쿠팡의 대규모 개인정보 유출 사태로 국민 일상마저 흔들리고 있다. 개인정보 유출 규모가 3370만명에 달한다는 점에서 사실상 전 국민이 영향을 받게 됐다. 단순 소비자 피해를 넘어 입점 업체 경영은 물론, 국민 일상까지 불안감이 독버섯처럼 파고들고 있다. 쿠팡 측은 “외부 유출 정황은 없다”고 선을 그었지만, 이번 사태는 쿠팡의 보안 시스템·조직 문화·지배구조 전반의 문제로 확산하고 있다.



박대준 쿠팡 대표가 지난 12월 2일 서울 여의도 국회에서 열린 과학기술정보방송통신위원회 전체회의에 참석, 생각에 잠겨 있다. (연합 바다이야기APK 뉴스)



과징금 규모 촉각

美 법인·韓 법인 따라 ‘고무줄’
쿠팡 사태가 들불처럼 번지고 있다. 이번 사태는 국민 4명 중 3명에 해당하는 3370만개 계정의 개인정보가 유출됐다는 사실이 알려지면서 일파만파 확산했다. 초기에 릴짱 는 수천 건 수준으로 알려지던 유출 규모가 7500배로 불어났고, 외부 해킹이 아닌 전 직원에 대한 인증 관리 부실이 원인으로 지목돼 소비자 불신이 더 크다는 지적이다. 쿠팡이 정보보호·개인정보보호 관리체계(ISMS-P)를 비롯해 7개 국내외 보안·프라이버시 인증을 갖췄다는 점에서 인증 제도 실효성에 물음표를 던지는 시각도 많다. 고객 신뢰를 기반으로 성장 릴게임몰 한 초대형 플랫폼에서 기초적인 정보보호 체계조차 제대로 작동하지 않았다는 비난이 들끓는다.
이번 사태로 쿠팡은 수천억원대 과징금을 부과받을 위기에 처했다. 2023년 9월 개정된 개인정보보호법(64조의2·과징금의 부과)에 따르면, 1항에는 ‘전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있다’고 되어 있다. 또, 2항에서 릴게임뜻 는 1항에 따른 과징금을 부과할 때 ‘전체 매출액에서 위반행위와 관련 없는 매출액을 제외한 매출액을 기준으로 과징금을 산정한다’라고 되어 있다. 또, 60조의2(과징금의 산정 기준 등)에서는 ‘전체 매출액’을 위반행위가 있었던 사업연도 직전 3개 사업연도 연평균 매출액으로 규정한다.
다만, 어떤 잣대를 들이대는지에 따라 과징금 규모는 크게 온라인골드몽 달라질 전망이다. 쿠팡의 지난해 연결 매출액은 약 41조원에 달하지만, 미국 뉴욕 증시에 상장된 미국 법인 ‘쿠팡 Inc.’와 한국에서 사업을 벌이는 자회사 ‘쿠팡㈜’ 매출 가운데 어떤 게 과징금 기준이 될지 명확하지 않다. 개정 개인정보보호법은 국내에서 개인정보를 처리하는 사업자를 제재 대상으로 규정한다. 이 때문에 쿠팡 한국법인 매출이 과징금 산정 근거가 될 것이란 시각이 있다. 이 경우, 위반행위와 관련 없는 매출액이 제외되는 등 이유로 과징금 규모가 대폭 축소될 수 있다.
법조계 관계자는 “형식적으로 법을 적용하면 쿠팡코리아 매출이 기준이 될 수 있겠지만, 지배구조·운영 실체가 미국에 있어 논쟁의 여지가 있어 보인다”라며 “과징금을 부과받더라도 쿠팡 측은 적극적인 행정소송으로 그 규모를 크게 줄이려 할 것”이라 봤다.
쿠팡이 사태 축소에 급급했던 게 아니냐는 의구심이 드는 대목도 적지 않다. 이정렬 개인정보보호위원회 부위원장은 국회 과학기술정보방송통신위원회 현안 질의에서, 쿠팡이 이용자 통지에서 ‘유출’이 아닌 ‘노출’이라는 표현을 사용한 것과 관련, “쿠팡 측에서 개인정보를 ‘노출’로 통지한 부분에 문제가 있다고 판단한다”며 “누가 봐도 유출로 보이는 사안인 만큼 제대로 된 통지가 필요하다”고 말했다. 그러면서 “그 부분까지 포함해 조사하겠다”며 “아주 민감한 정보들에 대해서는 (통지 문구를) 바로 바꿀 수 있도록 쿠팡 측과 긴밀히 협의하겠다”고 밝혔다.
쿠팡이 향후 맞닥뜨릴 집단소송 등 법정 다툼에 대비해 이미 ‘로우키(Low-key·절제된 방식)’로 방어 전략을 세운 것 같다는 시각도 많다. 지금까지 쿠팡은 법률·정책 이슈가 불거질 때마다 법적 자원을 동원해 피해를 최소화하는 전략을 폈다. 박대준 쿠팡 대표가 ‘피해자에 한해’ 보상을 ‘검토’하겠다고 밝힌 것도 이 같은 대응 전략의 일환으로 풀이된다. 박 대표는 지난 12월 3일 국회 정무위 현안 질의에서 ‘전원 보상할 것이냐’는 강명구 국민의힘 의원 질의에 “피해자에 대해서는 적극적으로 검토하겠다”고 답했다. 그러면서, 보상 시점에 대해서는 “현재는 피해 범위가 아직 확정되지 않았고 아직 조사 중이다”라고 구체적 언급을 피했다.
이커머스 업계 관계자는 “고객들에게 발송한 안내문에서 ‘유출’ 대신 ‘노출’이라는 용어를 쓴 것도 법률자문의 결과로 분석된다”라며 “개인정보보호법상 고의나 과실에 따른 법적 책임을 경감시키려는 의도가 깔려 있을 것”이라 봤다.




이원화된 지배구조 도마

성장 일변도 조직문화도 입길
이 같은 논란과 맞물려 쿠팡 지배구조와 성장 일변도 조직문화도 입길에 올랐다.
특히, 미국 본사와 한국 자회사로 나뉜 이원화된 지배구조 취약성을 노출했다는 지적이 나온다. 쿠팡은 뉴욕 증시에 상장된 쿠팡 Inc.가 핵심 의사결정을 주도하고 최대주주 김범석 의장이 그룹 전반 실질 지배력을 행사한다. 그럼에도, 한국에서 발생한 개인정보 처리와 관련한 법적 책임이 국내 운영 법인에 귀속된다면 쿠팡 Inc.와 김범석 의장은 여러 논란에서 쏙 빠지게 된다. 김범석 창업주는 2021년 쿠팡 한국 법인 의장과 등기 이사직에서 사퇴해 모든 법적 의무에서 벗어났다.
지배구조 전문가는 “실질 지배권을 행사하는 쿠팡 미국 본사는 한국 규제를 직접 적용받지 않고, 한국 자회사는 본사 의사결정에 구속되면서 규제·처벌을 전적으로 부담하는 구조”라며 “이는 한국 규제 체계와 정면으로 충돌할 수밖에 없다”고 지적했다.
로켓배송·쿠팡이츠 등 무한 확장 전략이 독이 됐다는 시각도 있다. 쿠팡은 기존 산업 경계선을 넘나드는 ‘규제 회색지대’에서 공격적인 확장 전략을 폈다. 이 과정에서 ▲야간 근무자 사망 사고 ▲입점 업체 수수료 갈등 ▲쿠팡이츠 노동환경 문제 ▲물류센터 안전 논란 등 사회적 논란이 반복됐다. 그때마다 실질 지배력을 행사하는 쿠팡 본사(쿠팡 Inc.)는 뒤로 빠지고 국내 자회사만 ‘샌드백처럼’ 얻어맞는 기형적 지배구조가 도마에 올랐다. 플랫폼 업계 관계자는 “쿠팡은 실리콘밸리식 빠른 실행 문화를 내세워 서비스·데이터 시스템 개발 속도가 매우 빠른 대신, 정보보호 부문은 상대적으로 힘이 약했던 것으로 보인다”고 말했다.
이런 지배구조와 무한 확장 전략을 쿠팡이 전·현직 대표 등 핵심 경영 라인을 줄줄이 대관 출신으로 채운 배경으로 꼽는 시각이 많다. 국회사무처 감사관실에 따르면, 올해 쿠팡으로 이직하려 취업 심사를 받은 4급 보좌관은 총 9명(계열사 포함)이다. 취업 심사 공개 의무가 없는 비서·비서관 등 보좌진 전체로 확장하면 더 많은 인원이 쿠팡행을 택했을 것으로 보인다. 박대준 쿠팡 대표도 LG전자 대외협력실과 네이버 정책실을 거친 대관 출신이다.




소비자 불안 확산

이커머스 업계도 좌불안석
소비자 불안은 좀처럼 가라앉지 않고 있다. 특히, 쿠팡의 안일한 초기 대응이 소비자 불신을 더 키웠다는 비판이 거세다. 처음에는 “유출 규모가 4500명 수준”이라고 밝힌 쿠팡 측이 뒤늦게 3370만명에 달한다고 정정한 데다, 사고 발생 반년이 지나도록 내부에서 이를 인지하지 못했다는 사실까지 드러나 신뢰는 곤두박질쳤다. 이미 온라인에서는 ▲비정상 로그인 시도 ▲해외 IP 접속 ▲해외 결제 승인 알림 등이 잇따르며, 스미싱·피싱 피해 우려가 커지고 있다. 공동현관 비밀번호까지 유출된 사실이 뒤늦게 드러났고 구매 이력이나 개인통관번호 노출 가능성까지 거론된다.
탈퇴 절차가 복잡하다는 불만과 함께 집단소송 준비 모임도 30여곳으로 늘었다. 일부 이용자는 이미 손해배상 소송에 착수했다. 가장 먼저 손해배상 청구 소송에 참여한 법무법인 청은 지난 12월 1일 이용자 14명과 함께 1인당 20만원씩 위자료를 청구하는 내용의 소장을 서울중앙지방법원에 냈다. 소송을 대리하는 곽준호 법무법인 청 변호사는 “이후 소송 의사를 밝힌 이용자가 800여명”이라고 밝혔다. 법무법인 지향 역시 손해배상을 청구하는 집단소송 참여자를 모집해 2500명의 위임계약을 완료했다.
지난 12월 2일 국회 현안 질의에서는 금융 정보 유출 가능성까지 제기돼 불안은 더 커졌다. 이정헌 더불어민주당 의원이 “유출 혐의자가 지난해 12월 퇴사했는데, 쿠팡이 사고를 파악한 시점이 6월 24일이라면 그 사이 추가 정보 유출이 있었을 수 있다”고 지적하자, 김승주 고려대 정보보호대학원 교수는 “가능성이 있다”고 말했다. ‘아직 밝혀지지 않은’ 유출 범위에 대한 소비자 불신이 깊다는 분석이다.
이커머스 업계도 좌불안석이다. 업계 1위 플랫폼에서 내부 보안이 뚫린 사실 자체가 온라인 쇼핑 전반에 대한 신뢰 하락으로 이어질 수 있어서다. 정부와 국회는 2차 피해 가능성을 경고하며 조사를 확대하고 있다. 개인정보보호위원회는 쿠팡에 피해 예방 조치 강화와 고객 안내를 요구했다. 방송미디어통신위원회는 스미싱 문자 주의를 당부했다. 이커머스 업계도 촉각을 곤두세운다. G마켓에서는 최근 모바일 상품권이 무단 결제되는 사고가 발생해 금융당국이 긴급 점검에 나섰다. G마켓·11번가·컬리·SSG닷컴 등 주요 플랫폼은 자체 보안 점검과 인증 절차 강화에 들어갔다. 이커머스 업계 관계자는 “최대 사업자에서 상식적으로 납득하기 어려운 사고가 터지면 소비자들은 자연스럽게 다른 플랫폼의 보안 수준까지 의심하게 된다”며 “중견·중소 사업자도 영향을 받을 수 있어 전사적 점검을 벌이고 있다”고 말했다.
한편, 대통령실은 쿠팡 개인정보 유출 사태와 관련해 현행 징벌적 손해배상 제도의 실효성이 사실상 작동하지 않고 있다고 강하게 비판했다. 최근 강훈식 비서실장이 주재한 수석비서관 회의에서 대통령실은 “기업 책임이 명백한 대규모 유출 사고에도 제재가 약해 사고가 반복된다”며 징벌적 손해배상 제도 강화 방안을 검토하라고 지시했다.
국회에서도 제도 개편 논의가 속도를 낸다. 개인정보보호위원회는 대규모 유출 사태를 막기 위해 징벌적 수준의 과징금과 손해배상 제도를 현행보다 강화하는 방안을 검토 중이다. 이정렬 부위원장은 국회 과방위 질의에서 “피해자 구제가 실효성 있게 작동하도록 관련 제도를 전반적으로 살펴보고 있다”며 “기업 책임이 명백한 경우 처벌 강도를 대폭 높이는 방안도 논의 중”이라고 말했다.
[배준희 기자 bae.junhee@mk.co.kr]
[본 기사는 매경이코노미 제2338호 (2025.12.10~12.16일자) 기사입니다]
[Copyright (c) 매경AX. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지] 기자 admin@slotnara.info