“미국, 유럽 소비자 데이터도 유출 가능성”… 美 쿠팡 상대 ‘징벌적 손해배상’ 추진

법무법인 대륜 美 현지 법인 SJKP “전 세계 피해자 규합해 연내 소송 제기할 것”

김국일 대륜 경영대표가 8일(현지시각) 뉴욕 맨해튼 사무소에서 기자회견을 열고 쿠팡 모기업인 쿠팡 아이엔씨(Inc.)를 상대로 한 소송 계획을 설명하고 있다. /대륜 제공

쿠팡의 대규모 개인 정보 유출 사태를 둘러싸고 미국 모기업(본사)을 상대로 한 징벌적 손해배상 집단소송이 미국 법원에서 본격 추진된다. 한국 법인을 넘어 미국 뉴욕 연방법원에 소장을 제출하는 방식으로, 보안과 관련된 의사결정과 보안 정책에 책임을 묻겠다는 것이다.

한국 법무법인 대륜의 현지 법인인 미국 로펌 SJKP는 8일(현지 시각) 뉴욕 맨해튼 사무소에서 기자회견을 열고 쿠팡의 모기업인 ‘쿠팡 아이엔씨(Inc.)’를 상대로 소비자 집단소송을 제기할 계획이라고 밝혔다.

앞서 쿠팡은 지난달 29일 한국 고객 계정 약 3370만개 정보가 유출됐다고 공지했다. 유출된 개인 정보에는 이름과 이메일, 전화번호, 주소, 일부 주문 정보 등이 포함됐다.

쿠팡은 한국 법인인 미국 나스닥 상장사인 쿠팡 쿠팡Inc.가 지분 100%를 보유하고 있다. 쿠팡 모회사 의결권의 70% 이상은 창업주 김범석 이사회 의장이 쥐고 있으며, 김 의장은 미국 시민권자다.

김국일 대륜 경영 대표는 “쿠팡 본사는 미국에 설립돼 있고, 이사회·경영진이 미국에서 리스크 관리와 거버넌스를 총괄해 왔다”며 “보안 투자와 내부 통제에 대한 최종 책임 역시 미국 본사 이사회와 최고경영진에 있다”고 말했다.

◇ “미국 등 해외에도 쿠팡 정보 유출 피해 가능성”

김 대표에 따르면 소장에는 ▲데이터 유출(Data Breach) ▲소비자 보호법 위반(Consumer Protection) ▲보안 의무 위반(Security Duty) 등의 혐의가 담길 예정이다. 초기에는 소비자 보호 책임을 중심으로 소송을 제기하고, 향후 주주 공시 의무 위반 등 쟁점도 추가한다는 전략이다.

김 대표는 한국뿐 아니라 해외에서도 피해자가 발생했을 가능성을 제기했다. 그는 “쿠팡 모회사는 영국 이커머스 기업 ‘파페치(Farfetch)’ 등을 인수해 북미와 유럽의 사용자 데이터를 보유하고 있고, 한국에서는 ‘R.LUX’라는 이름으로 영업 중”이라며 “시스템 연동 과정에서 이들의 정보 또한 유출됐을 가능성이 매우 높다”고 말했다.

이어 “현재 북미·유럽 지역의 피해자들도 확보 중이며, 이들을 포함해 전 세계적인 피해 사실을 소장에 적시할 계획”이라고 밝혔다.

이번 집단소송은 전액 성공보수 방식으로 진행된다. 변호사 비용과 소송 비용은 SJKP와 대륜이 선투자하며, 승소하거나 합의가 이뤄질 경우에만 일부를 비용으로 충당한다는 설명이다. 피해자는 선부담하지 않고, 패소하더라도 별도의 비용 청구는 없다.

◇ “미국 디스커버리 제도로 쿠팡 내부 자료 공개시킬 것”

김 대표는 이번 소송이 한국 재판과는 별도로 미국 법원에서 독립적으로 진행된다고 밝혔다. 한국에서는 소비자 피해 배상에 초점이 맞춰지지만, 미국에서는 상장사의 지배구조 실채와 공시 의무 위반이 핵심 쟁점이 될 것이라는 설명이다.

그는 “쿠팡의 궁극적 의사 결정 주체가 미국 본사이며, 이사회와 경영진이 보안·리스크 투자에 대한 핵심 권한을 행사했기에 미국에서의 법적 책임 검토는 필수적”이라고 설명했다.

박대준 쿠팡 대표이사가 지난 2일 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 쿠팡 침해사고 관련 현안 질의에서 생각에 잠겨 있다. /뉴스1

김 대표는 미국의 ‘디스커버리(증거 개시)’제도를 활용하겠다는 전략을 공개했다. 그는 “미국 소송이 진행되면 디스커버리 절차를 통해 본사의 이사회 회의록, 보안 투자 결정 내역, 보고 체계 등 은밀한 내부 자료를 강제로 공개시킬 수 있다”며 “이것이 이번 소송의 스모킹 건(결정적 증거)이 될 것”이라고 했다.

한편, 법무법인 대륜은 지난 5일 박대준 쿠팡 대표이사와 사내 개인정보 인증 업무 담당·관리자 등을 개인정보보호법 위반·업무상 배임 혐의로 서울 송파경찰서에 고소했다. 고소장에는 이들이 개인정보 처리 담당·관리자로서 인증키 관리 등 안전 조치 의무를 소홀히 했다는 내용이 담겼다.