쿠팡이 지난해 이용약관에 ‘해킹·불법 접속으로 인한 손해는 책임지지 않는다’는 면책 규정을 추가한 것과 관련해 개인정보보호위원회가 제동을 걸었다. 개인정보위는 10일 정부서울청사에서 전체회의를 열고 이 같은 내용의 개선권고안을 의결했다.

쿠팡은 지난해 11월 이용약관에 ‘서버에 대한 제3자의 모든 불법적 접속 등으로 발생하는 손해에 관해 회사는 책임지지 않는다’는 내용의 규정 제38조를 새롭게 추가했다. 이 사실이 대규모 개인정보 유출 사태가 터진 이후 알려지면서 책임 회피 논란이 일었다.

개인정보위는 “개인정보보호법상 개인정보 처리자는 개인정보가 유출되지 않도록 안전성 확보에 필요한 기술적·관리적·물리적 조치를 해야 한다”고 밝혔다. 이어 “처리자가 보호법을 위반한 행위로 이용자가 손해를 입으면 손해배상을 청구할 수 있고, 이 경우 처리자가 고의·과실이 없음을 입증하도록 규정하고 있다”고 설명했다. 개인정보위는 “쿠팡의 이용약관은 고의·과실로 인한 손해에 대해 회사의 면책 여부 및 입증 책임에 대해 불분명하게 규정해 보호법 취지와 상충되고 이용자에게 불필요한 혼란을 초래한다”고 지적했다. 개인정보위는 쿠팡에 개선을 요구하고 약관 소관 부처인 공정거래위원회에도 의견을 제시한다는 계획이다.

개인정보위는 쿠팡의 복잡한 회원 탈퇴 절차도 문제 삼았다. 특히 유료 월정액 서비스인 ‘와우멤버십’의 경우 멤버십 해지를 회원 탈퇴의 전제로 설정해놓았는데, 여러 단계를 거쳐야만 멤버십 해지가 가능하도록 해 사실상 즉각적인 해지·탈퇴 모두 어렵게 만들었다고 개인정보위는 판단했다. 이정은 개인정보위 조사2과장은 “개인정보 처리정지·동의철회 요구의 방법과 절차가 개인정보 수집 방법과 절차보다 어렵지 않게 해야 한다는 보호법 제38조 제4항 위반 소지가 있다”고 말했다.

이용자에 대한 개인정보 유출 통지 및 2차 피해 방지와 관련한 쿠팡 조치가 미흡하다는 지적도 나왔다.

개인정보위는 “쿠팡은 개인정보 ‘노출’ 표현을 ‘유출’로 수정하고 공동현관 비밀번호 등 누락된 유출 항목을 재통지하는 등 앞선 개인정보위 의결 사항을 일부 이행했다”면서도 “홈페이지와 애플리케이션 내 공지문의 접근성과 가시성이 떨어지고, 배송지 명단에 있으나 쿠팡 비회원인 사람에 대한 통지 계획을 제출하지 않는 등 부족한 점이 있다”고 밝혔다.

개인정보위는 또 “최근 쿠팡 계정 정보가 인터넷·다크웹 등에서 유통된다는 언론 보도 및 신고가 잇따르고 있다”며 쿠팡에 자체 모니터링과 즉각적인 대응 체계를 강화하라고 촉구했다고 밝혔다. 쿠팡은 개인정보위의 요구 사항에 대해 7일 이내에 조치 결과를 제출해야 한다.

개인정보위는 현재 쿠팡 개인정보 유출 사태와 관련해 조사도 진행 중이다. 쿠팡의 법 위반 사항이 확인될 경우 엄정 제재한다는 방침이다.