11월부터 시작된 쿠팡의 3370만명 개인정보 유출 사태는 단순한 보안 사고를 넘어섰습니다. 정부는 범부처 태스크포스(TF)를 꾸렸고, 국회는 김범석 쿠팡Inc 의장을 국회 증언·감정 등에 관한 법률 위반 혐의로 고발하기로 의결했습니다. 사고의 규모와 파장만 놓고 보면 한국 사회 전체가 영향을 받은 사안입니다. 문제는 그다음입니다. 쿠팡은 한국 기업일까요, 미국 기업일까요. 그리고 책임은 어디에서 지게 될까요.
쿠팡은 한국 소비자에게 '국내 플랫폼'으로 인식됩니다. 본사는 서울에 있고, 로켓배송과 쿠팡이츠, 쿠팡플레이는 한국인의 일상에 깊숙이 들어와 있습니다. 매출 역시 상품 판매 부문이 대부분을 차지하며, 그 거의 전부가 한국에서 발생합니다. 영업 실체만 놓고 보면 쿠팡은 한국 기업에 가깝습니다.
그러나 지배구조의 꼭대기는 다릅니다. 최상위 지배회사는 미국에 설립된 쿠팡Inc로, 뉴욕증권거래소 상장사입니다. 한국에서 돈을 벌지만, 법적 책임과 규제의 종착지는 국경 너머에 놓여 있는 구조입니다. 이번 사태는 이 괴리를 선명하게 드러냈습니다.
김범석 의장은 한국에서 태어났지만 미국 시민권자입니다. 쿠팡이 2021년 공시대상기업집단으로 지정될 당시 동일인이 김범석 개인이 아닌 법인으로 설정되면서, 총수 개인과 친족을 전제로 한 사익편취 규제와 친족 공시 의무는 작동하기 어려운 구조가 됐습니다. 글로벌 지배구조를 전제로 한 현행 법체계가 현실을 따라가지 못하고 있다는 지적이 나오는 이유입니다.
이 같은 구조는 사태 대응 과정에서도 드러났습니다. 쿠팡의 창업자이자 최고 의사결정권자인 김범석 의장은 공개적인 사과나 직접 해명에 나서지 않았고, 대신 쿠팡Inc는 해롤드 로저스 최고관리책임자(CAO) 겸 법무총괄을 전면에 내세웠습니다. 로저스 대표는 국회 청문회에 출석했지만, 핵심 의혹에 대한 명확한 설명보다는 김 의장을 방어하는 태도로 논란을 키웠습니다.
한국 정부는 쿠팡에 대한 영업정지 가능성까지 검토하고 있습니다. 다만 직원들과 쿠팡을 이용하는 소비자 문제가 얽혀 있어 전면 셧다운보다는 개인정보 처리와 직결된 일부 서비스 제한이나 조건부 제재가 거론됩니다. 과징금 역시 개인정보보호법상 매출액의 최대 3%까지 가능하지만, 실제로 상한이 그대로 적용된 사례는 드뭅니다. 최근 2324만여명의 개인정보 유출 사고를 일으킨 SK텔레콤에 부과된 과징금도 1347억원 수준에 그쳤습니다.
반면 미국에서는 투자자를 중심으로 한 증권 집단소송이 제기됐습니다. 쟁점은 쿠팡이 대규모 개인정보 유출 사실을 인지하고도 이를 제때 공시했는지 여부입니다. 미국 증권법 체계에서는 공시 의무 위반이 인정될 경우, 막대한 합의금이나 손해배상으로 이어질 수 있습니다. 2017년 에퀴팩스가 개인정보 유출 이후 약 7억달러의 합의금을 지급한 사례는 이를 잘 보여줍니다.
결국 질문은 이것입니다. 한국에서 발생한 사고로 한국 소비자와 노동자가 피해를 입었는데, 그에 따른 가장 큰 재무적 책임은 미국 법정에서 지는 구조가 과연 정상적인가 하는 점입니다. 이런 구조가 반복되지 않으려면 한국에서도 집단소송제의 전면 도입과 징벌적 손해배상 확대, 디스커버리 제도 도입을 더 이상 미룰 수 없다는 지적이 나옵니다.
이번 사태의 본질은 한국 시장에서 막대한 수익을 올리는 글로벌 기업이 그에 상응하는 책임을 어디에서, 어떻게 지는가의 문제입니다. 한국에서 돈을 벌면 한국에서 책임을 지게 만드는 제도가 뒷받침되지 않는 한, 피해는 국내에 남고 책임은 해외로 이동하는 구조는 반복될 수밖에 없습니다. 쿠팡 사태는 이러한 제도적 공백을 언제까지 방치할 수 있는지를 묻는 사례로 남게 될 것입니다.
서울 송파구 쿠팡 본사 전경. (사진=뉴시스)