소송 앞두고 잇단 자충수…‘개인정보 유출 사태’ 쿠팡 김범석 사면초가

증인 불참·자체조사 기습 발표 등 논란…국정조사·수사 의뢰·세무조사 등 정부 전방위 압박

[일요신문] 쿠팡의 3370만 명 고객 개인정보 유출 사태가 악화일로로 치닫고 있다. 2025년 12월 30일부터 이틀간 국회에서 열린 연석청문회가 뇌관이 됐다. 쿠팡이 피해규모를 축소해 발표한 자체조사 경위를 놓고 국가정보원과 정면충돌하면서 수사로 번졌다. 청문회에 김범석 쿠팡Inc 의장을 비롯한 핵심 증인들이 불참하자 국회는 국정조사 추진에 나섰다. 정부는 이번 사태뿐 아니라 지배구조, 불공정 거래, 노동환경, 세금 탈루 의혹 등에 대해 전방위적으로 압박 수위를 높이고 있다. 법조계에선 쿠팡의 안일한 대응 방식이 개인정보 유출 피해자들이 제기한 소송에서 자충수로 작용할 수 있다는 지적이 나온다.

#자체조사 경위 진실공방…국정조사로 번진 청문회

쿠팡 고객 개인정보 유출 사태가 악화일로로 치닫고 있다. 서울 송파구 쿠팡 본사. 사진=박정훈 기자

지난 12월 30일~31일 과학기술정보방송통신위원회 등 6개 상임위가 참여해 열린 ‘쿠팡 사태 연석청문회’에서 쿠팡은 자체조사가 국정원의 개입에 따라 이뤄졌다는 입장을 거듭 반복했다. 30일 청문회에 증인으로 참석한 해럴드 로저스 쿠팡 임시 대표는 “쿠팡이 자체적으로 조사한 게 아니라 국정원의 지시와 명령으로 개인정보 유출 사고를 조사하고 정보 유출자와 연락했다”고 말했다. 청문회 이튿날인 31일 이재걸 쿠팡 법무담당 부사장도 “국정원이 정보유출 용의자에 연락을 해보라고 제안했고, 증거물인 노트북을 강에서 건지라고 지시했다”고 밝혔다.

쿠팡이 발표한 자체조사는 결국 경찰 수사로 이어지게 됐다. 12월 30일 국정원은 “쿠팡에 어떠한 지시·명령·허가를 한 적이 없다”고 반박하며 국회에 쿠팡 대표를 국회증언감정법에 따라 위증 혐의로 고발해달라고 요청했다. 31일 과방위는 로저스 대표 등 4명을 위증 혐의로 고발했다.

앞서 12월 25일 쿠팡은 자체 뉴스룸을 통해 개인정보 유출 사태와 관련한 자체조사 결과를 기습적으로 발표했다. 쿠팡은 정보 유출자인 전 직원이 3300만 명의 고객 정보에 접근했지만, 실제로 정보가 유출된 계정은 3000개에 불과했다고 밝혔다. 또 전 직원이 유출한 정보는 모두 삭제됐으며 제3자에 유출된 고객 정보는 없다고도 덧붙였다. 쿠팡 측은 “유출된 정보가 담긴 노트북을 강에서 회수하고 포렌식을 통해 증거를 기록한 뒤 노트북을 정부에 인계했다”고도 밝혔다.

2025년 12월 30일~31일 과학기술정보방송통신위원회 등 6개 상임위가 참여해 열린 ‘쿠팡 사태 연석청문회’에서 해럴드 로저스 임시대표(왼쪽)가 위원 질의에 대답하고 있다. 사진=연합뉴스

문제는 쿠팡의 자체조사가 정보유출 사태를 조사 중인 민관합동조사단과 협의되지 않은 내용이었다는 점이다. 쿠팡 사태 관련 범정부 TF(태스크포스)를 이끄는 과학기술정보통신부는 쿠팡의 자체조사 결과를 발표한 25일 “(민관합동조사단이) 정보 유출 종류 및 규모, 유출 경위 등에 대해 면밀히 조사 중”이라며 “쿠팡이 주장하는 사항이 민관합동조사단에 의해 확인된 것은 아니다”라고 즉각 반박했다. 26일 쿠팡은 “매일 정부와 긴밀히 협력해 진행한 조사”였다고 재반박했다. 이때 쿠팡이 협력했다고 밝힌 정부는 국정원이었는데, 사실관계를 두고 연석청문회에서 국정원과 정면충돌한 셈이다.

청문회는 국정조사로 번지는 양상이다. 12월 31일 더불어민주당은 국회 의안과에 쿠팡 국정조사 요구서를 제출했다. 미국 국적의 김범석 의장은 차등의결권을 통해 쿠팡 Inc 의결권의 70% 이상을 행사하고 있다. 하지만 “해외 비즈니스 일정이 있다”며 청문회에는 줄곧 불참하고 있다. 국정조사 증인으로 채택되고 출석을 거부하면 국정조사위원회는 동행명령장을 발부할 수 있다. 이마저도 거부하면 국회모욕죄가 적용돼 5년 이하 징역에 처해진다. 12월 31일 과방위는 김 의장 등 3명을 국회증언감정법상 불출석 등 혐의로 고발한 상태다.

12월 31일 김현정 더불어민주당 원내대변인, 국회 과학기술정보통신위원회 간사 민주당 김현 의원, 외교통일위원회 간사 김영배 의원(왼쪽부터)이 국회 의안과에 쿠팡 국정조사 요구서를 제출하고 있다. 사진=연합뉴스

#지배구조, 산재 은폐, 세금 탈루 등 현미경 조사

정부는 쿠팡을 대상으로 전방위적인 공세를 예고했다. 12월 31일 12개 부처·기관은 ‘국회 6개 상임위원회 쿠팡 연석청문회 후속조치’ 계획을 공개했다. 과기정통부는 정보통신망법에 따른 자료보전 명령 위반으로 경찰에 쿠팡에 대한 수사를 의뢰할 예정이라고 밝혔다. ‘쿠팡 사태 범정부 TF’ 팀장인 배경훈 부총리 겸 과기정통부 장관은 같은 날 청문회에서 “침해사고 신고 이후 11월 19일 자료 보존 명령이 내려진 뒤에도 접속 로그가 삭제되도록 방치돼 5개월 분량 홈페이지 접속 기록이 삭제됐음을 확인했다”고 밝혔다. 청문회에서 배 부총리는 3300만 건 이상의 정보가 유출됐다고 강조했다. 합동조사단이 160여 건의 자료를 요청했으나 쿠팡은 50여 건만 제출했다고도 지적했다.

개인정보보호위원회는 개인정보 관리체계(ISMS-P) 등 개인정보보호법 위반 여부, 금융위원회가 부정결제 가능성 등을 들여다보고 있다. 동시에 공정거래위원회는 정보 도용 여부와 소비자의 재산상 손해 발생 여부를 확인 중이다. 31일 청문회에서 주병기 공정거래위원장은 “(조사 결과에 따라) 영업정지까지 처분할 수 있다”고 밝혔다. 공정위 소비자거래정책과 관계자는 “전자상거래법상으로는 거래 과정에서 개인정보가 도용된 데 그치지 않고, 소비자 피해가 발생하고 피해 회복 조치를 마련하지 않았을 때 제재를 가할 수 있다”라고 말했다.

서울 송파구 쿠팡 본사. 사진=박정훈 기자

정부의 전방위 압박은 정보유출 사태에만 그치지는 않을 전망이다. 공정위는 김범석 의장의 대기업 총수(동일인) 지정 문제도 살펴보겠단 계획이다. 김 의장의 동생인 김유석 부사장이 한국 법인에 파견돼 배송센터 관리를 총괄하면서 최근 4년간 약 140억 원의 보수와 인센티브를 받은 사실이 알려지면서 경영에 실질적으로 참여했다는 의혹이 불거졌기 때문이다. 그간 김 의장은 미국 국적을 가진 데다 친족이 경영에 참여하지 않아 총수 지정에선 제외돼왔다. 기업집단 총수로 지정되면 사익편취 금지와 친인척 자료 제출 등 여러 규제가 적용된다. 이에 대해 이번 청문회에서 로저스 대표는 “김유석은 임원이 아니다”라고 주장했다.

공정위는 쿠팡의 시장지배적 지위 남용 행위도 살펴보고 있다. 시장지배적 사업자는 단일 사업자의 시장점유율이 50% 이상이거나 상위 세 사업자의 합산 점유율이 75% 이상일 때 지정된다. 

이외에 고용노동부는 쿠팡이 산재 신청을 취하하는 대가로 산재 노동자 유족과 합의한 ‘산재 은폐 의혹’을 들여다볼 계획이다. 서울경찰청은 쿠팡 관련 의혹을 종합적으로 조사하기 위해 최종상 수사부장을 팀장으로 TF팀을 꾸렸다. 사이버수사과·형사과·수사과·광역수사단 금융범죄수사대·형사기동대·공공범죄수사대 등 86명 규모다. 서울경찰청 TF팀은 전국택배노동조합에서 고발한 산재 은폐 의혹을 비롯해 쿠팡에 대한 고소·고발 사건을 담당할 방침이다.

공정위는 쿠팡의 시장지배적 지위 남용 행위도 살펴보고 있다. 12월 30일 주병기 공정거래위원장이 국회에서 열린 경제형벌 민사책임 합리화 제2차 당정협의에 참석해 발언하고 있다. 사진=연합뉴스

국세청도 쿠팡에 대한 고강도 세무조사를 예고했다. 지난 12월 22일 국세청은 쿠팡의 탈세 혐의를 포착하고 쿠팡 물류 자회사 쿠팡풀필먼트서비스(CFS)와 쿠팡 한국법인 내 CFS 사무실에 조사관 150명을 투입해 특별세무조사에 착수했다. 표면적으로는 국세청이 쿠팡 자회사 조사에만 나섰지만, 사실상 쿠팡 전반의 세금 탈루 혐의 조사에 나섰다는 분석이 나온다. 12월 30일 청문회에서 임광현 국세청장은 미국 국세청과의 공조 가능성도 내비쳤다.

청문회 직전인 12월 28일 김범석 의장은 정보유출 사태 한 달 만에 쿠팡 뉴스룸을 통해 사과문을 내놨다. 29일엔 쿠팡이 개인정보 유출 통지를 받은 3370만 명 고객에게 1인당 5만 원의 구매이용권을 지급하겠다는 1조 6850억 원 규모의 자체 보상안을 내놓았다. 30일 청문회에서 로저스 대표는 “전례 없는 보상안”이라고 밝혔다.

29일엔 쿠팡이 개인정보 유출 통지를 받은 3370만 명 고객에게 1인당 5만 원의 구매이용권을 지급하겠다는 1조 6850억 원 규모의 자체 보상안을 내놓았다. 사진=쿠팡 뉴스룸 캡처

이와 관련, 이철우 IT 전문 변호사는 “스스로 잘못을 시인하면 법적으로 더 큰 문제로 비화할 수 있다고 (쿠팡이) 판단한 것 같다”며 “쿠팡 입장에선 과징금보다도 개인정보 유출 피해자들의 손해배상 소송이 부담일 수 있다. 때문에 정부에 호소하기보다 자체조사 발표 등을 통해 국민들에게 ‘그렇게 큰일은 아니다’라는 메시지를 주고 싶었던 듯하다”라고 말했다.

#“쿠팡의 안일한 태도, 소송에 자충수로 작용할 것”

쿠팡은 국내외에서 개인정보 유출 피해자와 투자자들의 소송에도 직면했다. 개인정보 유출 피해자들은 국내 법무법인을 통해 쿠팡을 상대로 공동 소송을 제기하고 있다. 1인당 손해배상 청구금액은 10만 원에서 50만 원까지 다양하다. 개인정보보호법 제39조 1항은 “개인정보처리자가 고의나 과실이 없음을 입증하지 못하면 책임을 면할 수 없다”고 규정하고 있다. 개인정보보호법 제29조엔 “개인정보처리자가 최소한의 안전조치의무를 부담한다”고 명시돼 있다.

정구승 법무법인 일로 변호사를 통해 확보한 개인정보 유출 피해자 공동소송 소장에 따르면, 피해자들은 “국내 최대 전자상거래 플랫폼으로서 피고가 부담하는 고도의 주의의무, 서버 인증 취약점 방치라는 명백하고 중대한 과실, 주소·공동현관 비밀번호 등 범죄에 직접 악용될 수 있는 민감 정보의 유출이라는 점에서 기존 사건들보다 그 불법성과 피해의 정도가 훨씬 크다”고 주장했다. 정 변호사는 “재판에서 쿠팡이 내놓은 배상안이 실질적인 배상안의 일부라기보다 프로모션에 가깝다고 주장할 것”라고 설명했다.

쿠팡은 국내외에서 개인정보 유출 피해자와 투자자들의 소송에도 직면했다. 서울 송파구 쿠팡 본사. 사진=박정훈 기자

쿠팡의 안일한 태도가 소송에서 자충수로 작용할 수 있다는 지적도 나온다. 진병권 법무법인 인본 변호사는 “이번 쿠팡 사태는 유출된 정보가 다양하고 내밀한 부분까지 유출됐기 때문에 손해배상액은 커질 수밖에 없다. 법원은 유출 과정에 개인정보 처리자의 과실이 있었는지, 유출 책임에 대해 진지하게 대처를 했는지 등을 판단한다”며 “쿠팡은 불성실한 태도로 일관하고 있다. 소장엔 피해자들의 청구금액을 30만 원으로 지정해뒀으나 청구금액은 늘어날 가능성이 있다”라고 밝혔다.

12월 23일 참여연대와 한국소비자연맹은 1차와 2차를 합쳐 총 1663명의 피해자가 개인정보위원회에 집단분쟁조정 신청서를 제출했다고 밝혔다. 김은정 참여연대 경제노동팀 팀장은 “집단분쟁조정은 강제력이 없다. 다만 집단분쟁조정이 접수되면 개인정보위원회에서 공식적인 권고안을 내놓을 수 있다. 이것을 쿠팡이 거부할 경우 여러 공동 소송의 재판에도 영향을 미칠 수 있어 집단분쟁조정 신청을 진행하게 됐다”라고 말했다.

미국에서는 로젠 로펌(The Rosen Law Firm), 로빈스(Robbins LLP), 포메란츠 LLP(Pomerantz LLP) 등 현지 로펌들이 쿠팡 주주들을 대리해 집단소송 추진에 나섰다. 뉴욕증권거래소(NYSE)에 따르면 쿠팡Inc(CPNG) 주가(종가 기준)는 쿠팡이 개인정보 유출 사고를 신고한 11월 19일 27.40달러에서 12월 31일 23.59달러로 약 14% 하락했다. 

12월 29일 쿠팡Inc는 미국 증권거래위원회(SEC)에 제출한 정정공시를 통해 “실제 저장된 개인정보는 3000건에 불과했다”고 밝혔다. 사진=SEC에 제출된 쿠팡 자료 캡처

주주 집단소송을 추진하는 미국의 한 법무법인은 “쿠팡은 데이터 유출 사고를 인지했음에도 SEC에 제출해야 하는 재무보고서에 이를 보고하지 않았다. 이러한 내용이 알려지면서 투자자들이 손해를 입었다”며 소송 추진 이유를 밝혔다.

한편 국내 정치권에서는 쿠팡 사태를 계기로 ‘집단소송제’를 도입해야 한다는 목소리에 힘이 실리고 있다. 미국과 영국 등에서 도입한 집단소송제는 피해자 일부가 소송을 내서 승소하면 나머지 피해자들이 소송 원고로 이름을 올리지 않았더라도 배상받을 수 있는 제도다. 

김명선 기자 [e-mail]