韩国PIPC公开Coupang罚单审议记录：驳回净额计算与"轻微违规"主张，认定存在日志删除等妨碍调查情节

韩国个人信息保护委员会（PIPC）2026年9月27日公开全体会议审议记录，披露Coupang大规模个人信息泄露案罚单的裁量过程。Coupang对处罚所依据的营收计算标准提出正式异议，主张直销业务应按"净额法"评估，即从销售总额中扣除商品采购成本与物流仓储费用，理由是直销记录全额销售额、开放平台仅记录佣金，两种口径下同等交易规模会呈现十倍的体量差异。

委员尹英美驳回这一主张，指出若予采纳将破坏既有处罚标准的一致性并违反《个人信息保护法》相关规定。委员会最终采用企业公开披露的营收数据，同时剔除未涉违规的Coupang Eats、Coupang Play及企业对企业业务部门。委员会同时驳回了Coupang关于本案应归类为"轻微违规"的主张——该公司称事件源于前员工犯罪行为、无商业图谋，并强调其持有ISMS-P认证、已开展客户补偿与整改。

调查方则认定，本次泄露源于安全管理的基本缺失而非高明的黑客手段：未授权访问在16个不同IP地址上约1.48亿次触及配送管理页面，公司以明文形式运营认证签名密钥，访问控制松懈；系统逾六个月未能发现异常，直到客户投诉才触发内部复核。委员会据此认定不构成"轻微违规"。

罚单金额的形成经历多阶段调整：因违规持续超过一年但不足两年，基础金额上调25%；因三年内发生两次以上同类违规，再加30%；考虑到未直接获取商业利益，下调30%。第二阶段调整中，因存在删除日志等妨碍调查情节，加计10%（低于秘书处最初建议的20%）；同时因已完成整改、客户补偿与隐私改进，减轻情节由40%提高至50%。Coupang表示遗憾并确认将提起行政诉讼。