“보안 뚫린 곳은 미 본사 이사회실”…쿠팡 미국 내 집단소송 추진

미 ‘디스커버리 절차’로 내부자료 강제 공개 추진
대륜 “지배구조 실패·위험관리 의무 위반 다룰 것”

김범석 쿠팡 이사회 의장이 2021년 3월11일(현지시각) 미국 뉴욕증권거래소 앞에서 상장을 앞두고 포즈를 취하고 있다. 뉴욕증권거래소 제공/AP 연합뉴스

3370만 건에 달하는 대규모 개인정보 유출 사태를 일으킨 쿠팡의 미국 본사를 상대로 한 미국 내 집단소송이 본격 추진된다. 소송을 주도하는 법무법인 대륜은 미국 사법제도의 강력한 ‘디스커버리(증거개시)’ 절차를 활용하는 한편, 소비자 소송을 시작으로 향후 주주 소송까지 범위를 확장하겠다고 밝혔다.

법무법인 대륜의 현지 법인인 미국 로펌 에스제이케이피(SJKP)는 8일(현지시각) 미국 뉴욕에서 기자회견을 열고 “한국 수사기관이 미국 본사의 내부 자료를 압수수색 하는 데는 현실적인 한계가 있다. 하지만 미국에서 소송이 진행되면 디스커버리 절차를 통해 본사의 이사회 회의록, 보안 투자 결정 내역, 보고 체계 등 은밀한 내부 자료를 강제로 공개시킬 수 있다”며 “이 과정에서 확보된 자료가 경영진의 판단 실패를 입증하는 결정적인 ‘스모킹 건’이 될 것”이라고 밝혔다.

디스커버리 제도는 재판이 시작되기 전 소송 당사자가 서로 가지고 있는 증거 자료를 의무적으로 공개해 쟁점을 명확히 하는 제도다. 이 제도 덕분에 원고가 기업의 내부비밀을 확인할 수 있는 강력한 권한을 갖게 된다. 기업들은 민감한 내부 정보가 공개되는 것을 막기 위해 재판 전에 천문학적인 합의금을 제시하며 사건을 조기에 종결하기도 한다.

김국일 법무법인 대륜 경영대표가 8일(현지시각) 뉴욕 맨해튼 사무소에서 기자회견을 열고 쿠팡 모기업인 쿠팡 아이엔씨(Inc.)를 상대로 한 소송 계획을 설명하고 있다. 연합뉴스

대륜은 이번 사태와 관련해 공시 의무 위반 등 증권법 위반 가능성이 있음에도 불구하고, 주주 소송이 아닌 소비자 소송을 먼저 제기하는 전략을 택했다. 쿠팡 본사가 위치한 델라웨어 법원의 성향을 고려한 선택이라고 설명했다. 대륜 쪽은 “델라웨어 법원은 전통적으로 매우 친기업적인 성향을 보여 주주 소송의 문턱이 높다”고 지적했다. 뉴욕 등에서 소비자 피해를 중심으로 먼저 소송을 제기해 관할권을 확실히 확보한 뒤, 소장 수정 절차를 통해 주주 피해 부분까지로 소송 범위를 확장한다는 계획이다.

법리적으로는 ‘본사 책임론’을 내세웠다. 김국일 대륜 경영 대표는 “미국 소송은 상장사의 ‘지배구조 실패’와 ‘위험관리 의무 위반’을 다루게 될 것”이라고 설명했다. 한국에서 3000만 건의 개인정보가 유출될 정도면 미국 본사 이사회의 보안 감시 체계가 아예 작동하지 않은 것이므로 사고의 원인은 ‘한국 서버실’이 아닌 ‘미국 이사회 회의실’에 있다는 논리다. 이를 통해 미국 법원의 재판 관할권을 인정받겠다는 계산이 깔려있다.

한국 피해자들의 미국 소송 참여 자격과 비용 문제에 대해서도 대륜은 “미국 법원은 원고의 국적보다 ‘누가 원인을 제공했는가’를 중요하게 보기 때문에 한국 거주자도 당연히 원고 적격성이 있다”며 “한국 소송을 대륜에 위임하면 미국 소송도 자동으로 병행 진행되며, 별도의 착수금이나 추가 비용은 발생하지 않는다”고 밝혔다. 대륜 쪽은 구체적인 피해 입증 자료 확보를 위해 한국 소송과 미국 소송을 병행하는 것을 권장했다.

이번 소송은 징벌적 손해배상을 포함하고 있어, 승소 시 배상 규모가 한국(1인당 30만~100만 원 수준)과는 비교할 수 없을 정도로 클 수 있다. 대륜은 “법원이 쿠팡의 악의성이나 중대 과실을 인정할 경우 천문학적인 배상 판결이 나올 수 있다”며 “소송에 참여하지 않은 피해자와 참여한 원고의 배상금 규모가 다를 수 있다”고 덧붙였다. 현재 대륜은 소송 제기를 위한 최소 요건인 원고 40명을 넘어 200명 이상의 원고를 확보한 상태다. 김 대표는 “전 세계 피해자를 규합해 소송 규모를 키워 법원을 확실히 설득할 것”이라며 “구체적인 날짜는 보안상 비공개지만, 목표대로 연내에 소장을 제출할 계획”이라고 밝혔다.

앞서 미국 투자자 권리 전문 로펌인 디제이에스로그룹(DJS Law Group)도 지난 2일 보도자료를 내고 “쿠팡의 증권법 위반 혐의에 대해 투자자들을 대신해 조사에 착수했다”고 발표했다. 디제이에스 쪽은 이번 조사가 “회사가 투자자들에게 오해의 소지가 있는 성명을 발표했거나, 중요한 정보를 공개하지 않았는지를 밝히는 데 초점을 맞추고 있다”고 설명했다.

특히 디제이에스 쪽은 지난 1일 로이터 통신이 “한국 경찰이 쿠팡의 대규모 데이터 유출 사태와 관련해 해킹 가능성과 시스템 취약점을 추적하고 있다”고 보도한 직후 쿠팡 주가가 5% 이상 하락한 점을 지적했다. 회사의 보안 취약점 은폐나 늑장 대응이 주가 하락으로 이어져 주주들에게 금전적 손실을 입혔다는 논리다. 이들은 “손실을 본 주주들은 참여해 달라”며 원고 모집을 시작했다. 통상 정식 주주 집단소송 제기를 위한 전 단계로 해석된다. 미국에선 상장사가 악재를 제때 알리지 않아, 즉 공시의무를 위반해 주가가 떨어졌을 때 주주들이 소송을 제기하는 것은 비교적 흔하다. 미국 증권거래위원회(SEC) 규정에 따르면 상장사는 중대한 사이버 보안 사고를 4영업일 내에 공시해야 한다. 쿠팡이 이 의무를 위반했거나 축소 보고한 정황이 드러날 경우, 기관투자자를 포함한 주주들의 대규모 배상 청구로 이어질 수 있다. 쿠팡이 언제 ‘중대한 사고’로 인지했는지를 두고 공방이 이어질 것으로 보인다.

워싱턴/김원철 특파원 wonchul@hani.co.kr