[아주 사설 | 기본·원칙·상식] 쿠팡 개인정보 유출…'관리 부실' 조사단 결론이 묻는 무거운 책임

쿠팡 침해사고 민관합동조사단 조사결과 브리핑 (서울=연합뉴스) 이정훈 기자 = 최우혁 과학기술정보통신부 정보보호네트워크정책실장이 10일 서울 종로구 정부서울청사에서 쿠팡 침해사고 민관합동조사단 조사결과를 브리핑하고 있다.

쿠팡의 대규모 개인정보 유출 사고에 대해 민관합동조사단이 “해킹이 아닌 관리의 문제”라는 결론을 내렸다. 외부 공격이 아니라 내부 통제와 인증 체계의 허점이 사고의 원인이었다는 공식 판단이다. 이 결론이 던지는 책임의 무게는 결코 가볍지 않다.

조사 결과를 보면 이용자 인증 시스템과 서명키 관리 과정에서 취약점이 확인됐고, 퇴사자에 의한 내부 접근 가능성도 충분히 차단되지 않았던 것으로 파악됐다. 특히 대규모 개인정보 조회가 이뤄졌음에도 이를 탐지하지 못했다는 점은 쿠팡의 개인정보 보호 체계 전반에 구조적 결함이 있었음을 시사한다.

플랫폼 기업의 개인정보 보호 책임은 단순한 기술적 문제에 그치지 않는다. 이용자 수가 많고 일상 서비스와 밀착돼 있을수록 보안은 선택이 아닌 기본 요건이다. 내부자 접근 통제, 인증 절차, 사후 모니터링 체계는 사고가 발생한 뒤 작동하는 장치가 아니라, 평상시부터 상시적으로 작동해야 할 최소한의 장치다. 그런 점에서 이번 사안은 결코 가볍게 넘길 수 없다.

제재와 책임 논의가 본격화되는 것도 이 때문이다. 개인정보보호법에 따른 과징금 부과는 물론, 집단 손해배상 소송, 해외 법원의 판단으로까지 이어질 가능성이 커졌다. 이는 특정 기업 하나의 문제를 넘어 국내 플랫폼 산업 전반에 중요한 선례로 작용할 수 있다.

이 과정에서 쿠팡의 태도 또한 중요하다. 조사 결과의 세부 해석을 둘러싼 공방에 매달리기보다, 관리 체계의 미흡함을 어떻게 인정하고 어떤 개선과 보완을 약속할 것인지가 신뢰 회복의 출발점이 될 것이다. 개인정보 보호는 ‘사고가 없었다’는 주장만으로 완성되지 않는다. 사고 가능성을 얼마나 낮추고, 통제 구조를 얼마나 투명하게 설계했는지가 핵심이다.

나아가 이번 사안은 하나의 기업 문제로만 치부할 수 없다. 플랫폼 시대에 개인정보 보호의 기준은 어디까지여야 하는지, 내부 통제 실패에 대한 책임은 어떻게 물어야 하는지라는 사회적 질문을 던진다. 원칙과 상식의 관점에서, 이번 결론이 제도 개선과 책임 강화로 이어질지 지켜볼 필요가 있다.