1minote

이번 소송은 단순히 과징금 액수를 깎는 싸움이 아니라, '개인정보보호법상 과징금 산정 기준의 한계'와 '글로벌 빅테크의 거버넌스'를 두고 대법원까지 이어질 장기전이 될 가능성이 매우 높습니다. 법정에서 치열하게 대립할 것으로 예상되는 시나리오는 다음과 같습니다. 1. 쟁점 하나: 과징금 산정의 기준이 된 '관련 매출액'의 범위 다툼 가장 큰 금액이 걸린 법적 격전지는 단연 "과징금 계산의 모수가 되는 매출액을 어디까지 잡을 것인가"입니다. 쿠팡의 논리 (예상): "시스템 인증키 관리 소홀 등 안전성 확보 조치 미비(과징금 4,236억 원)나 온라인 활동기록 수집(2,011억 원)이 쿠팡 전체 매출에 기여한 바는 극히 일부이다. 위반 행위와 직접적인 인과관계가 없는 전체 매출액을 기준으로 과징금을 산정하는 것은 '비례의 원칙'과 '과잉금지의 원칙'에 위배된다"고 주장할 것입니다. 위원회의 방어: 법 개정 취지에 따라 '전체 매출액(위반행위와 관련 없는 매출 제외)'을 기준으로 삼았으며, 3,750만 명이라는 대한민국 인구 대다수의 데이터가 유출 및 오남용된 만큼 플랫폼 전체를 위반 인프라로 보아야 한다는 논리를 유지할 것입니다. 과거 방송통신위원회나 공정거래위원회의 소송 선례를 볼 때, 법원이 '위반 행위와 매출 간의 직접적 관련성'을 어디까지 꼼꼼하게 입증하느냐에 따라 과징금 규모가 수천억 단위로 요동칠 수 있습니다.  2. 쟁점 둘: 'CPO 독립성 침해 및 조사 방해'의 고의성 여부 CPO를 자체 조사에서 배제했다는 점과 이로 인한 시정명령, 그리고 검찰 고발 조치에 대한 공방입니다. 쿠팡의 논리 (예상): "대규모 해킹 사고 대응이라는 긴박한 특수성 속에서 통제 라인을 일원화한 것일 뿐, CPO의 직무를 의도적으로 방해하거나 독립성을 침해하려는 '고의성'은 없었다. 또한 조사 방...

개인정보보호위원회는 쿠팡의 대규모 유출 사고 및 정보주체 권리 침해 행위를 조사하는 과정에서, 개인정보보호법 제31조(개인정보 보호책임자의 지정 등)에 명시된 'CPO의 독립성 보장 의무'를 위반한 구체적인 행위를 적발했습니다. 위원회가 이를 '독립성 침해 및 업무 방해'로 판단한 실제 핵심 이유를 고찰해 봅니다. 1. 해킹 사고 자체 조사 과정에서 CPO 배제 가장 명확하게 확인된 위반 사항은 유출 사고가 발생한 이후, 기업의 대응 및 조사 과정에서 보호책임자의 권한을 완전히 무력화한 점입니다. 적발 사유: 쿠팡은 발생한 해킹 사고에 대해 자체 조사를 진행하고 그 결과를 대외적으로 공개하는 과정에서, 정작 사내 개인정보 보호를 총괄해야 하는 CPO를 의사결정 과정에서 완전히 배제 했습니다. 실무적 모순: 사고의 원인을 규명하고 재발 방지 대책을 수립해야 하는 핵심 주체인 CPO에게 관련 조사 정보를 공유하지 않음으로써, 법이 보장한 CPO의 실질적인 역할 수행을 조직적으로 방해했다고 판단한 것입니다. 2. 의무 사항 이행 통제력 상실 CPO가 조직 내에서 독립적인 통제권을 행사하지 못했다는 정황은 위원회가 적발한 다른 연쇄적 위반 행위들을 통해 증명되었습니다. 적발 사유: 인증 서명키 관리 및 접근통제 소홀로 약 3,755만 명의 대규모 유출이 발생했음에도 정보주체에게 유출 통지를 이행하지 않았고, 탈퇴 회원 246만여 건의 배송지 정보를 파기하지 않고 보관했습니다. 또한 약 1,117만 명의 온라인 활동기록을 동의 없이 무단 수집하는 비즈니스 모델이 그대로 작동하고 있었습니다. 실무적 모순: CPO가 사내 데이터 처리를 감독하고 법적 의무(파기, 통지 등)를 강제할 수 있는 독립적 권한과 통제력을 정상적으로 발휘할 수 없는 구조였음을, 이러한 무더기 법 위반 결과가 방증하고 있습니다. 3. 조사 방해 행위의 연계 위원회는 이번 처분에서 단순한 관리 소홀을 넘어 '조사 방해' 혐의를 추가로 확인하고 고발 조...

이번 시행령 개정안의 핵심은 개인정보 유출 사고가 터진 뒤 수습하는 구조에서, 기업이 사전에 리스크를 통제하고 CPO의 권한을 보장하도록 강제하는 것 에 있습니다. 1. CPO 독립성 강화: 이사회 의결 및 위원회 신고 의무화 임의로 CPO를 교체하거나 지위를 흔들지 못하도록 인사 절차를 엄격하게 통제합니다. 대상 기준: 연 매출액 1,800억 원 이상이면서 민감·고유식별정보 5만 명 이상(또는 일반 개인정보 100만 명 이상) 처리하는 기업, 재학생 2만 명 이상 대학, 상급종합병원 등. (기존 전문 CPO 지정 의무 대상과 동일) 내용: 해당 기준에 부합하는 조직은 CPO를 지정, 변경, 해제할 때 반드시 '이사회 의결'을 거쳐야 하며, 1개월 이내에 개인정보보호위원회에 신고 해야 합니다. 시사점: CPO의 위상이 이사회 직속 수준으로 격상됨을 의미합니다. CPO 임면 권한이 경영진 전체의 공식 의결 사항이 됨에 따라 사내 독립성이 강력하게 보장됩니다. 2. 유출 '가능성' 통지제 신설 (72시간 이내) 과거에는 실제로 유출이 확정되어야 통지 의무가 발생했으나, 이제는 '징후'만 포착되어도 움직여야 합니다. 내용: ① 개인정보처리시스템에 대한 불법적 접근을 알게 되었거나, ② 개인정보가 불법적으로 거래·유통 중인 정황을 인지한 경우, 72시간 이내에 정보주체에게 통지 해야 합니다. 또한 통지 항목에 '비밀번호 변경 방법' 등 계정 보호조치 안내가 추가됩니다. 시사점: 사고 대응 매뉴얼(IRP)의 전면 수정이 불가피합니다. 침해 사고 분석이 끝나기 전이라도 '유출 가능성'이 인지되면 즉시 통지해야 하므로, 보안 부서의 초기 모니터링과 판단 역량이 매우 중요해졌습니다. 3. 투자 규모에 따른 과징금 감경 및 제재 실효성 강화 내용: 개인정보 보호를 위한 예산·인력·설비 투자 규모와 지속성, 안전성 확보 조치 노력 등을 고려하여 과징금을 감경받을 수 있는 구체적 기준 이 마련되었습...

우리가 매일 사용하는 생성형 AI들은 인터넷에 있는 수많은 웹사이트, 논문, 뉴스, 블로그 글을 학습하며 똑똑해집니다. 하지만 인터넷 바다에는 유익한 정보만 있는 것이 아닙니다. 온갖 스팸, 혐오 표현, 잘못된 사실, 그리고 노출되어서는 안 될 개인정보까지 뒤섞여 있죠. 만약 이 데이터를 그대로 AI에게 학습시킨다면 어떻게 될까요? IT 업계의 유명한 격언인 "쓰레기를 넣으면 쓰레기가 나온다(Garbage In, Garbage Out)"처럼, AI 역시 편향되거나 위험한 답변을 쏟아내게 될 것입니다. 그렇다면 AI 개발사들은 이 거대한 웹 데이터를 어떻게 검증하고 정제할까요? AI의 안전성과 성능을 결정짓는 4단계 데이터 검증 파이프라인 을 소개합니다. 1단계: 저품질 및 유해 정보 필터링 (Text Pre-processing) 인터넷에서 스크래핑(Scraping)한 원본 데이터에서 가장 먼저 진행하는 작업은 '쓸모없는 대상을 걸러내는 것'입니다. 품질 분류기(Classifier) 가동: 위키피디아나 학술 논문처럼 잘 정제된 고품질 문서를 기준으로 삼아, 이와 수준이 맞지 않는 기계 생성 스팸 문장이나 의미 없는 텍스트를 자동으로 감정해 제거합니다. 중복 제거(Deduplication): 인터넷에는 같은 내용의 뉴스나 글이 무수히 복사되어 돌아다닙니다. 특정 데이터가 과도하게 반복되면 AI가 그 문장을 통째로 암기해 버리는 오버피팅(Overfitting) 현상이 발생하므로, 중복된 문서는 철저히 솎아냅니다. 안전성 필터링(Safety Filtering): 폭력물, 성인물, 혐오 표현, 증오 발언이 포함된 웹사이트는 데이터셋 구축 초기 단계부터 원천 배제합니다. 2단계: 개인정보 및 민감정보 비식별화 (PII Removal) 웹페이지 중에는 주민등록번호, 전화번호, 이메일, 주소 등 민감한 개인식별정보(PII)가 무단으로 노출되어 있는 경우가 많습니다. AI가 이를 그대로 학습하면 추후 사용자의 질문에 타인의 개인정보를 답변...