[트럼프 스톡커] 미국서 쿠팡 소송 걸면 10만원보단 더 줄까요 : zum 뉴스

최근 한국 국민 3379만 명의 개인정보를 유출해 논란을 빚은 쿠팡 사태가 한국은 물론 미국에서도 집단 소송으로 번질 기미를 보이고 있다. 쿠팡이 미국에 본사를 둔 뉴욕증권거래소(NYSE) 상장사인 만큼 현지 연방법원을 통하면 철저한 강제 조사와 대규모 배상을 더 쉽게 끌어낼 수 있을 것이라는 기대에서다. 쿠팡은 현재도 창업주인 김범석 미국 쿠팡Inc 이사회 의장의 은둔 속에 어설픈 대응으로 논란을 키우고 있다. 다만 개인정보 유출에 따른 실질적인 금전 피해가 아직 발생하지 않은 만큼 1인당 소송 가액이 매우 적을 수 있다는 점은 변수다. 국민 대다수가 피해를 입었지만 실제 참여 인원이 적을 경우 전체 배상액도 예상보다 크게 줄어들 수 있다. 법적 실익이 너무 작으면 일부 법무법인(로펌)은 집단 소 제기 자체를 포기할 가능성도 있다. 용의자와 수법이 특정되지 않은 사건의 특성상 조사와 소송 기간이 길어질 수 있다는 점도 쿠팡에는 유리한 정황이다. 과거 유사 사건 때처럼 사용자들이 시간이 지나면 지날수록 무덤덤해질 수 있는 까닭이다. 과징금 역시 기대보다 적은 액수를 일회성으로 지출하고 끝날 공산이 커 보인다. 뉴욕 증시에서도 쿠팡의 주가는 이런 현실을 반영하듯 연일 상승 곡선을 그리고 있다.

법무법인 대륜, 美서 쿠팡에 ‘징벌적 손배’ 집단소송…“강제 조사, 대규모 배상 가능”

한국 법무법인 대륜과 이 로펌의 미국 현지 법인인 SJKP는 8일(현지 시간) 뉴욕 맨해튼 사무실에서 기자회견을 열고 쿠팡의 피해자들을 최대한 모아 뉴욕 연방법원에 징벌적 손배 소송을 제기할 예정이라고 밝혔다. 김국일 대륜 대표변호사는 “7일까지 한국·미국에서 동시에 소송을 제기하겠다는 원고 수가 200명이 넘었다”며 “이 가운데 절반인 100여 명은 형사 고소·고발 업무까지 맡겼다”고 말했다. 이어 “이 사건은 쿠팡의 독특한 지배구조 탓에 피해자가 미국, 말레이시아 등 다국적으로 걸쳐 있다는 게 특징”이라며 “정보 유출 경로도 한국인지 중국인지 알 수 없는 첫 사례라 미국 법원에서도 관심을 가질 것으로 보인다”고 강조했다.

김 대표는 “쿠팡은 본사가 델라웨어주에 등록돼 있고 뉴욕 증시에 상장된 ‘미국 기업’”이라며 “한국에서는 기업이 정보를 은폐할 경우 피해를 입증하기도 어렵다”고 주장했다. 그러면서 “역대 최대 과징금(카카오)조차 151억 원에 불과해 연 매출이 30조 원이 넘는 쿠팡에 위협이 되지 않는다”며 “미국에는 징벌적 손해배상 제도가 있어 배상 규모가 크게 달라진다”고 부각했다. 또 “쿠팡의 미국 본사가 한국 자회사의 시스템과 데이터에 실질적인 접근 권한을 갖고 있다면 미국 법원은 서버가 어디에 있든 관련 자료 제출을 강제할 수 있다”고 부연했다.

대륜과 SJKP에 따르면 실제 2017년 미국 에퀴팩스는 3000만 명의 개인정보를 유출한 대가로 7억 달러(약 1조 300억 원)의 합의금을 지불했다. 또 2018년 페이스북은 제3자 업체가 사용자 정보를 무단으로 수집해 정치적으로 악용하는 것을 방조했다는 이유만으로 집단소송에서 7억 2500만 달러(약 1조 700억 원)를 원고에게 지급했다. 페이스북은 미국 연방거래위원회(FTC)에서 50억 달러(약 6조 5000억 원)의 과태료도 부과받았다.

대륜과 SJKP는 집단 소송을 원하는 피해자들을 계속 모집해 한국과 미국 법원에 각각 소를 제기할 계획이다. 한국과 미국의 법 체계가 다른 만큼 각각 다른 소송 전략으로 대응한다. 한국에서는 소비자 피해 배상에 집중하고 미국에서는 상장사의 지배구조 실패와 공시 의무 위반을 주로 문제 삼겠다는 입장이다.

탈 허쉬버그 SJKP 미국 변호사는 “쿠팡의 법적 본사는 델라웨어주에 있지만, 개인정보 문제는 연방법원에서 다 관할할 수 있다”며 “뉴욕은 쿠팡의 주요 투자자가 밀집한 곳인 데다 소비자 보호와 개인정보 침해 이슈를 다루기에 가장 적합한 장소”라고 소개했다. 또 “원고는 주주가 아닌 실질적 피해를 입은 ‘쿠팡 사용자’로, 쟁점은 주가 영향이 아닌 정보 유출에 따른 소비자 권리 침해로 다룰 것”이라고 설명했다.

이날 기자회견에는 쿠팡을 이용하는 뉴욕 교민들도 일부 참석해 소송 참여에 관심을 보였다. 김 대표는 “쿠팡은 한국 국민의 데이터를 기반으로 성장해 뉴욕 증시에 상장했는데, 이익은 미국으로 가져가면서 책임은 한국의 느슨한 규제 뒤에 숨어서 지려 한다”며 “사건이 국경 밖에서 발생했다는 이유만으로 본사의 책임이 면제되는 시대는 지났다”고 비판했다.

━

로펌들 국내에서도 잇따라 피해자 모집···창업주 김범석은 아직도 은둔만

앞서 쿠팡은 지난달 29일 고객 계정 3379만 개 정보가 ‘노출’이 됐다고 발표하면서 여기에는 이름과 e메일, 전화번호, 주소, 주문 정보 등의 개인 정보가 포함됐다고 밝혔다. 쿠팡은 심지어 여기에 고객의 공동현관 비밀번호 정보도 일부 포함됐다고 뒤늦게 시인했다. 쿠팡은 이 사고를 지난달 18일 인지했다면서 같은 달 20일과 29일 각각 관련 내용을 개인정보보호위원회에 신고했다.

쿠팡은 창업주인 김범석 의장이 지난 2010년 8월 유통 스타트업으로 세운 기업이다. 쿠팡의 모회사는 한국 법인의 지분 100%를 보유한 미국 기업 쿠팡Inc다. 쿠팡Inc는 세제 혜택 등을 감안해 서류상 주소만 미국 델라웨이주에 두고, 실제 본사 사무소는 캘리포니아주 마운틴뷰에서 운영하고 있다. 쿠팡Inc는 2021년 3월 11일 뉴욕증권거래소(NYSE)에 상장했다.

김 의장은 대기업 주재원 아버지를 따라 7살 때 미국으로 건너간 한국 출생자로 현 시민권 보유자다. 김 의장은 지금도 쿠팡Inc의 의결권을 73.7% 소유하면서 사실상 회사를 지배하고 있다. 김 의장은 지난해 11월 보유하고 있던 클래스B 보통주를 클래스A 보통주 1500만 주로 전환해 처분하면서 4846억 원을 현금화하기도 했다.

김 의장은 특히 이번 사태 내내 아무런 입장도 내지 않으며 수많은 뒷말을 낳고 있다. 김 의장은 이 사건 전에도 택배 기사·물류센터 노동 문제, 쿠팡풀필먼트서비스(CFS) 퇴직금 미지급 사건 관련 수사 외압 의혹, 입점 수수료 논란 등이 잇따라 불거질 때에도 한 번도 모습을 드러내지 않았다. 수사 외압 의혹의 경우는 10월 국정감사를 통해 상설 특별검사 수사까지 받게 된 상황이다. 쿠팡에서 택배·물류센터 일을 하다 숨진 노동자 수는 올해에만 8명에 달한다. 국회 과학기술정보방송통신위원회는 9일 전체회의에서 오는 17일 쿠팡 사태 진상 규명을 위한 청문회를 열기로 하고 김 의장을 핵심 증인으로 채택했다.

대형 사고를 친 쿠팡을 향해 법적 조치에 나선 것은 대륜과 SJKP뿐이 아니다. 다른 법무법인들도 국내에서 집단 소송 원고 모집에 나섰다. 법무법인 청은 이달 1일 쿠팡 이용자 14명과 함께 1인당 20만 원씩 위자료를 청구하는 내용의 소장을 서울중앙지방법원에 제출했다. 곽준호 법무법인 청 변호사는 “이후 소송 의사를 밝힌 이용자가 800여 명”이라고 말했다.

롯데카드 개인정보 유출 사건에서 피해자들의 손해배상 소송을 대리했던 법무법인 지향도 참여자를 모집해 약 2500명과 위임 계약을 마쳤다. 또 쿠팡 이용자 30여 명을 대리해 개인정보분쟁조정위원회에 분쟁 조정을 신청했다. 번화 법률사무소도 3000여 명에게 위임 계약서 서명을 받았다. 로피드 법률사무소가 대리하는 집단소송에 참여 의사를 밝힌 사용자도 2400여 명에 이른다.

참여연대와 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹은 3일 서울 신천동 쿠팡 사옥 앞에서 기자회견을 열고 한국소비자단체협의회 자율분쟁조정위원회에 분쟁조정을 신청한다고 밝혔다. 단체들은 9일까지 분쟁조정에 참여할 피해자를 모집한다. 통상적인 조정 절차는 최대 6개월이 걸리지만 단체들은 사안의 심각성 등을 고려해 2∼3개월 안에 결과를 내 달라고 분쟁조정위에 요청할 방침이다. 단체들은 발언문을 통해 “공동현관 비밀번호까지 유출됐다는 소식에 배신감을 넘어 공포스럽기까지 하다”고 주장했다.

━

소송 이겨도 1인당 받을 수 있는 금액은 잘해야 10만 원···정부, ‘징벌적 손배’ 현실화 촉구

소송 대리는 잇따르고 있지만 법조계는 쿠팡 사건에서도 1인당 실질 배상 가능액은 턱 없이 적을 것으로 보고 있다. 실제 2014년 KB국민·NH농협·롯데카드에서 고객 이름, 주민등록번호, 카드번호 등 20종의 개인정보 1억여 건이 유출됐을 때에도 법원은 1인당 최대 10만 원만 배상하라고 판결했다. 재산상 피해가 입증되지 않은 데다 카드사가 2차 피해 방지를 위해 노력한 점이 참작됐다. 이후 발생한 2016년 인터파크, 2024년 모두투어(080160) 개인정보 유출 사례에서도 1인당 10만 원 배상 판결이 전부였다. 더욱이 2014년 KT(030200)의 가입자 981만 명 개인정보 1170만 건 유출 사건에서는 기업의 손해배상 책임이 아예 인정되지 않았다. 당시 대법원은 KT가 법에서 규정한 보호조치를 충실히 이행했는데도 유출 사고가 발생했다고 봤다.

상황이 이렇다 보니 한국에서도 미국과 같은 징벌적 손해배상을 실현해야 한다는 주장이 곳곳에서 나오고 있다. 당장 이재명 대통령부터 2일 서울 용산 대통령실에서 주재한 국무회의에서 “관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상 제도를 현실화하라”고 지시했다.

송경희 개인정보위원장도 3일 서울 여의도 국회 정무위원회 현안 질의에서 ‘쿠팡의 연 매출이 41조 원이니 과징금은 1조 2000억 원까지 부과할 수 있고, 현행법상으로 징벌적 손해배상은 그 5배인 6조 원까지 청구할 수 있지 않느냐’는 김승원 더불어민주당 의원 질문에 “관련 규정이 있다”고 답했다. 실제 현 개인정보보호법은 고의나 중대한 과실로 개인정보가 유출돼 피해가 발생하면 법원이 손해액의 최대 5배까지 배상할 수 있게 한다. 이는 2015년 도입된 조항이다. 문제는 ‘개인정보처리자가 고의 또는 중과실이 없음을 증명한 경우 적용하지 않는다’는 단서 조항 탓에 지금까지 적용된 적은 한 번도 없다는 점이다. 집단 소송과 관련해서도 현행 개인정보보호법 제51조 단체소송 규정에는 손해배상 청구 부분이 빠져 있다. 송 위원장은 “소송이 장기화되거나 손해액을 입증하기 어려운 탓에 제도가 실효성 있게 작동하지 못하고 있다”며 “과징금을 강화하고 징벌적 손해배상 제도의 실효성을 제고할 수 있는 방안을 강구하겠다”고 밝혔다.

손해배상뿐 아니라 정부 과징금도 현재 거론되는 1조 원대 수준은 아닐 가능성이 높다. 산술적으로는 개인정보보호법상 총 매출액의 최대 3%까지 물릴 수 있지만 실상 그런 전례는 없는 까닭이다. 쿠팡의 지난해 매출 41조 원을 기준으로 단순하게 계산하면 과징금의 법정 최대치는 1조 2000억 원 이상에 달한다. 여기서 위반 행위와 무관한 매출액을 빼고 시정 조치 등 감경 사유를 반영하면 그 액수는 크게 줄어든다. 2020년 8월 개인정보위 출범 이후 최대 규모의 과징금도 SK텔레콤(017670)에 부과된 1347억 9000만 원이다.

━

개인정보 ‘유출’인데 ‘노출’이라고 은폐···“책임 없다” 약관도 수정

국민들은 사고 이후에도 쿠팡이 방어적 태도로만 일관하는 데에도 분노하고 있다. 쿠팡은 지난달 29일부터 개인정보가 ‘유출’이 아니라 노출됐다는 식으로 표현하며 사건의 진실을 가리려 했다. 정보가 내부에서 빠져나간 정황이 강한데도 마치 외부의 공격으로 기업도 피해를 본 것처럼 표기했다. 쿠팡은 관련 내용도 홈페이지에 1~2일만 공지하고 공동현관 비밀번호 같은 중요 유출 정보는 알리지도 않았다. 개인정보위는 이에 3일 긴급 전체회의를 열고 고객 통지문 표현을 노출이 아닌 유출로 즉각 빠짐없이 수정하라고 쿠팡에 요구했다.

4일 국회 과학기술방송통신위원장인 최민희 민주당 의원실이 과학기술정보통신부에서 제출받은 자료에 따르면 쿠팡은 노출이 아닌 유출로 표기를 수정하라는 요구를 이미 지난달 30일 민관합동조사단이 출범할 때부터 받았다. 쿠팡은 그런데도 노출이라는 표현이 담긴 문자를 1일에도 또 발송했다. 민관합동조사단은 2일에도 노출을 유출로 정정하라고 재차 요구했으나 쿠팡은 말을 듣지 않았다.

쿠팡이 유출이라는 말을 쓰기 시작한 것은 개인정보위에 신고한 지 8일이나 지난 이달 7일이었다. 쿠팡은 이날 공지문에서 “고객님의 개인정보가 유출되는 사고가 발생한 바 있다”며 “새로운 유출 사고는 없었고 11월 29일부터 안내해 드린 개인정보 유출 사고에 대해 사칭, 피싱 등 추가 피해 예방을 위한 주의사항을 안내해 드리는 것”이라고 밝혔다. 쿠팡은 그러면서 7일 공지한 사고 관련 고객 안내문에 ‘혜택과 특가’라는 광고성 문구가 드러나게 해 그 진의를 또 의심받았다.

쿠팡이 지난해 회사 이용 약관에 서버 불법 접속 등에 대한 면책 조항을 슬그머니 넣은 사실도 또 다른 논란을 불렀다. 유통 업계에 따르면 쿠팡은 지난해 말께 회사 이용 약관 제38조 7항에 ‘회사의 면책’ 부분을 추가했다. ‘서버에 대한 제3자의 모든 불법적인 접속 또는 서버의 불법적인 이용으로부터 발생하는 손해 등에 관해 책임을 지지 않는다’는 내용이다. 온라인 전용 서비스 기업으로는 이례적인 책임 면피 조항이었다. 당연히 서비스 이용자들은 이런 조항이 생긴 줄 알 턱이 없었다. 쿠팡은 또 법정 의무 보험인 ‘개인정보 유출 배상보험’도 최소 보장 금액인 10억 원으로 가입한 것으로 알려졌다.

정부는 7단계나 되는 쿠팡의 계정 탈퇴 절차가 의도적으로 복잡하게 구성된 게 아닌지에 대해서도 조사에 나섰다. 방송미디어통신위원회는 4일 쿠팡이 설정한 계정 탈퇴 절차가 전기통신사업법상 금지 행위인 ‘이용자의 해지권을 제한하는 행위’에 해당하는지 여부 등을 파악하기 위해 사실조사에 착수한다고 밝혔다. 방미통위는 만일 위법 행위가 확인될 경우 과징금, 시정명령 부과 등 엄정 조치를 내리겠다는 입장이다.

공정거래위원회도 회원이 쉽게 탈퇴할 수 있도록 절차를 시정하는 방안을 마련해 제출하라고 쿠팡에 요청했다. 그러면서 쿠팡이 탈퇴 절차를 복잡하게 만든 것이 전자상거래법에 저촉되는지 여부도 조사하기 시작했다. 공정위는 쿠팡의 회사 약관 제38조 7항이 약관법을 저촉한 게 아닌지에 대해서도 검토하고 나섰다.

과학기술정보통신부와 개인정보위가 공동 운영하는 정보보호·개인정보보호 관리체계(ISMS-P) 인증 취소 가능성도 수면 위로 떠올랐다. 쿠팡은 2021년과 지난해 두 차례 ISMS-P 인증을 받았지만 그 사이 총 네 번이나 개인정보 유출 사고를 냈다. 지금까지 ISMS-P 인증을 받았다가 취소된 기업은 전혀 없다.

━

임원들 신고 전 주식 처분 의혹도···“경쟁자 없다” 이용자 일부 이탈 속 주가는 사흘 연속 상승

정부 당국에 사고 사실을 신고하기 직전에 미국 상장 주식을 매도한 쿠팡 임원들이 내부자 거래와 연관이 있는지 여부도 주목할 부분이다. 2일 미국 증권거래위원회(SEC) 공시에 따르면 거랍 아난드 쿠팡 최고재무책임자(CFO)는 지난달 10일 쿠팡 주식 7만 5350주를 주당 29.0195달러에 매도했다고 신고했다. 매각 가치는 약 218만 6000달러(약 32억 원)였다. 검색·추천 부문을 총괄하던 기술담당 임원 프라남 콜라리 전 쿠팡 부사장도 같은 달 17일 쿠팡 주식 2만 7388주를 팔았다고 신고했다. 매도 가액은 77만 2000달러(약 11억 3000만 원)였다. 콜라리 전 부사장은 지난달 14일 사임했다.

쿠팡이 한국인터넷진흥원(KISA)에 제출한 침해 사고 신고서에 따르면 이 회사의 계정 정보에 무단 접근이 발생한 때는 한국 시간으로 11월 6일 오후 6시 38분이었다. 이후 쿠팡이 이를 인지한 시점은 같은 달 18일 오후 10시 52분이었다. 이들의 매도는 공교롭게도 모두 이 기간 안에 이뤄졌다. 아난드 CFO는 SEC 신고서에서 “연방 규제 충족을 위해 지난해 12월 8일 채택한 거래 계획에 따라 매도했다”며 “주로 특정 납세 의무를 충족하기 위한 것”이라고 소명했다.

논란이 이어지자 쿠팡의 이용자 수도 조금씩 줄어들 조짐을 보이고 있다. 데이터 기업 아이지에이웍스 모바일인덱스에 따르면 쿠팡의 일간 활성 이용자(DAU) 수는 사고가 알려진 뒤 사흘 연속 폭증해 1일 1798만 8845명으로 역대 최고 수치를 기록했다. 그러다가 2일에는 DAU가 1780만 4511명으로 줄었고, 5일에는 그 수가 1617만 7757명까지 감소했다. 나흘 만에 181만 명 이상이 이탈한 셈이다.

반대로 쿠팡과 일부 경쟁 상대인 지마켓 이용자 수는 지난달 29일 136만 6073명에서 30일 161만 6489명으로 급증했다. 11번가와 네이버플러스 스토어도 이달 들어 이용자 수가 증가했다.

궁지에 몰린 박대준 쿠팡 대표는 3일 국회 정무위 현안 질의에서 ‘전원 보상할 것이냐’는 강명구 국민의힘 의원의 질문에 “피해자에 대해서는 적극적으로 검토하겠다”고 답변했다. 그러면서도 보상 범위와 시점에 관해서는 “법률적으로 본 것은 아니고, ‘고객들이 피해를 입었다’는 의미”라며 말끝을 흐렸다. 박 대표는 쿠팡 정보기술(IT) 관련 부서 직원 절반 이상이 중국·인도 등 외국인이라는 주장에 대해서는 “한국인이 절대 다수이고 외국인은 소수”라고 부정했다. 김 의장을 두고는 “현재 해외에 있는 것으로만 알고 있다”며 “귀국 여부는 모르겠고 나도 올해 국내에서 만나본 적이 없다”고 강조했다.

현 사회 분위기를 고려할 때 한 동안은 쿠팡의 시련이 이어질 것으로 보인다. 이용자들의 국내외 소송과 정부 제재가 계속될 경우 적어도 기업 이미지에 좋을 리는 없는 탓이다. 다만 이번 사태로 쿠팡의 서비스 이용객과 기업가치가 급감할지는 미지수다. 어차피 한국 사회에서 대형 사건은 쉬지 않고 발생할 테고 쿠팡의 사고 역시 금세 잊힐 수 있다. 장기 소송전에 들어간다 해도 이전 판례를 고려할 때 쿠팡이 피해자들에게 지급해야 할 금액은 푼돈에 그칠 공산이 크다. 피싱·스미싱 범죄에 쓰인 정보가 해외에서 세탁까지 됐다면 유출 경로를 입증하기는 더 힘들어진다. 과징금 또한 이론상의 최대 금액으로 산정될 가능성은 거의 없다.

이 같은 현실을 반영하든 뉴욕 증시에서 쿠팡의 주가도 4일, 5일에 이어 8일에도 상승세를 탔다. 주가가 3거래일 연속 오르며 27.33달러까지 회복했다. 사태 직후인 1일에만 5.36% 떨어졌을 뿐 그 이후에는 기업가치가 크게 흔들리지 않고 있다. 글로벌 최대 투자은행(IB) JP모건도 1일 “쿠팡이 경쟁자가 없는 시장 지위를 누리고 있고 한국 고객이 데이터 유출에 대해 덜 민감해 보인다”며 “잠재적 고객의 이탈은 제한적일 것”이라고 전망했다. 월가는 한국인들이 결국 국내 시장의 지배적인 유통 업체인 쿠팡을 떠나지 못할 것이라는 데에 돈을 걸고 있는 셈이다.