역대 최악 유출사태, 쿠팡 과징금 1조원도 부족하다

쿠팡 과징금 처분에 대한 소비자·노동· 시민사회단체 입장 발표

역대 최대규모, 기만적인 보상, 미국로비로 사태무마 반성 없어

쿠팡은 보상대책 내놓고 대국민소송전 포기해야, 집단소송제 도입 필요

1. 개인정보보호위원회는 오늘(6/11) 쿠팡의 3,750만여명 개인정보 유출과 법적 근거 없는 개인정보 수집 사태와 관련해 6,246억 8,100만원, 쿠팡풀필먼트서비스의 개인정보 무단수집·이용 및 민감정보 처리 제한 위반에 대해 2억 4,800만원 의 과징금을 부과했습니다. 쿠팡의 2025년 기준 매출이 약 45조원 수준인 것을 감안하면 과징금 상한인 3%의 절반인 1.3%, 개보위가 밝힌 36조원과 비교해도 1.7% 수준에 불과합니다. 이름, 연락처, 주소, 주문내역, 공동현관비밀번호 등 민감한 개인정보를 유출당한 피해자 1인당 약 16,600원 정도의 과징금이 부과된 셈입니다.
2. 이는 지난 해 SK텔레콤이 2,300만명의 개인정보를 유출하고 1,340억원 과징금을 부과받은 것과 비교하면 다소 높은 수준이지만, SKT의 경우 외부해킹이 원인인 반면, 쿠팡은 퇴사 직원에 대한 통제 실패가 주요한 원인이었고, 5천원 쿠폰 수준에 불과한 기만적인 피해구제 대책을 내놓는 등 피해구제에도 소극적이었으며, 미국 정재계 로비를 통해 책임을 축소하려는 등의 행태를 보인 것을 감안하면 납득할 수 없는 수준입니다.
3. 특히 이번 과징금 처분 결과를 보면 이미 알려진 3,370만명보다 더 많은 3,750만여명의 개인정보가 유출되었을 뿐만 아니라, 쿠팡에서 타사 웹·앱에 접속한 회원 약 1,117만명의 온라인 활동기록, 납치광고를 통해 서비스이용기록을 무차별 수집하고, 물류센터에 근무한 이력이 없는 경찰청 출입기자단 명단, 임직원 건강관리를 목적으로 수집한 노동자의 체중정보 등을 취업제한 목록이나 산재 관련 소송에서 법원에 제출하는 등 ‘불법 백화점’에 걸맞는 행태를 보였습니다.
4. 이에 안전한쿠팡만들기공동행동, 온라인플랫폼법제정촉구공동행동, 집단소송법제정연대는 오늘(6/11) 기자회견을 열어 개인정보보호위원회에 △쿠팡 과징금을 감면한 사유가 적절한지 그 판단근거를 투명하게 공개하고 △사실상 중단되어 있는 분쟁조정위원회를 조속히 가동시켜 피해자들이 납득할 수 있는 조정권고안을 내놓는 한편, △쿠팡과 같은 기업들이 무분별하게 개인정보를 수집하고 무단으로 활용하는 것을 근본적으로 방지하기 위한 제도개선을 요구했습니다. 또한 쿠팡은 △이번 과징금 처분에 대해 불복소송을 제기하며 시간을 끌지 말고 수용할 것 △분쟁조정 절차에 적극적으로 참여하여 피해자들이 납득할 수 있는 피해보상 대책을 내놓을 것 △쿠팡의 불법행위 책임을 인정하고 미국 정재계 로비를 중단할 것 △무분별하게 수집한 개인정보를 즉시 파기하고 최소수집원칙에 따른 재발방지 대책을 내놓을 것 △노동자 과로사와 산재은폐, 블랙리스트 문제에 대해 제대로 사과하고 노동자 개인정보 무단 사용에 대한 재발방지대책 마련할 것 △블랙리스트 폐지 이후 사후조치에 대해 공개할 것 △입점업체 갑질과 과도한 수수료 문제, 소비자를 기만하는 무료배달·아이템위너 정책을 전면개선을 촉구했습니다. 나아가 정부와 국회에는 △피해자들이 쿠팡에 책임을 물을 수 있도록 쿠팡이 포함된 집단소송법을 제정하고 △쿠팡과 같은 플랫폼 기업들의 시장 독과점을 막을 수 있도록 온라인플랫폼법을 제정할 것을 촉구했습니다.  끝.

▣ 보도자료 및 첨부자료 [원문보기/다운로드]

▣ 첨부자료. 기자회견 개요 및 기자회견문

▣ 첨부자료1. 기자회견 개요

• 제목 : 쿠팡은 개인정보 유출 사태 제대로 보상하고 과징금 처분 수용하라
• 일시 장소 : 2026년 6월 11일(목) 오후 2시 / 개인정보보호위원회 앞 (광화문 서울정부청사 앞)
• 주최 : 안전한쿠팡만들기공동행동, 온라인플랫폼법제정촉구공동행동, 집단소송법제정연대
• 진행순서
  • 사회 : 김주호 참여연대 민생경제팀 팀장
  • 발언1. 과징금 처분에 대한 평가와 제대로 된 보상 촉구 : 고민정 녹색소비자연대 사무총장
  • 발언2. 과징금 처분에 대한 평가와 불복소송 포기 촉구 : 김재희 참여연대 민생희망본부 실행위원(온라인플랫폼제정촉구공동행동)
  • 발언3. 미국 로비 중단과 과로사·산재은폐 해결 촉구 : 이태환 민주노총 수석부위원장 (안전한쿠팡만들기공동행동)
  • 발언4. 집단소송법 제정 촉구 : 최호웅 민변 디지털정보위원회 위원장 (집단소송법제정연대)
  • 기자회견문 낭독

▣ 첨부자료2. 기자회견문

역대 최악 유출, 반성 없음, 기만적인 보상, 로비로 책임회피

쿠팡 과징금 1조원도 부족하다

고작 1.7%에 그쳤다. 정부와 국회가 청문회를 통해 1조원대 과징금을 운운했지만, 무려 7개월간 숙고한 결과는 법상 상한인 3%의 절반 수준인 6,246억원이다. 역대 최대 수준의 과징금이라고 하지만 쿠팡의 연매출이 45조원에 달하는 만큼 이는 매우 당연한 수준이다. 오히려 역대 최악의 전국민 개인정보 유출사태를 벌이고도 3천건에 불과하다며 책임을 축소했던 쿠팡이다. 역대 최대 규모의 보상안이라던 5만원 할인쿠폰도 실상은 5천원이었고, 나머지는 자신들의 다른 서비스를 홍보하기 위한 미끼쿠폰에 불과했다. 앞에서는 사과를 한다면서도 뒤에서는 미국 정재계에 150억원이 넘는 금품 로비를 일삼았다. 그동안 쿠팡이 보인 행태를 보면 아무런 반성도 책임도 찾아볼 수 없었다. 과징금 1조원도 부족하다.

심지어 이번 결과를 보면 3,750만여명으로 개인정보 유출규모도 늘었을 뿐 아니라, 추가로 1,117만명의 온라인 활동기록과 납치광고를 통해 서비스이용기록을 무차별 수집한 사실이 확인되었다. 물류센터에 근무한 이력이 없는 기자들의 명단을 수집해 블랙리스트에 등록하는 한편, 임직원 건강관리를 목적으로 보유한 노동자의 체중정보를 산업재해 소송에서 법원에 제출하기도 했다. ‘불법백화점’이라는 말이 아깝지 않다. 이런 기업에 도대체 어떤 과징금 감면 사유가 있길래 법상 과징금 최대인 3%의 절반 수준에 그쳤는지 묻지 않을 수 없다. 우리 국민들의 이름, 연락처, 주소, 주문내역, 공동현관비밀번호와 같은 정보가 고작 1만 6천원짜리에 불과한가.

개인정보보호위원회는 △쿠팡 과징금을 감면한 사유가 적절한지 그 판단근거를 투명하게 공개하라. 또한 △사실상 중단되어 있는 분쟁조정위원회를 조속히 가동시켜 피해자들이 납득할 수 있는 조정권고안을 마련하라. 나아가 △쿠팡과 같은 기업들이 무분별하게 개인정보를 수집하고 무단으로 활용하는 것을 근본적으로 방지하기 위한 제도개선을 마련하라.

쿠팡은 △이번 과징금 처분에 대해 불복소송을 제기하며 시간을 끌지 말고 수용하라 또한 △분쟁조정 절차에 적극적으로 참여하여 피해자들이 납득할 수 있는 피해보상 대책을 내놓고 △쿠팡의 불법행위 책임을 인정하고 미국 정재계 로비를 중단하라 △무분별하게 수집한 개인정보를 즉시 파기하고 최소수집원칙에 따른 재발방지 대책을 내놓아라. 또한 이번 일을 계기로 △노동자 과로사와 산재은폐, 블랙리스트 문제에 대해 제대로 사과하고 노동자 개인정보 무단 사용에 대한 재발방지대책 마련하는 것은 물론 △블랙리스트 폐지 이후 사후조치에 대해 공개해야 한다. △입점업체 갑질과 과도한 수수료 문제, 소비자를 기만하는 무료배달·아이템위너 정책 전면개선도 빼놓을 수 없다.

정부와 국회에도 요구한다. 쿠팡이 이렇게 우리 국민과 정부, 국회를 무시하고 안하무인의 태도를 보이는데에는 그동안 쿠팡과 같은 플랫폼 대기업들의 독과점을 방치하고 집단소송제도와 같은 최소한의 소비자 보호 제도를 마련하지 않은 정부와 국회의 책임도 적지 않다. 정부와 국회는 △피해자들이 쿠팡에 책임을 물을 수 있도록 쿠팡이 포함된 집단소송법을 즉각 제정하라 △쿠팡과 같은 플랫폼 기업들의 시장 독과점을 막을 수 있도록 온라인플랫폼법을 제정하라.

만약 쿠팡이 이번 과징금 처분에 불복해 행정소송을 제기하며 시간을 끌고 미국 정재계의 압박을 통해 이 문제를 해결할 심산이라면 깨끗하게 포기하길 촉구한다. 쿠팡이 한국 국민들의 신뢰를 회복하는 길은 이제라도 제대로 된 보상안을 내놓고 대국민소송전을 중단하는 것이다. 또 다시 미국의 힘에 기대어 이번 사태를 무마하고자 한다면 제2의 탈팡사태에 직면할 것임을 엄중히 경고한다.

2026년 6월 11일

안전한쿠팡만들기공동행동, 온라인플랫폼법제정촉구공동행동, 집단소송법제정연대

‘디지털마스터키’ 연계정보(CI), 기본권 침해 과도해

반복되는 CI 유출에도 열람권, 삭제 및 처리정지권 행사 가능 불분명

CI 근거 규정 정보통신망법에 대한 헌법소원 사건 의견서 제출

1. 위헌적인 연계정보(Connecting Information, CI)의 수집과 활용에 제동을 걸기 위해, 디지털정의네트워크, 민변 디지털정보위원회, 정보인권연구소, 참여연대는 지난 2024년 10월, 전자정부서비스와 마이데이터를 포함해 거의 모든 온라인 서비스에서 이용자인 국민의 연계정보를 강제로 생성하고 처리하도록 한「정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)」제23조의5 제1항에 대해 개인정보자기결정권, 사생활의 비밀과 자유 및 익명표현의 자유를 과도하게 제한하여 위헌이라는 결정을 구하는 헌법소원을 제기한 바 있습니다. 이 법률을 소관하는 방송미디어통신위원회(방미통위)는 이에 대한 의견서를 2025년 1월 제출하였고, 지난 6월 5일 청구인인 우리 단체들은 이에 대한 반박의견서(이해관계기관 반박의견서)를 헌법재판소에 제출하였습니다.
2. 방미통위가 제출한 이해 관계기관 의견서에 따르면, 위 정보통신망법 조항은 ▲사생활의 비밀과 자유, 익명표현의 자유를 제한하지 않고, ▲개인정보자기결정권을 침해하지 않을 뿐 아니라 개인의 내밀한 영역을 보호하는 사생활의 자유와 관련이 없으며, 익명표현의 자유와도 관련이 없다는 것입니다. 또한 디지털경제의 발전과 온라인 플랫폼 산업 경쟁력 강화에 비해 개인정보자기결정권 제한이라는 사익은 크지 않기 때문에 과잉금지위반이 아니라고 주장하였습니다.
3. 그러나 연계정보 생성과 처리는 표준 식별번호로 기능하는 주민등록번호와 1대 1로 매칭되어 온라인상의 개인을 특정하고 식별하는 온라인용의 범용 표준식별코드로 도입한 제도입니다. 이런 연계정보 제도는 다음과 같은 이유에서 위헌입니다. 첫째, 연계정보 제도는 온라인 본인확인 서비스를 이용한 거의 모든 국민의 개인정보자기결정권을 침해합니다. 연혁적으로 연계정보는 주민등록번호 대체수단의 하나인 아이핀의 일부로 도입된 것이라 범용 표준식별코드로 사용하는 것은 설계 목적에도 어긋납니다. 또한 이 과정에서 정보주체의 동의를 받는다 하더라도 정보주체는 본인확인 요청에 따른 개인정보 처리에 동의한 것이지 연계정보의 처리에 동의하는 것이 아닙니다. 마이데이터 서비스 제공자가 정보주체의 연계정보를 처리할 수 있다는 규정 역시 마찬가지 이유로 정보주체의 요구 내지 동의를 전제하고 있다고 할 수 없습니다. 무엇보다 제23조의5 제1항 제1호 및 제3호 규정은 온라인 서비스를 이용하기 위해서 원하든 원치 않든 연계정보 처리를 요구할 수밖에 없어 사실상 선택의 여지가 없습니다.
4. 둘째, 연계정보 제도는 ‘사생활의 자유’는 물론 ‘익명표현의 자유’를 제한합니다. 연계정보 그자체로는 사생활에 관한 내용을 담고 있지 않고 표현의 자유를 침해하는 것이 아닙니다. 그러나 유일하고 불변하여 개인을 식별하고 특정하는 주민등록번호와 1대 1 매칭되는 연계정보는 온라인상 정보를 서로 연결하는 연결자 기능을 하기 때문에 개인을 식별할 수 있는 것입니다. 자신에 관한 모든 정보가 추적가능하다면 사생활의 비밀과 자유나 익명표현의 자유가 보장된다고 말할 수 없을 것입니다.
5. 셋째, 연계정보의 사용은 평등권을 침해합니다. 다양한 방법의 본인확인 서비스를 이용하는 다른 나라 사람들에 비해 연계정보 제도가 있는 우리나라 사람들만 고유의 표준식별번호를 강제로 사용해야 합니다. 국내 온라인 쇼핑몰을 이용하는 외국인에게는 연계정보 없이도 본인확인 방법을 제공하는데, 연계정보 사용을 원치 않는 국민에게 연계정보를 강제하는 것은 평등권을 침해하는 것입니다.
6. 넷째, 과잉금지원칙에 위배됩니다. 우선, 본인확인, 전자정부, 마이데이터, 전자고지 서비스 등에 행정효율을 증대, 비용절감이라는 입법목적은 개인정보자기결정권 등 기본권에 중대한 제한을 수반하는 데 정당한 입법목적이라 할 수 없습니다. 또한 연계정보는 서로 다른 산업 간 개인정보 결합의 핵심 연결고리로서 ‘디지털마스터키’라고도 불리는데 개인을 너무 효과적으로 식별하는 ‘과도한’ 효율성은 적합한 수단이라고 할 수 없습니다. 더불어 연계정보의 처리 범위와 처리주체가 각종 온라인 서비스를 제공하는 정보통신사업자, 공공기관 전자정부서비스와 마이데이터 사업자, 방미통위원장의 승인을 받은 자 및 기관 등 무한정 확대된다는 점, 덜 침해적인 다양한 본인확인 수단이 있고 또 대부분의 서비스에서 본인확인이 필수적이지 않음에도 범용의 식별수단을 제공하도록 한 점, “불가피하게”, “그 밖에 이와 유사한 행위” 등 불명확한 규정으로 사실상 전방위적 데이터 결합의 길을 열어주고 있는 점 등도 침해의 최소성 원칙에 반합니다.
7. 제2의 주민등록번호인 연계정보(CI)의 문제점
8. 제2의 주민등록번호인 연계정보(CI)의 유출사고가 잇따르고 있습니다. 2024년 여행사 모두투어에서 연계정보가 유출된 데 이어 지난해에는 롯데카드에서 연계정보와 주민등록번호가 동반 유출되었고, 불과 며칠 전에는 온라인동영상 서비스 티빙, 편의점 CU의 택배를 운영하는 BGF 네트웍스에서 연계정보를 포함한 개인정보유출 사건이 또다시 발생하였습니다. 연이은 연계정보 유출 사건은 다음과 같은 두가지 문제를 의미합니다.
9. 첫째, 연계정보를 애초에 주민등록번호의 대체수단의 하나로 만들었지만, 정보통신망법 제23조의5 신설에 따라 현재 연계정보는 주민등록번호와 똑같은 범용 표준식별코드가 되었다는 것입니다. 주민등록번호 및 연계정보와 같은 범용 표준식별코드의 유출은 서로 다른 개인정보를 통합하는 열쇠로 작용하여, 보이스피싱을 비롯한 개인정보 유출 피해를 확대하고 있습니다. 여기에는 연계정보를 범용 표준식별코드로 만든 방송미디어통신위원회의 책임이 큽니다.
10. 둘째, 인터넷 서비스 이용에 있어서 본인확인은 필수가 아니며 (대부분의 해외서비스는 본인확인없이 사용할 수 있습니다), 설사 본인확인이 필요할 경우에도 범용 표준식별코드인 연계정보가 아니라, 개별 사이트마다 서로 다른 식별번호가 부여되는 중복가입확인정보(DI)를 사용할 수 있음에도 불구하고, 대다수 인터넷 사이트에서 본인확인을 통해 연계정보를 수집하고 있습니다. 지금 여러 사이트에서 연계정보가 유출되고 있는 것이 이것을 입증하고 있습니다. 이는 개인정보 보호의 기본원칙인 최소수집의 원칙을 위반하는 것입니다. 이처럼 최소수집의 원칙을 위반하는 과도한 개인정보 수집이 관행이 되고 있음에도 불구하고, 개인정보보호위원회는 이를 감독하는데 소홀히 하고 있습니다.
11. 주민등록번호의 유출과 다를 바 없는 연계정보 대규모 유출사건이 연이어 발생하고 있지만 연계정보가 언제, 어떻게 생성, 수집되었는지조차 당사자인 정보주체가 전혀 알 수 없습니다. 일단 생성된 연계정보는 정보통신망법 제23조5의 제1항에 따라 정보주체의 형식적인 동의나 방미통신위원장 승인만 거치면 다른 목적으로 그 처리 범위가 무한정 확장될 수도 있습니다. 그러나 정보주체의 기본적 권리인 연계정보에 대한 열람권, 삭제 및 처리정지권 등은 제대로 보장되고 있지 못합니다. 실제로 정보인권연구소 활동가가 종합온라인쇼핑몰 1곳과 콘텐츠 플랫폼 1곳 및 멤버쉽 플랫폼 1곳에 대하여 연계정보의 처리정지를 요구하였으나 연계정보를 삭제하거나 처리하면 회원을 탈퇴시키겠다는 답변을 받았습니다. 현실 속에서 정보주체가 연계정보의 삭제나 처리정지에 대한 권리를 행사할 수 없는데도 방미통위가 개인정보자기결정권을 침해하지 않는다고 주장하는 것은 현실을 외면한 것입니다.
12. 주민등록번호의 유출이 계속되자 우리 사회는 그 오남용을 막기 위하여 법정주의를 도입한 바 있습니다. 그런데 또다시 연계정보라는 범용식별 목적의 ‘디지털마스터키’를 강제적으로 생성, 처리하도록 법률로 강제하는 것은 개인정보자기결정권, 사생활의 비밀과 자유 및 익명표현의 자유 등 기본권을 침해하여 위헌이라는 점을 다시 한번 확인하며 헌법재판소가 헌법에 충실한 결정을 내릴 것을 기대합니다. 헌법재판소의 결정 이전이라도 방미통위는 위헌적인 연계정보 제도를 기본권을 존중하는 방향으로 개혁하는 것이 바람직할 것입니다. 또한, 개인정보보호위원회는 연계정보로 인한 피해를 최소하기 위해서라도 연계정보 수집이 무분별하게 이루어지지 않도록 지도하고, 최소수집의 원칙을 위반하여 연계정보를 수집하는 기업에 대해서는 엄중한 조치를 취해야할 것입니다. 끝.

동의없는 개인정보 원본 활용 법안 통과 규탄한다

AI 산업 육성 위해 정보인권 침해 용인하겠다는 것

개인정보 남용 피해 위험 오롯이 정보주체에게 떠넘겨져

1. 어제(5/14) 국회 정무위원회 전체회의에서 개인정보 원본을 가명, 익명처리 하지 않고 수집 목적 외, 정보 주체 동의 없이도 인공지능 기술개발 등을 위해 이용할 수 있도록 허용하는 개인정보보호법 개정안(이하 원본활용허용법안)이 통과되었다. 이는 개인정보자기결정권이라는 헌법상 기본권과 목적제한, 최소수집 원칙 등 오랜 시간을 통해 확립해온 개인정보의 원칙을 특정기술 개발을 위해 무력화하는 법안이다. 인공지능 개발이라는 맹목적 목표를 위해 국민의 정보인권 보호 의무를 팽개친 정무위원회를 강력히 규탄한다. 법제사법위원회 심사과정에서라도 헌법의 기본권으로서 개인정보자기결정권 위반, 개인정보 기본원칙 위반, 국제 인권규범에 위배되는 원본활용허용법안에 대한 위헌성을 인지하고, 해당 법안을 폐기할 것을 촉구한다.
2. 참여연대, 민주사회를 위한 변호사 모임 디지털정보위원회, 디지털정의네트워크, 정보인권연구소 등 시민사회는 개인정보 원본 활용법안이 ▲‘인공지능기술 개발’ 을 위해 개인정보 원본 목적 외 이용이 인공지능 예외주의이며 기술 중립성 원칙에 어긋나고, ▲“익명·가명처리로는 인공지능기술 개발이 곤란”, “사회적 이익 증진을 목적” 등 포괄적 요건으로 목적 외 이용 범위를 확대하고 있고, ▲심의의결 간소화 절차를 둠으로써 유사한 목적이라는 이유로 심의절차를 피해갈 수 있도록 하고, ▲기본원칙을 벗어난 개인정보 활용과정에서 개인정보 침해가 있으면 가중하여 처벌해야 함에도 이에 대한 언급조차 없고, ▲정보주체가 자신의 얼굴, 음성, 지문 등 민감정보를 포함한 원본정보를 그대로 이용한다는 사실에 대해 사전, 사후 고지의무조차 없는 점 등 원본활용허용법안의 위헌성, 위법성을 수차례 지적했다. 그러나 정무위 심사 과정에서 이에 대한 시민사회의 요구는 거의 반영되지 않았다. 결국 인공지능 개발이라는 핑계로 개인정보를 사실상 ‘무상 취득’하려는 산업계 이익을 위해 국민의 정보인권을 내팽개친 것이다.
3. 무엇보다 독립적인 행정기관으로 정보인권 보호에 앞장서야 할 개인정보보호위원회(위원장 송경희)가 개인정보 보호 원칙에 위배되는 법안 개정에 발벗고 나섰다는 점에서 규탄받아 마땅하다. 현재 정무위에는 김현정 의원, 한창민 의원에 의해 각각 발의된 정보주체 권리 보장을 위한 개인정보보호법개정안들이 계류되어 있지만, 개보위가 이들 법안 처리를 위해 어떤 노력도 하지 않은 것과는 대조된다. 무엇보다 이재명 정부의 AI 강국 정책이 이번 원본활용허용법안 통과 배경이라는 점을 지적하지 않을 수 없다. 인공지능 산업을 육성하는 것은 필요하지만 이를 위해 헌법상 기본권과 인권의 가치가 후순위가 되어서는 안된다. 정부와 국회는 개인정보 보호원칙을 벗어나 원본 개인정보를 제공하려는 시도를 즉각 중단하라. 끝.

디지털정의네트워크·민주사회를 위한 변호사모임 디지털정보위원회·정보인권연구소·참여연대

국회 정무위원회는, 원본 개인정보 활용 허용 목적  개보법 심사를 중단하라

개인정보 보호원칙 훼손하는 AI 예외주의 반대한다

어제(2026년 5월 12일) 국회 정무위원회 법안심사소위원회는 인공지능기술 개발을 명분으로 원본 개인정보를 정보주체의 동의없이 수집 목적 외로 이용할 수 있도록 하는 「개인정보보호법」 개정안을 심의하였다. 개인정보 수집 목적 내 처리라는 가장 기본적인 개인정보 보호원칙을 훼손하는 법안이 상임위에서 처리될 위험에 처한 것이다. 인공지능기술 개발을 위해서라면 헌법상 기본권은 무시해도 좋다는 것이 국회의 기본적인 입장인가? 국회 정무위원회는 인권침해적이고 위헌적인 법안 처리를 중단할 것을 요구한다.

목적 달성을 위한 최소한의 개인정보만 수집하고, 수집 목적 내에서만 처리해야 한다는 것은 역사적으로 형성되어 온 개인정보 보호원칙이다. 한번 수집된 개인정보를 향후에 다른 목적으로 필요하다는 이유로 활용할 수 있다면 개인정보처리자 입장에서는 얼마나 편리할 것인가. 그러나 이는 개인정보를 편의에 따라 남용할 수 있는 근거가 되고, 정보주체는 자신의 개인정보가 어떻게 활용되는지도 모른 채, (재산적 피해, 신체적 피해, 차별, 감시에 대한 우려 등) 개인정보 남용의 피해를 감내해야만 하는 상황에 처하게 된다. 이러한 개인정보 남용을 막고자 개인정보 보호원칙이 수립되어 온 것인데, 단지 특정 기술의 개발을 위해 개인정보 기본원칙을 훼손해야 할 합당한 이유가 있는지 의문이다.

더구나 이미 과학적 연구를 위한 가명정보의 처리, 규제샌드박스 실증특례 등 일정한 조건 하에 개인정보를 목적 외로 활용할 수 있는 방안이 없는 것도 아니다. 그러나 보다 더 쉽고 저렴하게 개인정보를 활용하고자 하는 산업계의 탐욕은 멈출 줄을 모른다.

더 심각한 것은 이를 감독해야 할 개인정보보호위원회(이하 개보위)가 오히려 개인정보 보호 원칙을 허무는 법 개정을 위해 발벗고 나서고 있다는 것이다. 개보위는 원본 개인정보의 목적 외 활용을 자신들이 관리하는게 안전한다고 둘러댄다. 그러나 개인정보 보호원칙을 훼손해가며 활용에 앞장서는 개보위를 어떻게 신뢰할 수 있을지 의문이다. 정보주체의 권리 옹호를 위해 개보위가 이렇게 적극적으로 나선 적이 있는가. 표적 광고를 위한 동의없는 행태정보 수집 규제, 주민등록번호와 연계정보의 무분별한 활용 규제, 수사기관과 군의 CCTV 무단 열람 규제, SNS 행태정보의 동의없는 AI 학습 목적 이용 등에 대한 규제 등 시민사회가 개보위의 적극적인 역할을 요구했던 사안들에 대해서는 모르쇠로 일관하고 있지 않은가. 정작 자신들의 역할과 임무를 망각하고 산업 진흥부처에서나 할 법한 행태를 보이는 개보위에 분노하지 않을 수 없다.

개보위는 주무부처별로 인공지능기술 개발 관련 특례를 신설하려는 법안들이 국회에 상정되어 있는 점들을 들어 인공지능기술 개발을 위한 개인정보 처리에 관한 문제를  개인정보보호법 개정을 통하여 통제할 필요가 있다고 주장한다, 그러나 민병덕, 고동진 의원안 어디에도 다른 주무부처 법안에 반영될 인공지능기술 개발 특례규정과의 관계를 정확히 명시하지 않고 있다. 따라서 다른 주무부처에 의한 인공지능기술 개발 관련 특례 규정 입법을 막지도 못할 뿐만 아니라, 오히려 개인정보 보호를 위한 기본법인 개인정보 보호법에 법체계상으로도 맞지 않게 인공지능기술 개발을 위한 특례를 신설함으로써 “공공의 이익” 이나 “사회적 이익” 증진이라는 포괄적인 요건에 따른 인공지능기술 개발이 시민의 기본권보다 우월한 것으로 법에서 규정하게 되는 오류를 범하고 있다.

법안 논의 과정에서, 민병덕, 고동진 의원안에 대해 시민사회가 문제로 지적했던 내용도 거의 반영되지 않은 것으로 보인다.

첫째, ‘인공지능기술 개발’을 명분으로 하는 것은 인공지능 예외주의이며 기술 중립성 원칙에도 어긋난다. 특정한 기술 개발이 기본원칙을 훼손하는 명분이 될 수 있는지 의문이다. 인공지능기술 개발을 위해 허용된다면, 다른 기술 개발을 위해 허용되지 않아야 할 이유가 어디에 있는가.

둘째, 기본권 제한이 정당화되려면, 단지 인공지능 기술 개발이 아니라 최소한 그에 상응하는 공익 목적으로 제한해야 하지만, 법안은 “익명·가명처리로는 인공지능기술 개발이 곤란”, “사회적 이익 증진을 목적” 등 모호한 표현을 사용하여 목적 외 이용 범위를 확대하고 있다.

셋째, 개보위는 자신들이 사전심의를 하기 때문에 안전하다고 하지만, 이조차 간소화하도록 허용하는 고동진 의원안을 채택하려고 하고 있다. 모든 신청 사례는 나름의 고유한 위험이 있을 수 있기 때문에, 단순히 유사한 목적이라고 간소화를 허용해서는 안된다.

넷째, 민병덕, 고동진 의원안 모두 위험요인 평가조차 의무화하고 있지 않다. 민병덕 의원안 역시 일정한 조건에서만 의무화하고 있을 뿐이다. 기본원칙을 벗어나 개인정보를 활용하고자 한다면, 최소한 사전에 위험요인을 평가하고 위험에 상응하는 완화조치를 하는 것은 당연하다.

다섯째, 기본원칙에 벗어나서 개인정보를 활용하는 과정에서 개인정보 침해가 있을 경우 훨씬 가중하여 처벌해야 함에도 불구하고, 법안은 이에 대해 다루고 있지 않다.

유수의 대기업에서 발생한 연이은 대량 개인정보 유출 사고로 국내 개인정보 보호수준이 얼마나 허술한지 드러난 것이 얼마 되지 않았다. 그런데 기본적인 개인정보 보호조치도 하지 않는 기업들에게 정부와 국회는 가명정보도 아닌 ‘원본 개인정보’ 자체를 선물하려고 하고 있다. 이 정부가 그 책임을 어떻게 지려고 하는지 모르겠지만, 그 피해는 오롯이 정보주체에게 돌아갈 것이다.

정부와 국회에 다시 한번 촉구한다. 개인정보 보호원칙을 벗어나 원본 개인정보를 제공하려는 시도를 즉각 중단하라. 개보위는 개인정보 감독기구로서 자신의 역할을 자각하고, 정보주체의 권리 보호를 위해 적극 나서라.

2026년 5월 13일

디지털정의네트워크, 민주사회를 위한 변호사모임 디지털정보위원회, 정보인권연구소, 참여연대

CI(연계정보) 활용 모바일전자고지 ‘임시허가’ 위헌성 판단 회피한 헌재

편법이라 지적받는 규제샌드박스의 기본권 침해 판단 포기한 것

개인정보보호법 위반 지적에 과기부 답변 회피

휴대폰 개통 시 안면인증 의무화 정책 폐기 시민 요구 외면
자기결정권 침해 지적에 “불편 최소화 조치, 대체 수단 검토”로만 답변

쿠팡노동자들 개인 정보 유출 및 남용에 대한 개인정보보호위원회 진정 기자회견

사진출처 – 노동과 세계

– 일시 : 2026년 4월 29일(수) 11:00
– 장소 : 개인정보보호위원회(광화문 정부종합청사)
– 주최 : 안전한 쿠팡만들기 공동행동, 민변 블랙리스트 대응팀, 공공운수노조 전국물류센터지부 쿠팡물류센터지회, 쿠팡노동자의 건강한 노동과 인권을 위한 대책위원회, 디지털정의네트워크, 정보인권연구소

1. 기자회견 취지
쿠팡의 3,367만명 개인정보 유출사태가 알려진 지 160일이 지났습니다. 쿠팡은 미국에 대한 로비를 통해 오히려 한국 정부의 조사에 대해 압력을 행사하고 있습니다. 시민들의 피해구제가 매우 시급한데도 개인정보보호위원회는 아직도 침묵하고 있습니다. 그런데 이것만이 문제가 아닙니다. 개인정보보호위원회는 2025년 12월 말에 열린 쿠팡 청문회에서 일용직 노동자의 의료정보를 포함한 과도한 개인정보 수집, 블랙리스트 운영 등이 개인정보보호법 위반이라고 인정했으면서도 그에 대한 조치를 하지 않고 있습니다.
쿠팡은 고 장덕준님의 산재를 은폐하기 위해 CCTV를 일방적으로 삭제하고, 노동자를 대상으로 한 소송에 사용할 목적으로 노동자의 건강정보와, 노동자 개인의 상품 구매내역까지도 일방적으로 들여다보고 목적 외로 사용한 바 있습니다. 시민들의 개인정보 유출은 이처럼 노동자의 개인정보를 광범위하게 수집하고 마음대로 활용해왔던 쿠팡의 행태의 결과물이기도 합니다.
개인정보보호위원회는 소비자들의 개인정보 유출만이 아니라 노동자들의 개인정보에 대해 최소수집 보관 원칙을 어기고 광범위한 개인정보를 수집하고 자신들의 이익을 위해 목적 외로 이 개인정보를 활용한 건에 대해 제대로 처분을 내려야 합니다.
이에 개인정보보호위원회 앞에서 이를 촉구하는 기자회견을 열고, 진정서를 전달하고자 합니다.
언론 보도를 요청드립니다.

2. 기자회견 순서
– 사회 : 기선(쿠팡대책위원회 집행위원)
– 발언 1. 쿠팡은 어떻게 노동자 개인정보를 함부로 수집하고 목적 외로 사용했는가 (쿠팡대책위원회 정병민 변호사)
– 발언 2. 노동자에 대한 쿠팡의 과도한 개인정보 수집의 문제점 (디지털정의네트워크 희우 활동가)
– 발언 3. 유가족 발언 (고 장덕준님 유가족 박미숙님)
– 발언 4. 쿠팡의 개인정보 유출에 대한 개인정보보호위원회의 신속한 처분 촉구 (안전한쿠팡만들기, 참여연대 김주호 민생경제팀장)
– 발언 5. 쿠팡 블랙리스트 이후 조치 요구 (쿠팡물류센터지회 정동헌 지회장)
– 발언 6. 개인정보보호위원회 진정 요지 (민변 블랙리스트 대응팀, 법무법인 두율 김병욱 변호사)