■ 방송 : 경인방송 <굿모닝 인천, 이도형입니다> (FM 90.7MHz 오전 7~9시 방송)
■ 코너 : 사건수첩
■ 진행 : 이도형 앵커
■ 인터뷰 : 이승기 변호사/서강대학교 겸임교수
■ 방송 다시 듣기 [클릭]

*인터뷰 저작권은 경인방송에 있습니다. 인용 보도 시 출처를 밝혀주시기 바랍니다. 




◆ 이도형 : 경인방송FM 90.7MHz 굿모닝 인천 골드몽릴게임릴게임 이도형입니다. 4부 사건 수첩 시간입니다.
오늘은 쿠팡의 개인정보 유출 사고 논란, 서강대학교 겸임교수인 이승기 변호사와 알아보겠습니다. 변호사님 안녕하세요.

◇ 이승기 : 네, 안녕하십니까.




◆ 이도 바다이야기게임2 형 : 국내 이커머스 1위 쿠팡. 쿠팡 이용 안 해보신 분 없을 겁니다. 그런데 3천370만 명. 국민 4명 중에 3명의 개인 정보가 빠져나갔습니다. 숫자만 들어도 엄청난 숫자라고 할 수가 있는데요.
여기에 쿠팡 측에서 유출이 아니라 노출이다라는 입장을 밝히면서 공분 더 커졌습니다. 오늘은 어떻게 이런 어이없는 사건이 터진 건지 그리고 책 바다이야기게임 임은 어디까지 물을 수 있는 건지 짚어보겠습니다. 변호사님 먼저 이번 쿠팡 사건 간단히 정리해 주시죠.
◇ 이승기 : 많은 분들이 처음에는 외부 해커가 쿠팡 서버를 뚫었나 보다 이렇게 생각하셨을 텐데요. 실제로는 그게 아닙니다. 작년 12월에 퇴사한 중국 국적 전직 개발자가 내부 시스템을 이용해 정보를 빼간 전형적인 내부자 범죄입니다.
바다이야기프로그램다운로드 그러니까 이름, 이메일, 전화번호, 배송지, 주소록, 일부 주문 정보 같은 기본적인 개인 정보들이 대거 빠져나갔는데요. 쿠팡 측에서는 결제 정보나 비밀 정보 같은 로그인 정보는 유출되지 않았다라고 이제 선을 긋고 있습니다.
그런데 이 사람이 어떤 일을 했던 개발자였느냐가 핵심인데 바로 인증 시스템을 만들던 사람이었습니다. 바다신2게임 그러니까 쿠팡 서버를 접속할 때 쓰는 이 인증 토큰에 전자서명을 해주는 프라이빗 키라는 일종의 마스터 열쇠를 퇴사 전에 빼돌린 걸로 지금 보이고요.
그 키를 쥔 상태에서 정식 로그인 절차도 없이 몇 달 동안 고객 정보를 마음대로 들여다볼 수 있던 그런 구조였던 겁니다.
◆ 이도형 : 내부 정보를 속속들이 아는 개발자가 마스터 열쇠를 들고 나가서 몇 차를 들락날락거렸는데 회사는 전혀 몰랐다. 사실 이 부분 황당할 뿐만 아니라 이런 보안 관리에 진짜 허술한 보안 관리에 분노감을 감출 수가 없는데 이 쿠팡 같은 대형 기업이요.

이렇게 오랫동안 이런 눈치를 못 챈 이유, 왜 이런 일이 발생했다고 보십니까?




한국소비자단체협의회가 쿠팡 창업자인 김범석 미국 쿠팡Inc 이사회 의장에게 초유의 정보 유출 사고에 대해 직접 사죄하라고 요구했다. 2025.12.2 [사진=연합뉴스]


◇ 이승기 : 쿠팡이 이제 뭔가 이상하다고 공식적으로 인지한 시점이 11월 18일입니다. 그런데 이걸 먼저 잡아낸 건 내부 보안 시스템이 아니라 고객들에게 당신들의 개인 정보를 확보하고 있다라는 협박성 이메일이 돌기 시작하면서 그 신고를 계기로 거꾸로 추적을 해서 들어간 겁니다.
그러다 이게 이제 확인이 된 거고요. 더 아이러니한 건 쿠팡이 이제 미국 증권거래위원회에 제출한 보고서에서는 직원에 의한 정보 유출 가능성을 이미 언급했다는 겁니다. 즉 개인정보 유출 위험이 있다라는 걸 어느 정도 인지하고 있었다는 건데요.
그런데 그 핵심 보안키를 가진 이 퇴사자가 해외 IP에서 개인 정보를 대량으로 조회했음에도 몇 달 내내 사전에 이를 인지하거나 적극적으로 대처하지 못했다라는 겁니다.
그러니까 국회에서도 이런 쿠팡의 태도를 두고 알면서도 내버려 두었다면 미필적 고의에 해당될 수 있다라면서 아주 강경한 발언이 나오기도 했습니다.
◆ 이도형 : 사고도 그렇지만 그 뒤에 나온 회사의 말과 태도, 입장은 더 실망스러웠습니다. 이런 반응도 많습니다. 특히 쿠팡 측에서 사건 초기에 유출이 아니다 노출이라는 입장을 밝히면서 논란이 있었죠.
◇ 이승기 : 예, 지난달 20일 쿠팡이 공식 발표를 할 때는 4천500여 건 정도의 정보가 개인 정보가 유출됐다라고 했습니다. 그런데 정부 당국의 이제 조사가 진행되던 지난 29일, 피해 규모가 실제로는 3천370만 건이었다며 공식 사과를 합니다.
그러니까 열흘 사이에 피해 규모가 7천500배 정도 이제 증가를 한 겁니다. 그래서 쿠팡 측에서 사건 자체를 제대로 파악하지 못했다라는 비판과 함께 사건을 축소하려 한 것 아니냐라는 의혹까지 제기되는 상황이고요.
그리고 그 과정에서 쿠팡이 고객들에게 보낸 안내문을 보면 표현이 유출, 그러니까 영어로는 Leak이 아니라 노출, Exposure라고 적어놨습니다. 쉽게 말하면 밖으로 줄줄 새어 나간 게 아니고 시스템 안에서 잠깐 노출, 그러니까 드러난 수준이라는 뉘앙스를 풍기는 그런 표현이었는데요.
그렇다 보니 법적 책임을 좀 조금이라도 줄이려고 단어 가지고 이거 장난치는 거 아니냐는 비판이 나올 수밖에 없었고요. 국회에서도 "도대체 유출입니까, 노출입니까"라고 직접 묻자 그제서야 쿠팡 한국의 대표가 유출이 맞다라고 인정하는 좀 민망한 모습도 연출이 됐습니다.
◆ 이도형 : 네, 사과 방식도 논란입니다. 사과문을 홈페이지와 앱에 걸어놓긴 했습니다만 이를 이틀 만에 슬쩍 내리고요. 바로 광고로 바꿨다는 보도 많이 보셨을 겁니다. 쿠팡 이번 사태를 너무 안일하게 보고 있는 거 아니냐라는 말까지 나오고 있는데요. 어떻게 보십니까?
◇ 이승기 : 예, 쿠팡이 초기에 이틀 동안 메인 화면 최상단에 이제 사과 배너를 걸어두긴 했습니다. 문제는 그 뒤 바로 오늘 자정까지 주문해도 내일 도착, 크리스마스 빅 세일 같은 광고가 다시 올라왔다는 건데요.
당연히 국회에서는 국민 4명 중 3명의 정보가 털린 이 엄중한 상황에서 사과문을 이틀 만에 내리는 게 말이 되느냐라는 질타가 쏟아졌습니다.

그래서 이에 대해 쿠팡 측에서는 개별 이메일 안내를 위해 내린 것뿐이라고 해명을 했지만 이 정도 규모의 사고라면 가장 눈에 띄는 곳에 사과와 안내를 일정 기간 유지해야 되는 것이 상식이기 때문에 오히려 쿠팡이 지금 이 사태의 심각성을 제대로 인지하지 못하는 것 아니냐라는 비판을 받게 된 겁니다.




쿠팡이 가입자들에게 보낸 문자.[사진=연합뉴스]


◆ 이도형 : 네, 여기에서 자연스럽게 이런 질문이 나옵니다. 그래서 내 정보 중에 뭐가 어디까지 털린 거냐 청취자분들도 이게 제일 궁금할 텐데요. 특히 공동현관 비밀번호 포함 여부가 큰 논란입니다. 실제로 유출된 걸로 확인된 겁니까?
◇ 이승기 : 예, 쿠팡 한국 대표가 국회에서 공동현관 비밀 정보도 포함됐느냐라는 질의에 일부 포함된 것으로 안다라고 인정을 했습니다.
그래서 이름, 전화번호, 주소는 기본이고 공동 현관 비밀번호에 최근 주문 내역까지 유출됐다면 사실 이 범죄자 입장에서는 범행에 악용하기 좋은 개인 정보 완성판 세트를 가졌다라고 봐도 무방한데요.
무작위 스팸 문자부터 보이스피싱 범죄는 물론이고요. 실제 주거 침입이나 스토킹 범죄로 이어질 위험이 충분히 있습니다. 그래서 이번 사건이 뭐 스팸 문자가 좀 늘겠네 이런 수준이 아니라 나와 내 가족의 신변과 재산이 위험해질 수 있다라는 공포까지 확산이 된 겁니다.
◆ 이도형 : 그래서인지 이번 사건 이후에 개인 통관 고유부호 재발급 폭증했다고요.
◇ 이승기 : 해외 직구 하시는 분들 중에는 개인통관 고유부호를 쿠팡에 저장해 주는 경우가 많은데 그것까지 털린 것 아니냐라는 불안이 확산되면서 재발급 신청이 평소 한달치가 이틀 만에 몰렸다고 합니다.
특히 개인통관 고유 부호를 통해서 이제는 해외 밀수품이나 마약이나 이런 밀수품이나 아니면 뭐 여러 가지 이제는 허가받지 않은 무허가 제품들이 이제는 내 이름으로 주문이 돼서 다른 데서 유통되는 거 아니냐라는 불안감 때문에 더욱 그렇고요.
또 나는 예전에 탈퇴했으니까 상관없다라고 생각하셨던 분들도 있을 겁니다. 하지만 이번에 유출된 정보 중에는 탈퇴 회원과 휴면 회원 정보도 포함됐을 가능성까지 거론되고 있는데요. 과거 이용자까지도 이제는 불안해하는 그런 상황인 겁니다.
◆ 이도형 : 9414님, 쿠팡 문제로 신경 쓰고 머리가 아파요. 조카 핸드폰도 해킹당해 보이스피싱 문자가 와서 요즘 정신이 없네요. 도대체 언제까지...라고 문자 보내주셨는데요.그래서 요즘 나오는 말이 '탈팡'입니다. 쿠팡을 끊겠다라는 흐름인데요. 문제는 탈퇴가 너무 어렵다라는 제보가 많아요. 실제로 그렇습니까?
◇ 이승기 : 그렇습니다. 탈퇴 문의와 로켓 와우 해지 요청이 폭증을 했는데 탈퇴 절차가 너무 복잡하다라는 불만이 계속 나옵니다. 그러니까 쿠팡 어플의 마이 쿠팡에서 회원 정보 수정 화면으로 가면 뭐 화면에서 바로 탈퇴할 수 있는 거 같잖아요.
근데 그렇지가 않습니다. 굳이 PC 버전 보기를 눌러 화면을 전환해야만 탈퇴 메뉴가 보입니다. 이후에는 본인 확인, 이용 내역 확인 등 여러 단계를 거쳐야 이제 최종 탈퇴가 가능한데요.
로켓 와우 회원이라면 멤버십도 별도로 또 해지를 해야 합니다. 그래서 이용자를 붙잡기 위해 그러니까 이용자가 빠져나가는 걸 막기 위해 일부러 이 절차를 복잡하게 만든 것 아니냐는 의심이 나옵니다.
◆ 이도형 : 가입은 쉽게, 해지는 어렵게 만들어 놓은 설계 방식 이걸 '다크 패턴'이라고 부르죠?
◇ 이승기 : 그렇습니다. 사용자가 원래 하려던 선택을 어렵게 만들거나 탈퇴나 해지 같이 고객 이탈 기능을 사실상 막아버리는 UI, UX 설계를 다크 패턴이라고 하는데요. 글로벌 플랫폼 규제에서도 주요한 이슈이고요.
국내에서도 공정거래위원회가 온라인 쇼핑몰에 이제 과도하게 복잡한 해지 절차 등을 제한하는 자율 규약을 통과시키면서 본격적인 감시 대상이 됐습니다.

그런데 이번 쿠팡 사건을 계기로 단순히 뭐 사고가 났으니 좀 탈퇴한다를 넘어서 탈퇴조차 쉽지 않은 이 구조 자체를 좀 함께 논의해야 되는 거 아니냐라는 목소리가 지금 커지고 있습니다.




쿠팡 [사진=연합뉴스]


◆ 이도형 : 방송미디어통신위원회, 줄여서 방미통위에서도 이번 쿠팡 탈퇴 문제에 대해 긴급 조사에 착수했다고요.
◇ 이승기 : 예, 바로 어제인데요. 방미통위에서 쿠팡이 설정한 이 복잡한 계정 탈퇴 절차가 전기통신사업법상 금지행위인 '이용자의 해지권을 제한하는 행위'에 해당되는지 그 여부를 파악하기 위해 사실 조사에 착수한다라고 밝혔습니다.
그래서 이 정도 되면 사실 이 정도까지 왔잖아요. 그러면 이제 쿠팡 측에서도 고객들이 이제 직관적으로 딱 보면은 탈퇴가 가능하도록, 탈퇴 버튼을 바로 찾을 수 있도록 좀 시스템을 개편하는 그 부분에 대해서 이제 고민할 시기가 좀 아닌가 싶습니다. 이 정도까지 왔습니다.
◆ 이도형 : 예, 사고 자체도 큽니다마는 쿠팡 사실 이번이 처음이 아니다라는 이런 말도 나옵니다. 예전에도 개인 정보가 생각났는데요. 처분은 늘 약했다 뭐 이런 지적이죠.
◇ 이승기 : 그렇습니다. 쿠팡에서 지금껏 총 3건의 개인정보 유출 사고가 발생했는데 그때마다 과징금, 과태료 처분을 받았지만 지금까지 나온 금액을 전부 합쳐도 한 16억 원 정도에 그칩니다.
그런데 이건 쿠팡만의 문제가 아니라 지금껏 발생한 개인 정보 유출 사건을 봐도 전반적으로 제재 수준이 낮은 편입니다. 물론 최근에 발생한 그 SK텔레콤 개인 정보 유출 사건은 좀 예외이기도 하고요.
◆ 이도형 : 예, 그거보다도 사실 이번 쿠팡 사건은 더 많은 개인정보 유출이 된 사건인데 이번 사건이 터지자 이제 쿠팡을 상대로 한 집단 소송이 활발하게 진행 중에 있지 않습니까?

이전에도 비슷한 사건들이 있었는데 그때마다 실제 피해자 보상은 너무 적다라는 말이 계속 나오고 있는데 이게 구체적으로 어떤 사건들이 있었습니까?




송경희 개인정보보호위원장이 3일 국회 정무위원회에서 열린 쿠팡 개인정보 유출 사태 관련 현안질의에서 위원 질의에 답하고 있다.왼쪽부터 이억원 금융위원장, 박대준 쿠팡 대표이사, 브랫 매티스 쿠팡 최고 정보 보호 책임자(CISO), 송경희 위원장. 2025.12.3 [사진=연합뉴스]


◇ 이승기 : 대표적으로 보면은 2011년에 SK커뮤니케이션스 그러니까 싸이월드와 네이트에서  3만 5천만 명의 정보가 대량으로 해킹으로 유출된 사건이 있었습니다.
그러니까 이건 해킹으로 유출이 됐는데요. 당시 민사소송에서는 기업 배상 책임이 없다라는 판결이 나와 피해자들이 한 푼도 받지 못한 사례가 있었습니다. 이유는 이제는 외부의 해킹으로 인한 정보 유출이기 때문에 기업의 책임을 인정하지 않은 거고요.
그리고 2014년, 카드 3사의 정보 유출 사건 그리고 2016년에 인터파크 해킹 사건에서도 1인당 10만 원 수준의 위자료가 인정이 됐습니다. 그리고 올해 있었던 가장 또 큰 사건이죠. SK텔레콤 개인정보 유출 사건은 2천324만 명의 휴대전화 번호 등 총 25종의 개인정보가 빠져나간 중대 사고였는데요. 과징금이 1천347억 9천만 원으로 역대 최대치였습니다.
하지만 일반 국민들에 대한 피해 보상과 관련해서는 분쟁조정위가 1인당 30만 원 배상안을 제시했는데 SK 측에서 이 조정안을 거부하면서 현재 민사소송이 진행 중에 있습니다.
◆ 이도형 : 그렇다면 이번 쿠팡 사건 소송에 참여한 분들 입장에서는요. 손해배상을 어느 정도 받을 수 있을지도 궁금할 것 같은데요. 어느 정도 나올 것으로 보십니까?
◇ 이승기 : 현재 이제 온라인 카페나 이런 곳에서 단체 소송 모집 인원을 합치면 이미 수십만 명이 모였다라는 얘기가 나옵니다. 그래서 여러 법률 사무소나 법무법인에서 뭐 1인당 20만 원, 뭐 30만 원 수준의 위자료를 청구하는 소송에 준비 중에 있고요.
실제로 한 법인은 이제는 소송을 진행했다라고 합니다. 그런데 이제 기존 판례의 흐름을 보면 개인정보 유출 사건에서 위자료 기준선은 대체로 10만 원 선에서 출발하는 경우가 많습니다.
그런데 다만 이 사건은 좀 차이가 있는 게, 이 사건은 내부 개발자가 핵심 보안키를 들고 나가 고객 정보를 빼갔고 회사는 몇 달 동안 유출 사실을 전혀 인지하지 못했고, 피해 규모도 처음에는 축소 발표했다가 나중에는 수천 배로 정정하는 등 대응이 전반적으로 부실했습니다.
그래서 이런 점들을 법원이 참작한다면 1인당 20에서 30만 원 이상으로 위자료가 올라갈 여지가 충분히 있습니다. 그리고 현행 개인정보보호법에 따르면요. 개인정보 유출이 확인되면 정확히 얼마의 금전적 손해를 입었는지 일일이 입증하지 않아도 최대 300만 원까지 손해배상 책임이 가능하도록 규정이 돼 있습니다.
그래서 이를 근거로 할 때 이번 사건, 역대 최대 금액의 손해배상 금액이 인정될 여지도 충분히 있습니다.
◆ 이도형 : 그런데 지금 쿠팡 상대로 진행되는 소송이요. 엄밀히 말하면 우리가 생각하는 그 집단 소송이 아니라고요?
◇ 이승기 : 예, 이 부분 굉장히 중요한데요. 우리가 뭐 집단소송, 집단소송 말은 하지만 지금 쿠팡을 상대로 진행하는 건 엄밀히 말해 정식 클래스 액션 그러니까 미국식 집단 소송이 아닙니다.
그러니까 뭐 이 사건뿐만이 아니라 우리나라에서 지금 집단소송이라고 부르고 있는 대부분의 소송은 다 엄밀한 의미의 집단소송이 아닌 겁니다. 왜 그러냐 하면요. 지금 쿠팡 소송도 그렇지만 피해자 한 명 한 명이 각각 변호사와 위임 계약을 맺고 그 이름들을 하나의 소장에 여러 명씩 올려 함께 소송을 진행하는 방식입니다.

그래서 나중에 판결이 나오더라도 효력은 그 소장에 이름이 올라간 사람들 즉 원고들에게만 미치는데요. 따라서 3천370만 명 전체가 배상을 받으려면 이렇게 단체 소송에 개별적으로 합류를 하든지 아니면 따로 그게 뭐 몇백 건이 되든 몇 천 건이 되든 따로 소송을 제기해야 되는 구조인 겁니다.




 3일 서울 송파구 쿠팡 본사 앞에서 참여연대와 민주사회를 위한 변호사모임 민생경제위원회, 한국소비자연맹이 연 '쿠팡 개인정보 유출 집단분쟁조정 신청 돌입 기자회견'에서 참가자들이 사과와 책임을 촉구하고 있다. 3천370만명에 이르는 고객 정보가 유출된 쿠팡을 상대로 대규모 집단소송 움직임이 본격화되는 가운데 이들 시민단체들도 피해자를 모아 분쟁조정을 신청하기로 했다. 2025.12.3 [사진=연합뉴스]


특히 우리나라에서 법으로 허용된 정식 집단 소송은 자본시장법 위반, 즉 증권 관련 사건에 거의 한정이 돼 있어서 이번처럼 대규모 개인정보 유출이나 소비자가 피해를 보는 그런 사건에서는 이 규정이 적용이 되지 않습니다.
그래서 지금은요. 그냥 집단소송이 아니라 그러니까 여러 명이 개별적으로 소송을 하는데 변호사를 한 명을 선임했다 이런 구조로 보시면 되는 겁니다.
◆ 이도형 : 그래서 이 구조를 통째로 바꿔야 한다. 진짜 집단소송제를 도입해야 한다라는 말이 나오는 것 같은데요. 구체적으로 어떤 방향으로 논의가 되고 있습니까?
◇ 이승기 : 지금 논의되는 방향을 보면 대표성이 있는 일부 피해자가 먼저 소송을 제기하면 법원이 이 소송은 집단소송으로 다룰 만하다라고 허가를 합니다. 그렇게 되면 그 판결의 효력이 비슷한 피해를 입은 전체 피해자에게 자동으로 그 효력이 미치게 하는 그런 방식입니다.
이걸 가지고 우리가 이른바 옵트아웃 구조라고 하는데요. 그렇게 되면 지금처럼 소송에 참여한 소수만 배상받는 구조가 아니라요. 따로 나서지 않은 다수의 피해자도 일정 수준의 권리 회복이 가능해집니다.
그렇게 되는데 이 구조가 도입이 되면 이제 기업 입장에서도 잠재적 책임의 범위를 소송에 참여한 몇만 명 수준이 아니라 실제 피해를 입은 전체로 인식을 하게 됩니다.
그렇게 되면 이제 개인정보 보호와 소비자 안전에 대한 투자를 이제 선택이 아니라 기업의 생존과 직결된 의무로 보게 만드는 효과가 있습니다. 그래서 이런 집단 소송이 지금 논의가 되는데 어떻게 될지 모르겠습니다.
◆ 이도형 : 배상 문제, 여기서 한 걸음 더 들어가 보겠습니다. 법에는 징벌적 손해배상, 최대 5배까지 물릴 수 있다라고 이렇게 돼 있는데요. 현실에서는 거의 작동을 안 한다는 비판이 많습니다. 왜 그게 실제로 안 되는 겁니까?
◇ 이승기 : 예, 말씀하신 대로 징벌적 손해배상은 말 그대로 실제 손해보다 몇 배를 더 물려서 다시는 이런 일을 벌이지 못하게 하겠다 뭐 이런 일을 못하게 하겠다라는 장치입니다. 그래서 개인정보 보호법에서도 기업의 고의나 중대한 과실이 인정되면 손해액의 최대 5배까지 배상할 수 있도록 하는 그런 조항이 있긴 한데요.
문제는 이 조항이 생긴 이후 지금까지 개인정보 유출 사건에서 5배 배상하라라는 판결이 나온 적이 단 한 번도 없다는 겁니다. 그래서 법원에서도 기본적으로 실제 입증된 손해를 기준으로 판결을 내리는 게 원칙입니다. 법원에서는.

그렇다 보니 개인정보 유출로 인한 정신적 피해나 2차 피해 가능성처럼 숫자로 딱 잘라서 입증하기 어려운 그런 피해에 대해서는 좀 보수적으로 판단하는 경향이 큰데요. 그렇다 보니 이 징벌적 손해배상 어 이게 상당히 이게 좀 현실에서는 잘 이게 구현이 안 되는 경향이 많고요.




정부서울청사에서 쿠팡 관련 긴급 관계부처 장관회의가 열린 가운데 박대준 쿠팡대표가 회의장을 나서며 공개 사과하고 있다. 2025.11.30 [사진=연합뉴스]


여기에 또 징벌적 손해배상을 적용하려면 기업의 고의나 중대한 과실을 피해자 측에서 입증해야 되는 구조입니다. 그런데 소비자 입장에서는 대기업 내부의 보안 시스템이나 통제 기록을 직접 들여다볼 수 있는 수단이 거의 없습니다.
그러다 보니 징벌적 손해배상이라는 제도는 있지만 현실에서는 좀 제대로 작동하지 못하고 있다 이렇게 볼 수 있습니다.
◆ 이도형 : 그러다 보니까 손해배상으로 안 되면 과징금으로라도 제대로 때려야 한다라는 말이 나오고 있는데요. 쿠팡 매출이 40조, 50조 원인데요. 그 3%만 해도 1조 원이 넘는다. 1조 2천억 원이라고 들은 것 같은데 이게 역대급 과징금이 가능하다 이런 전망도 있는데요. 실제 그 정도 수준까지 나올까요?
◇ 이승기 : 일단 이론상으론 가능합니다. 그래서 지금 개인정보보호법을 보면 대규모 유출 사고가 그러니까 대규모 개인정보 유출 사고가 발생했을 때 위반 기업의 전체 매출액을 기준으로 최대 3%까지 과징금을 부과할 수 있게 되어 있습니다.
그런데 쿠팡이 지난해 매출이 처음 아마 40조 원 정도를 넘었을 거고요. 올해는 아마 50조 원도 가능하다라는 전망이 나오니까 단순 계산으로는 1조 원이 훌쩍 넘는 과징금도 숫자상으로는 나올 수가 있습니다.
물론 실제 부과 단계에서는 뭐 유출과 직접 관련이 없는 매출을 빼고, 또 위반 기간, 유출 규모, 사고 조치 등을 감안해서 금액을 좀 조정하게 될 테니까 상한선 3%를 그대로 적용할 가능성은 크지 않습니다.
하지만 역대 최대 규모의 과징금이 나올 수 있다는 전망은 유효하고 저도 충분히 그럴 거라고 봅니다. 그리고 여기에 전자상거래상 이제 심각한 피해가 인정이 되면 일정 기간 영업정지 같은 제재도 거론이 됩니다.
그러다 보니 쿠팡 입장에서는 이제 과징금뿐만이 아니라 사업 자체에 대한, 영업 정지면 엄청 큰 거기 때문에 사업 자체에 대한 리스크까지도 함께 고민해야 되는 상황이 된 겁니다.
◆ 이도형 : 예, 과징금 부과 문제는 짚어봤고요. 다음은 누가 책임질 거냐의 문제 좀 살펴보겠습니다. 이번 사태에서 가장 많이 거론되는 이름 바로 김범석 의장입니다.
창업자이자 실질적 지배자인데요. 그렇지만 정작 사건이 터지면 모습이 안 보인다 이런 비판이 나오고 있습니다. 쿠팡의 지배 구조 한번 살펴볼까요?
◇ 이승기 : 예, 우리가 평소에 보는 건 쿠팡 주식회사라는 한국 법인이지만 그 위에는 뉴욕 증시에 상장된 '쿠팡 Inc'라는 미국 법인이 모회사를 맡고 있습니다. 그런데 여기에 실질적 지배자가 바로 김범석 의장입니다.
그래서 이 미국 법인에서 보통주보다 29배 많은 의결권을 가진 클래식 B 주식이 있는데 이걸 김 의장이 가지고 있으면서 전체 의결권의 70% 이상을 사실상 혼자 행사하는 구조입니다. 그러니까 절대적 지배자가 맞고요.
그런데 김범석 의장이 미국 국적자이고 쿠팡 Inc가 미국 회사이다 보니까 공정거래위원회가 지정하는 동일인, 흔히 말하는 대기업 총수 명단에서는 빠져 있습니다. 그래서 다른 대기업 총수들이 지는 각종 공시 의무나 책임에서는 빗겨나 있는 상황입니다.

이번 사건에서도 약간 마찬가지 현상이 나오는데요. 이런 중대한 사건이 발생했는데도 국회에 나온 건 한국 법인 대표뿐이었고 김범석 의장의 사과 의향을 묻자 한국 법인 대표가 한국 법인에서 발생한 일이고 제 책임하에 벌어진 일이라 제가 사과드린다라면서 선을 긋는 모양도 보였습니다.




김범석 쿠팡 의장 [사진=연합뉴스]


◆ 이도형 : 요약하면 경영권과 통제력은 미국 법인과 김범석 의장이 지고 있는데 막상 사고가 터지면 한국 법인 대표만 나와서 책임을 지는 그림이 반복되고 있다 뭐 이런 비판이네요.
◇ 이승기 : 그렇습니다. 쿠팡 전체 매출의 90% 이상이 한국에서 나옵니다. 그런데 이제 미국 회사라는 거죠. 그런데 최고 의사결정과 통제의 중심은 미국 법인과 그 이사회에 있는데 특히 이사회의 구성원인 8명 전원이 미국과 브라질, 인도계 등 외국인으로 구성돼 있다고 있고요.
또 사이버 보안 감독을 맡은 감사위원회 역시도 해외 인사들이라고 합니다. 그러니까 뭐 결국에는 우리나라에서 매출은 얻지만, 우리나라에서는 실제 우리나라 국민들이 의사결정에 개입을 할 수 없는 거죠.
그러니까 이런 상황에서 대한민국 국민 4명 중 3명의 개인 정보가 유출되는 중대 사고가 터졌음에도 미국 법인은 지금 별다른 반응이 없습니다.
결국 한국에서 돈을 벌면서 통제권은 미국 본사와 해외 이사회가 지고 있고 실제 책임은 한국 법인 선에서만 처리하는 것 아니냐라는 비판이 나오는 이유입니다.
◆ 이도형 : 이 지배구조 문제, 사실 기부와 상생에서도 그대로 반복된다는 지적이 있습니다.매출은 대부분 한국에서 올리는데 기부는 미국에만 했다 이런 비판도 있네요.
◇ 이승기 : 대표적으로 김범석 의장의 주식 기부가 있는데요. 쿠팡 주식 200만 주, 약 672억 원어치를 자선기금에 기부했다라는 발표가 있었는데 이걸 확인해 보니까 이 주식이 전부 미국 내 자선기금에만 들어간 게 드러나서 논란이 됐습니다.
그래서 발표 당시에는 한국을 포함해 국내외에 기부하겠다라고 했지만 결과적으로 전액이 미국으로 흘러간 셈이라 말이 또 바뀐 것 아니냐라는 지적도 나왔습니다.
◆ 이도형 : 이게 결국 세금 문제 때문이라는 말도 있던데요.
◇ 이승기 : 예, 미국 시민권자인 김 의장이 이 세금 문제 때문에 한국 지부에 소홀하다라는 의혹이 있는데요. 미국 세법상 김 의장은 미국 정부가 인정한 미국 내 자선 단체에 기부할 때만 이 조정소득의 60%까지 공제 혜택을 받을 수가 있습니다.
그래서 특히 주식으로 기부하면 더 많은 세금 혜택을 받을 수가 있고요. 반대로 한국 단체나 해외 기관에 기부를 하면 세금 공제를 전혀 받을 수가 없습니다. 뭐 일부는 받을 수 있을지 몰라도 일단은 거의 받을 수 없다라고 하고요.
그렇다 보니 돈은 한국에서 벌면서 사회적 책임은 미국에서 다 하고 책임질 일이 생기면 미국 회사라는 이름 뒤에 숨는 거 아니냐라는 비판이 계속 나오는데요.
이에 대해 한국 쿠팡 측에서는 기부된 주식은 자선 기금의 운용 방식에 따라 운용되는데, 국내 의료기관과 종교기관 등에도 지속적으로 기부를 진행하고 있다라고 해명을 했지만 아직 구체적으로 확인된 건 없습니다.
◆ 이도형 : 예, 하나 더 짚어보겠습니다. 타이밍상 민감한 부분인데요. 유출 사고가 발생한 이후 쿠팡의 핵심 임원들, 보유 주식을 상당 규모 팔아치웠다는 공시가 나왔는데요. 이건 어떻게 봐야됩니까.
◇ 이승기 : 예, 미국 증권거래위원회 공시에 따르면요. 쿠팡 최고재무책임자가 미화 21만 8만 6천 달러, 우리 돈 32억 원 규모로 지분을 매도했고 또 핵심 기술 담당 임원이었던 전 부사장도 약 77만 2천 달러, 그러니까 우리 돈 11억 원이 넘는 주식을 매도해서 현금화한 것으로 신고를 했습니다.

그런데 쿠팡이 한국인터넷진흥원에 고객들의 개인정보에 무단 접근이 있었다고 기록한 시점과 회사가 침해 사실을 공식적으로 인지했다고 밝힌 이 시점 사이의 흐름을 보면 이미 내부에서 뭔가 감지되고 있던 상황에서 핵심 임원들이 주식을 정리한 것 아니냐라는 합리적 의심도 제기되고 있는 겁니다.




개인정보보호위원회 명패


◆ 이도형 : 이번엔 현실적인 질문인데요. 당장 내 정보와 가족의 안전을 위해 지금 바로 할 수 있는 조치가 있다면 뭐가 있을지 정리해 주실까요?
◇ 이승기 : 가장 중요한 거는요. 이미 내 정보 다 털렸는데 이제 와서 뭘 하냐 라고 손 놓는 건 가장 위험합니다. 그래서 지금 할 수 있는 건 바로바로 해야 되고요. 일단 해외 직구를 자주 하셨다면 개인통관 고유 부호 재발급을 하셔야 됩니다.
그리고 집과 사무실, 공동현관에  비밀번호도 이제 바꾸시는 게 좋고요. 그리고 이제 쿠팡에서 쓰던 아이디와 비밀번호를 보통 그렇잖아요. 저도 아이디와 비밀번호 다 동일하게 쓰거든요. 여기저기. 근데 이거를 다른 사이트에서 똑같이 쓰고 있었다면 반드시 바꿔줘야 됩니다.
앞으로는 좀 의심스러운 문자나 전화가 오면 일단 스팸이나 보이스피싱으로 좀 의심을 하시고 응대하지 않는 게 특히 중요합니다.
그리고 이건 정말 중요한 건데요. 뭐 배송 지연이다, 환불 문제다, 뭐 본인 인증이다 등등의 이유로 링크를 보내와서 링크를 클릭해 달라거나 원격 접속을 할 때는 허락해 달라 이런 식의 문자나 전화가 온다라고 하면 무조건 거절하셔야 됩니다.
그리고 귀찮더라도 공식 어플이나 사이트를 열어서 직접 확인하는 그런 습관을 들이는 게 중요하고요. 무엇보다 가장 중요한 것은 이로 인해 이제 내 정보가 더 이상 내 개인 정보가 아니다. 만천하에 공개돼 있다라는 걸 아시고 이제는 정말 정말 보이스피싱 이런 거 조심하셔야 됩니다.
◆ 이도형 : 네, 오늘 말씀 들어보니까요. 이번 사건, 단순히 개인 정보 유출 차원이 아니라 집단소송에 징벌적 배상, 과징금, 지배구조, 상생 책임까지 우리 사회가 고민해야 될 화두를 던진 한꺼번에 고민해야 될 사안인 것 같습니다. 오늘 말씀 여기까지 듣겠습니다. 변호사님 고맙습니다.
◇ 이승기 : 예, 감사합니다.

◆ 이도형 : 지금까지 사건 수첩, 이승기 변호사와 함께 했습니다.




이도형 앵커, 이승기 변호사 2025.12.5 [경인방송 시사뉴스팀]


※ 여러분의 제보가 인천과 경기를 변화시킵니다.
[제보] https://news.ifm.kr/com/jb.html
[구독] https://v.daum.net/channel/551718/home
유튜브, 네이버, 카카오에서도 경인방송을 구독해주세요!