쿠팡이 자사 광고가 게재된 외부 누리집과 앱을 방문한 회원 1117만여 명의 온라인 활동 기록을 적법한 근거 없이 수집하여 맞춤형 광고에 활용한 사실이 개인정보보호위원회의 조사 결과 드러났다. 이는 지난해 말 발생한 개인정보 유출 사태와는 별개의 문제로 지적된다. 개인정보보호위원회는 쿠팡이 2024년 12월 23일부터 2025년 2월 4일까지 쿠팡 광고를 게재한 외부 누리집과 앱 1564만여 곳을 방문한 회원들의 온라인 활동 기록을 무단으로 수집하고 저장하여 맞춤형 광고에 사용했다고 확인했다. 이에 대해 쿠팡은 총 과징금 4235억 7500만원(자회사 과징금 제외) 중 2011억 600만원을 제재로 받았다.

논란의 핵심은 쿠팡의 제휴 마케팅 프로그램인 ‘쿠팡 파트너스’ 운영 방식이다. 이 프로그램은 이용자가 쿠팡 광고가 설치된 타사 플랫폼을 방문할 경우, 광고 클릭 여부와 관계없이 방문 기록(URL, IP, 접속 경로, 시간 등)을 광범위하게 수집하여 이용자의 관심사와 기호를 분석해 맞춤형 광고를 노출하는 데 사용되었다. 이러한 타사 온라인 활동 기록은 회원번호와 결합되어 쿠팡의 광고 데이터베이스에 저장되었으며, 이는 이용자의 사상, 신념 등 민감정보 추론의 위험을 내포하고 있다.

또한, 일부 광고 파트너가 이용자의 의사와 무관하게 쿠팡으로 강제 이동시키는 ‘납치광고’ 행위가 있었으나 쿠팡이 이를 제대로 관리하지 않았으며, 오히려 부정 광고를 게재한 파트너에게 더 높은 수수료를 적용한 사실이 적발되었다. 쿠팡은 조사 과정에서 접속 로그 등 증거자료 보전을 방해하기 위해 로그를 수동으로 삭제하는 행위도 확인되었다.

나아가 쿠팡 자회사인 쿠팡풀필먼트서비스(CFS)에서도 위법 행위가 드러났다. CFS는 물류센터 근무 이력이 없는 경찰청 출입 기자 71명의 명단을 수집하여 취업 제한 목록에 등록 관리했으며, 임직원 건강관리 목적으로 보유한 노동자의 체중 정보를 소송 과정에서 법원에 제출하여 민감정보 처리 제한 규정을 위반한 것으로 판단되어 별도로 2억 4800만원의 과징금이 부과되었다.