쿠팡, 10만원 조정 거부…투자자가 볼 리스크

당장 3조원짜리 청구서는 피했다

쿠팡이 9월 11일 개인정보 유출 피해자에게 1인당 10만원을 배상하라는 한국소비자원 조정안을 거부했다. 투자자 입장에서 이 결정을 읽는 첫 번째 방식은 단순하다. 회사가 즉각적인 대규모 현금 지출을 일단 막았다는 것이다.

이번 유출은 약 3,370만 개 계정 규모다. 소비자원 조정안대로 전체 피해자에게 10만원씩을 물린다고 가정하면 부담은 조 단위로 불어난다. 일부 보도는 약 3조7550억원까지 추산했다. 회사가 조정안을 받아들였다면 이 금액이 배상 기준선으로 굳어질 수 있었다.

무엇이, 어떻게 뚫렸나

Photo by Maxim Hopman on Unsplash

유출된 정보는 이름, 전화번호, 이메일, 배송지 주소록, 주문 내역 등이다. 쿠팡은 결제 정보와 신용카드 번호, 로그인 비밀번호는 빠져나가지 않았다고 밝혔다. 해킹은 해외 서버를 통해 지난해 6월 24일부터 이뤄진 것으로 추정되며, 회사는 11월에 이를 인지하고 공개했다.

규제 절차는 이미 돌아가고 있다. 개인정보보호위원회는 11월 21일부터 조사에 들어갔고, 정부는 11월 30일 민관합동조사단을 꾸렸다. 조정 국면은 그중 한 갈래일 뿐이다. 소비자원 소비자분쟁조정위원회는 7월 말 조정을 신청한 50명에 대해 1인당 10만원 배상을 결정했지만, 쿠팡은 "선제적 노력과 조정안 수용에 따른 대내외 파급효과"를 이유로 이를 받아들이지 않았다.

거부는 리스크를 없애지 않는다

여기서 갈라지는 게 사실과 해석이다. 조정 거부는 확정된 사실이지만, 그것이 리스크의 소멸을 뜻하지는 않는다. 조정이 불성립되면 피해자들은 개별적으로 민사소송을 내야 한다. 부담이 사라진 게 아니라 법정으로 자리를 옮긴 것이다.

소비자단체들은 강하게 반발하고 있다. 참여연대를 비롯한 시민단체들은 쿠팡의 5만원 쿠폰 보상을 "꼼수"로 규정하고, 피해자가 일일이 소송하지 않아도 되는 이른바 옵트아웃 방식의 집단소송법 제정을 국회에 촉구했다. 투자자가 주목할 대목은 여기다. 개별 소송은 참여율이 낮아 회사 부담이 제한적이지만, 집단소송 제도가 들어서면 잠재 배상 규모의 계산이 완전히 달라진다.

규제 리스크는 아직 열려 있다

배상 소송과 별개로 과징금이 남아 있다. 2023년 개정된 개인정보보호법은 위반 기업에 전체 매출액의 3% 이내에서 과징금을 물릴 수 있도록 했다. 매출 규모가 큰 쿠팡에는 결코 작지 않은 숫자가 될 수 있다. 다만 개인정보위 조사가 진행 중이라 실제 금액은 아직 정해지지 않았다. 지금 시점에서 과징금을 구체적 수치로 반영하는 것은 이르다.

투자자가 지켜볼 지표

소송성 리스크는 감정이 아니라 몇 개의 확인 가능한 변수로 좁혀서 봐야 한다.

변수	확인 포인트	리스크 방향
과징금	개인정보위 조사 결론·부과액	매출 3% 근접 시 부담
집단소송법	국회 입법 여부·방식	옵트아웃 도입 시 급증
개별 소송	1심 배상 단가·참여율	10만원 인정 시 기준선

여기에 하나를 더한다면 소비자 신뢰다. 활성 고객 수와 이용 지표가 유출 이후 흔들리는지가 실적에 직접 닿는 부분이다. 배상액은 결국 확률과 참여율의 문제지만, 고객 이탈은 그보다 즉각적으로 매출에 반영된다. 조정 거부가 단기 현금 방어에는 성공했더라도, 신뢰라는 계정에서는 비용을 치르는 셈이다.

출처

1. 쿠팡, 개인정보 유출 피해 고객 1인당 10만원 배상 조정안 거부
2. 개인정보 유출하고도 보상안 거부한 쿠팡…민사소송 선전포고한 것
3. 쿠팡 개인정보 3370만 건 대규모 유출 해킹 사고 발생