관련 매출액에서 무엇을 빼 달라고 다툴 수 있나요 — 쿠팡 과징금 4,235억의 산정 근거

개인정보 유출 조사를 받는 회사가 과징금 단계에서 가장 길게 다투는 것은 위법성이 아니라 매출액입니다. 부과기준율이 1.5%인지 2.1%인지보다 그 비율을 곱할 금액이 얼마인지가 결과를 훨씬 크게 바꾸기 때문입니다. 개인정보위가 2026년 6월 10일 제11회 전체회의에서 쿠팡㈜에 의결한 과징금 두 건은, 2023년 9월 과징금 기준이 「관련 매출액」에서 전체 매출액 중 위반행위와 관련 없는 매출액을 뺀 금액으로 바뀐 뒤 그 범위를 놓고 벌어진 첫 대규모 다툼입니다. 다만 두 건의 결정문은 아직 공개되지 않아, 이 글은 같은 회차의 속기록과 회의록을 1차 자료로 삼습니다(미공개 의결 층).

핵심 요약 개인정보위는 쿠팡㈜에 유출 건 과징금 4,235억 7,500만 원(제2026-011-075호)과 타사 활동기록 수집 건 과징금 2,011억 600만 원(제2026-011-076호)을 의결했습니다. 쿠팡은 직매입 매출에 순액법을 적용하거나 배송 금액과 보관 금액을 빼 달라고 요청했으나, 위원회는 회계기준에 따라 공시한 매출액을 기준으로 삼고 쿠팡이츠·쿠팡플레이·B2B·기타 매출만 제외했습니다. 조정 단계에서 실제로 다툰 자리는 조정률이 아니라 사실 인정이었습니다. 고시가 위반기간 가중과 반복 처분 가중을 정률로 박아 두어, 1차 조정의 가중 55%p는 위반기간의 기산점과 처분 횟수라는 사실에 달려 있었습니다.

관련 없는 매출액은 회사가 소명해야 하나요?

의결 당시 시행 중이던 개인정보 보호법 제64조의2 제1항은 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금을 부과할 수 있게 하고, 같은 조 제2항은 「전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액을 기준으로 과징금을 산정한다」고 정합니다. 2026년 9월 11일 시행된 개정법에서 가중 트랙이 제2항으로 신설되면서 이 문장은 제3항으로 밀렸습니다.

문제는 그 제외를 누가 끌어내는가입니다. 시행령 제60조의2 제3항 제2호는 제외 대상을 「제출받은 자료 등에 근거하여 보호위원회가」 관련 없다고 인정하는 매출액으로 적었습니다. 즉 소명 부담은 조사받는 회사에 있고 인정 권한은 위원회에 있습니다. 쿠팡 측 관계자도 전체회의에서 「전체 매출액을 기준으로 하지만 피심인이 관련성이 없다는 것을 소명하면 그 인정 여부를 위원회에서 결정하도록 하는 구조」라고 같은 구조를 지적했습니다.

직매입 매출에 순액법을 적용해 달라는 주장은 왜 받아들여지지 않았나요?

쿠팡은 관련 매출액 산정이 회계 작업이 아니라 규범적 작업이라고 주장했습니다. 직매입은 회계상 총액법이어서 수수료만 매출로 인식하는 오픈마켓 경쟁사와 「거래금액과 시장점유율은 거의 동등한 것으로 보실 수 있지만 2024년 매출을 기준으로 보면 무려 10배 가까이 매출이 차이가 나는 것」이라는 것입니다. 쿠팡 측은 총액법 사업자에게도 순수수료만 인정한 영국 인력파견시장 판례를 원용하고, 순액법이 어렵다면 제3자에게 흘러가는 배송 금액과 보관 금액이라도 빼 달라고 요청했습니다. 다만 쿠팡 측도 이 주장에 국내 선례가 없다는 점은 인정했습니다.

위원회 측 논거는 네 갈래였습니다. 윤영미 위원은 순액법이 중개거래의 회계기준이고 상품 제공에 관한 주요 책임과 가격결정권, 재고 위험을 회사가 부담하는 직매입에는 총액법이 원칙이라고 보았습니다. 나아가 요청을 수용하면 종전 부과기준과 일관성이 사라진다며 「개보법 규정을 위반하는 결정을 해 달라고 요구하는 것이나 다름없다」고 말했고, 비교 대상 경쟁업체는 「여태까지 한 번도 직매입 유통을 한 적이 없고 중개 유통만 해 왔습니다」라고 지적했습니다. 송경희 위원장은 기준이 「기업이 스스로 매출액이라고 회계기준에 맞춰서 알리고 신고하고 공시한 금액」이고, 총액법 모델은 밸류에이션과 구매 협상력에서 유리한 면도 있어 모델 선택은 회사의 자율적인 결정권이라고 정리했습니다. 이정렬 부위원장은 공정거래위원회의 2024년 8월 검색순위 조작 과징금 1,628억 원과 2019년 11월 22일 처분도 총매출액 또는 직전 3개년 연평균 매출액 기준이었다고 밝혔습니다.

실제로 무엇이 빠지고 무엇이 남았나요?

사무처가 유출 건에서 정리한 결과입니다.

관련 매출액 자체는 속기록에서 가려져 있습니다. 다만 공개된 조정률과 최종 금액으로 되짚으면 기준금액은 약 5,650억 원이 되고 최종 과징금은 그보다 약 25% 낮습니다. 시행령 별표 1의5 제1호가 기준금액에 1차 조정과 2차 조정, 부과과징금 결정을 순차적으로 거쳐 산정하도록 정하므로 이 되짚기가 가능합니다. 단계별 금액은 과징금·과태료 산정 계산기에 넣어 보실 수 있습니다.

조정 단계에서 다툴 자리는 어디였나요?

1차 조정에서 쿠팡에 붙은 가중은 위반기간 1년 초과 2년 이내 25%와 최근 3년간 과징금 처분 2회 이상 30%입니다. 위원회는 이 두 숫자를 재량으로 깎을 수 없습니다. 의결 당시 판인 과징금 부과기준 고시 제2026-5호 제9조 제1항이 감경 사유에는 「100분의 30 이하」처럼 상한을 두면서도, 가중 사유는 「기준금액의 100분의 25에 해당하는 금액을 가산」처럼 정률로 적어 두었기 때문입니다. 쿠팡이 다툴 자리는 비율이 아니라 그 비율이 붙을 사실이었습니다.

쿠팡은 위반기간을 유출 테스트가 시작된 2025년 1월 25일부터 약 11개월로 보아야 한다고 주장했습니다. 조사2과장은 「유출됐다고 해서 과징금을 물리는 것은 아닙니다」라며 위반기간을 안전조치의무 위반이 지속된 기간으로 보아야 한다고 반박했고, 담당 조사관은 폴백키가 안전하게 관리·적용되지 않은 기간으로 산정했다고 설명했습니다. 사무처가 든 시작점은 대체 인증 서비스를 운영한 2024년 4월이고, 최종 의결은 1년 초과 2년 미만으로 보아 25%를 가중했습니다. 서울행정법원 2024구합70753 판결과 그 항소심인 서울고등법원 2025누8058 판결도 위반기간을 안전조치의무 미이행 기간으로 보았습니다.

처분 횟수에 관해서는 쿠팡이 2024년 11월 27일 같은 날 과징금 두 건을 받은 점을 들어 1회 처분으로 산정해 달라고 요청했습니다. 김진욱 위원이 처분 형태를 확인하자 조사2과장은 「사건번호가 다르고 별건으로 각각 의결됐습니다」라고 답했고, 조사관은 한 건은 배달원 유출, 다른 한 건은 판매자 시스템 유출이어서 행위 태양이 다르다고 부연했습니다. 최종 의결에서 30% 가중은 그대로 유지됐습니다.

형평을 이유로 한 재량 감경은 가능했나요?

쿠팡은 순액법도 배송비·보관비 제외도 어렵다면 재량 감경으로 경쟁사와의 형평을 맞춰 달라고 요청했습니다. 그런데 의결 당시 고시 제11조 제1항이 든 감경 사유는 부담능력이 현저히 부족하다고 객관적으로 인정되는 경우와 시장·산업 여건이 현저하게 변동되거나 지속적으로 악화된 경우 둘뿐이고, 같은 조 제3항은 「과징금 납부로 인해 단순히 자금 사정에 어려움이 예상되는 경우」를 감경에서 명시적으로 배제합니다. 형평을 이유로 한 감경에는 들어맞는 호가 없었습니다.

대신 위원회는 2차 조정의 감경을 사무처 원안 40%에서 50%로 올렸고 조사방해 가중은 20%에서 10%로 내렸습니다. 여기서 50%라는 숫자가 중요합니다. 고시 제10조 제3항이 2차 조정의 감경 범위를 1차 조정을 거친 금액의 100분의 50으로 제한하는데, 원안의 40%에 사무처가 위원 판단 사항으로 열어 둔 「100분의 10 이하」 추가 감경을 더하면 정확히 그 상한입니다. 즉 위원회는 규정 안에서 줄 수 있는 폭을 다 쓰고 그 위의 재량 감경은 쓰지 않은 모양입니다. 어떤 사유가 인정돼 왔는지는 실제로 인정된 감경 사유와 피해 회복 감경에 결정문 단위로 정리해 두었습니다.

법원에서는 어떻게 다뤄질 수 있나요?

대법원 2023. 10. 12. 선고 2022두68923 판결은 이 과징금이 거두어들이려는 이득을 위반으로 늘어난 매출이 아니라 보호조치 없이 개인정보를 보유하면서 영업에 쓴 데에서 얻은 이득으로 보았습니다. 그래서 관련 매출액의 범위도 그 개인정보를 보유·관리하는 서비스를 기준으로 판단해야 한다고 했습니다. 그 사건에서 과징금 부과처분은 비례원칙 위반으로 취소됐으므로 사업자가 얻어낸 법리입니다. 그런데 이후 서울행정법원 2021구합57117 판결과 2024구합86789 판결은 같은 법리로 개인정보를 보유·관리하는 것은 서비스 전체라고 보아 오히려 넓은 관련 매출액을 정당화했습니다. 범위를 좁히려고 만든 법리가 범위를 넓히는 근거로 굳은 셈입니다.

쿠팡은 행정소송을 예고했고 2026년 9월 17일 시점까지는 제소하지 않았습니다. 의결서가 9월 둘째 주에 송달됐으므로 불복 기한은 12월 초·중순입니다. 위원회의 판단은 처분 단계의 판단이고, 순액법과 배송·보관 대가의 성격, 위반기간의 기산점, 처분 횟수의 계산은 모두 법원에서 다시 다뤄질 수 있는 쟁점입니다. 회사가 조사 단계에서 사업부문별 매출을 관련성 기준으로 갈라 두고 그 근거 자료를 함께 준비해야 하는 이유도 여기에 있습니다. 회계상 매출 인식 방법을 바꿔 달라는 주장보다, 특정 사업부문이 그 개인정보를 보유·관리하는 서비스가 아니라는 주장이 조문과 판례의 축에 더 가까워 보입니다. 구체적인 사안에서는 처리 구조와 자료 상태에 따라 결론이 달라질 수 있으므로 개별 검토가 필요합니다.

자주 묻는 질문

Q. 과징금 산정에서 관련 없는 매출액은 위원회가 찾아 주나요, 회사가 소명해야 하나요?

회사가 소명하고 위원회가 인정 여부를 결정하는 구조입니다. 의결 당시 시행 중이던 개인정보 보호법 제64조의2 제2항(2026년 9월 11일 시행 개정법에서는 항이 밀려 제3항)은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 금액을 기준으로 산정한다고만 정하고, 시행령 제60조의2 제3항 제2호는 제출받은 자료에 근거해 위원회가 관련 없다고 인정하는 매출액을 제외 대상으로 둡니다. 쿠팡 측 대리인도 전체회의에서 「전체 매출액을 기준으로 하지만 피심인이 관련성이 없다는 것을 소명하면 그 인정 여부를 위원회에서 결정하도록 하는 구조」라고 같은 취지로 말했습니다.

Q. 직매입 매출을 회계상 순액법으로 다시 계산해 달라는 주장은 받아들여지나요?

쿠팡 사건에서는 받아들여지지 않았습니다. 위원회 측은 순액법이 중개거래의 회계기준이고 상품 제공에 관한 주요 책임과 가격결정권, 재고 위험을 회사가 부담하는 직매입에는 총액법이 원칙이라고 보았으며, 기준은 기업이 회계기준에 맞춰 스스로 공시한 금액이라고 밝혔습니다. 사무처도 직매입의 상품매입원가와 배송 금액, 보관 금액을 차감하지 않았습니다. 다만 이 판단은 위원회 단계의 것이고 법원 판단은 남아 있습니다.

Q. 위반기간은 개인정보가 유출된 기간으로 계산하나요?

쿠팡 사건에서 위원회는 그렇게 보지 않았습니다. 쿠팡은 과징금 부과 사유가 유출이므로 유출 테스트가 시작된 2025년 1월 25일부터 약 11개월로 보아야 한다고 주장했고, 사무처는 과징금은 안전조치의무 위반이 있고 유출이 발생한 경우에 부과하는 것이므로 위반기간은 인증수단이 안전하게 관리·적용되지 않은 기간이라고 반박했습니다. 최종 의결은 위반기간을 1년 초과 2년 미만으로 보아 25%를 가중했습니다. 같은 쟁점에 관해 서울행정법원 2024구합70753 판결과 그 항소심(서울고등법원 2025누8058)도 안전조치의무 미이행 기간으로 보았습니다.

참고 자료

• 개인정보 보호위원회, 2026년 제11회 개인정보 보호위원회 회의록 및 속기록(2026. 6. 10. 개최) — 개인정보위 회의록 게시판
• 개인정보 보호법(법률 제20897호, 2025. 10. 2. 시행) 제64조의2, 개인정보 보호법 시행령(대통령령 제36340호, 2026. 5. 19. 시행) 제60조의2 및 별표 1의5
• 개인정보 보호법 위반에 대한 과징금 부과기준(개인정보보호위원회고시 제2026-5호, 2026. 5. 19. 시행) 제9조·제10조·제11조
• 대법원 2023. 10. 12. 선고 2022두68923 판결, 서울행정법원 2021구합57117·2024구합86789·2024구합70753 판결 및 서울고등법원 2025누8058 판결