[사건X파일] "나도 해볼까?" 쿠팡 '집단 소송', 현직변호사의 현실 조언

■ 방송 : FM 94.5 (06:40~06:55, 12:40~12:55, 19:40~19:55)
■ 방송일 : 2025년 12월 8일 (월)
■ 진행 : 이원화 변호사
■ 대담 : 이제남 변호사

* 아래 텍스트는 실제 방송 내용과 차이가 있을 수 있으니 보다 정확한 내용은 방송으로 확인하시기를 바랍니다.

◇ 이원화 : 지난달 말이었습니다. 뉴스를 통해 정말 충격적인 소식이 전해졌죠. 쿠팡은, 3370만 명 고객의 개인정보가 유출됐다, 밝혔습니다. 2300만 명의 정보가 빠져나갔던 SK텔레콤 해킹 사태까지 전부 뛰어넘는, 그야말로 역대 최대, 최악의 사고인데요. 그런데 더 황당한 건. 861억 원. 쿠팡이 지난해 한 해 동안 정보보호 투자에 투자했다 밝힌 금액입니다. 그런데도 해외 서버를 통한 비정상적 접근이 5개월 가까이 이어지는 동안 아무도 눈치채지 못했다? 이걸 도대체 어떻게 이해해야 할까요. 쿠팡은 이번에 유출된 정보가 이름, 전화번호, 이메일, 배송지에 입력된 주소와 일부 주문 정보, 이렇게 제한적이다 설명하면서, 결제 정보나 비밀번호 같은 로그인 정보는 유출되지 않았다, 이렇게 강조했는데요. 솔직히... 어딘가 모르게 불안한 건, 아마 저만의 감정은 아니겠죠. 쿠팡을 상대로 한 대규모 집단소송 움직임이 본격화되고 있죠. 1인당 10만 원, 20만 원을 배상하란 소송이 하나둘 제기되고 있는데 많은 분들이, 과연 나도 이 소송에 참여할 수 있는지, 그리고 집단소송 카페만 해도 한둘이 아니다 보니, 뭘, 어떻게 골라야 할지, 나중에 내가 떠안아야 할 부담은 없는지, 법적인 궁금증들, 정말 많으실 텐데요. 오늘 <사건X파일>에서 이 문제, 자세히 다뤄보겠습니다. 안녕하세요. <사건X파일>, 이원홥니다. 로엘 법무법인, 이제남 변호사와 함께합니다. 변호사님, 어서 오세요.

◆ 이제남 : 안녕하세요. 이제남 변호사입니다.

◇ 이원화 : 변호사님도 쿠팡 쓰십니까?

◆ 이제남 : 네 저도 쿠팡 애용자 중 한 명이었습니다. 그런데 최근 쿠팡에서 개인정보가 유출됐다는 보도를 접한 이후에는 저도 사용하기가 찝찝하더라고요. 쿠팡을 계속 이용해도 되는 건가 싶기도 하고, 내 개인정보나 구매 내역을 누군가가 볼 수 있다는 건가? 하는 불안감이 들기도 했습니다.

◇ 이원화 : 3370만 명. 그동안 국내에서 발생한 개인정보 유출 사고 중 역대 최대 규모라고 하는데. 앞서 오프닝에서 상황극, 들으셨겠지만 청취자분들이 가장 궁금해하실 지점부터 하나씩 살펴보죠. 가장 불안한 건 뭐니 뭐니 해도 2차 피해 아닌가 싶거든요? 이게 언제 보이스피싱, 주거침입 같은 2차 피해로 이어질지 모른다는 불안. 그런데 아무리 불안하다 해도 실제 피해가 발생하기 전까진 법적으로 문제 삼기 어렵습니까?

◆ 이제남 : 아닙니다. 개인정보보호법 제39조의2는 실제 손해의 입증 없이도 손해배상을 청구할 수 있는 법정손해배상제도를 규정하고 있습니다. 이에 따르면 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실 도난 유출 위조 변조 또는 훼손된 경우 300만 원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있는 것이죠. 이 경우 개인정보처리자 즉, 쿠팡은 고의 또는 과실이 없음을 입증하지 못하면 책임을 면할 수가 없습니다.

◇ 이원화 : 만약 실제 2차 피해가 발생했다, 예를 들어서 쿠팡 주문내역을 정확히 알고 있다는 피싱 문자라든지 주소지 기반의 스미싱, 이런 피해가 생긴다면, 어떤 식으로 증거를 모아야 하고, 쿠팡 유출 때문이라는 인과관계는 어떻게 입증해야 하나요?

◆ 이제남 : 사실 개인정보 유출과 2차 피해 사이의 인과관계 입증은 피해자에게 매우 중요하면서도 어려운 과제입니다. 따라서 대법원은 개인정보 유출로 인한 2차 피해 발생 여부를 판단함에 있어 유출된 개인정보의 종류와 성격, 개인정보 유출로 인한 정보주체 식별 가능성, 제 3자의 유출된 개인정보 열람 여부 또는 열람 가능성 등을 종합적으로 고려하여 판단하는데요. 이를 입증하기 위해서는 먼저 개인정보 유출 시점을 확인하고, 2차 피해 발생 시점을 확인하여야 합니다. 그리고 유출된 개인정보와 2차 피해의 내용적 연관성을 입증하기 위해 유출된 개인정보의 종류를 확인하고, 2차 피해 발생에 사용된 개인정보와의 일치 여부를 확인해야겠죠. 그리고 다른 경로를 통한 개인정보 유출 가능성이 없다는 점을 입증함으로써 이러한 인과관계를 입증할 수 있습니다.

◇ 이원화 : 집단소송 카페도 벌써 10개 넘게 생긴 것 같던데 일단, 가입 이력만 있으면 탈퇴나 구매 이력과 상관없이 소송에 참여할 수 있습니까?

◆ 이제남 : 개인정보 유출 피해에 대한 집단소송 참여는 유출 이력, 즉 계정이 존재하는 사실만 확인되면 가능한 경우가 많습니다. 따라서 개인정보 유출 당시에 회원이었다면, 그 이후 탈퇴했더라도 집단소송 또는 집단분쟁조정에 참가할 수 있습니다. 또한 구매 이력이 없다고 하더라도 회원가입 시 제공한 개인정보가 유출되었다면, 개인정보 유출 피해자에 해당하므로 집단소송 또는 집단분쟁조정에 참가할 수 있습니다.

◇ 이원화 : 쿠팡 측에서 결제나 로그인 정보 같은 민감한 금융 정보는 유출되지 않았다, 강조하고 있거든요. 이것도 집단소송 결과에 영향을 미칠까요? 혹시 민감한 금융 정보는 유출되지 않았다, 공지한 점이 오히려 소비자 주의를 흐려서, 방어를 못 하게 했다, 이런 책임이 인정될 여지도 있을지.

◆ 이제남 : 만일 쿠팡 측의 공지대로 개인정보가 유출되었으나 민감한 금융 정보는 유출되지 않았다는 점이 사실인 경우라 하더라도, 개인정보처리자의 책임이 완전히 면제될 수 없습니다. 다만, 손해배상액 산정 등에서 중요한 고려 요소가 될 수 있는데요. 또한, 만일 이러한 공지가 사실이 아닌 것으로 밝혀진다면, 이는 손해배상이임의 확대를 가져올 수 있습니다. 즉, 개인정보가 유출된 이후 부정확한 공지로 정보주체의 방어 조치가 미실시되었고 이로 인해 또다시 2차 피해가 추가적으로 발생된 경우라면 개인정보처리자는 단순 개인정보 유출로 인한 손해뿐만 아니라 부정확한 공지로 인해 확대된 손해까지 배상해야 하는 책임을 질 수도 있는 것이죠.

◇ 이원화 : 1인당 ‘최대’ 어느 정도까지 배상이 가능할 수도 있다 보십니까?

◆ 이제남 : 개인정보보호법상으로는 300만 원 이하의 범위에서 상당한 금액이라고 규정하고 있긴 한데요. 이러한 유사 사건들에서는 1인당 10만 원 수준에 그치곤 했습니다.

◇ 이원화 : 과거 사례를 봐도, 보통 10만 원 선에서 청구해왔는데 이 기준은 어떻게 정하는 겁니까? 그런데 물가상승률이란 게 있는데 기준을 높여야 된다는 얘기도 있거든요.

◆ 이제남 : 네 그렇습니다. 이번 쿠팡 개인정보 유출에는 공동현관 비밀번호 등도 포함되어 있었는데요. 이러한 민감 정보들은 2차 범죄 악용 가능성이 높기 때문에 위자료가 증액되어야 한다는 목소리가 많이 나오고 있습니다. 그래서 최근 쿠팡을 상대로 한 손해배상청구소송에서 1인당 위자료 20만 원을 청구한 사례도 있었습니다.

◇ 이원화 : 만약 소송을 택한다면, 수수료라든지 변호사 보수 같은 현실적 비용들 이런 것도 발생하나요?

◆ 이제남 : 네 아무래도 소송을 진행하는 이상 인지대, 송달료, 변호사 보수 등이 발생합니다. 여기서 말하는 인지대란 국가가 사법 서비스를 제공하는 대가로 받는 일종의 수수료라고 보면 되는데요. 이러한 인지대는 소송목적의 값에 따라 산정됩니다. 따라서 청구 금액이 커질수록 그만큼 인지대가 높아지는 것이죠. 또한 송달료는 당사자 수와 송달 횟수에 따라 산정되고요. 변호사 보수는 만일 소송에서 이겼을 경우 법원에서 정한 기준에 따라 상대방에게 청구할 수 있습니다. 이처럼 소송을 진행하는 데 있어 비용이 드는 측면도 있으니, 소송으로 받을 수 있는 배상액과 이 비용을 계산해서 따져볼 필요가 있겠죠.

◇ 이원화 : 우리나라는 미국과는 달라서 소송에 실제 참여한 사람만 배상받을 수 있는 거죠?

◆ 이제남 : 네, 현행법 상으론 그렇습니다.

◇ 이원화 : 주변 분들에게 집단소송 참여하라 권하는 편이세요?

◆ 이제남 : 저는 권하는 편입니다. 아무래도 개인정보 유출로 인해 개인이 모든 손해를 배상받겠다는 측면보다는, 기업의 사회적 책임의 측면에서 개인정보 유출 시 이러한 법적 책임을 부담할 수 있다는 점을 명확히 각인시킬 필요가 있다고 생각하기 때문입니다.

◇ 이원화 : 그런데 소송카페도 많고, 참여하는 로펌도 많다 보니 뭘 기준으로 선택해야 할지 고민된단 분들 많으시거든요. 어떤 말씀 주시겠습니까?

◆ 이제남 : 개인적인 생각은 집단소송에 참여하는 사람들이 많은 소송일수록 좀 더 유리하다고 생각됩니다. 대규모의 소송일수록 언론에서 그 귀추를 주목하는 측면이 있어 팔로우업 하기 편한 측면이 있고, 로펌에서도 다른 사건보다 규모가 더 크기 때문에 좀 더 신경 쓰는 경향이 있기 때문이죠.

◇ 이원화 : 만약 변호사님이 쿠팡 측 변호사라면, 지금 뭐가 가장 걱정될 것 같으세요?

◆ 이제남 : 아무래도 개인정보 유출로 인한 2차 피해 발생이 가장 걱정될 것 같습니다. 특히 이번 사태에서는 공동현관 비밀번호도 유출이 된 것으로 확인됐는데요. 만일 개인의 인적 사항과 집 주소 그리고 공동현관 비밀번호를 입수한 범죄자가 이를 악용하여 강력 범죄가 이뤄질 경우 이에 대해 쿠팡 측에서도 개인정보 유출이 원인이 되어 발생한 사건이라는 점에서 책임을 져야 하는 부분이 있기 때문에 그 부분이 가장 걱정이 될 거 같습니다.

◇ 이원화 : 저는 개인적으로는 과징금 걱정이 일단 될 것 같고요. 두 번째로는 지금 영업정지를 고려하고 있다는 얘기가 나오는데 영업정지 기간에 따라서 소매업 중개라는 회사다 보니까 영업정지가 되는 일수만큼의 매출 타격이 어마어마할 걸로 예상이 되거든요. 그래서 영업 정지가 되면 그 부분을 또 법적으로 다퉈야 되는 상황이 올 수밖에 없기 때문에 그 부분이 제일 걱정되지 않을까 싶습니다. 사태가 확산되면서 창업자인 김범석 의장을 둘러싼 논란도 거센 상황인데 주가 급락하면서 김범석 의장이 이미 5천억을 현금화했다 이런 얘기 나오는데 김범석 의장에게 법적 책임이 지어질 가능성은 어떻게 보세요?

◆ 이제남 : 여러 가지 법적 책임을 물 수 있는 전략들을 모색해 볼 수는 있겠지만, 쉽지는 않아 보입니다. 쿠팡 창업자인 김범석 의장은 현재 한국 쿠팡의 이사가 아니고 모회사 쿠팡 INC 이사이기 때문입니다. 쿠팡 INC는 지주사로 외국 법인이고 대한민국 내 운영 관리는 한국법인 한국 쿠팡 경영진의 책임 영역이기 때문이죠. 따라서 지주사나 미국 법인 소속 경영인에게까지 업무상 과실이 확장되기란 현실적으로 어려울 것으로 보입니다. 하지만, 이와 같은 법적 책임을 물을 수 있냐와는 별개로 사회적 책임을 물어야 한다는 비판은 거세게 불고 있는 상황입니다. 법적 책임과는 별개로 그룹 최고 의사결정자로서 사회적 책임을 지는 것은 필요하다고 보여집니다.

◇ 이원화 : 끝으로, 변호사 입장에서 쿠팡 고객이라면 이번 해킹 사태와 관련해 최소한 이것만은 꼭 해두셨으면 하는 기본 수칙 정리해 주시죠.

◆ 이제남 : 네 일단 첫 번째로 계정 보안 강화입니다. 쿠팡과 같은 비밀번호를 다른 사이트에서 사용하고 있는 경우라면 즉시 변경하거나 2단계 인증을 설정할 것을 권장드립니다. 두 번째로 금융 계좌 및 카드 명세를 검토해서 혹시 나도 모르게 빠져나간 돈은 없는지 확인해 볼 필요가 있습니다. 마지막으로 보이스피싱, 스미싱 연락에 있어 배송 지연 안내, 환불 요청 등을 빙자한 연락에 주의하고 반드시 공식 앱이나 홈페이지를 통해 해당 내용이 맞는지 확인하여 2차 피해를 위한 노력을 기울여야 할 것으로 보입니다.

◇ 이원화 : <사건X파일>, 오늘 저희가 준비한 내용은 여기까지입니다. 여러분은 모두 변호 받아, 마땅한 사람들입니다. 사건! 엑스파일! 여러분, 고맙습니다.

YTN 김양원 (newsfm0945@ytnradio.kr)