쿠팡은 개인정보 유출 사태를 자체 조사할 때도 CPO를 배제한 채 중국인 해커 접촉과 외부 포렌식 등을 통해 진행했다. CPO의 검토를 거치지 않은 자체조사 결과는 쿠팡 홈페이지뿐 아니라 미국 증권거래위원회(SEC) 공시에도 반영됐다.

더불어민주당 이훈기 국회의원(인천 남동구을·국회 과학기술정보방송통신위원회)이 쿠팡의 개인정보처리방침 전문과 개인정보보호위원회의 쿠팡 시정조치 의결서를 분석한 결과다.

쿠팡은 2017년 3월 13일부터 개인정보처리방침에 개인정보 처리 업무를 총괄하는 책임자로 개인정보보호책임자를 지정하고 있다는 내용을 명시해 왔다.

2025년 10월 14일 공개된 개인정보처리방침에도 “쿠팡은 개인정보 처리에 관한 업무를 총괄하여 책임지고, 개인정보 처리와 관련한 이용자의 불만처리 및 피해구제 등을 위하여 아래와 같이 개인정보보호책임자를 지정하고 있습니다”라는 문구가 포함돼 있었다.

그러나 쿠팡이 개인정보 유출 사실을 밝힌 2025년 11월 29일 이후, CPO를 지정하고 있다는 문구가 삭제됐다. 2026년 2월 6일 공개된 개인정보처리방침에서는 ‘개인정보보호책임자를 지정하고 있습니다’라는 문구 대신 ‘개인정보보호 및 민원처리 부서를 지정하고 있습니다’라는 표현이 들어갔다.

개인정보 처리와 보호 업무를 총괄하는 법정 책임자였던 CPO가 개인정보처리방침에서 사라지고 ‘담당 부서’가 그 자리를 대신한 것.

쿠팡이 개인정보처리방침에서 CPO 지정 문구를 삭제한 것은 2017년 3월 13일 이후 3,252일, 약 8년 10개월 만이다. 특히 대규모 개인정보 유출사태 이후 처음 공개된 개인정보처리방침에서 이 문구가 삭제됐다는 점에서 변경 경위와 지시자를 밝혀야 한다는 지적이 나온다.

개인정보 보호법 제31조 1항에 따라 기업은 CPO를 지정해야 한다. CPO의 업무는 개인정보 보호계획 관리, 개인정보 처리 실태에 대한 조사 등이다. 기업은 정보통신망법 제45조의3 1항에 따라 정보보호최고책임자(이하 CISO)도 지정해야 하며 CISO는 CPO를 겸할 수 있다.

한국인터넷진흥원에 지난 6월 30일 공시한 정보보호 공시에 따르면 쿠팡은 CPO와 CISO를 별도로 지정해두고 있다. 법정 CPO를 CISO와 구분해 지정해 놓고도 고객에게 공개하는 개인정보처리방침에서는 CPO를 명시한 문구를 삭제하고 담당 부서만 표시한 것이다.

CPO 배제는 문구 변경에만 그치지 않았다. 개인정보보호위원회가 공개한 쿠팡 시정조치 의결서에 따르면 쿠팡은 2025년 12월 9일부터 18일까지 유출사고에 대한 자체조사를 진행하면서 CPO를 조사와 대응 과정의 의사결정에서 배제했다.

해커와의 접촉, 해커 진술서 확보, 외부 포렌식 업체를 통한 분석 등 개인정보 유출 규모와 피해를 판단하는 핵심 절차가 진행됐지만 CPO의 실질적인 검토는 이뤄지지 않았다.

쿠팡은 CPO의 검토나 분석도 없이 2025년 12월 25일 홈페이지에 자체 조사 결과를 공개했고 나흘 뒤인 12월 29일 미국 SEC에 제출한 수정공시에도 반영됐다.

이훈기 의원은 “유출사고 대응 과정에서 개인정보 보호책임자를 배제했음을 자체 개인정보 처리방침에서도 드러낸 것”이라며 “책임자는 지우고 조사 결과만 내세운 셈”이라고 비판했다.

이어 이 의원은 “쿠팡이 주장하는 3,000건의 유출 규모는 법정 책임자의 검토도 받지 않은 엉터리 결과”라며 “이번 국정감사에서 자체 조사를 누가 지휘했고 CPO 배제를 누가 지시했는지, 검증되지 않은 결과의 홈페이지 공개와 SEC 공시를 누가 결정했는지 책임자의 직책과 성명을 밝혀내 개인정보 유출에 대한 쿠팡의 책임을 끝까지 묻겠다”고 강조했다.