[뉴스스페이스=김희선 기자] 쿠팡 정보유출 피해자들이 마침내 미국 뉴욕 연방법원에 모회사 쿠팡아이엔씨(Coupang Inc.)와 김범석 이사회 의장을 상대로 징벌적 손해배상(class action with punitive damages)을 청구하는 집단소송을 공식 제기했다.

 

daeryunlaw.com, reuters, cybersecuritydive에 따르면, 한국 사법 절차와 별개로 미국 법원의 판단대가 열리면서, 쿠팡의 개인정보 보호·지배구조·공시 체계 전반이 국제 무대에서 검증대에 오르게 됐다.

 

뉴욕 동부연방법원에 제기된 소송의 골격

 

6일(현지시간) 미국 시민권자인 이 모 씨와 박 모 씨를 대표 원고로 한 피해자들은 뉴욕 동부연방지방법원(U.S. District Court for the Eastern District of New York)에 쿠팡Inc와 창업자 김범석 의장을 피고로 하는 집단소송을 접수했다. 소송을 대리하는 미국 로펌 SJKP(한국 법무법인 대륜의 미국 계열)는 “쿠팡Inc는 미국 상법에 의해 설립된 상장사로, 미국 시민은 물론 한국인을 포함한 모든 이용자에게 개인정보 보호 의무를 부담한다”고 밝혔다.

 

원고 측은 소장에서 ▲쿠팡Inc가 개인정보 보호 의무를 위반한 과실(negligence) ▲이용자와의 ‘묵시적 계약(implied contract)’ 위반 ▲적절한 보안조치 미이행을 통한 부당이득(unjust enrichment) 등을 핵심 쟁점으로 제시했다. 쿠팡이 최소 수개월 동안 전·현직 직원의 비인가 접근을 차단하지 못한 채 3,370만명 규모의 고객 데이터를 유출했고, 이를 통해 비용을 절감하거나 보안투자를 미루는 방식으로 경제적 이익을 누렸다는 것이 원고 측 프레임이다.

 

현재까지 한국과 미국에서 집단소송 참여 의사를 밝힌 피해자는 수만명에 이르며, 대륜 측은 “미국 소송은 피해회원들이 가장 원했던 ‘본질적’ 소송”이라고 규정했다. 미국 소송은 한국 법원에 제기된 위자료·손해배상 소송과는 별개의 트랙으로, 징벌적 손해배상과 상장사 지배구조·공시 의무 위반 책임을 동시에 묻는 구조다.

 

‘3370만명’ 유출, 어떻게 미국까지 번졌나

쿠팡의 개인정보 대량 유출은 2025년 11월 말 전 직원의 내부 시스템 비인가 접속이 드러나면서 수면 위로 떠올랐다. 쿠팡은 약 3,370만개 고객 계정의 데이터가 유출됐다고 밝힌 바 있으며, 여기에는 이름, 이메일, 휴대전화번호, 주소, 일부 주문·배송 정보 등이 포함된 것으로 알려져 있다.

 

한국 경찰은 2025년 12월 초 서울 송파구 본사에 대한 압수수색에 나서 IP 추적과 취약점 분석 등 형사 수사를 진행하고 있으며, 개인정보보호위원회도 과징금·과태료 부과 및 관리·감독 체계 점검에 착수했다. 국내에서는 60만~70만명 수준의 소비자가 소송 카페와 로펌을 통해 집단소송에 참여했고, 1인당 20만~100만원 수준의 위자료 청구가 이뤄지고 있는 것으로 전해졌다.

 

그러나 쿠팡 모회사가 미국 델라웨어 법에 따라 설립된 뉴욕증시(NYSE) 상장사라는 점, 고객 다수가 한국에 있지만 기업지배 구조와 투자자 보호 규율은 미국 증권법의 직접적인 적용을 받는다는 점 때문에, 피해자 측은 초기 단계부터 “실질적 제재와 배상을 위해서는 미국 법원이 더 적합하다”는 전략적 판단을 굳혀 왔다.

 

‘징벌적 손해배상’이 가져올 파장…T모바일 사례와 비교

 

이번 쿠팡 사태의 최대 변수는 미국 특유의 징벌적 손해배상 제도다. 단순 손해액 배상을 넘어, 중대한 과실이나 악의적 은폐가 인정될 경우 배상액이 실제 손해의 수 배로 치솟을 수 있다는 점에서, 경영진·이사회·대주주 모두가 주가와 별개 차원의 리스크를 안게 된다.

 

대표적인 비교 사례는 2021년 8월 해킹으로 최소 7,660만명 개인 정보가 유출된 미국 T모바일 사건이다. T모바일은 관련 집단소송에서 소비자 배상과 소송비용 등으로 3억5,000만달러(약 4,600억~5,100억원 상당)의 합의기금 조성을 약속했고, 별도로 향후 2년간 1억5,000만달러를 추가 보안 투자에 사용하기로 했다. 전체적으로는 약 5억달러 규모의 재무적 부담을 떠안은 셈이다.

 

미국 개인정보 유출 사건 가운데서는 2017년 유출을 일으킨 미국 신용평가사 에퀴팩스(Equifax)가 최대 7억달러 수준의 합의를 수용한 사례가 ‘레퍼런스’로 자주 인용된다.

 

쿠팡도 유출 규모(3,370만명)와 상장사 지위, 공시 지연 의혹, 내부 직원 장기 비인가 접속 방치 여부 등이 종합적으로 고려될 경우, 단순 합의금뿐 아니라 보안투자·모니터링 의무까지 포함한 복합 패키지 판결 또는 합의를 요구받을 가능성이 높다는 분석이 해외 로펌과 개인정보 전문 매체를 중심으로 제기되고 있다.

 

주주소송·소비자소송 ‘투트랙’…쿠팡 리스크 구조 변화

쿠팡을 둘러싼 미국발 법적 리스크는 이미 투트랙으로 전개되고 있다. 하나는 이번에 제기된 소비자 집단소송(privacy class action), 다른 하나는 정보유출 공시 지연을 문제삼는 증권 관련 주주 집단소송(securities class action)이다.

 

주주소송 쪽에서는 로즌 로펌 등 미국 증권 전문 로펌들이 “쿠팡이 데이터 유출 사실을 파악하고도 SEC 규정상 4영업일 내에 공시하지 않았고, 그 사이 투자자들이 허위·미흡 공시에 기초해 매수 결정을 내렸다”고 주장하며, 일정 기간(예: 2025년 8월~12월) 사이 쿠팡 주식을 매수한 투자자들을 상대로 원고 모집에 나선 상태다.

 

글로벌 미디어보도에 따르면 유출 사실이 알려진 뒤 쿠팡 주가는 약 18% 내외의 하락을 경험했고, 이 구간 손실분이 손해액 산정의 출발점으로 거론되고 있다.

 

소비자 집단소송은 피해자의 국적과 거주지를 불문하고, 쿠팡을 이용해 개인정보를 제공한 모든 이용자를 포괄하는 구조를 지향하고 있다. 이미 한국 내 소송 참여자 약 200명가량이 미국 소송에도 동시 참여하고 있으며, 미국 내 한인 커뮤니티 및 글로벌 고객을 상대로 한 추가 원고 모집도 진행 중이다.

 

이로써 쿠팡은 ▲한국 내 소비자 손해배상 소송 ▲한국 경찰·개인정보위 조사 ▲미국 소비자 집단소송 ▲미국 주주 집단소송 ▲SEC·연방규제기관의 잠재 조사라는 ‘5중 리스크’ 구조에 놓였다는 평가가 가능하다.

 

“한국 데이터, 미국 상장사, 글로벌 법정”이 던지는 메시지

이번 뉴욕 동부연방법원의 집단소송 제기는 한국 IT·플랫폼 기업들에게 몇 가지 구조적인 메시지를 던진다.

 

첫째, “본사는 미국, 고객은 한국, 데이터는 클라우드에, 개발·운영은 제3국”이라는 분산 구조는 규제·책임만큼은 통합되어 돌아온다는 점이다. 둘째, 개인정보 침해는 이제 단순 과징금·과태료 수준을 넘어, 주주 가치와 상장사 지배구조 평가, 글로벌 투자자 신뢰도까지 건드리는 거버넌스 이슈가 되었다.

 

T모바일·에퀴팩스 등 선행 사례는 “대규모 데이터 유출→집단소송→수억달러급 합의·투자 의무→경영진 책임론·이사회 구성 변화”라는 전형적인 경로를 보여준다.

 

빅테크 전문가는 "쿠팡의 사례가 미국 법원에서 징벌적 손해배상 책임이 어느 수준으로 인정되는지, 공시 지연과 내부통제 실패에 대해 어느 정도의 ‘가격표’가 매겨지는지에 따라 향후 3~5년간의 투자·영업전략, 나아가 플랫폼 규제 논의 지형까지 재편될 수 있다"고 강조했다.

 

또 다른 전문가는 "이번 소송은 3,370만명에 달하는 개별 이용자의 피해 구제를 넘어, '데이터를 기반으로 성장한 플랫폼 기업이 데이터 자체를 얼마나 책임 있게 다루고 있는가'라는 질문을, 서울이 아닌 뉴욕 연방법원 법정 한가운데 끌어올려 놓았다는 점에서 의미가 크다"고 분석했다.