핵심 요약 개인정보보호위원회(이하 "개인정보위")는 쿠팡 유출 사건(제2026-011-075호, 2026년 6월 10일 의결)에서 회사가 해커와 직접 접촉해 진술서를 받고 포렌식을 하는 동안 국내 개인정보 보호책임자(이하 "CPO")에게 그 정보를 공유하지 않았고, CPO의 검토 없이 확정되지 않은 자체 조사 결과를 홈페이지에 게시한 점을 CPO의 독립적 업무수행을 보장하지 않은 위반으로 판단했습니다(의결 당시 개인정보 보호법 제31조 제6항, 현행 제7항). 위원회는 시정명령으로 유출사고 발생 시 관련 정보에 대한 CPO의 접근을 보장하는 거버넌스 체계를 갖추라고 요구했고, 현행 시행령 제32조 제7항 제1호도 CPO의 정보 접근 보장을 독립성 보장 조치로 정합니다. 따라서 사고 대응 절차서를 가진 회사는 조사 착수, 외부 접촉, 포렌식, 공지 문안 확정의 각 단계에 CPO의 정보 접근과 검토를 적어 넣는 것이 좋을 것으로 판단됩니다. 이 처분은 취소소송(서울행정법원 2026구합54096)이 계속 중이어서 확정되지 않았습니다.
목차
유출 사고가 나면 회사는 짧은 기간 안에 원인을 파악하고, 외부 전문업체를 부르고, 정보주체와 언론에 무엇을 알릴지 정해야 합니다. 이 시기에는 정보가 새지 않도록 대응에 참여하는 사람을 줄이는 경우가 많고, 그 범위를 보안 조직과 경영진 중심으로 짜는 것이 자연스러운 선택처럼 보이기도 합니다. 그런데 개인정보위는 2026년 6월 쿠팡 사건에서 그렇게 좁힌 범위 밖에 CPO를 둔 것을 개인정보 보호법 위반으로 보았습니다. 이 글은 그 판단의 근거와 함께, 사고 대응 절차의 어느 자리에 CPO를 넣어야 하는지를 정리합니다.
무슨 일이 있었나
이 사건은 실태조사가 아니라 유출 사고에서 시작된 조사입니다. 쿠팡은 신원 미상의 해커로부터 협박 메일을 받고 유출 사실을 알게 되어 2025년 11월 20일 개인정보위에 신고했고, 개인정보위는 다음 날부터 2026년 4월 2일까지 조사를 진행했습니다. 결정문에 적힌 회원 유출 규모는 33,222,472명(계정 기준)입니다. 관련 매출액과 위반기간 같은 과징금 산정 쟁점은 쿠팡 과징금의 산정 근거를 다룬 글에서 따로 다루었으므로, 이 글은 CPO에 관한 부분만 봅니다.
결정문의 사실조사 결과에 따르면 쿠팡은 2025년 12월 9일부터 중국에 있는 해커와 접촉하면서 진술서 작성, 증거물 확보, 포렌식을 포함한 자체 조사를 벌였습니다. 국내 CPO는 이 조사에 관한 의사결정에 참여하지 못했고, 조사 내용도 미리 전달받지 못했습니다. 쿠팡이 12월 25일 자체 조사 결과의 사실관계를 검토하고 홈페이지에 공개하는 단계에서도 CPO는 그 업무에 들어가 있지 않았습니다.
공개된 조사 결과의 내용도 문제가 됐습니다. 쿠팡은 자신이 접촉한 해커의 진술을 근거로 「3천건만 저장하였고 이후 모두 삭제했다」는 취지의 결과를 앱·웹 공지 배너와 언론을 통해 알렸습니다(결정문 인용). 그러나 결정문 각주에 따르면 해커 PC를 포렌식한 결과 3,000명분만 저장했다는 진술을 뒷받침할 디지털 증거는 나오지 않았고, 해커는 실제로 5,712개 계정의 배송지 수정 페이지와 67,725개 계정의 구매내역 페이지에 접근한 것으로 확인됐습니다. 위원회는 이 공개가 피해 규모를 축소하고 정보주체를 혼란스럽게 해 2차 피해 대응을 어렵게 만들었다고 보았습니다. 개인정보위가 2026년 1월 14일 게시 중단을 촉구했고, 쿠팡은 1월 23일 게시를 내렸습니다.
처분은 무엇이었나
사건 전체의 처분은 과징금 4,235억 7,500만 원, 과태료 1,680만 원, 여섯 개 항목의 시정명령, 개인정보위 홈페이지 1년 공표, 회사 홈페이지 공표명령, 개선권고, 수사기관 고발입니다. 과징금은 안전조치의무(제29조) 위반에 대해 제64조의2 제1항 제9호를 근거로 부과됐습니다. 과태료는 파기 의무(제21조 제1항)와 유출 통지·신고 의무(제34조 제1항) 위반에 대해 제75조 제2항 제4호·제17호를 근거로 부과됐고, 고발은 조사 과정에서의 자료 폐기 등(제63조 제2항 위반)에 대한 것입니다.
CPO에 관한 판단에 대응하는 처분은 시정명령 마목 하나입니다. 마목은 회사 전반의 개인정보 처리 업무를 포함해, 유출사고가 났을 때 CPO가 관련 정보에 접근할 수 있도록 보장하는 등 CPO가 독립적으로 업무를 수행할 수 있는 거버넌스 체계를 구축·정비하라는 내용입니다. 같은 시정명령 바목에 따라 쿠팡은 개인정보위와 협의해 이를 이행하고 처분통지를 받은 날부터 90일 이내에 결과를 제출해야 했습니다. 결정문의 과태료 산출 내역에는 제31조 제6항 위반이 들어 있지 않으므로, 이 위반에 대한 금전 제재는 결정문에서 확인되지 않습니다.
이 처분은 확정되지 않았습니다. 쿠팡은 취소소송을 제기했고 사건은 서울행정법원 2026구합54096으로 계속 중입니다. 보도에 따르면 같은 법원 행정4부는 2026년 11월 5일 집행정지 신청(2026아13879)에서 과징금 부분은 기각하고 시정명령과 공표·공표명령은 본안 판결 선고일부터 30일이 되는 날까지 효력을 정지했습니다. 정지된 시정명령에는 CPO의 독립적 업무 수행 보장도 포함된 것으로 보도됐으나, 집행정지 결정문은 확인하지 못했습니다. 경위는 쿠팡 과징금 집행정지 결정을 다룬 글에 정리했습니다.
위원회는 왜 그렇게 판단했나
적용된 조문은 의결 당시 개인정보 보호법(법률 제19234호) 제31조 제6항입니다. 이 조항은 개인정보처리자에게 두 가지를 요구합니다. 하나는 CPO가 법정 업무를 수행하는 일로 정당한 이유 없이 불이익을 받지 않게 하는 것이고, 다른 하나는 CPO가 업무를 독립적으로 수행할 수 있도록 보장하는 것입니다. 쿠팡 결정에서 위원회가 문제 삼은 것은 불이익을 준 행위가 아니라 뒤쪽의 보장 의무를 다하지 않은 것으로 읽힙니다. 2026년 9월 11일 시행된 개정법(법률 제21445호)에서 같은 문언은 제31조 제7항으로 옮겨졌고, 인용하는 업무 조항만 제3항에서 제4항으로 바뀌었습니다.
위원회는 두 가지 사실을 묶어 위반을 인정했습니다. 첫째로 쿠팡이 해커와 직접 접촉해 진술서를 받고 포렌식을 하면서 관련 정보를 CPO에게 공유하지 않은 점입니다. 결정문은 이를 두고 CPO가 유출사고 조사와 대응의 의사결정에서 「완전히 배제」되었다고 적었습니다. 둘째로 포렌식 분석이 끝나지 않았고 CPO가 사실관계를 검토하지도 않은 상태에서 확정되지 않은 조사 결과를 홈페이지에 올린 점입니다.
위원회가 이 두 사실을 위반으로 본 논리는 CPO의 역할에 대한 이해에서 나옵니다. 결정문은 이 행위가 「단순한 내부 소통의 부재가 아니라」 CPO 제도를 「형해화(形骸化)」하는 것이라고 표현했습니다(결정문 인용). 위원회는 CPO가 회사 안에서 개인정보 보호 업무를 총괄하므로 사고가 나면 조사와 대응의 핵심 주체가 되어야 한다고 보았고, 쿠팡의 행위가 법이 보장하는 CPO의 독립적 직무수행 권한을 실질적으로 무력화했다고 판단했습니다. 즉 위원회는 사고 대응에서 CPO를 결과를 통보받는 사람이 아니라 대응을 이끄는 사람으로 놓고 이 조항을 해석한 것으로 보입니다.
결정문에 적혀 있지 않은 것도 있습니다. 쿠팡은 2026년 4월 30일 사전통지에 대한 의견을 제출했지만, 이 쟁점에 관해 회사가 무엇을 주장했고 위원회가 그 주장을 어떻게 검토했는지는 결정문에 나오지 않습니다. 회사가 CPO를 조사에서 뺀 이유와 그 이유가 정당했는지에 대한 판단도 적혀 있지 않습니다. 나아가 위반 요약표는 시행령 제32조 제6항을 함께 적었지만, 판단 본문은 시행령의 어느 호에 해당하는지를 따로 짚지 않았습니다. 현행 시행령에서 독립성 보장 조치는 제32조 제7항에 있고, 그 내용은 ① 개인정보 처리 관련 정보에 대한 CPO의 접근 보장 ② 대표자나 이사회에 대한 정기 직접 보고 체계 ③ 업무에 맞는 조직체계와 인적·물적 자원의 제공입니다. 시정명령 마목의 「관련 정보에 대한 접근」은 그중 제1호와 문언이 가장 가깝습니다.
앞선 CPO 사건과는 무엇이 다른가
CPO의 역할을 다룬 의결은 이전에도 있었습니다. 다만 그 사건들은 대부분 평상시의 처리 결정이나 조직 설계에서 CPO가 빠져 있던 구조를 보았고, 쿠팡 결정은 사고 대응이 진행되는 도중의 배제를 독립성 조항으로 다뤘다는 점에서 국면이 다릅니다.
| 의결 | 문제된 국면 | 위원회가 본 것 | 다룬 글 |
|---|---|---|---|
| 현대해상·엠지손해보험·악사손해보험·하나손해보험 (제2024-021-251·257·258·259호, 2024. 12. 11.) | 평상시 동의 화면(재유도 창) 변경 | CPO의 검토 없이 마케팅·영업 부서가 동의 구조를 바꿀 수 있었고, 최근 3년간 CPO의 보고·검토·승인 기록에도 관련 내용이 없었음 | 위반행위 표의 보호책임자 지정·역할 미비 분류 |
| SK텔레콤 (제2025-018-243호, 2025. 8. 27.) | 평상시 조직 설계 | CPO의 역할과 책임이 보안 조직의 한쪽 영역에만 미쳐 총괄 CPO를 지정했다고 볼 수 없음(제31조 제1항) | 총괄 범위에서 갈린 사안 |
| 롯데카드 (사건번호 2025조일0053-01, 2026. 3. 11.) | 사고 후 조사 문답 | CPO가 문제된 처리 방식에 관한 의사결정 기록을 확인할 수 없다고 진술했고, 위원회는 준법 통제 미흡을 중대성 판단에 반영 | 외국계 한국법인 CPO 지정 |
| 쿠팡 (제2026-011-075호, 2026. 6. 10.) | 사고 대응 중 자체 조사·결과 공개 | 조사 정보를 CPO와 공유하지 않고 CPO 검토 없이 미확정 결과를 공개(제31조 제6항) | 이 글 |
보험 4사 사건과 SK텔레콤 사건에서 위원회가 본 것은 CPO가 처리 결정의 흐름 밖에 있었다는 사실 자체였습니다. 롯데카드 사건에서는 그 공백이 사고 뒤 조사관의 문답에서 기록 부재로 드러났습니다. 쿠팡 사건은 그 공백이 사고 대응의 한가운데서 생겼고, 그 결과로 정보주체에게 부정확한 정보가 나갔다는 점에서 앞의 사건들과 구별됩니다. 보험 4사 사건의 적용 조문은 보험사마다 구법 제31조 제2항 또는 당시 법 제31조 제3항으로 적혀 있어, 조문 번호만으로 사건들을 나란히 비교하기는 어렵습니다.
실무에 무엇이 남나
이 결정이 사고 대응 절차에 남기는 기준은 「CPO가 사고 관련 정보에 접근할 수 있었는가, 그리고 대외에 나가는 사실관계를 CPO가 검토했는가」 두 가지로 정리할 수 있습니다. 시정명령 마목이 「유출사고 발생시 관련 정보에 대한 접근」을 명시해 요구했고, 현행 시행령 제32조 제7항 제1호도 정보 접근 보장을 첫째 조치로 두고 있기 때문입니다. 나아가 현행법 제31조 제5항은 CPO가 업무상 필요하면 처리 현황과 체계를 수시로 조사하고 관계 당사자에게 보고를 받을 수 있다고 정하므로, 회사는 이 권한이 사고 국면에서도 실제로 작동하는지를 확인해 둘 필요가 있습니다. 따라서 사고 대응 절차서는 권한을 선언하는 문장보다 단계마다 누가 무엇을 CPO에게 넘기는지를 적는 방식으로 짜는 편이 낫다고 봅니다.
| 단계 | 쿠팡 결정에서 드러난 공백 | 절차서에 적어 둘 것 |
|---|---|---|
| 조사 착수 | CPO가 자체 조사의 의사결정에서 빠짐 | 사고 대응 조직의 고정 구성원으로 CPO를 명시하고, 참여자를 제한하는 지시를 내리더라도 CPO는 그 제한에서 제외한다는 규정 |
| 외부 접촉 | 해커와의 접촉과 진술서 작성을 CPO가 미리 공유받지 못함 | 공격자나 외부 기관과 접촉하기로 정하기 전에 CPO에게 알리고 의견을 기록하는 절차, 접촉 결과물(진술서·통신 내용) 사본의 CPO 제공 |
| 포렌식 | 분석이 끝나지 않은 상태에서 결과를 대외에 확정 | 포렌식 업체의 보고 수신자에 CPO를 넣고, 중간 결과와 최종 결과를 구분해 CPO가 열람하는 절차 |
| 공지 문안 확정 | CPO 검토 없이 미확정 결과를 홈페이지에 게시 | 유출 범위·규모·삭제 여부처럼 사실관계를 담는 문장은 CPO의 검토를 거쳐 확정하고, 확인되지 않은 사항은 확인 중이라고 표시하는 원칙 |
대응 초기에 참여자를 줄이려는 데에는 수사나 분쟁에 대비하려는 이유가 있을 수 있습니다. 다만 이 결정에 비추어 보면 회사는 정보를 공유하는 범위를 좁히더라도 그 범위 안에 CPO를 두는 쪽이 안전해 보입니다. 결정문이 CPO를 배제한 이유를 다루지 않았기 때문에, 어떤 사정이 있으면 일부 정보를 CPO에게 늦게 주어도 정당화되는지는 이 결정만으로 알 수 없습니다. 사안에 따라 결론이 달라질 수 있습니다.
기록을 남기는 일도 같은 무게로 보아야 합니다. 롯데카드 사건에서 보듯 개인정보위는 조사 단계에서 CPO에게 직접 묻고, CPO가 기록으로 답하지 못하는 사정을 판단에 반영합니다. 사고 대응 중 CPO가 언제 어떤 정보를 받았고 어떤 검토 의견을 냈는지를 시각과 함께 남겨 두면, 나중에 CPO가 대응 과정에 있었음을 설명할 근거가 됩니다. 본사나 그룹 보안 조직이 사고 대응을 이끄는 외국계 한국법인이라면 한국법인 CPO가 그 정보 흐름 안에 있는지를 따로 확인할 필요가 있고, 본사 절차서와 한국법이 어긋나는 다른 지점은 본사 인시던트 대응 플레이북을 다룬 글에 정리했습니다.
사고 대응은 이 절차와 함께 시간표로도 움직입니다. 유출 인지 후 통지·신고의 기한과 순서는 유출 인지 후 72시간 가이드에, 통지 문안이 조사 단계에서 어떻게 읽히는지는 유출 통지 문자를 다룬 글에 적었습니다. 사고 대응 절차서에서 CPO의 정보 접근과 검토 단계를 점검하려는 회사는 검토를 문의하실 수 있습니다.
자주 묻는 질문
Q. 유출 사고 조사에서 CPO를 빼면 그 자체로 개인정보 보호법 위반인가요?
Q. 사고 대응 절차에서 CPO는 어느 단계에 들어가야 하나요?
Q. 쿠팡 결정에서 CPO 독립성 위반에 과태료나 과징금이 붙었나요?
참고 자료
- 개인정보보호위원회 의결 제2026-011-075호(2026. 6. 10., 쿠팡 주식회사): 의결 당시 개인정보 보호법(법률 제19234호, 2023. 9. 15. 시행) 제31조 제6항 적용, 위반 요약표에 시행령 제32조 제6항 병기
- 개인정보 보호법(법률 제21445호, 2026. 9. 11. 시행) 제31조 제5항·제7항: 독립성 보장 조항은 의결 당시 제6항에서 현행 제7항으로 이동
- 개인정보 보호법 시행령(대통령령 제36671호, 2026. 9. 11. 시행) 제32조 제7항: 의결 당시 결정문이 인용한 제6항의 현행 위치
- 개인정보보호위원회 의결 제2024-021-251호·제2024-021-257호·제2024-021-258호·제2024-021-259호(2024. 12. 11.)
- SK텔레콤 사건 개인정보보호위원회 의결 제2025-018-243호(2025. 8. 27., 보호책임자 지정 범위)
- 쿠팡 유출 건 본안(2026구합54096)과 집행정지(2026아13879)의 진행 상황: 개인정보위 처분 불복 소송 표
이 글은 일반적인 정보 제공을 위한 것이며 개별 사안에 대한 법률 자문이 아닙니다.