쿠팡노동자들 개인 정보 유출 및 남용에 대한 개인정보보호위원회 진정 기자회견
- 일시 : 2026년 4월 29일(수) 11:00
- 장소 : 개인정보보호위원회(광화문 정부종합청사)
1. 기자회견 취지
쿠팡의 3,367만명 개인정보 유출사태가 알려진 지 160일이 지났습니다. 쿠팡은 미국에 대한 로비를 통해 오히려 한국 정부의 조사에 대해 압력을 행사하고 있습니다. 시민들의 피해구제가 매우 시급한데도 개인정보보호위원회는 아직도 침묵하고 있습니다. 그런데 이것만이 문제가 아닙니다. 개인정보보호위원회는 2025년 12월 말에 열린 쿠팡 청문회에서 일용직 노동자의 의료정보를 포함한 과도한 개인정보 수집, 블랙리스트 운영 등이 개인정보보호법 위반이라고 인정했으면서도 그에 대한 조치를 하지 않고 있습니다.
쿠팡은 고 장덕준님의 산재를 은폐하기 위해 CCTV를 일방적으로 삭제하고, 노동자를 대상으로 한 소송에 사용할 목적으로 노동자의 건강정보와, 노동자 개인의 상품 구매내역까지도 일방적으로 들여다보고 목적 외로 사용한 바 있습니다. 시민들의 개인정보 유출은 이처럼 노동자의 개인정보를 광범위하게 수집하고 마음대로 활용해왔던 쿠팡의 행태의 결과물이기도 합니다.
개인정보보호위원회는 소비자들의 개인정보 유출만이 아니라 노동자들의 개인정보에 대해 최소수집 보관 원칙을 어기고 광범위한 개인정보를 수집하고 자신들의 이익을 위해 목적 외로 이 개인정보를 활용한 건에 대해 제대로 처분을 내려야 합니다.
이에 개인정보보호위원회 앞에서 이를 촉구하는 기자회견을 열고, 진정서를 전달하고자 합니다.
언론 보도를 요청드립니다.
2. 기자회견 순서
- 사회 : 기선(쿠팡대책위원회 집행위원)
- 발언 1. 쿠팡은 어떻게 노동자 개인정보를 함부로 수집하고 목적 외로 사용했는가 (쿠팡대책위원회 정병민 변호사)
- 발언 2. 노동자에 대한 쿠팡의 과도한 개인정보 수집의 문제점 (디지털정의네트워크 희우 활동가)
- 발언 3. 유가족 발언 (고 장덕준님 유가족 박미숙님)
- 발언 4. 쿠팡의 개인정보 유출에 대한 개인정보보호위원회의 신속한 처분 촉구 (안전한쿠팡만들기, 참여연대 김주호 민생경제팀장)
- 발언 5. 쿠팡 블랙리스트 이후 조치 요구 (쿠팡물류센터지회 정동헌 지회장)
- 발언 6. 개인정보보호위원회 진정 요지 (민변 블랙리스트 대응팀, 법무법인 두율 김병욱 변호사)
<진정서> 쿠팡의 개인정보보호법 위반 혐의에 대한 진정서
* 진정서의 분량이 많아서 일부만 담습니다.
3. 피진정인들에 대한 개인정보 관리 실태 및 개인정보보호법 위반 여부 조사의 필요성
가. 쿠팡 물류센터 노동자 개인정보 유출 가능성에 대한 조사의 필요성
위와 같이 피진정인들은 쿠팡 물류센터 근로자들의 개인정보를 광범위하게 수집하여, 처리하고 있으나, 최근 대규모 개인정보 유출 사태에서 확인된 허술한 정보보호체계 및 피진정인들의 개인정보의 민감성, 중요성에 대한 안일한 인식과 태도에 비추어 피진정인들이 수집, 관리하고 있는 근로자들의 개인정보에 대한 정보보호 및 보안 체계 또한 부실할 것으로 추정됩니다.
쿠팡 개인정보 유출 사태에서, 피진정인들의 정보보호체계의 접속 권한에 대한 검증 체계가 부재하고, 서명키 등 서버 접속 수단의 통제 체계에 허점이 있다는 점이 밝혀졌는바, 물류센터 근로자들의 개인정보 동일하거나 유사한 방식으로 보관되고 처리되었을 가능성이 상당합니다.
이에 금번 유출 사태로 인한 조사 범위를 소비자 개인정보에 국한하지 않고, 근로자 개인정보의 관리 실태와 정보보호체계, 보안 취약점 전반으로 확대할 필요성이 긴절하다 할 것입니다.
나아가 아래에서 추가로 살펴보는바와 같이, 개인정보유출 가능성 및 위험성 뿐만 아니라 피진정인들이 최소수집원칙을 위반하여 근로자 개인정보를 광범위하게 이용하여 왔고, 즉시 파기의무를 위반한 혐의에 대한 조사가 필요하며, 나아가 피진정인들이 이전에 위법하게 블랙리스트를 작성하고 취업방해 목적으로 활용해온 점, 최근 고 장덕준 산재 사건 대응에서 확인된 CCTV의 목적외 이용 및 제공 등 사정에 비추어 피진정인들의 개인정보보호법 위반 혐의에 대한 조사 및 처분 또한 시급히 이루어져야할 필요가 있습니다.
나. 피진정인들의 개인정보보호법 위반 혐의
1) 최소수집원칙 위반 및 파기의무 위반 가능성
개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 합니다(개인정보보호법 제3조 제1항). 개인정보처리자는 정보주체의 자발적인 동의를 받으면 필요 최소한의 정보 이외의 것도 수집할 수 있으나, 필수 정보 이외의 정보 수집에 동의하지 않는다는 이유로 재화 또는 서비스의 제공을 거부하면 3천만원 이하의 과태료 대상입니다(법 제75조 제2항 1호, 법 제16조 제3항).
그런데 앞서 살펴본바와 같이 피진정인들은 개별 근로자별로 채용 지원에서부터 시작하여 물류센터 작업 진행 과정 전반에서 구체적인 작업 공정 및 이동 동선 등과 관련된 개인정보를 광범위하게 수집하고 있는바, 이는 개인정보보호법상 최소수집원칙에 부합하는 것으로 보기 어렵습니다.
특히 피진정인 쿠팡 CFS 개인정보처리방침에 의하면, 업무적합성 평가, 적절한 작업배치, 산재발생 예방의 목적 아래 생활습관, 질환병력, 약물복용, 질환 정보, 임신 및 출산 관련 정보, 건강정보를 수집한다고 하면서 이를 필수 수집 항목에 포함시키고 있는바(증 제1호증 쿠팡CFS 개인정보처리방침), 개인의 생활습관, 질환 병력 등 내밀한 개인정보의 제공에 동의하지 않으면 근로계약을 체결할 수 없도록 정한 위 내용은 개인정보보호법상 최소 수집원칙을 위반하였을 소지가 다분하다 할 것입니다.
한편 개인정보처리자는 보유기간이 경과하거나, 처리목적이 달성되어 개인정보가 불필요하게 되었을 때 이를 지체없이 파기해야할 의무를 부담하고, 다른 법령에 따라 보관해야하는 경우 물리적 또는 기술적 방법으로 해당 개인정보를 다른 개인정보와 분리해서 보관·관리해야 합니다.
이를 위반하여 개인정보를 미파기하는 경우 3천만원 이하의 과태로 부과대상에 해당하며(법 제75조 제2항 4호, 법 제21조 제1항), 다른 법령에 따른 보관시 개인정보를 분리하여 저장하지 않는 경우 1천만원 이하의 과태료 부과 대상입니다(법 제75조 제4항 제2호, 법 제21조 제3항)
그런데 쿠팡 개인정보 유출 사태에서 유출된 계정에는 쿠팡 서비스를 탈퇴한지 5년이 지난 고객과 휴면 계정의 고객까지 포함되어 있다는 것인바(증 제3호증 ‘5년전 탈퇴’에도 남아있다 털린 쿠팡 개인정보... “한국서 개인정보는 ‘공공재냐?” 경향신문 2025. 12. 1.자 기사), 피진정인들이 물류센터 근로자들의 개인정보를 수집, 이용하면서, 목적 달성 이후에도 즉시 파기의무를 위반하였고, 다른 법령에 따라 보관하였더라도 별도로 분리 보관하지 않았을 가능성을 배제할 수 없습니다. 이에 대하여 철저한 조사와 신속한 처분이 요구된다 할 것입니다.
2) 개인정보의 목적 범위 외 이용 및 제3자 제공 혐의
개인정보처리자는 개인정보를 수집 목적 범위를 초과하여 이용하거나 제공하여서는 안되며, 정보주체의 동의 없이 개인정보를 제3자에게 제공하여서도 안됩니다(법 제17조 제1항 제1호, 법 제18조 제1항). 이를 위반하는 경우 행위자 뿐만 아니라 법인도 형사처벌 대상이 되며(법 제71조, 제74조), 매출액의 100분의 3을 초과하지 않는 범위에서 과징금 부과 대상이 됩니다(법 제64조의 2 제1항 제1호).
그런데 앞서 살펴본 피진정인들의 물류센터 근로자들에 대한 광범위한 개인정보 수집 및 이용 실태 및 개인정보보호에 대한 안일한 인식과 더불어 부실한 정보보호체계에 비추어볼 때, 피진정인들이 수집하여 보관하고 있는 근로자 개인정보를 수집 목적 범위를 초과하거나 위법하게 제3자에게 제공하였을 가능성을 의심하지 않을 수 없습니다.
특히 피진정인들은 일용직 근로자들을 포함한 계약직 근로자들로부터 근로계약 체결 및 이행을 목적으로 수집한 개인정보를 재취업을 방해하기 위한 목적으로 위법하게 활용하여 소위 블랙리스트를 작성하여 관리하여 온 사정이 드러나 사회적으로 큰 파장을 일으킨 전력이 있습니다.
피진정인 쿠팡CFS는 물류센터 취업을 위해 제출된 근로자와 퇴직자의 개인정보와 언론사 기자 등의 정보가 포함된 ‘PNG리스트’라는 명칭의 개인정보 파일을 운용하면서, 노조 활동, 고의적 업무방해 등 일정한 사유로 분류하고, 이들 개인정보를 정보주체의 동의 없이 취업을 배제할 목적으로 피진정인 쿠팡(주)를 포함한 각 계열사 서버에서 공유하였던 사정이 공익신고자를 통해 드러났는바, 이러한 혐의에 대하여 현재 서울 송파경찰서에서 수사를 계속 중에 있습니다(접수번호 2024-4301).
나아가 위 사례에 그치지 않고 최근 피진정인 쿠팡(주)은 CCTV의 영상정보를 법상 제한적으로 열거된 목적 범위(시설 안전, 화재 및 범죄 예방)를 벗어나 다른 목적으로 활용한 사정이 드러나 사회적으로 큰 비판을 받았습니다.
개인정보보호법은 CCTV 등 영상정보처리기기의 설치목적을 시설안전, 화재 및 범죄예방 등 제한적으로 열거하고 있고, 다른 목적으로 임의로 조작하거나 목적외 이용을 엄격히 금지하고 있습니다(법 제25조 제1항, 제4항),
그런데 피진정인 쿠팡(주)는 故 장덕준 물류센터 근로자의 과로사의 산재 인정 여부가 문제되자, 방대한 양의 CCTV 자료를 분석하여 고인이 휴식을 취하는 장면 등 피진정인에 유리한 자료를 선별적으로 수집·활용하려 한 사정이 확인되었는바, 이는 시설안전, 화재 예방 등 본래의 수집 목적을 벗어나 근로자를 감시하고 법적 분쟁에 대비하기 위해 개인정보를 목적 외로 이용한 것으로, 앞서 설명한 블랙리스트 사건과 마찬가지로 피진정인들이 근로자 개인정보를 기업의 이익을 위해 자의적으로 취급하고 정보주체의 동의를 얻은 수집 목적의 범위와 무관하게 위법하게 활용해온 정황이라 할 것입니다.
실제 피진정인 쿠팡(주)이 故 장덕준 물류센터 근로자의 과로사 산재 사건에 대한 대응 과정에서 사용한 영상의 출처가 무엇인지, 해당 영상의 수집목적은 무엇이었는지 등이 조사되어 밝혀져야 하고, 위와 같이 산재 은폐 목적으로 영상을 선별, 분석, 검토한 행위에 대하여 목적 범위 외 사용 또는 위법한 제3자 제공에 해당하는지 여부 등 개인정보보호법 위반 여부에 대한 철저한 조사와 신속한 처분이 이루어져야 할 것입니다.
더하여, 비단 피진정인들의 위 사안에 대한 대응 과정 뿐만 아니라 피진정인들의 정보보안 및 정보보호에 대한 안일한 인식 및 정보보호 실상에 비추어 물류센터 근로자 개인정보 전반에 대하여 임의로 피진정인들의 이익에 부합되게 산재 은폐 등 위법한 목적으로 개인정보를 이용하거나 계열사 내부 또는 외부의 제3자에게 제공한 사정이 없는지 철저한 조사와 처분이 필요하다 할 것입니다.
4. 결론
피진정인들의 정보보호 및 정보주체의 권리에 대한 인식은 미비하거나 안일한 수준이며, 피진정인들이 마련한 정보보호체계는 허술하고, 구조적인 문제를 지니고 있으며, 외부 공격에 취약하다는 점이 최근 쿠팡 개인정보 유출 사태를 통하여 객관적으로 확인되었습니다.
이러한 문제는 비단 소비자 개인정보 뿐만 아니라 피진정인들이 물류센터를 관리 및 운영하는 과정에서 광범위하게 수집, 이용하고 있는 근로자들의 개인정보에 대해서도 마찬가지로 적용될 수 있는바, 피진정인들이 최소수집의 원칙을 위반하여 불필요한 정보를 위법하게 수집하고 있는지 여부, 즉시 파기의무를 위반하였거나, 법령에 의해 보관하고 있는 경우 적절한 분리 보관이 이루어졌는지 여부, 피진정인들이 블랙리스트 및 故 장덕준 물류센터 근로자 산재 사건에서의 위법한 대응과 마찬가지로 영상정보 및 개인정보를 위법하게 수집 목적 범위 외로 활용하거나 제3자에게 제공하여 법을 위반하였는지 여부를 철저히 조사하여 그 내용을 시정하도록 관련 조항에 따라 과징금, 과태료 등 엄중히 처분하여 주시기 바랍니다.