소비자분쟁조정위, 개인정보 유출에 따른 정신적 손해 책임 첫 인정
현금 또는 쿠팡캐시 지급…쿠팡은 결정문 받은 뒤 15일 내 수락 여부 통보
전체 피해자에 동일 적용되면 배상 규모 3조7천억원대…강제 배상은 아직 미정
이름과 이메일을 넘어 주소와 주문 내역, 공동현관 비밀번호까지 유출된 쿠팡 개인정보 침해 사고와 관련해 피해자 1명당 10만원을 배상해야 한다는 소비자분쟁조정위원회의 결정이 나왔다. 이번 사태로 쿠팡의 민사상 배상 책임이 공식적으로 인정된 첫 사례지만, 모든 피해자가 곧바로 10만원을 받게 된다는 의미는 아니다.
소비자분쟁조정위원회는 쿠팡 개인정보 유출 피해자 50명이 제기한 집단분쟁조정 신청을 심의한 결과, 쿠팡이 신청인들에게 각각 10만원을 지급해야 한다고 결정했다고 31일 밝혔다. 신청인은 현금과 쿠팡캐시 가운데 배상 방식을 선택할 수 있다.
위원회가 배상 책임을 인정한 핵심 배경은 유출된 정보의 범위와 민감성이다. 일반적인 회원정보인 성명과 이메일뿐 아니라 배송지 주소, 주문 내역, 공동현관 출입 비밀번호 등 개인의 생활 영역과 직접 연결된 정보까지 외부로 빠져나간 점이 중요하게 고려됐다. 해커가 장기간에 걸쳐 정보를 빼낸 뒤 일부 이용자에게 직접 이메일을 보낸 사실도 정보가 실제 악용될 가능성을 판단하는 근거가 됐다.
쿠팡은 사고 이후 추가적인 정보 유출이나 2차 피해 가능성이 크지 않다는 취지의 입장을 밝혀왔지만, 위원회는 위험이 완전히 사라졌다고 단정하기 어렵다고 판단했다. 개인정보보호위원회 역시 앞선 조사에서 현재까지 유출 정보가 범죄 등에 활용된 사실이 확인되지 않았을 뿐, 정보가 모두 회수됐거나 위험이 해소됐다고 보기는 어렵다는 취지로 설명했다.
배상액은 1인당 10만원으로 정해졌다. 위원회는 국내 법원이 대규모 개인정보 유출 사건에서 통상 인정해온 위자료 수준과 유출 정보의 민감도, 쿠팡이 자체 보상안의 실제 이용 내역을 충분히 제출하지 않은 점 등을 종합적으로 고려했다. 피해자 대표 측이 조정 성립 가능성을 높이기 위해 현금 외의 지급 방식도 수용할 수 있다는 의견을 내면서 쿠팡캐시 지급도 선택지에 포함됐다.
다만 이번 결정만으로 쿠팡에 즉시 배상 의무가 발생하는 것은 아니다. 쿠팡은 조정 결정서를 받은 날부터 15일 이내에 수락 여부를 통보해야 한다. 별도의 의사를 밝히지 않으면 조정안을 수락한 것으로 간주되며, 쿠팡과 신청인 양측이 이를 받아들이면 재판상 화해와 같은 효력이 발생한다. 반대로 쿠팡이 거부하면 조정은 성립하지 않고, 피해자들이 별도의 민사소송을 통해 책임을 다퉈야 할 수 있다.
이번 조정의 직접적인 대상은 집단분쟁조정을 신청한 소비자 50명이다. 그러나 쿠팡이 조정안을 수용하면 위원회는 신청에 참여하지 않은 다른 피해자에게도 같은 수준의 보상이 이뤄질 수 있도록 쿠팡에 보상계획서 제출 등을 요구하는 후속 절차를 진행할 예정이다.
정부 조사에서 확인된 쿠팡 개인정보 유출 피해 규모는 회원과 비회원을 합쳐 약 3,750만 명에 달한다. 이들 모두에게 10만원씩 지급된다고 단순 계산하면 전체 배상액은 약 3조7천억원에 이른다. 다만 이는 모든 피해자가 보상을 신청하고 동일한 지급 기준이 적용된다는 전제에 따른 추산으로, 현재 확정된 쿠팡의 배상액으로 볼 수는 없다.
개인정보보호위원회는 지난 6월 쿠팡이 개인정보 보호를 위한 안전조치 의무를 위반하고 일부 개인정보를 법적 근거 없이 수집했다고 판단해 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과했다. 개인정보보호법 위반 사건에 내려진 제재 가운데 역대 최대 규모다.
쿠팡은 앞서 개인정보가 유출된 약 3,370만 명을 대상으로 1인당 5만원 상당의 구매이용권을 지급했다. 다만 이용권이 현금이 아닌 쿠팡과 쿠팡이츠 등 자사 서비스에서만 사용할 수 있는 형태로 제공되면서, 피해 보상이라기보다 추가 소비를 유도하는 수단에 가깝다는 비판도 제기됐다.
쿠팡은 이번 결정에 대해 조정안을 전달받은 뒤 내용을 면밀히 검토하겠다는 입장을 밝혔다. 이에 따라 실제 배상 여부와 대상 범위는 쿠팡이 조정안을 수락할지, 참여하지 않은 피해자에게도 동일한 보상 방안을 제시할지에 따라 결정될 전망이다.
대규모 플랫폼이 보유한 개인정보는 단순한 연락처 목록이 아니라 이용자의 거주지와 소비 습관, 일상적인 이동과 생활 방식까지 파악할 수 있는 자료라는 견해도 있다. 공동현관 비밀번호처럼 현실의 안전과 직결된 정보까지 유출됐다면 단순한 사과나 사용 조건이 붙은 이용권만으로 책임을 다했다고 보기는 어렵다는 의견을 피하기 힘들다.
이번 조정이 개인정보 유출 사고에 대한 기업의 책임 범위를 보다 분명히 하는 계기가 될지는 쿠팡의 대응에 달렸다. 피해 구제 절차와 대상, 지급 방법을 투명하게 공개하지 않을 경우 배상액의 크기와 별개로 소비자의 신뢰를 회복하기는 쉽지 않을 것으로 보인다.
