쿠팡에서 발생한 3370만 개 계정의 대규모 개인정보 유출 사태는 한국과 미국 양대 사법 시스템의 근본적인 차이를 극명하게 보여주는 초국가적 소송전으로 비화했다. 피해자들을 대리하는 법무법인 대륜의 미국 현지 법인 SJKP는 한국 법원에서 제기되는 소송과는 별개로 쿠팡의 미국 본사인 쿠팡 Inc.를 상대로 뉴욕 연방 법원에 집단 손해배상 소송을 할 계획이라고 밝혔다. 이례적으로 해외 모회사를 직접 겨냥한 이번 소송 전략의 중심에는, 한국에는 존재하지 않는 미국의 강력한 법적 무기인 '디스커버리(Discovery, 증거 개시)' 제도가 자리하고 있다.
한국 법제도의 한계: 10억 원 보험 장벽
피해자들이 한국 법정을 넘어 미국을 선택한 가장 현실적인 이유는 한국 법제도의 '재정적 한계'를 극복하기 위함이었다. 현행 개인정보보호법에 따라 쿠팡과 같은 대규모 정보를 관리하는 기업은 배상 책임보험 가입이 의무화되어 있지만, 법정 최소 가입 금액은 기업 규모와 위험 수준에 관계없이 최대 10억 원 수준에 불과하다.
쿠팡 역시 메리츠화재의 개인정보유출 배상책임보험에 법정 최소 보장 한도 수준인 10억 원에 가입한 것으로 확인됐다. 3370만 명 이상의 개인정보 유출 사고가 발생했음에도, 보험으로 보전 가능한 최대 금액이 10억 원이라는 뜻이다. 보험업계 관계자는 10억 원의 보험금은 피해자에게 충분한 배상을 하기에 매우 부족하며, 유출 사고 기업이 자금 조달이 어려워 배상을 회피하거나 지연하는 부작용이 발생할 수 있다고 지적했다.
따라서 한국 법원에서 소송을 진행할 경우, 피해자들이 받을 수 있는 위자료 규모는 일반적으로 계정당 10만 원에서 100만 원 선으로 제한적이어서, 대규모 피해에 비해 실질적인 배상액을 확보하는 데 근본적인 한계가 있었다. 이러한 한계를 극복하고 기업에 중과실에 상응하는 '징벌'을 가하기 위해 미국의 사법 시스템을 활용하는 전략이 채택된 것이다.
관할권 확립: 미국 모회사(Inc.)를 정조준하다
미국 소송이 가능했던 배경에는 피고인 쿠팡 Inc.의 법적 지위가 있다. 쿠팡 Inc.는 한국 쿠팡 법인의 지분 100%를 소유한 모회사이며, 미국 델라웨어주에 설립되었고 2021년 뉴욕증권거래소(NYSE)에 상장된 미국 기업이다. 또한, 창업주이자 모회사 의결권의 70% 이상을 보유한 김범석 이사회 의장 역시 미국 시민권자다.
원고 측은 이러한 모회사의 법적 지위를 근거로, 미국 연방법원의 시민 다양성 관할(Diversity Jurisdiction)을 통해 소송을 제기할 수 있었다. 이는 미국에 본사를 둔 기업을 상대로 외국 시민들인 한국 이용자들이 원고로 참여하는 집단소송을 가능하게 하는 결정적 근거를 제공했다.
법무법인 대륜 대표 총괄 변호사 김국일 변호사는 “한국은 소비자 피해 배상, 개인 정보가 유출됐으니 그에 대한 손해 배상을 청구하는 것이다. 미국은 상장사로서 지배구조 실패, 공시 의무 위반 등 본질적으로 차별화된 소송을 진행할 예정”이라고 언론에 밝히며, 소송의 초점이 단순히 개인정보보호법 위반을 넘어 기업의 최고 의사 결정 과정으로 확대되었음을 분명히 했다.
전략의 핵심: 디스커버리, 서버의 위치를 초월하는 강제력
쿠팡 소송 전략의 근본적인 차별점은 한국 법제도와는 비교할 수 없는 미국의 '디스커버리(증거 개시)' 제도를 핵심 무기로 활용한다는 데 있다.
디스커버리는 소송 당사자들이 재판 전 서로에게 증거 자료를 요구하고 제공하는 절차를 의미한다. 한국의 제한적인 증거교환 제도와 달리, 미국에서는 당사자가 자신에게 불리할 수 있는 정보까지도 의무적으로 공개해야 한다. 이 증거 제출 의무는 소송의 승패와 관계없이 법원의 소송 절차이기 때문에 성실하게 임해야 하며, 불성실하게 이행할 경우 법원으로부터 징계를 받을 수 있다.
SJKP 측은 "실제 대형 다국적 기업 사건에서는 서버가 유럽이나 아시아에 있어도 미국 본사를 상대로 디스커버리를 진행해 핵심 내부 이메일과 보고서, 로그, 리스크 분석자료 등을 확보한 사례가 다수 존재한다"고 설명했다. 이는 쿠팡 Inc.가 미국 본사이기 때문에, 한국 법인의 서버에 저장된 내부 자료에 대해서도 미국 법원의 제출 강제력이 미칠 수 있다는 전략적 확신을 보여준다.
오늘날 대부분의 소송이 이메일, 채팅 기록, 로그 파일 등 전자 저장 정보(ESI, Electronically Stored Information)를 중심으로 진행된다. 디스커버리의 주요 수단은 문서제출요구(Document Requests), 서면질의(Interrogatories), 그리고 최고 경영진에게 직접 책임을 추궁할 수 있는 선서진술(Depositions, 사전 증언 녹취) 등이 있다.
특히 원고 측이 집중하는 것은 쿠팡 Inc.의 '지배구조 및 위험 관리 실패'를 입증하는 내부 자료들이다. 경영진에게 제출된 내부 보안 감사 보고서, IT 인프라 투자 결정 관련 이사회 회의록, 해킹 징후 감지 시점부터 경영진 보고에 이르는 내부 통신 기록(이메일, 채팅 기록)이 주요 확보 목표다.
디스커버리 제도의 진정한 위협은 '증거 훼손(Sanctions for Spoliation)' 제재에 있다. 기업은 소송이 제기될 가능성을 합리적으로 인식한 시점부터 관련 증거를 보존할 법적 의무(Litigation Hold)가 발생한다. 만약 쿠팡 Inc.가 보존 의무를 소홀히 하여 핵심 자료가 사라졌다면, 법원은 배심원에게 훼손된 증거에 대해 상대방(원고)에게 유리한 추론(Adverse Inference Instruction)을 하도록 지시할 수 있다. 이는 소송의 실체적 판단과는 별개로 기업에 결정적으로 불리한 결과를 낳을 수 있는 강력한 무기다.
징벌적 배상의 압박: 소송의 경제학
미국 소송을 통해 원고 측이 얻고자 하는 가장 큰 보상은 한국 법에서는 사실상 불가능한 '징벌적 손해배상(Punitive Damages)'이다. 미국의 징벌적 손해배상 제도는 기업의 고의적이거나 중대한 과실(recklessness)로 인해 피해가 발생했을 경우, 실제 발생한 손해액 이상의 금액을 부과함으로써 기업을 징벌하고 재발을 억제하는 데 목적이 있다.
SJKP의 변호사 탈 허쉬버그는 “한국에선 쿠팡이 불법 행위에 상응하는 대가를 치르게 할 수 없지만, 미국은 징벌적 손해배상 제도가 존재해 다르다”고 언론을 통해 강조했다.
실제 미국의 대형 데이터 유출 사건들은 천문학적인 배상 규모를 현실화했다. 미국의 3대 이동통신사 중 하나인 T-Mobile은 2021년 7600만 명 이상의 개인정보가 유출된 사고에 대해 집단소송 합의금으로 3억 5000만 달러(약 5142억원)을 배상했고, 보안 프로그램 투자 등 총비용은 최대 50억 달러(약 7조3500억원)에 이를 것으로 추산된다. 또한, Capital One 역시 2019년 정보 유출 사건에서 합의금 1억9000만달러(약 2800억 원)과 벌금 등으로 총 4000억 원 이상의 비용을 지출했다.
이러한 선례는 쿠팡 소송이 수천억 원 이상의 실질적인 배상 및 합의를 목표로 하고 있음을 명확히 보여준다. 디스커버리를 통해 확보된 내부 문건이 쿠팡 Inc. 경영진의 중과실을 입증한다면, 징벌적 손해배상 청구는 강력한 협상 카드로 작용해 쿠팡이 재판까지 가기 전에 거액의 합의(Settlement)를 시도하도록 압박하게 된다. 미국 데이터 유출 소송이 대부분 합의로 종결되는 주된 이유도 이 막대한 재정적 리스크 때문이다.
모회사 책임과 공시 의무 위반 가능성
원고 측의 전략은 한국 법인의 보안 실패를 넘어, 미국 상장사인 모회사 쿠팡 Inc.가 기업 지배구조 및 위험 관리 의무를 위반했음을 입증하는 데 초점을 맞추고 있다. 이들은 쿠팡 Inc.가 단순한 지주회사가 아니라, 정보 보안, IT 인프라 투자 등 핵심 영역에서 한국 법인에 대한 실질적인 의사 결정을 내려왔음을 디스커버리를 통해 입증할 계획이다. 모회사와 자회사 간의 책임 연계가 한국보다 적극적으로 인정되는 미국 법적 환경을 활용하는 것이다.
나아가 상장사로서의 책임 회피 가능성도 소송의 쟁점이다. 쿠팡 Inc.는 뉴욕증권거래소(NYSE)에 상장된 기업으로서, 중대한 사이버 보안 사고 발생 시 미국 증권거래위원회(SEC) 규정에 따라 투자자들에게 적절한 시기에 공시해야 할 의무가 있다. 쿠팡이 한국 당국에 유출 사실을 통지한 시점(11월 18일)보다 미국 투자자들에게 더 늦게 정보를 알렸다는 점은 SEC 공시 의무 위반 소송의 근거가 될 수 있다. 원고 측은 디스커버리를 통해 내부적인 유출 규모 축소 시도와 공시 시점 결정 과정에 대한 내부 문서를 확보하여, 상장사로서의 책임을 회피했는지 여부를 규명할 예정이다.
쿠팡을 상대로 한 이번 미국 집단소송은 한국에서 영업하는 모든 외국계 모회사가 미국의 강력한 사법 시스템 아래 놓일 수 있음을 보여주는 중요한 상징적 선례가 될 것으로 예상된다. 이 소송은 국경을 초월한 기업 내부의 진상을 규명하고, 제한적인 한국 법제도를 우회해 재정적 책임을 묻겠다는 전략의 승부수이며, 그 승패는 오롯이 '디스커버리'의 칼날에 달렸다.
Copyright ⓒ 저스트 이코노믹스 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
