"소송 본질은 대규모 데이터 유출에 따른 정당한 소비자 보호 조치"
김범석 의장 피고 적시…"최종 결정권자로서 '방치' 책임 물어야"

쿠팡 개인정보 유출 사태 피해자들이 6일(현지시간) 쿠팡 미국 본사를 상대로 미국 법원에 징벌적 손해배상을 청구하는 집단소송을 제기했다.

법무법인 대륜의 미국 협력 로펌인 SKJP는 이날 오후 미국 뉴욕 동부 연방지방법원 앞에서 기자회견을 열고 쿠팡아이엔씨(Inc.)와 김범석 의장을 공동 피고로 한 집단 소송 소장을 제출했다고 밝혔다. 쿠팡아이엔씨는 쿠팡 한국 법인 지분 100%를 보유한 모회사다.

SKJP는 소장을 통해 쿠팡의 대규모 개인정보 유출 사고가 전직 직원의 키 탈취에서 비롯된 '중대한 관리 실패'라고 지적했다.

소장에 따르면, 퇴사한 직원이 한 달 이상 내부 시스템에 무단 침입해 약 3370만 개의 고객 정보를 탈취했다.

탈취한 정보에는 이름과 연락처는 물론 건물 출입코드 2609건 등 매우 민감한 정보가 포함돼 있다고 SKJP는 설명했다.

대표 원고로는 뉴욕시에 거주 중인 미국인이 지정됐다. 그는 미국과 한국에서 모두 쿠팡을 이용해 온 고객으로, 연락처와 주소, 결제 정보, 개인통관고유부호 등 민감한 개인정보가 유출돼 신원 도용 및 금융 사기의 실질적 위험에 처했다고 주장했다.

이번 소송은 미국 내 피해자뿐만 아니라, 한국에 거주 중인 피해자 전체를 포함하는 방식으로 제기된다.

SJKP 측은 이번 사건의 피해 규모가 500만 달러를 초과해 연방 집단소송 공정법(CIFA) 요건을 충족한다고 보고, 쿠팡의 영업 활동과 실제 피해 발생지인 뉴욕 동부 연방법원을 관할 법원으로 명시했다.

서버가 한국에 있더라도 보안 예산과 정책, 사고 대응 프로토콜 등 핵심 의사결정이 미국 기반의 경영진에 의해 통제됐으므로 미국 법원에서 재판이 가능하다는 것이 SJKP 측 설명이다.

SJKP 측은 "김 의장은 정보보호 인력 및 예산의 편성, 집행 등 기업 운영에 대한 최종 권한을 행사한 인물임에도, 인지된 보안 위험을 방치하거나 중대한 과실로 묵인했다"고 적시했다.

이와 함께 SJKP는 법원이 쿠팡에 암호화 및 다중인증 도입 등을 강제하는 '이행 명령'도 주요 청구 취지로 포함해 제2의 유출 사태를 차단하겠다는 의지를 보였다.

아울러 SJKP 측은 이번 소송의 본질이 '규제'가 아닌 대규모 데이터 유출에 따른 '정당한 소비자 보호 조치'임을 분명히 했다고 강조했다.

SJKP 관계자는 "데이터의 자유로운 국경 간 이동은 경영진의 보안 책임에 대한 신뢰가 전제돼야 한다"며 "이번 소송은 훼손된 신뢰를 회복하고, 지난해 11월 한미 정상이 합의한 공동 팩트시트(Joint Fact Sheet)의 핵심 가치인 '디지털 차별 금지'를 실질적으로 구현하는 계기가 될 것"이라고 주장했다.

김국일 대륜 경영대표는 "이 사안의 본질은 특정 국가 기업에 대한 규제가 아니라, 3300만 명에 달하는 소비자 정보 보호라는 국가의 기본적 책무를 이행하는 데 있다"고 밝혔다.

김 대표는 "쿠팡이 글로벌 기업 위상에 걸맞은 거버넌스를 구축함으로써, 이번 소송이 한미 디지털 경제 협력의 진정한 모델로 부상하는 출발점이 되길 기대한다"라고 말했다.