“서버 불법 접속도 면책?”…쿠팡 약관 수정 논란으로 본 개인정보 보호 공백

3370만 명의 개인정보가 유출된 쿠팡이 지난해 회사 이용 약관에 서버 불법 접속 등으로 인한 손해를 회사 책임에서 제외하는 면책 조항을 넣은 것으로 알려지며 논란이 커지고 있다. 대규모 유출 사고가 드러난 상황에서 약관 구조가 정보주체 보호보다 기업 책임 제한에 치우친 것 아니냐는 지적이 제기된다.

4일 KBS 보도에 따르면 쿠팡은 지난해 11월 회사 이용 약관 제38조 ‘회사의 면책’ 조항을 손질하면서 ‘서버에 대한 제3자의 모든 불법적인 접속 또는 서버의 불법적인 이용으로부터 발생하는 손해 등에 관해 책임을 지지 않는다’는 내용을 추가한 것으로 파악됐다. 쿠팡은 이 문구가 이미 다른 약관에 존재하던 내용을 일원화하는 과정에서 옮겨온 것이라는 입장이다.

쿠팡 관계자는 해당 매체에 “이 조항은 일반적으로 통용되는 면책 문구”라며 “약관 일원화 작업 과정에서 다른 약관에 있던 내용을 추가한 것”이라고 설명했다. 다만 구체적인 추가 시점과 내부 검토 과정, 개인정보 보호 관련 법령과의 정합성에 대해서는 별도의 언급이 나오지 않았다.

쿠팡은 이번 사고로 유출된 정보 범위를 이름, 이메일 주소, 배송지 주소록에 입력된 이름·전화번호·주소, 일부 주문정보라고 밝혔다. 별도로 관리되는 결제정보나 신용카드 번호, 로그인 정보 등은 포함되지 않은 것으로 파악된다고 설명했다. 이에 따라 “고객이 계정과 관련해 따로 취할 조치는 없다”는 안내를 내놓았으나, 실제로는 추가 피해 가능성을 우려하는 이용자 반응이 이어지고 있다.

개인정보보호위원회(이하 개인정보위)는 지난 3일 긴급 전체회의를 열고 쿠팡 측 대응을 공식적으로 문제 삼았다. 개인정보위는 “국민 대다수가 이용하는 이커머스 서비스에서 발생한 유출 사고임에도, 정보주체가 취할 수 있는 피해 예방 조치 안내가 충분하지 않았고 쿠팡의 자체 대응과 피해 구제 절차도 미흡해 국민 우려가 커진 상황”이라고 지적했다.

개인정보위는 특히 배송지 명단에 이름이 포함돼 제3자로서 정보가 유출된 사람들에게도 식별이 가능한 범위에서 유출 사실을 통지할 것을 요구했다. 쿠팡 계정을 직접 보유하지 않은 가족·지인 등의 이름과 연락처가 배송지 주소록 형태로 저장되는 구조에서, 이들 역시 정보주체로서 보호를 받아야 한다는 취지다.

또 쿠팡에 대해 △홈페이지 초기 화면이나 팝업창을 통한 일정 기간 이상 유출 내용 공지 △공동현관 비밀번호 및 쿠팡 계정 비밀번호 변경 권고 △추가 유출 가능성 및 2차 피해 예방 요령 안내 등을 적극적으로 실시하라고 주문했다. 사고 사실을 일부 공지만으로 알리기에는 피해 범위가 광범위하다는 판단이다.

법조계와 개인정보 전문가들 사이에서는 이번 사태를 계기로 대형 플랫폼 사업자의 약관 구조와 책임 범위를 재검토해야 한다는 목소리가 나온다. 서버에 대한 불법 접속이 제3자의 행위라고 하더라도, 정보통신망법과 개인정보 보호법은 기업의 안전조치 의무와 관리 책임을 폭넓게 규정하고 있기 때문에 약관만으로 광범위한 면책이 인정되기 어렵다는 지적이다.

시민사회 일각에서는 “대부분 국민이 이용하는 플랫폼이면서도, 사고 발생 이후 안내·지원은 최소한에 그치고 약관에는 면책 조항을 강화해 둔 구조”라며 비판하고 있다. 온라인 커뮤니티와 사회관계망서비스(SNS) 등에서도 “배송지에 등록된 가족·지인 정보까지 유출됐는데, 누구에게 어떻게 알려야 하는지 모르겠다”는 불만이 잇따르고 있다.

개인정보위는 쿠팡에 대해 관련 조치 결과를 7일 이내에 제출하도록 요구했으며, 이행 상황을 지속적으로 점검하겠다는 방침을 밝혔다. 향후 점검 결과에 따라 과징금 부과나 시정명령 등 추가 제재 여부가 논의될 가능성도 제기된다.

대규모 개인정보 유출과 약관 면책 조항을 둘러싼 해석 논란은 단순 사고를 넘어 대형 플랫폼의 책임 범위와 이용자 권리 보호 체계를 재정비할 필요성을 드러내고 있다. 개인정보위와 관계 기관의 조사와 별개로, 이용자 보호 중심의 제도 개선 논의가 당분간 이어질 것으로 보인다.