<진정서> 쿠팡의 개인정보보호법 위반 혐의에 대한 진정서 (PDF)

* 진정서의 분량이 많아서 일부만 담습니다. 전체 내용은 추후 공유하겠습니다.

3. 피진정인들에 대한 개인정보 관리 실태 및 개인정보보호법 위반 여부 조사의 필요성

가. 쿠팡 물류센터 노동자 개인정보 유출 가능성에 대한 조사의 필요성

위와 같이 피진정인들은 쿠팡 물류센터 근로자들의 개인정보를 광범위하게 수집하여, 처리하고 있으나, 최근 대규모 개인정보 유출 사태에서 확인된 허술한 정보보호체계 및 피진정인들의 개인정보의 민감성, 중요성에 대한 안일한 인식과 태도에 비추어 피진정인들이 수집, 관리하고 있는 근로자들의 개인정보에 대한 정보보호 및 보안 체계 또한 부실할 것으로 추정됩니다.

쿠팡 개인정보 유출 사태에서, 피진정인들의 정보보호체계의 접속 권한에 대한 검증 체계가 부재하고, 서명키 등 서버 접속 수단의 통제 체계에 허점이 있다는 점이 밝혀졌는바, 물류센터 근로자들의 개인정보 동일하거나 유사한 방식으로 보관되고 처리되었을 가능성이 상당합니다.

이에 금번 유출 사태로 인한 조사 범위를 소비자 개인정보에 국한하지 않고, 근로자 개인정보의 관리 실태와 정보보호체계, 보안 취약점 전반으로 확대할 필요성이 긴절하다 할 것입니다.

나아가 아래에서 추가로 살펴보는바와 같이, 개인정보유출 가능성 및 위험성 뿐만 아니라 피진정인들이 최소수집원칙을 위반하여 근로자 개인정보를 광범위하게 이용하여 왔고, 즉시 파기의무를 위반한 혐의에 대한 조사가 필요하며, 나아가 피진정인들이 이전에 위법하게 블랙리스트를 작성하고 취업방해 목적으로 활용해온 점, 최근 고 장덕준 산재 사건 대응에서 확인된 CCTV의 목적외 이용 및 제공 등 사정에 비추어 피진정인들의 개인정보보호법 위반 혐의에 대한 조사 및 처분 또한 시급히 이루어져야할 필요가 있습니다.

나. 피진정인들의 개인정보보호법 위반 혐의

1) 최소수집원칙 위반 및 파기의무 위반 가능성

개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 합니다(개인정보보호법 이하 ‘법’이라고 하면 개인정보보호법을 의미합니다.
제3조 제1항). 개인정보처리자는 정보주체의 자발적인 동의를 받으면 필요 최소한의 정보 이외의 것도 수집할 수 있으나, 필수 정보 이외의 정보 수집에 동의하지 않는다는 이유로 재화 또는 서비스의 제공을 거부하면 3천만원 이하의 과태료 대상입니다(법 제75조 제2항 1호, 법 제16조 제3항).

그런데 앞서 살펴본바와 같이 피진정인들은 개별 근로자별로 채용 지원에서부터 시작하여 물류센터 작업 진행 과정 전반에서 구체적인 작업 공정 및 이동 동선 등과 관련된 개인정보를 광범위하게 수집하고 있는바, 이는 개인정보보호법상 최소수집원칙에 부합하는 것으로 보기 어렵습니다.

특히 피진정인 쿠팡 CFS 개인정보처리방침에 의하면, 업무적합성 평가, 적절한 작업배치, 산재발생 예방의 목적 아래 생활습관, 질환병력, 약물복용, 질환 정보, 임신 및 출산 관련 정보, 건강정보를 수집한다고 하면서 이를 필수 수집 항목에 포함시키고 있는바(증 제1호증 쿠팡CFS 개인정보처리방침), 개인의 생활습관, 질환 병력 등 내밀한 개인정보의 제공에 동의하지 않으면 근로계약을 체결할 수 없도록 정한 위 내용은 개인정보보호법상 최소 수집원칙을 위반하였을 소지가 다분하다 할 것입니다.

한편 개인정보처리자는 보유기간이 경과하거나, 처리목적이 달성되어 개인정보가 불필요하게 되었을 때 이를 지체없이 파기해야할 의무를 부담하고, 다른 법령에 따라 보관해야하는 경우 물리적 또는 기술적 방법으로 해당 개인정보를 다른 개인정보와 분리해서 보관·관리해야 합니다.

이를 위반하여 개인정보를 미파기하는 경우 3천만원 이하의 과태로 부과대상에 해당하며(법 제75조 제2항 4호, 법 제21조 제1항), 다른 법령에 따른 보관시 개인정보를 분리하여 저장하지 않는 경우 1천만원 이하의 과태료 부과 대상입니다(법 제75조 제4항 제2호, 법 제21조 제3항)

그런데 쿠팡 개인정보 유출 사태에서 유출된 계정에는 쿠팡 서비스를 탈퇴한지 5년이 지난 고객과 휴면 계정의 고객까지 포함되어 있다는 것인바(증 제3호증 ‘5년전 탈퇴’에도 남아있다 털린 쿠팡 개인정보… “한국서 개인정보는 ‘공공재냐?” 경향신문 2025. 12. 1.자 기사), 피진정인들이 물류센터 근로자들의 개인정보를 수집, 이용하면서, 목적 달성 이후에도 즉시 파기의무를 위반하였고, 다른 법령에 따라 보관하였더라도 별도로 분리 보관하지 않았을 가능성을 배제할 수 없습니다. 이에 대하여 철저한 조사와 신속한 처분이 요구된다 할 것입니다.

2) 개인정보의 목적 범위 외 이용 및 제3자 제공 혐의

개인정보처리자는 개인정보를 수집 목적 범위를 초과하여 이용하거나 제공하여서는 안되며, 정보주체의 동의 없이 개인정보를 제3자에게 제공하여서도 안됩니다(법 제17조 제1항 제1호, 법 제18조 제1항). 이를 위반하는 경우 행위자 뿐만 아니라 법인도 형사처벌 대상이 되며(법 제71조, 제74조), 매출액의 100분의 3을 초과하지 않는 범위에서 과징금 부과 대상이 됩니다(법 제64조의 2 제1항 제1호).

그런데 앞서 살펴본 피진정인들의 물류센터 근로자들에 대한 광범위한 개인정보 수집 및 이용 실태 및 개인정보보호에 대한 안일한 인식과 더불어 부실한 정보보호체계에 비추어볼 때, 피진정인들이 수집하여 보관하고 있는 근로자 개인정보를 수집 목적 범위를 초과하거나 위법하게 제3자에게 제공하였을 가능성을 의심하지 않을 수 없습니다.

특히 피진정인들은 일용직 근로자들을 포함한 계약직 근로자들로부터 근로계약 체결 및 이행을 목적으로 수집한 개인정보를 재취업을 방해하기 위한 목적으로 위법하게 활용하여 소위 블랙리스트를 작성하여 관리하여 온 사정이 드러나 사회적으로 큰 파장을 일으킨 전력이 있습니다.

피진정인 쿠팡CFS는 물류센터 취업을 위해 제출된 근로자와 퇴직자의 개인정보와 언론사 기자 등의 정보가 포함된 ‘PNG리스트’라는 명칭의 개인정보 파일을 운용하면서, 노조 활동, 고의적 업무방해 등 일정한 사유로 분류하고, 이들 개인정보를 정보주체의 동의 없이 취업을 배제할 목적으로 피진정인 쿠팡(주)를 포함한 각 계열사 서버에서 공유하였던 사정이 공익신고자를 통해 드러났는바, 이러한 혐의에 대하여 현재 서울 송파경찰서에서 수사를 계속 중에 있습니다(접수번호 2024-4301).

나아가 위 사례에 그치지 않고 최근 피진정인 쿠팡(주)은 CCTV의 영상정보를 법상 제한적으로 열거된 목적 범위(시설 안전, 화재 및 범죄 예방)를 벗어나 다른 목적으로 활용한 사정이 드러나 사회적으로 큰 비판을 받았습니다.

개인정보보호법은 CCTV 등 영상정보처리기기의 설치목적을 시설안전, 화재 및 범죄예방 등 제한적으로 열거하고 있고, 다른 목적으로 임의로 조작하거나 목적외 이용을 엄격히 금지하고 있습니다(법 제25조 제1항, 제4항),

그런데 피진정인 쿠팡(주)는 故 장덕준 물류센터 근로자의 과로사의 산재 인정 여부가 문제되자, 방대한 양의 CCTV 자료를 분석하여 고인이 휴식을 취하는 장면 등 피진정인에 유리한 자료를 선별적으로 수집·활용하려 한 사정이 확인되었는바, 이는 시설안전, 화재 예방 등 본래의 수집 목적을 벗어나 근로자를 감시하고 법적 분쟁에 대비하기 위해 개인정보를 목적 외로 이용한 것으로, 앞서 설명한 블랙리스트 사건과 마찬가지로 피진정인들이 근로자 개인정보를 기업의 이익을 위해 자의적으로 취급하고 정보주체의 동의를 얻은 수집 목적의 범위와 무관하게 위법하게 활용해온 정황이라 할 것입니다.

실제 피진정인 쿠팡(주)이 故 장덕준 물류센터 근로자의 과로사 산재 사건에 대한 대응 과정에서 사용한 영상의 출처가 무엇인지, 해당 영상의 수집목적은 무엇이었는지 등이 조사되어 밝혀져야 하고, 위와 같이 산재 은폐 목적으로 영상을 선별, 분석, 검토한 행위에 대하여 목적 범위 외 사용 또는 위법한 제3자 제공에 해당하는지 여부 등 개인정보보호법 위반 여부에 대한 철저한 조사와 신속한 처분이 이루어져야 할 것입니다.

더하여, 비단 피진정인들의 위 사안에 대한 대응 과정 뿐만 아니라 피진정인들의 정보보안 및 정보보호에 대한 안일한 인식 및 정보보호 실상에 비추어 물류센터 근로자 개인정보 전반에 대하여 임의로 피진정인들의 이익에 부합되게 산재 은폐 등 위법한 목적으로 개인정보를 이용하거나 계열사 내부 또는 외부의 제3자에게 제공한 사정이 없는지 철저한 조사와 처분이 필요하다 할 것입니다.

4. 결론

피진정인들의 정보보호 및 정보주체의 권리에 대한 인식은 미비하거나 안일한 수준이며, 피진정인들이 마련한 정보보호체계는 허술하고, 구조적인 문제를 지니고 있으며, 외부 공격에 취약하다는 점이 최근 쿠팡 개인정보 유출 사태를 통하여 객관적으로 확인되었습니다.

이러한 문제는 비단 소비자 개인정보 뿐만 아니라 피진정인들이 물류센터를 관리 및 운영하는 과정에서 광범위하게 수집, 이용하고 있는 근로자들의 개인정보에 대해서도 마찬가지로 적용될 수 있는바, 피진정인들이 최소수집의 원칙을 위반하여 불필요한 정보를 위법하게 수집하고 있는지 여부, 즉시 파기의무를 위반하였거나, 법령에 의해 보관하고 있는 경우 적절한 분리 보관이 이루어졌는지 여부, 피진정인들이 블랙리스트 및 故 장덕준 물류센터 근로자 산재 사건에서의 위법한 대응과 마찬가지로 영상정보 및 개인정보를 위법하게 수집 목적 범위 외로 활용하거나 제3자에게 제공하여 법을 위반하였는지 여부를 철저히 조사하여 그 내용을 시정하도록 관련 조항에 따라 과징금, 과태료 등 엄중히 처분하여 주시기 바랍니다.

---

 

<발언문> 쿠팡 대책위 정병민 변호사

저는 안녕하십니까. 쿠팡 대책위 법률팀이자 개인정보보호위원회 진정 대리인 정병민 변호사입니다.

쿠팡은 임금을 대가로 노동자들에게 노무를 제공받을 수 있어도 그들의 정보를 마음대로 이용할 권리는 전혀 없습니다. 우리는 쿠팡이 그동안 노동자들의 개인정보를 그동안 얼마나 목적 외로 사용하고, 자신들의 이익을 위해 노동자들의 정보인권을 침해해 왔는지를 밝히고, 국민의 개인정보 보호를 위한 행정기관인 개인정보보호위원회에 그 위법 사실을 고발하고자 이 자리에 섰습니다.

쿠팡은 약 8년간 정보 주체의 동의 없이 수집 목적과 무관하게 16,450명의 계약직 일용직 노동자들의 개인정보를 망라하여 블랙 리스트를 작성하고, 이들의 취업을 배제할 목적으로 계열사들과 정보를 공유했습니다.

쿠팡은 2019년 6월 26일부터 2020년 10월 12일까지 쿠팡 대구물류센터에서 일용직 노동자로 일하다 만 27세라는 젊은 나이에 과로로 사망한 청년 노동자 장덕준 사망 사건이 발생하자, 고인의 사망 직후 고인 및 고인 동료들의 CCTV 영상정보 등을 이용하여 산업재해를 은폐할 자료를 수집했습니다.

이러한 작업은 피진정인 당시 쿠팡(주)의 대표이사이자 현 쿠팡 그룹(쿠팡 Inc.) 의장인 김범석의 구체적인 지시 아래 이루어졌음이 2020년 당시 피진정인 쿠팡(주)의 전 CPO(개인정보보호최고책임자)의 공익 제보를 통해 뒤늦게 확인되었습니다.

쿠팡은 쿠팡의 자회사 소속이었던 고인의 사망 직전의 업무 영상이 담긴, 쿠팡의 자회자가 관리하던 CCTV를 대구에서 갖고 와 잠실 본사에서 초 단위로 분석했습니다. 영상에 담긴 고인은 밀려오는 물량을 처리하느라 뛰어다니기에 급급했습니다. 김범석은 고인의 업무 분석 작업에 투입된 직원들에게 “그가 열심히 일했다는 기록을 남기지 말라”라고 말했습니다(“Make sure no notes about him working hard are retained !”), 직원들은 그가 업무 도중 얼마나 물을 마시는지, 동료들과 얼마나 잡답을 하는지, 화장실을 얼마나 이용하는지를 분석했습니다. 해럴드 로저스는 “엑셀 데이터로는 잘 안보인다며, 몸에 무리가 가는 일이 아니며 업무가 수월하다는 점을 주로 포인트로 기재하라”고 구체적으로 조언하기까지 했습니다.

고인의 유족들이 고인이 쿠팡에서 일하던 기간에 체중이 15kg 가량 감소했다는 주장을 하자, 쿠팡은 쿠팡 자회사로부터 2019년과 2020년 건강검진 결과로 확인된 대구 물류센터 소속 근로자들의 키, 몸무게, 체질량지수, 허리둘레 등 건강과 관련한 민감 정보를 공유받아, 유족의 주장에 대한 대응 논리를 만들었습니다. 그리고 고인의 유족들이 어렵게 과로사 산재를 승인받고, 쿠팡을 상대로 민사소송을 제기하자, 쿠팡은 2024년 이 자료를 소송 자료로도 제출하기까지 했습니다.

대법원은 개인정보보호법상의 ‘이용’은 개인정보를 그대로 수집된 형태로 쓰는 행위뿐만 아니라, 수집된 개인정보를 가공 편집하여쓰거나 그로부터 정보를 추출하는 행위를 모두 포함한다고 봅니다(대법원 2023도18539). 쿠팡은 범죄 예방 및 시설 안전용으로 사용할 CCTV 영상을 갖고, 산재를 은폐하고 국회에 대응하는 수단으로 활용했습니다. 나아가 산재를 은폐하고자 고인의 동료들의 수년간의 건강정보를 소송자료로 썼습니다. 이는 명백한 개인정보보호법이 금지하는 목적 외 이용입니다.

개인정보보호위원회 송경희 위원장은 작년 12월 31일 국회에서 열린 쿠팡 연석 청문회에서, “정보 주체의 동의없이 CCTV 영상을 산재 발생 은폐 등의 목적으로 활용했다면 개인정보보호법 위반 소지가 상당하다”라는 입장을 밝혔습니다. 개인정보보호위원회는 쿠팡 노동자과 유가족의 절박한 목소리에 즉각 응답해야 합니다.

나아가 쿠팡은 노동자의 생명을 담보로, 나아가 노동자들의 개인정보를 이윤 추구의 수단으로 활용했음이 확인되었습니다. 노동자들의 개인정보를 마음대로 사용했던 만행에 노동자들과 유족 앞에 사죄하고, 보상 쿠폰이 아닌 법적 책임으로 응답하시길 바랍니다. 이상입니다.

–

<발언문> 고 장덕준님의 어머니 박미숙

저는 2020년 10월 쿠팡 대구칠곡물류센터에서 일을하다 과로로 사망한 27세 청년 장덕준의 엄마입니다.
지난해말 쿠팡 김범석이 지시한 ‘열심히 일한 기록을 남기지 않기 위해 덕준이가 일했던 모습이 담긴 cctv를 무단으로 유용하여 열심히 일하지 않은 모습을 찾기에 혈안이 되었던 보도를 보고 분노를 금할 수 없었습니다.
사망 직 후 빈 비닐이나 빈 박스를 채우는 단순한 일을 딤당하였기에 산재가 아니라 주장하면서 정작 업무를 확인할 수 있는 내용은 전혀 제공하지 않는 비열한 행태로 분통 터지게 만들어, 쿠팡이 제공하지 않았던 자료를 찾기 위해 5년이 넘는 시간을 모든 것을 포기한채 거리를 헤매야만 했습니다.
그런데 쿠팡은 cctv 를 빼내고 기록을 지우고 왜곡하고 조작하여 산재를 은폐하는 범죄를 자행하는데 활용했습니다. 그렇게 자기 입맛대로 이용하고, 저희에게는 영업비밀 운운하며 cctv를 공개하지 않았습니다. 영상 속 한 장면만 봐도 힘들게 일하는 모습을 확인 할 수 있고 산재로 인한 사망이라는 것을 부정 할 수 없었을 것인데 노동자 개인의 민감한 자료까지 산재를 은폐하기 위한 자료로 사용하는 파렴치한 범죄로 범죄를 덮어버렸습니다.
쿠팡의 이익 앞에 노동자의 생명도 쓰다버릴 소모품으로 취급하는 인식이 개인정보 쯤이야 이익 앞에 활용할 수 있는 하나의 수단에 불과한 자료일뿐이었습니다. 김범석의 지시로 덕준이 죽음의 진실은 철저히 은폐되고 조작되어졌습니다.
2020년 9월부터 11월사이 고용노동부에서 진행한 장덕준 사건의 근로감독의 결과도 없고, 27살 건강했던 청년의 죽음의 책임이 과태료 10만원이었던 사실조차 개인정보법 운운하며 자료를 공개하지 않아 확인하는 과정에 말도 안되는 일을 겪었습니다.
피해 당사자에게 조차 철저히 차단 된 정보를 쿠팡은 자기들의 이익을 위해 무단으로 사용하고 불리한 자료는 접근을 차단해 버리며 왜곡과조작을 일삼는 범죄를 저지르고도 사과도 책임도 지지 않고 있습니다.
피해 당자자인 저희는 김범석의 산재은폐 지시로인해 가정이 파괴되고 일상생활이 회복되지 않는 지옥같은 고통속에서 하루하루를 버티고 있습니다. 가해자가 돈과 권력을 무기와 방패 삼아 로비하고 책임을 피해가는 동안 피해자는 맨몸으로 칼바람을 맞으며 거리로 내몰리며 이 말도 안되는 상황을 언제까지 침묵으로 지켜보기만 하실겁니까?
개인정보위원회는 쿠팡의 개인정보 무단 활용에 대해 조속히 엄중한 처벌을 내려주실 것을 간청드립니다. 저희가 하루빨리 일상으로 돌아갈수 있게, 저희와 같은 고통 속에 살아가야 할 피해자가 더 이상나오지 않게, 다시는 누군가의 이익 앞에 또 다른 누군가가 피해보는 일이 없게 엄중한 처벌을 내려주실것을 간곡히 부탁드립니다.

2026년 4월29일
쿠팡 대구칠곡물류센터 산재사망자 장덕준의 모 박미숙

–

<발언문> 디지털정의네트워크 희우

쿠팡의 무분별한 개인정보 수집 및 노동자 탄압 수단 활용 규탄

최근 발생한 쿠팡의 대규모 개인정보 유출 사태는 단순한 기술적 보안 사고가 아니라 기업의 비정상적인 정보 수집 관행과 관리 책임 소홀이 초래한 예견된 결과다. 이번 사태의 본질은 개인정보를 보호받아야 할 주권으로 보지 않고, 기업의 이익과 효율적인 통제를 위한 ‘자산’으로만 취급해 온 쿠팡의 왜곡된 데이터 거버넌스에 있다. 특히 쿠팡은 플랫폼 기업의 지위를 이용해 노동자와 소비자 가릴 것 없이 개인의 일상을 전방위적으로 수집했고, 끝내는 이를 노동자를 압박하는 도구로 활용해 왔다.
개인정보보호법 제16조는 개인정보 처리자가 목적에 필요한 최소한의 정보만을 수집해야 한다고 명시하고 있다. 그러나 쿠팡은 일용직 노동자를 채용하는 과정에서 업무 수행과 직접적인 관련이 없는 의료 정보까지 과도하게 수집해 왔다. 지난 2025년 12월 말 열린 국회 청문회에서 이러한 사실이 드러났으며 주무부처인 개인정보보호위원회는 쿠팡이 과도하게 노동자의 개인정보를 수집하고 블랙리스트를 운영한 행위 등이 명백한 개인정보보호법 위반임을 인정한 바 있다. 그러나 그럼에도 불구하고 4개월이 지난 지금까지 쿠팡은 어떠한 시정 조치도 취하지 않고 있으며, 주무부처인 개인정보보호위원회 또한 행정처분을 미루며 직무를 유기하고 있다.
쿠팡이 이토록 무분별하게 정보를 수집하는 목적은 명확하다. 수집된 데이터는 노동자의 권리를 보호하기 위해서가 아니라 기업의 책임을 회피하고 노동자를 효과적으로 배제하기 위한 통제 수단으로 기능한다. 고 장덕준 님의 산재 사망 사건에서 드러난 쿠팡의 행태는 이를 극명하게 보여준다. 쿠팡은 고인의 산재를 은폐하기 위해 현장 상황이 담긴 CCTV 영상을 일방적으로 삭제하는 한편, 소송 과정에서는 노동자 개인의 구매 이력까지 들여다보며 단백질 보충제 구매 사실 등을 산재가 아니라는 증거로 제출했다. 고인의 죽음을 능멸하며 산재의 책임을 개인에게 전가하기 위해, 노동자이며 소비자였던 한 개인의 사생활 정보를 탄압의 무기로 전용한 것이다.
이러한 데이터의 사유화와 오남용은 비단 쿠팡만의 문제가 아니다. 기업이 노동자의 개인정보를 허용 이상치로 과도하게 수집하는 것은 결코 그 자체로 끝나지 않고 감시와 배제의 무기로 사용되기 마련이다. 과거 삼성모바일디스플레이가 노조 와해를 목적으로 직원의 성향, 자산 현황, 주량 등 내밀한 사생활 정보를 파일링했던 사례, 최근 삼성바이오로직스에서 직원의 심리 상담 기록을 인사팀이 무단으로 징계 폴더에 보관하고 노조원 리스트를 특별관리한 사례가 밝혀진 바 있다. 비슷한 플랫폼 기업인 마켓컬리 역시 일용직 노동자의 명단을 데이터화해 관리하며 현장의 목소리를 내는 노동자들을 채용을 조직적으로 배제하는 블랙리스트를 운영해 사회적 지탄을 받았다. 쿠팡은 이러한 선행 사례들을 답습하는 것을 넘어 플랫폼이라는 강력한 도구를 통해 노동자의 일상과 건강, 구매 패턴까지 수집, 관리하며 더욱 진화된 형태의 사찰을 자행하고 있다.
시민들의 개인정보 유출은 이처럼 개인정보를 광범위하게 수집하고 마음대로 활용해 왔던 쿠팡의 행태가 낳은 필연적 결과물이다. 내부 노동자의 정보조차 존중하지 않는 기업이 소비자의 정보를 안전하게 관리할 리 만무하다. 개인정보보호위원회는 더 이상 기술적인 유출 사고의 수습에만 매몰되어서는 안 된다. 노동자의 개인정보를 최소 수집 원칙을 어겨가며 수집하고, 이를 블랙리스트 운영과 산재 은폐 등 불이익을 주기 위한 수단으로 삼아온 구조적 위법 행위에 대해 즉각적이고 엄중한 처분을 내려야 한다. 감독 기구의 단호한 조치만이 플랫폼 자본의 무분별한 정보 수집 및 남용이 인권을 짓밟는 악순환을 끊어낼 수 있는 유일한 길이다.

–

<발언문> 참여연대 김주호 민생경제팀장

지난 12월 17일 국회 청문회 기억하십니까. 당시 해롤드 로저스 쿠팡 한국 대표는 전화번호와 배송주소, 이메일 주소가 뭐냐는 질문에 개인정보라 말할 수 없다고 답했습니다. 미국에서 이 정도 정보는 신고의무가 있는 개인정보가 아니라고 했던 사람이 말입니다. 하지만 미국 연방거래위원회는 개인정보유출사고가 발생하면 ‘개인을 구별하거나 추적할 수 있는지’를 핵심으로 봅니다. 명백한 개인정보 유출 사고인 것입니다.
참여연대에서 진행한 쿠팡 개인정보유출 집단분쟁조정 신청, 피해신고센터에 참여하신 시민들도 하나같이 불안하다고 말합니다. 내 이름과 전화번호, 주소, 이메일 주소, 구매내력 같은 정보만으로도 충분히 심각한 범죄에 노출될 수 있기 때문입니다. 미국에서도 당연히 천문학적인 과징금과 손해배상 합의가 이뤄지는 사안들입니다.
그런데 일용직 노동자들의 질병유무, 치료내역, 건강검진결과, 병원 정보까지 유출되었다면 얼마나 더 교묘한 범죄에 악용이 될까요. 보험사나 병원을 사칭하거나 가족들을 대상으로 한 사이버범죄가 벌어진다면, 개인정보유출 관련 활동을 하고 있는 저조차도 100% 피할 자신이 없습니다. 게다가 단 하루라도 쿠팡에서 일하면 이러한 정보를 모두 내야한다니 이게 말이 됩니까. 받아갈거면 관리라도 잘 할 것이지 이마저도 유출하면 도대체 쿠팡은 정보관리를 제대로 하고 있는 게 맞기는 합니까. 이 정도면 개인정보 공짜 자판기나 다름이 없습니다.
더 분통 터지는 건 개인정보보호위원회의 안일한 늑장대처입니다. 민관합동조차결과가 나온지 한참인데 아직도 고객 개인정보 유출 사태에 대한 과징금 처분도 결정을 못했습니다. 당연히 분쟁조정도 미뤄지고 있습니다. 이러다가 쿠팡이 모든 손실을 회복하고 이 사태가 다 잊혀질 때쯤 결과가 나올 모양입니다. 일반 고객들의 개인정보 유출 건도 이러할진데, 노동자들의 개인정보 유출 건은 조사라도 제대로 하고 있는지 모르겠습니다.
벌써 사태가 세상에 알려진지 160일이 넘었습니다. 개인정보보호위원회는 하루빨리 쿠팡에 대한 과징금 처분을 내려야 합니다. 아울러 청문회에서 확인한 것처럼 쿠팡 노동자들의 개인정보 유출에 대한 엄중한 조사와 처분을 촉구합니다.

–

<발언문> 정동헌 전국물류센터지부 쿠팡물류센터지회장

공공운수노조 전국물류센터지부 쿠팡물류센터지회장 정동헌입니다.
쿠팡 개인정보 유출 사태가 터진지 반년이 다 되어 갑니다. 하지만 사태 발생 반년이 지나도록, 두 차례의 청문회를 진행했음에도 누구 하나 책임지지 않고 있습니다. 사태 발생 초기, 기세등등하던 정부와 정치권은 지금 다 어디 갔는지 모르겠습니다. 그동안 무엇을 하였는지, 그래서 무엇이 바뀌었는지 되묻고 싶습니다.

오늘 우리는 개인정보위원회 앞에서 기자회견을 진행합니다. 쿠팡에서 일하는 노동자들의 개인정보 유출과 과도한 개인정보 수집에 대해 문제를 제기하고 진정을 넣기 위함입니다. 고객 개인정보 유출 사태가 발생하며 쿠팡의 과도한 개인정보 수집에 대한 여러 문제제기가 있었습니다. 쿠팡에서 일하는 노동자들에 대해서도 마찬가지이지만 당시 쟁점이 되지 못 했습니다. 쿠팡은 쿠팡에서 일하는 노동자들에 대해서도 과도한 개인정보를 수집하고 있습니다. 근무평가기록, 건강정보 등이 포함되며 보관기관도 마지막 근무일 기준 10년간 보관합니다. 계열사 간 공유도 하고 있습니다. 개인정보 수집에 대한 최소수집 원칙에 위배되는 내용입니다.

이미 쿠팡에서 일하는 노동자들은 이렇게 수집된 개인정보가 악용된 경험이 있습니다. 쿠팡이츠 라이더 노동자들의 개인정보 유출 사태가 있었고, 쿠팡물류센터 노동자들에 대한 대규모 블랙리스트 사태도 있었습니다. 고 장덕준님의 산재를 은폐하는 과정에서 CCTV 기록들이 악용된 정황들도 확인했습니다. 블랙리스트에 대해서도 쿠팡풀필먼트 대표이사는 작년 1월 국회청문회에서 “너무 광범위하게 정보 수집이 됐던 부분에 대해 죄송하게 생각한다” 밝혔고, 개선을 약속 하였지만 쿠팡에서 일하는 노동자들은 어떤 부분이 개선되었는지 알지 못 합니다.

쿠팡에서 일하는 노동자들의 개인정보 유출 문제는 단순한 사안이 아닙니다. 건강정보 등 고객 개인정보보다 더욱 예민한 내용들이 많습니다. 그리고 이미 피해를 입고 악용된 사례들도 존재합니다. 지금이라도 개인정보위원회의 즉각적인 조사와 시정조치가 필요합니다. 노동자들의 개인정보가 더 이상 쿠팡이라는 거대 플랫폼 기업에 소비되고, 악용되지 않도록 개인정보위원회의 적극적인 조치를 요청합니다.

–

<발언문> 민변 블랙리스트 대응팀 김병욱 변호사

3,367만명에 이르는 대규모 개인정보 유출 사태에서 소비자의 개인정보 유출만이 문제되고 있지만, 물류센터에서 일하는 다수 노동자들의 개인정보는 유출되지 않고 안전한지, 최소수집 원칙에 위반하여 과도하게 정보를 수집하거나, 위법하게 수집 목적 범위 외로 활용하거나, 제3자 제공하지 않았는지 면밀한 조사와 신속한 처분이 필요하다는 것이 진정의 요지입니다.
쿠팡은 물류센터 노동자들의 개인정보를 광범위하게 수집하고 있습니다. 채용 지원 단계에서 개인 식별과 관련된 기본적인 정보는 물론이고, 작업 배치, 산재발생 예방을 위한다는 명목으로 생활습관, 질환병력, 약물복용, 질환 정보 등을 수집하는 것은 물론 근로 제공 과정에서 출퇴근시간, 구체적인 작업 공정, 작업대 로그인 시간, 이동 동선 등에 관한 세세한 정보를 수집하는 것으로 알려져 있습니다.
그런데 이렇게 광범위하게 수집한 정보를 제대로 보관하고 안전하게 관리하고 있을지 의문이 아닐 수 없습니다. 쿠팡 대규모 개인정보 유출사태에서 확인된 것은, 쿠팡의 정보보호체계가 구조적으로 허술하고, 보안에 매우 취약하다는 것입니다. 이미 퇴사한 직원이 위조한 전자 출입증을 가지고 6개월여에 걸쳐 공격을 하였으나, 쿠팡은 전혀 사전 탐지하거나 차단하지 못하였습니다.
쿠팡의 정보보안에 대한 안일한 인식도 확인되었습니다. 쿠팡은 24시간 즉시 신고 의무를 위반하였고, 과기부의 자료보전명령을 위반하여 웹접속기록이 자동삭제되는 것을 방치하였습니다. 정보보호체계가 허술하고, 쿠팡의 정보보호, 보안에 대한 인식이 미비하다는 점에서 쿠팡이 노동자 개인정보를 안전하게 문제없이 잘 관리하고 있다고 믿기 어렵습니다.
쿠팡은 개인정보를 수집목적과 무관하게 블랙리스트를 작성하여 취업방해 목적으로 사용하여 물의를 일으켰던 기업입니다. 이 사건에서 쿠팡CFS가 수집한 정보를 다른 계열사와 공유하지 않았는지 위법하게 제3자에게 제공하지 않았는지도 쟁점이었습니다.
그리고 최근 쿠팡은 고 장덕준님에 대한 산재 사건의 대응 과정에서 CCTV 영상을 시설안전이나 화재 및 범죄예방 목적과 무관하게 산재를 은폐할 목적으로 선별, 검토 작업을 하였던 정황이 드러나 문제가 되었던 기업입니다.
이러한 일련의 사건에서 쿠팡에게 정보주체의 권리나 개인정보보호에 대한 존중, 나아가 정보보호, 보안에 대한 관심은 찾아보기 어렵고, 개인정보를 그야말로 기업의 이익을 위한 수단으로만 활용하는데 급급하였던 것으로 볼 수밖에 없습니다.
개인정보보호위원회는 쿠팡이 물류센터 노동자들의 개인정보를 적법하게 최소한의 범위에서 수집하여, 적법하게 목적 범위에서 적법하게 처리하고 있는지 철저히 조사하고 위반사항에 대하여 엄중히 처분하여야 할 것입니다.