[비즈니스포스트] 김범석 쿠팡Inc(쿠팡 모회사) 이사회 의장 겸 최고경영자(CEO)가 개인정보 유출 사태와 관련해 앞으로도 적지 않은 과제를 안고 있는 것으로 보인다.

당장 개인정보보호위원회에서 부과받은 사상 최대 규모의 과징금 처분은 행정 소송으로 갈 가능성이 높아 보인다. 미국에서 벌어지고 있는 증권 집단소송과 국내 이용자 손해배상 소송까지 대응해야 할 전선이 넓다.

공정거래위원회가 김 의장을 쿠팡의 동일인으로 지정한 데 불복하며 제기한 소송 역시 김 의장의 신경이 쓰일 수밖에 없는 지점으로 꼽힌다.

11일 개인정보보호위원회의 쿠팡 제재 의결을 계기로 김 의장이 맞닥뜨린 법적 전선은 과징금 행정소송을 넘어 동일인 지정 불복 소송과 미국 증권 집단소송, 국내 이용자 손해배상 소송으로 확대되고 있다.

개인정보보호위원회는 이날 정부서울청사에서 브리핑을 열고 쿠팡의 안전조치 의무 위반과 법적 근거 없는 개인정보 수집 등에 대해 과징금 6246억8100만 원과 과태료 1680만 원을 부과하고 시정명령과 공표명령, 고발, 개선권고를 의결했다고 밝혔다.

쿠팡 계열사인 쿠팡풀필먼트서비스(CFS)에 대해서도 개인정보 수집·이용 및 민감정보 처리 제한 위반을 확인해 과징금 2억4800만 원을 부과했다.

이번 과징금은 국내 개인정보 유출 사건과 관련해 부과된 제재 가운데 가장 큰 규모다. 직전까지 가장 큰 과징금은 SK텔레콤의 1348억 원이었다. 2025년 4월 해킹 사고로 약 2300만 명의 개인정보가 유출되자 개인정보보호위원회는 SK텔레콤에 1348억 원의 과징금을 부과했다.

쿠팡은 처분 직후 입장을 내고 자신들의 선제적 조치와 사실관계에 근거한 설명이 개인정보보호위원회의 결정에 충분히 반영되지 못한 점을 유감스럽게 생각한다며 행정소송 제기를 예고했다.

행정소송에서는 개인정보 유출 사고의 책임 범위와 안전조치 의무 위반 여부, 과징금 산정 기준 등이 쟁점이 될 것으로 예상된다. 실제 과징금 납부 시점과 회계 반영 규모도 소송 절차와 결과에 따라 달라질 수 있다.

개인정보보호위원회가 고발까지 의결한 점도 쿠팡에게는 부담이다. 과징금 행정소송이 제재 수위와 처분 적정성을 다투는 절차라면 고발은 향후 수사와 형사 책임 논란으로 이어질 수 있는 별도 변수다.

쿠팡으로서는 개인정보보호위원 처분 하나만으로도 행정소송과 형사 절차 가능성을 함께 관리해야 하는 상황에 놓였다. 개인정보 유출 사고의 원인과 내부 통제 체계가 법원과 수사기관에서 다시 다뤄질 수 있다.

쿠팡이 이미 진행하고 있는 법적 대응도 있다. 공정거래위원회의 동일인 지정 처분에 대한 불복 소송이다.

공정거래위원회는 4월29일 2026년도 공시대상기업집단 지정 결과를 발표하면서 쿠팡의 동일인을 기존 쿠팡 법인에서 김 의장 개인으로 변경했다. 쿠팡이 2021년 대기업집단으로 처음 지정된 뒤 김 의장이 동일인으로 지정된 것은 이번이 처음이다.
 
공정거래위원회는 김 의장의 친동생인 김유석씨가 국내 계열회사 경영에 사실상 참여하고 있다고 보고 쿠팡을 법인 동일인으로 둘 수 있는 예외 요건이 더 이상 충족되지 않는다고 판단했다.

동일인이 김 의장으로 확정되면 지정자료 제출과 공시 의무, 사익편취 규제 등 대기업집단 규제가 김 의장을 중심으로 적용된다. 개인정보 유출 사태와 별개로 김 의장 개인을 향한 규제 책임이 커지는 구조다.

쿠팡은 공정거래위원회 처분을 취소해달라는 행정소송과 집행정지 신청을 냈다. 서울고등법원이 공정거래위원회 처분 효력을 7월15일까지 일시적으로 정지하면서 본안 판단이 나올 때까지 동일인 지정 문제도 법정 공방으로 이어지게 됐다.

국내 규제기관을 상대로 한 소송이 개인정보보호위원회와 공정거래위원회 두 갈래로 진행되는 셈이다. 과징금 행정소송은 개인정보 보호 책임을, 동일인 지정 소송은 그룹 지배구조와 공시 책임을 각각 겨냥하고 있어 쟁점도 다르다.

해외에서도 소송 리스크가 커지고 있다. 쿠팡은 개인정보 유출 사태 이후 미국 캘리포니아 연방법원에서 증권 집단소송을 당했다.

소송은 쿠팡과 김 의장, 가우라브 아난드 최고재무책임자(CFO) 등이 사이버보안 체계와 사고 보고 관련 사항을 투자자에게 충분히 알리지 않았다는 주장을 담고 있다.

쿠팡은 미국 뉴욕증시에 상장한 기업이다. 국내에서 발생한 개인정보 유출 사건이라도 주가와 공시, 투자자 보호 쟁점으로 번지면 미국 법원의 판단 대상이 될 수 있다.

미국 증권 집단소송은 개인정보 유출 자체보다 쿠팡이 사고 위험을 어떻게 관리했고 투자자에게 관련 정보를 충분히 알렸는지가 핵심 쟁점이 될 가능성이 크다. 국내 규제기관 대응과 달리 증권법상 공시 책임을 중심으로 다뤄진다는 점에서 성격이 다르다.

국내 이용자 손해배상 소송도 이미 진행되고 있다. 개인정보 유출 피해를 주장하는 이용자들은 쿠팡을 상대로 손해배상 청구 소송을 제기했고 법원에서 첫 변론 절차가 시작됐다.

쿠팡은 피해 고객에게 1인당 5만 원 상당의 구매이용권을 지급하며 고객 이탈 방어에 나섰지만 보상권 지급이 모든 법적 분쟁을 끝내는 것은 아니다. 

이용자 소송은 개인정보 유출에 따른 손해배상 책임을 따지는 절차다. 앞서 개인정보 유출 피해를 주장하는 이용자 1998명은 쿠팡을 상대로 1인당 30만 원의 손해배상을 청구했다.

개인정보보호위원회가 이번 제재에서 안전조치 의무 위반을 인정한 점은 향후 소송전에서도 변수로 작용할 수 있다. 행정소송에서는 쿠팡이 개인정보보호위원의 처분 근거와 과징금 산정 방식을 다투게 되지만 민사소송에서는 유출 정보의 범위와 이용자 피해, 쿠팡의 관리 책임이 별도로 다뤄진다.

쿠팡이 실제로 손봐야 할 과제도 늘었다. 개인정보보호위원회는 과징금과 과태료 부과에 그치지 않고 시정명령과 개선권고도 함께 의결했다.

시정명령과 개선권고는 쿠팡이 개인정보 접근 권한 관리와 인증·보안키 관리, 퇴직자 권한 관리, 개인정보 수집·이용 절차 등을 다시 점검해야 한다는 뜻이다. 쿠팡은 행정소송으로 제재 수위를 다투는 동시에 재발 방지책 이행도 병행해야 하는 상황에 놓였다. 조성근 기자