1일 서울 시내 한 쿠팡 물류센터 인근에 차량이 주차돼 있다. 쿠팡은 현재까지 고객 계정 약 3370만개가 유출된 것을 확인했다. 성동훈 기자

대전 유성구에 사는 김모씨(34)는 2020년 쿠팡 물류센터에서 노동자 사망이 반복되자 불매운동 차원에서 쿠팡을 탈퇴했다. 그러나 지난달 30일 쿠팡으로부터 ‘개인정보 유출 피해 안내’ 문자메시지를 받았다. 김씨는 “탈퇴한 지 5년이나 지났는데 주소와 연락처가 그대로 남아있었다는 사실에 황당했다”며 “한국에서 개인정보는 ‘공공재’인 거냐?”고 말했다.

안창준씨(25)도 2022년 쿠팡을 불매하며 탈퇴했지만, 이번 유출 피해 대상에 포함됐다. 안씨는 ‘쿠팡 블랙리스트 논란’을 언급하며 “회사에 손해를 끼칠 수 있는 직원 개인정보는 블랙리스트까지 만들어 철저하게 관리하면서 고객 개인정보는 이렇게 허술하게 다뤘다는 사실이 분통 터진다”고 말했다.

쿠팡에서 3370만 계정 개인정보가 유출되자 김씨와 안씨처럼 수년 전 탈퇴한 이용자들까지 유출 피해를 봤다는 사례가 이어지고 있다. 이용자들은 개인통관고유번호 재발급, 비대면 계좌 개설 차단 신청, 명의도용 방지 서비스 가입, 신분증 재발급 등 ‘셀프 방어’에 나서고 있다. 온라인 커뮤니티와 SNS 등에는 “탈퇴 회원 정보를 5년씩이나 보유할 이유가 있냐”, “이러면 탈퇴 의미가 없다”, “법이 개인정보를 기업에 장기보관하라고 허용하는 꼴”이라는 불만이 이어지고 있다.

탈퇴자 정보가 장기간 보관되는 이유는 현행 법 때문이다. ‘전자상거래 소비자보호법’은 거래기록 보관을 의무화하고 있다. 계약·결제 기록은 5년, 분쟁·민원 기록은 3년, 표시·광고 기록은 6개월 보관해야 한다. 쿠팡 개인정보처리방침에도 계약 및 청약철회 기록은 5년 보관하도록 명시돼 있다. 탈퇴했다고 자동 삭제되는 게 아니라, 소비자가 별도 요청해야만 삭제가 가능하다.

개인정보보호법 21조는 탈퇴 회원 정보를 법령상 일정 기간 분리 보관해야 한다고 규정한다. 과거에는 휴면 회원 정보도 분리 보관 대상이었다. 정보통신망법에 따른 ‘유효기간제’에 따라 1년 이상 서비스를 이용하지 않은 회원은 휴면 회원으로 전환돼 개인정보를 별도로 보관하거나 파기해야 했다. 그러나 지난해 9월 개인정보보호법 개정으로 유효기간제가 폐지되면서, 기업이 자체 정책에 따라 휴면 회원 정보를 관리하고, 정책 변경 시 회원에게 사전 안내만 하면 된다. 이번 쿠팡 사태에서는 정상적으로 분리 보관된 탈퇴 회원 정보까지 유출됐거나, 쿠팡이 개인정보를 무분별하게 함께 관리했을 가능성이 제기된다.

이에 탈퇴 즉시 개인정보를 폐기하거나 보관 기간을 줄일 것을 요구하는 목소리가 나온다. 그러나 전문가들은 보관 기간을 단축하는 게 능사가 아니라고 말한다. 수년이 지난 소비자 피해 구제, 제품 보증 등을 위해선 구매 기록이 필요하기 때문이다. 구태언 변호사(법무법인 린)는 “가습기 살균제 참사처럼 오래된 거래 내역이 소비자 권리 구제의 근거가 되기도 한다”며 “기록의 ‘존재’ 자체가 권리 보호 장치가 될 때도 있다”고 말했다.

전문가들은 대안으로 ‘데이터 세분화 관리’를 제시했다. 저장 기간, 열람 권한, 보안 단계 등을 ‘목적’에 따라 차등 관리해야 한다는 것이다. 김형중 전 고려대 정보보호대학원 교수는 “주식도 분산 투자하고 군사 기밀도 등급별로 접근 권한을 나누는데, 개인정보를 한 바구니에 담아 관리하는 것이 과연 타당한가”라고 말했다.

이번 사태가 단순히 ‘쿠팡 때리기’로 끝나선 안 된다는 지적도 나온다. 구 변호사는 “보안 시스템은 대부분 외부 보안업체 제품에 기반하고, 제로데이 공격(소프트웨어나 시스템의 취약점이 발견됐지만 아직 보안 패치가 나오지 않은 상태에서 이뤄지는 사이버 공격)은 언제든 발생할 수 있다”며 “인터넷 쇼핑이 시작된 지 30년, 개인정보보호법이 제정된 지 20년이 넘었지만 여전히 기업 책임만 묻고있다”고 꼬집었다. 이어 “정부의 기술 지원, 보안 인프라 강화, 데이터 관리 기준 재정비가 병행되지 않으면 소비자만 불안한 구조는 달라지지 않는다”고 조언했다.