 체계를 마련하는 것에 공감했다. 이날 킥오프 회의를 주재한 고민수 방미통위 상임위원은 “AI 기술 발전은 새로운 기회와 함께 새로운 위험도 가져오고 있다”면서 “AI 기술을 악용한 범죄는 어느 한 기관의 노력만으로 대응하기 어려운 만큼 관계부처가 긴밀히 협력해 국민 피해를 예방하고, 안심하고 AI를 활용할 수 있는 환경을 만들어 나가겠다”고 강조했다. 방미통위는 이날 관계부처 합동으로 마련한 ‘AI 범죄 근절 종합 대응계획’을 향후 국가AI전략위원회 등과 협의를 거쳐 발표할 예정이다.

정부가 ‘국가 창업시대’ 구호를 내걸고 전국 17개 시도 동시 발대식까지 열며 추진한 ‘모두의 창업’에 선정된 수천명의 정보가 해킹당했다. 개인 신상정보 일부에 창업 아이디어라는 지식재산까지 유출됐다. 공모에 참여한 6만 2944명의 68%가 39세 이하다. 자본도 네트워크도 없이 아이디어 하나에 미래를 걸었는데, 그 밑천이 유출된 것이다. 해킹 정황은 지난 15일 이 사업에 공식 참여한 인공지능(AI) 솔루션 업체가 아이디어 요약 내용과 심사평을 담은 홍보 메일을 발송하면서 드러났다. 사흘 뒤 수행기관인 창업진흥원이 유출을 인정했고, 어제는 중소벤처기업부 장관으로서 이 사업을 진두지휘한 한성숙 국무총리 후보자가 공식 사과했다. 해킹이 외부자가 아닌 참가자 지원을 위해 참여한 내부 업체의 소행이었다니 더 기가 막힌다. 이 사업은 예비창업패키지 예산 491억원 중 260억원, 창업중심대학 176억원 등 기존 사업에서 총 436억원을 전용해 진행했다. 보안 체계를 제대로 갖추기도 전에 속도를 낸 결과 해킹 사태가 났는데도 천억원대 추가경정예산을 편성해 1만명 규모 2차 공모를 진행 중이다. 기존 창업 지원 사업의 예산을 쪼개 검증이 부실한 사업에 쏟아붓기를 이어가는 것이다. 중기부는 어제 모두의 창업 합격자 전원에게 영업비밀 원본증명 무상 등록과 지식재산 전문 변호사 상담을 지원하는 방안을 약속했다. 원본증명은 분쟁 시 보유 시점을 입증하는 제도일 뿐 이미 유출된 아이디어의 확산을 막는 조치일 수는 없다. 비슷한 사고를 낸 쿠팡에는 개인정보보호위원회가 6246억원의 과징금을 부과했다. 초록이 동색이어서 중기부는 그냥 넘어가 주느냐는 비판이 나오는 까닭이다. 창업 아이디어를 플랫폼에 공개하게 한 사업 설계 자체가 해킹에 취약했다는 진단도 나온다. 그런데도 2차 공모 속도전을 펼치는 정부의 행보에서 창업자 보호 의지는 보이지 않는다.

‘안전한 AI를 위한 약속, 사전예방 기반 개인정보보호체계 구축’ 주제… 8개 트랙·36개 세션 운영 개인정보 유출 사고 시 대표자 책임을 명확히 하고 개인정보보호최고책임자(CPO)의 역할을 강화하는 개정 개인정보보호법이 오는 9월 11일 시행된다. 최근 쿠팡의 3755만명 개인정보 유출에 따른 6246억원 과징금 부과를 비롯해 티빙, BGF네트웍스 등에서 개인정보 유출 사고가 발생함에 따라 기업과 기관의 개인정보보호 조치에 대한 사회적 관심이 높아진 상태다. 이러한 상황에서 22일부터 23일까지 이틀간 서울 코엑스 그랜드볼룸에서 ‘제15회 개인정보보호페어 ＆ CPO워크숍(PIS FAIR 2026)’이 개최된다. 이번 행사는 개인정보보호위원회(위원장 송경희)와 PIS FAIR 조직위원회(위원장 최장혁)가 공동 주최한다. PIS FAIR 2026에는 유관 기관과 기업 등 총 89개 기관이 참가했다. 공공기관 및 기업의 CPO, 개인정보보호 담당자, 개인정보 처리자, 정보보안 담당자 등 현업 실무자 약 4000명이 참석할 것으로 예상된다. PIS FAIR는 개인정보보호법이 시행된 2011년부터 개인정보보호 제도 활성화와 인식 제고를 목적으로 매년 개최되어 올해로 15회째를 맞이했다. 현장에서는 개인정보보호 및 사이버보안 솔루션을 공급하는 기업들이 기술과 서비스를 전시·시연하며 최신 기술 동향을 공유한다. 최장혁 PIS FAIR 2026 조직위원장은 개회사에서 앤트로픽의 미토스 사태를 언급하며 전통적인 사이버보안 방식의 한계를 극복해야 한다고 강조했다. 그는 법적·제도적 장치 마련과 더불어 기업과 기관의 적극적인 투자 및 인식 전환이 필요하다고 밝혔다. 양청삼 개인정보보호위원회 사무처장은 환영사를 통해 데이터 산업 환경에서 국민의 신뢰가 중요하며 그 중심에 개인정보보호가 있음을 명시했다. 이어 AI 심화 시대에 맞춘 국가적 개인정보 안전관리 체계 강화를 위한 정책 제언을 당부했다. 오현주 국가안보실 3차장은 축사에서 CPO가 고도화된 AI 위협을 방어하고 조직의 혁신 방향을 제시하는 전략적 리더 역할을 해야 한다고 설명했다. 정부 또한 AI 3대 강국 실현을 위해 개인정보보호와 데이터 활용이 균형을 이루는 환경을 조성하겠다고 밝혔다. 이상중 한국인터넷진흥원 원장은 AI 대전환 시대의 개인정보보호가 AI 산업 경쟁력 확보와 국민 안심 데이터 활용의 선결조건이라고 언급하며, 이번 행사가 선제적 예방 중심의 개인정보보호 체계를 확립하는 계기가 되기를 기대한다고 전했다. 이기주 한국CISO협의회 회장 역시 축사를 통해 신뢰할 수 있는 AI 활용을 위해 사전예방 체계가 구비되어야 함을 피력했다. 그는 행사 기간 중 AI 시대에 필요한 보호와 활용의 균형 전략 및 구체적인 가이드라인이 논의될 것이라고 설명했다. 김진수 한국정보보호산업협회(KISIA) 회장은 서비스 설계 단계부터 개인정보보호 원칙을 반영하고 데이터 전 과정의 위험을 제어하는 ‘Privacy by Design(설계 단계부터의 개인정보보호 내재화)’ 관점의 중요성을 강조했다. PIS FAIR 2026은 ‘안전한 AI를 위한 약속, 사전예방 기반 개인정보보호체계 구축’을 대주제로 삼아 8개 트랙에서 총 36개 강연을 진행한다. 서울특별시가 주최하는 ‘제5회 서울특별시 개인정보보호 포럼’도 동시에 개최된다. 첫날인 22일 오전에는 임희 경찰청 팀장이 ‘AI 시대의 침해사고 대응과 회복 탄력성–로그분석, 데이터 통제권 중심으로’를 주제로 강연하여 원본 로그와 민감 데이터 통제권을 통한 재발 방지 및 회복 방안을 공유했다. 이어 김홍선 김·장 법률사무소 고문은 ‘AI 시대의 개인정보보호 패러다임 전환’을 통해 데이터 생애주기 통제와 사이버보안 패러다임을 발표했다. 김해숙 개인정보위 사전실태점검과 과장은 예방 중심의 개인정보 관리체계 전환을 위한 정책 방향을 설명했다. 이튿날인 23일 오전에는 ‘우리 회사도 예외는 없다! 실제 사례로 보는 개인정보 유출 사고와 대응 가이드’를 주제로 토크콘서트가 진행된다. 유출 사고 이후 피해를 복구하기 위한 사이버 회복력(Cyber Resilience)과 법률적 대응 방안이 논의된다. 패널로는 최용혁 롯데카드 상무, 강한철 김·장 법률사무소 변호사, 안정호 법무법인 세종 변호사, 문홍식 KISA 탐지조사팀장이 참여한다. 또한 최광희 법무법인 세종 고문이 기업의 위험과 CPO 대응 사항을 주제로 강연하며, 조은진 대한무역투자진흥공사 팀장은 코트라의 개인정보보호수준 평가 우수사례를 소개한다. 최윤정 개인정보위 국제협력담당관은 국외이전 제도의 현황과 개선 방향을 다룬다. 양일 오후에는 8개 트랙에서 36개 강연이 분산 진행된다. ‘Law ＆ Compliance’ 트랙에서는 AI 시대 개인정보 쟁점과 미래 규범을 분석하고, 서울시 개인정보보호 포럼에서는 규제 환경 변화와 프라이버시 핵심 기술을 다룬다. 89개 기업 및 기관이 참여하는 솔루션 전시 및 시연회도 상시 운영된다. 참관객에게는 ‘개인정보보호 실천 가이드북 Vol.16’이 제공된다. 가이드북은 ‘안전한 AI를 위한 약속, 사전예방 기반 개인정보보호체계 구축’을 부제로 하여 AI 시대의 개인정보보호 실천 방안을 포함하고 있다.

‘5000명 정보 개인유출’ 늑장 인지 논란 “피해 확산 방지·사고수습 최선 다할 것” 6만 2000여명이 몰린 정부 초대 창업 프로젝트인 ‘모두의 창업’에서 발생한 개인정보 유출 사건과 관련해 주무 부처인 중소벤처기업부가 공식 사과했다. 중기부는 피해 확산 방지와 사고 수습에 만전을 다하겠다고 전했다. 중소벤처기업부는 19일 입장문을 내고 “‘모두의 창업’ 플랫폼에서 발생한 개인정보 유출로 국민 여러분과 프로젝트 참여자분들께 심려를 끼쳐드린 점에 대해 깊이 사과드린다”고 밝혔다. 김지현 대변인은 “이번 사안을 엄중하게 인식하고 있으며, 피해 확산 방지와 신속한 사고 수습, 사업의 안정적 운영을 위해 필요한 조치를 차질 없이 추진하고 있다”고 강조했다. 중기부는 노용석 중기부 제1차관 주재로 이번 개인정보 유출 사건에 대한 점검 회의를 정례적으로 열기로 했다. 김 대변인은 “프로젝트를 책임감 있고 체계적으로 관리하고자 노 차관 주재로 점검 회의를 정례적으로 개최할 것”이라며 “오는 21일 회의를 시작으로 개인정보 유출 관련 조치 상황과 플랫폼 운영, 주요 현안 및 향후 개선 방안을 지속해 점검하겠다”고 설명했다. 회의에는 중기부와 창업진흥원 등이 참여해 기관별 조치 사항과 추진 상황을 확인할 계획이다. 중기부는 회의 다음 날인 22일 브리핑 통해 관련 내용을 설명할 계획이다. 김 대변인은 “사고 수습과 프로젝트의 안정적인 운영을 위해 최선을 다하겠다”고 말했다. 모두의 창업은 지식재산권이 담긴 정보가 수집되고 대국민 경진대회라는 점에서 보안 강화에 더 주의를 기울였어야 했지만 프라이버시 체계의 적절성과 유출 이후 대응 등을 놓고 부실했다는 지적이 나오고 있다. 중기부에 따르면 모두의 창업 합격자의 개인정보 유출 사실을 인지한 것은 지난 15일 오후 3시쯤이었다. 이미 당일 합격자 5000명의 개인 프로필이 공개된 지 6시간 지난 시점이었고 그마저도 모두의 창업 플랫폼 게시판에 이용자들의 문의로 유출 사실을 알게 된 것으로 파악됐다. 한 참가자는 ‘개인정보 유출 가능성 철저한 조사 요청’이라는 제목의 글에서 “프로필을 공개하지도 않았고 이메일을 누구에게도 알려주지 않았다”며 “모두의 창업에 등록한 이름으로 모두의 창업을 언급한 이메일을 받았다. 개인정보 유출된 것이 아닌지 철저한 조사를 요청한다”고 촉구하기도 했다. 중기부는 유출 사고를 인지한 지 1시간 만인 지난 15일 오후 4시에 허가되지 않는 접근 경로를 차단하고, 다음 날엔 외부 인공지능(AI) 기반 자동 수집 시도를 추가로 차단했다. 그러나 유출 피해 당사자에게 개별적으로 알리고 관련 당국에 신고한 것은 사흘이 지난 18일이었다. 유출 사실을 인지한 지 약 70시간 만이었다. 이는 개인정보보호법상 신고 기한인 72시간 이내에는 해당하지만, 정부가 주관하는 대규모 창업 지원 사업에서 발생한 사고라는 점에서 보다 신속한 신고가 이뤄졌어야 하는 것 아니냐는 지적이 나온다. 중기부가 파악한 유출된 정보는 관련 법상 개인정보에 해당하는 이메일 주소와 비개인정보인 아이디어 요약 정보, 심사평 등이다.

“군기누설 행위 엄중한 책임 물어야”내란 징역 30년·일반이적 30년·증거인멸 3년도12·3 비상계엄 당시 부정선거 수사단을 구성하기 위해 정보사 명단을 누설한 혐의로 기소된 김용현 전 국방부 장관에게 징역 3년이 선고됐다. 서울중앙지법 형사합의21부(부장 조순표)는 19일 김 전 장관의 군형법상 군사기밀누설 및 개인정보보호법 위반 혐의 사건 선고 공판에서 혐의를 모두 유죄로 인정하고 징역 3년을 선고했다. 재판부는 “피고인은 국방부 장관으로 군사기밀 및 군인의 개인정보를 보호해 국가 안보를 확립할 의무가 있었고, 누구보다 공작요원과 특수임무요원의 인적 사항의 보호 필요성을 잘 알았을 것으로 보인다”며 “그럼에도 군 지휘 체계를 이용해 민간인 노상원 전 사령관이 자유롭게 정보사 요원의 개인정보에 접근하는데 결정적인 역할을 수행한 바 이 사건 군기누설과 개인정보 누설 행위에 관해 엄중한 책임을 묻지 않을 수 없다”고 밝혔다. 이어 “이 사건 범행은 아무런 실체 요건을 갖추지 못한 계엄 선포에 이를 수 있도록 하는 동력 중 하나였다”며 “단순한 군기누설이나 개인정보 보호법 위반의 죄책만으로 평가할 수 없는 위헌, 위법한 비상계엄이라는 중대한 결과를 야기했다”고 덧붙였다. 그러면서 “김 전 장관은 현재까지 이 사건 범행뿐 아니라 결과에 대해서도 아무런 반성을 하지 않고 있다”고 지적했다. 김 전 장관은 2024년 10∼11월 당시 문상호 정보사령관, 김봉규 중앙신문단장, 정성욱 100여단 2사업단장과 공모해 정보사 특수임무대(HID) 요원 등 40여명의 명단을 노상원 전 국군정보사령관에게 전달한 혐의를 받는다. 김 전 장관과 노 전 사령관은 명단을 토대로 비상계엄 상황에서 부정선거 의혹을 수사할 제2수사단을 구성하려 한 것으로 조사됐다. 군사기밀을 넘겨받은 혐의 등으로 기소된 노 전 사령관은 징역 2년과 추징금 2490만원을 선고받고 대법원에서 확정됐다. 김 전 장관은 내란중요임무종사 혐의로 1심에서 징역 30년을 선고받고 항소심이 진행 중이다. 김 전 장관 등은 항소심 재판부에 대해 기피 신청을 했지만 대법원에서 기각돼 조만간 재판이 재개된다. 또 비상계엄 선포 명분을 만들기 위해 2024년 10월쯤 드론작전사령부에 평양 무인기 투입을 지시한 혐의(일반이적)로 지난 12일 징역 30년을 선고받았다. 비상계엄 당시 수행 직원에게 자신의 컴퓨터를 부수게 하는 등 증거 인멸을 교사한 혐의(공무집행방해 등)로는 지난달 징역 3년을 선고받았다.

12·3 비상계엄 당시 부정선거 수사단을 구성하기 위해 정보사 명단을 누설한 혐의로 기소된 김용현 전 국방부 장관에게 징역 3년이 선고됐다. 서울중앙지법 형사합의21부(부장 조순표)는 19일 김 전 장관의 군형법상 군사기밀누설 및 개인정보보호법 위반 혐의 사건 선고 공판에서 이렇게 선고했다.

- 전분야 마이데이터 기반 대국민 의료 플랫폼 개발 착수 원격의료 IT 솔루션 선도 기업 ‘솔닥’이 개인정보보호위원회와 한국인터넷진흥원(KISA)이 공동 주관하는 ‘마이데이터 서비스 지원사업’에 최종 선정됐다고 12일 밝혔다. 이번 사업은 정부가 추진 중인 ‘전 분야 마이데이터’ 제도의 확산에 맞춰 국민이 일상에서 활용할 수 있는 서비스를 발굴·지원하기 위해 마련됐다. 솔닥은 이번 선정을 통해 의료 데이터 활용 기반을 넓히고 환자와 의료진이 진료 현장에서 보다 효율적으로 정보를 활용할 수 있는 환경을 구축하겠다는 방침이다. 핵심은 보건복지부의 ‘건강정보 고속도로’와 솔닥이 개발·운영 중인 의원급 전자의무기록(EMR) 시스템 ‘솔닥파트너스’의 연계다. 이용자가 동의하면 건강검진 결과와 진료 이력, 처방 및 투약 정보 등이 표준 전송체계를 통해 연결되고 의료진은 이를 진료 과정에서 참고할 수 있게 된다. 그동안 비대면 진료나 1차 의료기관에서는 환자의 과거 건강검진 결과나 타 병원 처방 이력을 충분히 확인하기 어려운 경우가 있었다. 솔닥은 이런 한계를 보완하기 위해 개인이 전송요구권을 행사해 연계한 데이터를 자사 EMR로 안전하게 전달하고 진료 화면까지 연결하는 구조를 마련할 계획이다. 회사 측은 환자 입장에서는 매번 관련 서류를 발급받아 제출하는 절차를 줄일 수 있고 의료진은 환자의 건강 이력과 검사 수치를 보다 일관되게 확인할 수 있을 것으로 보고 있다. 이를 통해 진료 과정에서 필요한 정보 확인을 지원하고 임상적 판단에 참고할 수 있는 환경을 조성한다는 설명이다. 개인정보 보호 체계 강화도 함께 추진한다. 솔닥은 이용자가 자신의 건강정보 활용 범위를 직접 확인하고 관리할 수 있도록 동의 절차와 관리 기능을 마련하고 신뢰 기반의 마이데이터 활용 환경을 구축하겠다는 계획이다. 또한 회사는 데이터 관리 체계 고도화를 위해 개인정보보호위원회의 ‘개인정보관리 전문기관(특수전문기관)’ 지정을 목표로 관련 준비와 인프라 정비를 진행하고 있다고 밝혔다. 개인정보관리 전문기관은 정보전송자가 보유한 개인정보를 다른 기관이나 기업으로 전송할 수 있도록 지원하고 전송받은 정보를 활용할 수 있는 정보처리자를 의미한다. 이호익 솔닥 대표는 “이번 마이데이터 서비스 지원사업 선정은 일차의료 생태계 강화와 비대면 진료 제도화에 따른 선제적인 데이터 기반 의료의 장을 열어갈 든든한 계기가 될 것”이라며 특히 내년 12월부터 정식으로 시행되는 비대면 진료 제도는 그간 데이터 부족 등의 이유로 국내 의료진들이 우려를 표하기도 했으나 “이번 마이데이터 서비스를 통해 진료에 필요한 충분한 데이터를 활용하여 비대면 진료가 우리 사회에 잘 안착될 수 있도록 만들어 나갈 수 있을 것”이라고 강조했다. 이어 “이를 기반으로 비대면 진료에 대한 인식을 긍정적으로 개선하고 국민들이 전송요구권을 행사하여 자신의 건강 데이터를 편리하게 활용함으로써 의료와 밀접하게 연결될 수 있도록 돕겠다”라며 “결과적으로 마이데이터를 활용한 혁신적인 진료 인프라를 일상 속에 안전하게 안착시켜 대국민 건강증진을 실현하고 전 분야 마이데이터 대국민 플랫폼 생태계를 선도해 나가겠다”고 포부를 밝혔다.

최근 개인정보 유출 사고가 발생한 결혼정보업체 듀오와 온라인동영상서비스(OTT) 티빙에 대한 손해배상 소송에 참여하는 피해자가 급증하고 있다. 16일 법조계에 따르면 법무법인 LKB평산이 대리하는 듀오 개인정보 유출 손해배상 소송의 원고는 총 1072명이다. LKB평산은 1차 소송에서 46명, 2차 소송에서 455명이 소를 제기한 데 이어 전날 571명의 원고가 추가로 소장을 제출했다고 설명했다. 1인당 청구액은 100만원이다. 이 중 1차 소송을 심리하는 서울중앙지법 민사29단독 김노아 판사는 지난 10일 사건을 조정에 회부했다. 조정은 분쟁 당사자들의 타협과 합의를 이끌어 화해에 이르게 하는 절차다. 변호인단은 듀오가 탈퇴 회원 등의 개인정보를 장기간 보관한 점, 피해자들이 유출 여부 및 항목을 확인하기 어려운 점 등을 문제 삼을 계획이다. 지난 4월 개인정보보호위원회는 듀오에서 개인정보를 취급하는 직원의 업무용 PC가 해킹당해 정회원 42만 7464명의 개인정보가 외부로 유출됐다고 밝혔다. 유출된 정보에는 이름·생년월일·주소·휴대전화번호뿐 아니라 신장·체중·종교·혼인경력·직장명·학력, 성격 성향 등 민감도가 높은 개인정보가 다수 포함된 것으로 조사됐다. 정태원 LKB평산 집단소송센터장은 “이번 사건은 인격과 사생활 전반이 노출된 사건”이라며 “오래전 가입자와 탈퇴 회원 정보까지 장기간 보관됐다면 그 책임은 가볍지 않다”고 강조했다. 마찬가지로 개인정보 유출 사고가 발생한 티빙에 대한 손해배상 소송에 참여하는 피해자 규모는 9만명을 웃도는 것으로 나타났다. 법무법인 지향은 이날 오전까지 티빙 개인정보 유출 피해자 총 9만 377명이 손해배상 소송에 참여했다고 밝혔다. 청구액은 원고 1인당 30만원이다. 지향 측은 전날 기준 5만명 수준이었던 소송 참가자 규모가 빠르게 증가하고 있다고 설명했다. 최근 티빙은 외부의 비인가 접근으로 회원 ID와 성명, 생년월일, 전화번호, 이메일 등 일부 개인정보가 유출됐다.

이른바 ‘밀양 집단 성폭행’ 사건 가해자들의 신상을 사적으로 조회한 혐의를 받는 법원 직원이 검찰에 넘겨졌다. 16일 서울 마포경찰서는 개인정보보호법 위반 혐의를 받는 서울서부지법 소속 공무원 A씨를 지난 12일 서울서부지검에 불구속 송치했다고 밝혔다. A씨는 서울서부지법에서 주사로 근무하던 시기 법원 내부 전산망을 사용해 밀양 집단 성폭행 사건 피의자 10여명의 주민등록정보를 사적으로 조회한 혐의를 받는다. 밀양 집단 성폭행은 2004년 12월 경남 밀양 지역 고교생 44명이 울산 여중생 1명을 1년간 성폭행한 사건이다. 당시 가해자들은 미성년자이거나 피해자와 합의했다는 이유 등으로 상당수가 형사처벌을 받지 않아 사회적 공분을 샀다. 이후 2024년쯤 온라인상에서 가해자들의 신상 공개가 이어지며 사건이 다시 주목받았다. 이 과정에서 사적 제재를 둘러싼 논란이 일었고, 신상을 공개한 유튜버 등이 실형을 선고받기도 했다.

3750만명의 회원 개인정보를 유출하고 회원의 온라인 활동 기록을 무단으로 수집한 쿠팡이 6000억원대 과징금을 물게 됐다. 정부가 단일 정보 유출 사고에 부과한 과징금 중 역대 최대액이다. 개인정보보호위원회는 지난 10일 정부서울청사에서 쿠팡의 개인정보 안전조치 의무 위반 행위 제재안을 심의하고 과징금 4235억 7500만원을 부과하기로 의결했다고 11일 밝혔다. 쿠팡이 타사 웹사이트와 앱에 접속한 회원 1117만명의 온라인 활동 기록을 무단으로 수집하고 저장한 행위에 대해서는 과징금 2011억 660만원을 별도로 부과했다. 신고 지연 등을 이유로 과태료 1680만원도 얹어졌다. 과징금·과태료를 모두 더하면 6246억 9840만원에 이른다. 이는 지난해 SK텔레콤이 유심 정보 유출로 부과받은 과징금 1347억 9000만원의 4.6배 규모다. 미국 법인 쿠팡Inc의 지난해 영업이익 6790억원과 맞먹는 수준이다. 개인정보위는 쿠팡의 개인정보 유출이 인증 서명키 관리와 접근 소홀 등 기본적인 안전관리 체계가 미흡해 발생한 것으로 결론을 내렸다. 개인정보 유출 규모는 회원 3322만 2472명, 비회원 433만 8368명 등 3750만명으로 집계됐다. 해커는 회원번호와 대체 인증 서명키를 탈취해 회원정보 수정 페이지, 배송지 관리 페이지, 주문 목록 페이지 등에서 이름과 이메일, 전화번호, 주소, 공동현관 비밀번호 등 개인정보를 유출했다. 개인정보위는 인증 수단을 안전하게 관리하지 못했고 불법적인 접근 및 침해 사고 방지를 위한 접근통제를 소홀히 했다고 지적했다. 또 쿠팡에 안전조치 강화, 회원이 아닌 정보 주체에 유출 통지, 개인정보보호책임자(CPO)의 실질적 역할 보장 등을 명령하고 탈퇴회원 개인정보 처리 개선을 권고했다. 이행 및 조치 결과는 3개월 내 확인하기로 했다. 쿠팡의 물류센터를 운영하는 자회사 쿠팡풀필먼트서비스(CFS)가 물류센터에 근무한 이력이 없는 경찰청 출입기자단 71명의 명단을 수집한 뒤 취업제한 목록에 등록·관리한 사실도 드러났다. 임직원 체중 정보를 동의 없이 법원에 제출하기도 했다. 개인정보위는 개인정보보호법 위반으로 보고 CFS에도 2억 4800만원의 과징금을 부과했다. 쿠팡은 개인정보위의 처분에 유감을 표명하며 행정소송 등 법적 대응을 시사했다. 쿠팡은 “선제적 2차 피해 방지 조치와 명확한 사실관계가 결정에 충분히 반영되지 못했다”며 “공식 의결서를 받은 뒤 법적 절차를 통해 사실관계가 명확하게 규명되길 기대한다”고 밝혔다. 전례 없는 수준의 과징금이 2분기 실적 손실로 반영되는 만큼 쿠팡은 재무적 충격이 불가피해졌다. 정보 유출 여파와 1조원 구매이용권 보상 지급 등으로 지난 1분기 3545억원의 적자를 낸 데 이어 2분기 연속 적자를 기록할 가능성이 크다. 쿠팡이 올해까지 총 3조원을 투입해 진행하고 있던 전국 물류센터 확충 계획과 9만명 규모의 고용 전반이 위축될 수 있다는 우려도 나온다. 유통업계 관계자는 “4000만명의 개인정보를 유출하고 과징금 약 60억원을 받은 카카오페이와 비교해 과징금 부과 체계가 형평성에 어긋난다”면서 “앞으로 미국으로부터 자국 기업 차별 논란 등 통상 갈등의 불씨가 될 수 있다”고 지적했다. 실제 그간 미국 정관계에서는 ‘한국 정부가 미국 기업인 쿠팡을 차별하고 있다’는 주장이 꾸준히 제기돼 왔다. 이날 조치로 미국이 ‘관세 보복’에 나설 가능성에 대해 외교부 관계자는 “쿠팡에 대한 조사는 국내법과 적법한 절차에 따라 처리되고 있다고 미국 측에 얘기해 왔다”며 “개인정보위 처분 결과를 미국 측에 차분하게 설명할 예정”이라고 밝혔다. 시민단체는 과징금 규모가 턱없이 작다고 비판했다. 구철회 안전한쿠팡만들기공동행동 집행위원은 “쿠팡의 지난해 매출이 약 45조원인 점을 고려하면 ‘매출액 3%’ 상한에 한참 못 미치는 1.3% 수준에 불과하다”고 지적했다.