쿠팡 개인정보 유출 과징금 산정, ISMS-P 인증이 감경 사유로 작용한 이유

핵심 요약

- 개인정보위가 2026년 6월 10일 공개한 제11회 전체회의 속기록에서 쿠팡의 ISMS-P 인증 취득이 과징금 감경 사유로 고려됨 - 위반행위로 얻은 이익이 없다는 점과 함께 ISMS-P 인증이 정보보호 노력의 증거로 인정받음 - ISMS-P 인증이 단순 형식적 취득을 넘어 실질적인 법적 효력을 발휘하는 사례로 확인

주요 내용

개인정보보호위원회가 2026년 8월 18일 공개한 제11회 전체회의(2026년 6월 10일 개최) 속기록을 통해, 쿠팡의 개인정보 유출 사건에 대한 과징금 산정 과정에서 ISMS-P 인증이 중요한 감경 요소로 작용했음이 확인됐다. 이는 ISMS-P 인증이 단순한 인증서 취득을 넘어 실질적인 법적·행정적 효력을 가진다는 점을 보여주는 사례다.

속기록에 따르면 개인정보위는 쿠팡에 대한 제재 수위를 결정하면서 '위반행위로 얻은 이익이 없다는 점'과 함께 'ISMS-P 인증 취득'을 긍정적 요소로 평가했다. 이는 과징금 산정 시 개인정보보호법 제34조의2(과징금의 부과·징수)에 따른 기준을 적용하면서, 위반행위의 정도, 위반행위의 기간 및 횟수, 위반행위로 인한 피해 규모와 함께 사업자의 사전 예방 노력을 종합적으로 고려한 결과로 해석된다.

ISMS-P 인증은 정보보호 및 개인정보보호 관리체계가 인증기준에 적합함을 과학기술정보통신부 장관 또는 개인정보보호위원회가 인증하는 제도다. 쿠팡의 사례는 기업이 사전에 체계적인 관리체계를 구축하고 제3자 인증을 통해 이를 입증한 경우, 불가피한 침해사고 발생 시에도 제재 수위 결정에 긍정적으로 작용할 수 있음을 시사한다.

이번 사례는 ISMS-P 인증이 단순히 공공기관 입찰 가점이나 법정 의무 이행 수단을 넘어, 실제 개인정보 침해사고 발생 시 기업의 관리 노력을 입증하는 객관적 자료로 활용될 수 있음을 명확히 보여준다. 특히 과징금 산정이라는 구체적 제재 과정에서 감경 사유로 인정받은 것은 실무적으로 중요한 선례가 될 것으로 보인다.

전문가 시각

심사원 입장에서 이번 사례는 ISMS-P 인증 취득 기업이 '형식적 인증'이 아닌 '실질적 관리체계 운영'을 입증해야 하는 이유를 명확히 보여준다. 개인정보위가 ISMS-P 인증을 감경 사유로 고려했다는 것은, 인증 취득 당시 제출한 문서와 실제 운영 상태가 일치하며, 지속적인 관리체계 유지·개선 노력이 있었음을 전제로 한다. 따라서 기업들은 인증 취득 후에도 정기적인 내부 점검, 취약점 개선, 임직원 교육 등 실질적 이행 활동을 문서화하고 증적을 확보해야 한다.

특히 주목할 점은 '위반행위로 얻은 이익이 없다'는 점과 ISMS-P 인증이 병렬적으로 언급됐다는 것이다. 이는 개인정보위가 과징금 산정 시 악의성·고의성 여부와 함께 사전 예방 노력을 균형 있게 평가한다는 의미다. 기업 입장에서는 ISMS-P 인증을 단순 면책 수단이 아닌, 지속적인 컴플라이언스 체계의 일부로 통합 운영해야 하며, 사고 발생 시에는 인증 취득 이후의 개선 활동 이력을 적극적으로 제시할 필요가 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.10.1 개인정보 침해사고 대응 체계 구축
쿠팡 사례에서 핵심은 침해사고 '발생' 자체가 아니라 '대응 체계'의 적절성이다. 심사 시 침해사고 대응 절차, 대응팀 구성, 보고체계, 사고 후 개선조치 이행 여부를 중점 점검한다. 개인정보보호법 제34조(개인정보 유출 통지 등) 및 제34조의2(과징금 부과·징수)와 직접 연계되며, 사고 대응 매뉴얼의 실효성과 실제 적용 사례가 과징금 산정 시 참고자료가 될 수 있다.

2. 인증기준 2.1.3 최고경영자의 지원 및 2.3.1 정보보호 및 개인정보보호 조직
과징금 감경 사유로 ISMS-P 인증이 인정받으려면, 최고경영자의 정보보호 의지와 전담 조직의 실질적 운영이 입증되어야 한다. 심사 시 경영진 보고 이력, 예산 배정 내역, 전담 인력의 권한과 독립성을 확인한다. 개인정보보호법 제31조(개인정보 보호책임자의 지정)와 연계되며, 형식적 인증이 아닌 실질적 관리체계 구축 여부가 제재 수위 결정에 영향을 미친다.

3. 인증기준 2.8.5 개인정보 처리 현황 관리
과징금 산정 시 '피해 규모'가 핵심 변수인 만큼, 평소 개인정보 처리 현황을 정확히 파악하고 있는지가 중요하다. 심사 시 개인정보 흐름도, 처리 목록, 보유 기간, 파기 절차의 정확성과 최신성을 점검한다. 개인정보보호법 제32조(개인정보 파일 등록 및 공개)와 연계되며, 정확한 현황 관리는 사고 발생 시 신속한 영향 범위 파악과 피해 최소화로 이어져 제재 수위에 영향을 줄 수 있다.

CPPG·ISMS-P 연계 포인트

과징금 산정 기준 (개인정보보호법 제34조의2)
개인정보보호위원회는 위반행위의 내용·정도·기간·횟수, 위반행위로 인한 피해 규모, 위반행위로 얻은 이익, 자진 시정 노력 등을 종합적으로 고려하여 과징금을 산정한다. ISMS-P 인증은 '자진 시정 노력' 및 '사전 예방 조치'의 객관적 증거로 작용할 수 있으며, 이는 과징금 감경 사유가 된다. 실무에서는 인증 취득 여부뿐 아니라 인증 이후의 지속적 개선 활동이 함께 평가된다는 점을 기억해야 한다.

관리체계 인증의 법적 효력
ISMS-P 인증은 정보통신망법 제47조 및 개인정보보호법 제32조의2에 근거하며, 인증 취득 자체로 법적 의무를 이행한 것으로 간주된다. 그러나 이번 쿠팡 사례처럼 인증 취득이 과징금 감경으로 이어지려면, 인증 당시의 관리체계가 사고 발생 시점까지 유효하게 유지·운영되고 있어야 한다. 따라서 연간 사후관리 심사, 3년 주기 갱신 심사를 성실히 이행하고, 중대한 변경 사항 발생 시 즉시 반영하는 것이 중요하다.