Mức phạt trên được đưa ra sau khoảng 7 tháng kể từ khi sự cố rò rỉ thông tin cá nhân của Coupang được công bố vào tháng 11/2025. Đây là mức phạt lớn nhất từ trước tới nay xét trong các vụ rò rỉ thông tin cá nhân, cũng là mức phạt cao kỷ lục với hành vi vi phạm của một doanh nghiệp.

Theo kết quả điều tra của Ủy ban, tin tặc đã đánh cắp và làm rò rỉ thông tin cá nhân của tổng cộng hơn 33,2 triệu thành viên và ít nhất khoảng 4,33 triệu người dùng không phải thành viên của Coupang. Ủy ban nhận định sự cố này xảy ra không phải do các thủ thuật tấn công mạng quá tinh vi mà xuất phát từ việc Coupang lơ là quản lý và thiếu hệ thống quản lý an toàn cơ bản.

Ủy ban chỉ ra rằng Coupang đã không quản lý tốt mã khóa dùng cho chữ ký điện tử. Thậm chí khi xảy ra tình trạng lưu lượng truy cập bất thường do cuộc tấn công của tin tặc, doanh nghiệp này vẫn không hề hay biết cho đến khi tiếp nhận khiếu nại từ phía khách hàng.

Việc Coupang chậm trễ thông báo về sự việc rò rỉ phát sinh tiếp theo, lưu trữ thông tin của thành viên đã hủy tài khoản mà không tiêu hủy, hay hành vi cản trở điều tra bằng cách tiêu hủy tài liệu trong quá trình thanh tra cũng bị xác định là vi phạm Luật bảo vệ thông tin cá nhân.

Bên cạnh đó, Ủy ban Bảo vệ thông tin cá nhân kết luận Coupang đã tự ý thu thập và lưu trữ lịch sử hoạt động trực tuyến của khoảng 11 triệu thành viên khi họ truy cập vào các trang web và ứng dụng của công ty khác.

Về quyết định xử phạt trên, Coupang đã đưa ra thông cáo chính thức, gửi lời xin lỗi đến khách hàng và người dân vì đã gây lo ngại do sự cố rò rỉ thông tin cá nhân. Tuy nhiên, doanh nghiệp này bày tỏ lấy làm tiếc vì quyết định xử phạt đã không cân nhắc đến các giải pháp chủ động của công ty nhằm ngăn chặn thiệt hại thứ cấp, cùng những giải trình dựa trên sự thật khách quan của công ty. Coupang bày tỏ kỳ vọng bản chất sự việc sẽ được làm sáng tỏ một cách minh bạch thông qua các thủ tục pháp lý.