個人情報保護委員会が先月31日GSリテール(007070)に科した個人情報流出に関する過料128億3600万ウォンの算定過程で、会社全体売上の70%を超える加盟店向け供給売上が過料算定の基準から除外されたことが分かった。3カ月前にクーパンに過去最大の6246億ウォンが科された事例と対照的であり、小売企業の売上構造によって制裁水準が大きく分かれ得る点が確認されたということだ。
今回の処分は、2024年6月から今年2月までGSリテールが運営するGS SHOPとGS25のホームページがハッカーの無差別ログイン攻撃を受け、会員166万153人の氏名と連絡先、住所などが流出した事故によるものだ。
2日、関連業界によれば、個人情報委はGSリテールの直前3事業年度の平均売上約11兆5000億ウォンのうち、本社が加盟店に商品を供給することで計上される約8兆ウォンの売上を、違反行為と関連のない売上とみて除外した。企業間取引（B2B）に当たり、個人情報流出と直接の関連がないとの判断である。これにより過料算定の基準となる売上は2兆ウォン台に縮小した。
個人情報保護法上、過料は全体売上高から違反行為と関連のない売上高を差し引いた金額を基準に算定し、全体売上高の3%を超えることはできない。関連のない売上高は事業者が直接立証しなければならない。GSリテールの事業報告書上の売上は2023年11兆803億ウォン、2024年11兆5794億ウォン、2025年11兆9574億ウォンである。
最後まで争点となったのは、スーパーマーケットであるGSザフレッシュの売上を含めるかどうかだったという。GSリテールはホームショッピングとコンビニ、スーパーが統合データベース（DB）を共用しているが、今回の攻撃はGS SHOPとGS25の2カ所でのみ発生した。DBを共有している以上、スーパー売上も含めるべきだという意見と、実際に攻撃を受けていない事業部を入れることはできないという反論が対立し、最終的にスーパー売上は基準から外れた。
攻撃手法も結果を分けたとみられる。今回の事故は、ハッカーが外部で入手したID・パスワードを無差別に入力する「クレデンシャルスタッフィング」方式だった。ログイン手続きがあるホームページが標的となり、GS SHOPとGS25だけが突破された。統合DBサーバーが直接攻撃を受けていれば、スーパーを含む全体売上が基準に算入され得たというのが委員会内部の判断だ。このため、今後は売上認識構造や攻撃の地点、流出規模と項目に応じて算定基準が変わり得るという趣旨の意見も審議過程で提起されたと伝わった。同一企業で同一類型の事故が再発しても、加盟供給売上が再び除外されると保証できないという意味である。
今回の結果をめぐり、小売業界では3カ月前のクーパン事例と対比が鮮明だという声が出ている。個人情報委は6月、クーパンに流出関連4235億7500万ウォン、他社オンライン活動記録の無断収集など侵害関連2011億600万ウォンなど、合計6246億8100万ウォンの過料を科した。当時、個人情報委は事故が発生したクーパンのeコマースサービス売上を過料賦課の基準とし、クーパンイーツ・クーパンプレイなど別個のサービスとして告知された事業部のみを除外した。
クーパンは審議過程で、製造中小企業の商品を直仕入れしてほとんどマージンを残さずに販売しているため、取引額全体が自社売上として過大算定されたと主張したが、最終的に受け入れられなかった。クーパンは処分に不服として行政訴訟を予告している状況だ。