쿠팡 정보유출 첫 배상 결정…최대 3.7조원 '후폭풍'

[프라임경제] 소비자분쟁조정위원회가 쿠팡의 개인정보 유출 사고와 관련해 처음으로 손해배상 책임을 인정했다. 쿠팡이 조정안을 수락하면 집단분쟁조정에 참여하지 않은 피해자에게도 같은 기준이 적용될 수 있어 후속 파장이 주목된다.

31일 한국소비자원 소비자분쟁조정위원회에 따르면 위원회는 쿠팡 개인정보 유출 피해자 50명이 신청한 집단분쟁조정 사건에서 쿠팡이 신청인에게 1인당 현금 10만원 또는 쿠팡캐시 10만원을 지급하도록 결정했다.

쿠팡의 개인정보 유출 사고에 대해 배상 책임을 인정한 첫 사례다.

앞서 소비자 50명은 지난해 12월8일 개인정보 유출에 따른 손해배상을 요구하며 집단분쟁조정을 신청했다. 위원회는 지난 4월6일 절차를 개시한 뒤 관련 판례와 법리를 검토하고 이달 10일과 22일 두 차례 조정기일을 거쳐 이같이 결정했다.

위원회는 이번 사고로 회원의 이름과 이메일, 주소뿐 아니라 공동현관 비밀번호와 주문 내역 등 사생활과 밀접한 정보까지 외부로 빠져나간 점을 중요하게 판단했다.

해커가 지난해 4월부터 11월까지 장기간 개인정보를 유출하고 일부 고객에게 유출 사실을 알리는 이메일을 직접 보낸 정황이 확인돼 실제 악용 가능성도 배제하기 어렵다고 봤다.

쿠팡은 범행에 사용된 기기와 유출 정보를 모두 회수해 추가 피해 가능성이 없다고 주장했다. 그러나 위원회는 추가 유출 가능성이 완전히 해소됐다고 단정하기 어렵다며 소비자가 입은 정신적 손해에 대한 위자료 지급 책임을 인정했다.

배상액은 기존 대규모 개인정보 유출 사건에서 법원이 통상 인정해 온 위자료 수준과 유출 정보의 민감성, 악용 가능성 등을 종합적으로 고려해 1인당 10만원으로 정했다.

쿠팡이 사고 이후 개인정보가 유출된 이용자 3370만명에게 1인당 5만원 상당의 구매이용권을 지급했지만, 신청인들의 실제 이용 현황을 제출하지 않은 점도 판단에 반영됐다.

해당 이용권은 쿠팡 쇼핑 5000원, 쿠팡이츠 5000원, 쿠팡트래블 2만원, 알럭스(R.LUX) 2만원 등으로 구성됐다.

위원회는 조정안 수용 가능성을 높이기 위해 신청인이 원할 경우 현금 대신 쿠팡캐시로도 배상받을 수 있도록 했다.

쿠팡은 결정서를 받은 날부터 15일 이내에 조정안 수락 여부를 위원회에 알려야 한다. 별도의 의사표시를 하지 않으면 수락한 것으로 간주된다. 양측이 조정안을 받아들이면 재판상 화해와 동일한 효력이 발생한다.

특히 쿠팡이 이번 결정을 수락할 경우 배상 범위가 크게 확대될 가능성이 있다. 위원회는 집단분쟁조정에 참여하지 않은 피해자에게도 같은 기준으로 보상하도록 쿠팡에 보상계획서 제출을 요구하는 등 후속 절차를 진행할 방침이다.

정부 조사에서 확인된 개인정보 유출 규모는 회원과 비회원을 합쳐 3756만여건이다. 전체 피해자가 1인당 10만원의 보상을 신청한다고 가정하면 배상 규모는 약 3조7000억원에 달한다.

앞서 개인정보보호위원회는 지난 6월 쿠팡의 개인정보 유출과 법적 근거 없는 개인정보 수집 행위 등에 대해 과징금 6246억8100만원과 과태료 1680만원을 부과했다. 국내 개인정보보호법 위반 사건 가운데 역대 최대 규모다.

쿠팡 측은 이번 결정에 대해 "소비자분쟁조정위원회의 조정안을 받아본 뒤 면밀히 검토하겠다"고 말했다.