개인정보보호위원회가 지난달 31일 GS리테일(007070)에 부과한 개인정보 유출 과징금 128억3600만원의 산정 과정에서 회사 전체 매출의 70%가 넘는 가맹점 공급 매출이 과징금 계산 기준에서 제외된 것으로 나타났다. 석 달 전 쿠팡에 역대 최대인 6246억원이 부과된 것과 대조되면서, 유통업체의 매출 구조에 따라 제재 수위가 크게 갈릴 수 있다는 점이 확인된 것이다.
이번 처분은 2024년 6월부터 올해 2월까지 GS리테일이 운영하는 GS SHOP과 GS25 홈페이지가 해커의 무차별 로그인 공격을 받아 회원 166만153명의 이름과 연락처, 주소 등이 유출된 사고에 따른 것이다.
2일 관련 업계에 따르면 개인정보위는 GS리테일의 직전 3개 사업연도 평균 매출 약 11조5000억원 가운데 본사가 가맹점에 상품을 공급하며 잡히는 약 8조원의 매출을 위반 행위와 관련 없는 매출로 보고 제외했다. 기업 간 거래(B2B)에 해당해 개인정보 유출과 직접적 관련이 없다는 판단이다. 이에 따라 과징금 산정의 기준이 되는 매출은 2조원대로 줄었다.
개인정보보호법상 과징금은 전체 매출액에서 위반 행위와 관련 없는 매출액을 뺀 금액을 기준으로 산정하되, 전체 매출액의 3%를 넘을 수 없다. 관련 없는 매출액은 사업자가 직접 입증해야 한다. GS리테일 사업보고서상 매출은 2023년 11조803억원, 2024년 11조5794억원, 2025년 11조9574억원이다.
마지막까지 쟁점이 된 것은 슈퍼마켓인 GS더프레시 매출을 포함할지 여부였다고 한다. GS리테일은 홈쇼핑과 편의점, 슈퍼가 통합 데이터베이스(DB)를 함께 쓰는데, 이번 공격은 GS SHOP과 GS25 두 곳에서만 발생했다. DB를 공유하는 만큼 슈퍼 매출도 포함해야 한다는 의견과 실제 공격받지 않은 사업부를 넣을 수 없다는 반론이 맞섰고, 최종 슈퍼 매출은 기준에서 빠졌다.
공격 방식도 결과를 가른 것으로 파악된다. 이번 사고는 해커가 외부에서 확보한 아이디·비밀번호를 무차별 대입하는 '크리덴셜 스터핑' 방식이었다. 로그인 절차가 있는 홈페이지가 표적이 되면서 GS SHOP과 GS25만 뚫렸다. 통합 DB 서버가 직접 공격받았다면 슈퍼를 포함한 전체 매출이 기준에 잡힐 수 있었다는 것이 위원회 내부의 판단이다. 이 때문에 향후 매출 인식 구조나 공격 지점, 유출 규모와 항목에 따라 산정 기준이 달라질 수 있다는 취지의 의견도 심의 과정에서 제기된 것으로 전해졌다. 같은 회사에서 같은 유형의 사고가 재발하더라도 가맹 공급 매출이 다시 빠진다고 보장할 수 없다는 뜻이다.
이번 결과를 두고 유통업계에선 석 달 전 쿠팡 사례와는 대비가 뚜렷하다는 목소리가 나온다. 개인정보위는 지난 6월 쿠팡에 유출 관련 4235억7500만원, 타사 온라인 활동기록 무단 수집 등 침해 관련 2011억600만원 등 총 6246억8100만원의 과징금을 부과했다. 당시 개인정보위는 사고가 발생한 쿠팡 이커머스 서비스 매출을 과징금 부과 기준으로 삼았고, 쿠팡이츠·쿠팡플레이 등 별도 서비스로 고지된 사업부만 제외한 바 있다.
쿠팡은 심의 과정에서 제조 중소기업 물건을 직매입해 마진을 거의 남기지 않고 파는데 거래액 전체가 자사 매출로 과대 산정된 것이라 주장했는데, 최종적으로 받아들여지지 않았다. 쿠팡은 처분에 불복해 행정소송을 예고한 상황이다.