쿠팡 개인정보 과징금, 챗GPT로 데이터 수집 리스크 점검 보고서 쓰는 법

2026년 10월 8일 쿠팡이 개인정보보호위원회의 과징금 처분에 불복해 행정소송을 냈다는 뉴스를 “유출 한 번에 6천억이구나” 하고 넘긴 분이 많을 것이다. 그런데 처분을 금액별로 쪼개 보면, 마케팅·그로스 담당자가 긴장해야 할 대목은 유출이 아니라 데이터를 모으는 방식 그 자체였다. 쿠팡 개인정보 과징금 사례를 기준점으로 삼아 챗GPT로 우리 회사 데이터 수집 관행을 자가진단하는 리스크 점검 보고서 초안을 뽑는 방법을 정리했다.

쿠팡 6249억 과징금, 핵심은 ‘유출’이 아니라 ‘무단 수집’이다

개인정보보호위원회 보도자료에 따르면 쿠팡(및 계열사 쿠팡풀필먼트서비스)에 부과된 제재는 과징금 6,249억 2,900만원과 과태료 1,680만원이다. 이 과징금의 대부분은 성격이 다른 두 덩어리로 구성된다.

• 개인정보 유출 관련: 4,235억 7,500만원 — 약 3,755만 명 규모 고객 정보가 외부로 빠져나간 사고의 안전조치 의무 위반
• 타사 온라인 활동기록 무단 수집 등: 2,011억 600만원 — 사고가 아니라 평소의 수집 관행에 매겨진 금액

(나머지 약 2억 4,800만원은 계열사 쿠팡풀필먼트서비스의 별도 개인정보 처리 위반에 매겨진 몫이다.)

두 번째가 이번 사안의 숨은 핵심이다. 개보위는 쿠팡이 법적 근거도, 이용자 동의도 없이 약 1,117만 명 규모의 타사 쿠키·앱 행동 기록을 수집·저장한 점을 문제로 봤다. 해커에게 털린 게 아니라, 정상 업무 과정에서 남의 사이트·앱에서의 이용자 행동을 긁어모아 보관한 것 자체가 위법으로 판단된 것이다.

쿠팡은 10월 7일 서울행정법원에 과징금 취소 소송 2건을 제기했고(사안별로 다른 재판부에 배당), 집행정지도 함께 신청했다 — 이 소식은 다음 날인 10월 8일 보도됐다. 같은 주 미국 뉴욕 동부연방법원 집단소송은 피해자 측이 관할 법원을 뉴욕남부연방법원으로 옮겨 다시 제기하겠다며 자진 취하해, 일단 국내 행정소송 하나로 쟁점이 모였다.

왜 마케팅팀 실무자가 ‘남의 일’로 넘기면 안 되는가

2,011억원이 매겨진 행위를 업무 언어로 옮기면 이렇다. 타사 쿠키와 앱에서 발생한 행동 기록을 적법한 근거 없이 우리 서버에 모아 둔 것. 특수한 보안 사고가 아니라 일반적인 리타겟팅·전환 추적 데이터 흐름과 구조가 같다.

Meta 픽셀, Google Analytics, 제휴사 트래픽 공유를 쓴다는 사실 자체가 위법은 아니다. 경계는 다른 데서 갈린다. 내 사이트에 붙인 픽셀이 내 사이트 행동을 수집하는 것과, 제휴사·외부 매체에서 발생한 행동 기록을 넘겨받아 우리 CRM의 특정 고객과 붙여 저장하는 것은 전혀 다른 일이다. 후자는 사실상 제3자 개인정보의 수집이고, 그때부터 수집 근거와 동의가 필요해진다.

“우리는 그렇게까지 안 한다”고 넘어가기 전에 세 가지만 확인해보자.

1. 그 데이터를 수집할 때 이용자에게 동의를 받았는가 — 쿠키 배너 한 줄로 끝냈는지, 목적별로 분리된 동의였는지
2. 제휴·위탁 계약서에 데이터 공유 범위와 목적이 문서로 명시돼 있는가
3. 제3자에게 제공했거나 제공받은 기록이 로그로 남아 추적 가능한가

하나라도 “모르겠다”가 나오면 그게 점검을 시작할 지점이다.

챗GPT에 입력하기 전 반드시 지켜야 할 선

개인정보보호법 리스크 점검에 들어가기 전에 하나만 짚자. 실제 고객 이름, 연락처, 이메일, 계좌번호, 쿠키 ID나 광고 식별자 원본 값은 챗GPT 입력창에 절대 넣지 않는다. CRM에서 뽑은 고객 리스트를 그대로 붙여넣는 순간 외부 서비스로 개인정보를 전송한 셈이 되고, 점검하려던 문제를 본인이 저지르게 된다. OpenAI 개인정보 처리방침에도 입력한 콘텐츠가 서비스 제공·운영 과정에서 처리·보관된다는 내용이 명시돼 있다.

그럼 뭘 넣어야 하나. 데이터 값이 아니라 수집 방식과 카테고리를 요약해 넣는다. “A 쿠키로 방문 페이지 목록 수집, B 픽셀로 구매 전환 추적, CRM에는 이메일과 구매내역 저장, 제휴사 2곳과 성과 데이터 공유” 같은 식이다. 실무에서 가장 많이 막히는 지점이 이 구분인데, 식별값을 빼도 점검 품질은 떨어지지 않는다. 위험을 가르는 기준은 ‘누구의 데이터인지’가 아니라 ‘어떤 근거로 어디까지 모아 얼마나 보관하는지’이기 때문이다.

챗GPT로 데이터 수집 리스크 점검 보고서 뽑는 3단계

여기서부터가 실제 챗GPT 리스크 보고서 작성법이다. 복잡한 세팅 없이 새 대화 하나면 된다.

1단계 — 우리 회사 데이터 수집 현황 메모 만들기

챗GPT를 켜기 전에 메모장에 네 가지를 적는다.

• 수집 채널: 자사몰 쿠키, 광고 픽셀, 앱 SDK, CRM, 제휴사 연동
• 수집 항목: 페이지 조회·클릭 같은 행동 데이터, 이메일, 구매내역, 기기정보
• 저장 위치: 사내 DB인지 외부 SaaS인지(예: 허브스팟, 세일즈포스)
• 제3자 공유 여부: 어디에 주고 어디서 받는지, 그때 동의 절차가 있는지

이 메모는 실제 고객 데이터를 옮겨 적는 작업이 아니다. “무엇을 어떤 방식으로 모으고 있다”는 문장 수준이면 충분하고, 보통 10분이면 끝난다.

2단계 — 플래그십 프롬프트 입력

아래를 새 대화의 첫 메시지로 그대로 붙여넣는다. 예시 데이터가 프롬프트 안에 들어 있어 바로 실행되고, 네 개의 불릿만 1단계 메모 내용으로 바꾸면 우리 회사용 점검서가 된다.

당신은 개인정보보호법 리스크 점검 전문가입니다. 아래는 가상의 마케팅팀이 운영 중인 고객 데이터 수집 방식입니다.

• 자사 쇼핑몰에 Meta 픽셀과 Google Analytics를 설치해 방문자의 페이지 조회·클릭 행동을 수집하고 있다
• 고객이 회원가입 시 입력한 이메일과 구매내역을 CRM(허브스팟)에 저장해 리타겟팅 광고에 활용하고 있다
• 제휴 쇼핑몰 3곳과 광고 성과 데이터를 공유하며, 공유 시 별도의 동의 절차는 거치지 않고 있다
• 수집된 행동 데이터는 보관 기한을 정하지 않고 무기한 저장하고 있다

최근 쿠팡이 ‘타사 온라인 활동기록을 법적 근거 없이 무단 수집’한 혐의로 2,011억원의 과징금을 받은 사례를 참고 기준으로 삼아, 위 4가지 수집 방식 각각에 대해 (1) 쿠팡 사례와 유사한 위반 포인트가 있는지, (2) 위험도(상/중/하), (3) 지금 당장 취해야 할 보완 조치를 표 형태로 정리한 리스크 점검 보고서를 작성해줘.

3단계 — 챗GPT 응답에서 확인할 포인트

응답은 보통 4행짜리 표로 나온다. 전체를 똑같이 들여다볼 필요 없이, 위험도가 ‘상’으로 분류된 행부터 보완 조치 칸을 읽으며 “이번 주에 가능한 것 / 법무 검토가 필요한 것”으로 가른다. 동의 없이 제휴사와 데이터를 주고받는 항목과 보관 기한이 없는 항목이 대체로 ‘상’으로 잡히는데, 전자는 계약서·동의서 수정이라 시간이 걸리고 후자는 보관 정책 문서 한 장으로 먼저 메울 수 있다.

단, 챗GPT 응답은 법률 자문이 아니라 자가진단용 1차 초안이다. 조항 번호나 과징금 요건을 그대로 믿지 말고, 조치에 들어가기 전 법무팀이나 개인정보보호책임자(CPO) 확인을 받아야 한다. 초안의 역할은 “우리가 뭘 모르고 있었는지”를 30분 안에 목록으로 만들어주는 것까지다.

리스크 점검 보고서에 반드시 들어가야 할 체크 항목 4가지

형식이 어떻든 다음 네 가지는 빠지면 안 된다. 쿠팡 사례에서 실제로 지적된 지점과 하나씩 맞물려 있다.

1. 수집 근거 — 동의를 받았는가, 아니면 계약 이행처럼 법령상 다른 근거가 있는가. 개보위가 쓴 표현이 정확히 “법적 근거 없이”였다.
2. 동의 범위 — 고지한 목적과 실제 활용 목적이 일치하는가. 서비스 제공 목적으로 받은 데이터를 리타겟팅이나 교차 분석에 쓰고 있다면 범위를 벗어난 활용이다.
3. 제3자 제공 여부 — 타사 데이터를 받아 저장·활용하는 구조가 있는지, 반대로 우리가 넘기는 쪽인지 양방향으로 본다. 2,011억원이 바로 이 항목이다.
4. 보관 기간 — 목적 달성 후 파기 절차와 기한이 정해져 있는가. 기한 없는 장기 보관은 그 자체로 추가 리스크다.

이 네 가지는 프롬프트로도 재사용할 수 있다. 점검 범위를 바꿔 다시 돌릴 때 “수집 근거, 동의 범위, 제3자 제공 여부, 보관 기간 네 가지 기준으로 표를 만들어줘”라고 지시하면 마케팅팀 데이터 수집 체크 항목이 같은 틀로 정리되고, 분기마다 같은 표를 갱신하는 식으로 운영할 수 있다.

실제로 써보니

위 2단계의 플래그십 프롬프트를 실제로 챗GPT에 그대로 입력해 돌려봤다. 아래가 그때 받은 실제 응답이다.

요청한 대로 4가지 수집 방식 각각에 대해 위반 포인트·위험도·보완 조치 3개 항목을 담은 표로 응답이 돌아왔으며, 위험도는 중 2건·상 2건으로 분류됐고 표 아래에 추가 고려사항 2개가 덧붙었다.