쿠팡·김범석 의장 함께 미국서 피소, 개인정보유출 집단소송 본격화

[뉴욕=이데일리 김상윤 특파원] 법무법인 대륜의 미국 협력 로펌인 SJKP LLP가 쿠팡을 상대로 미국에서 집단소송(Class Action)을 제기했다. 쿠팡의 대규모 개인정보 유출 사고가 단순한 해킹 사건이 아니라, 구조적인 관리 실패에서 비롯됐다는 게 소송의 핵심 주장이다.

김범석 쿠팡 Inc 최고경영자(CEO). 사진=쿠팡

법무법인 대륜의 미국 협력 로펌인 SJKP LLP는 현지시간 6일 쿠팡(Coupang Inc.)과 김범석 의장을 공동 피고로 하는 집단소송을 미국 뉴욕 동부 연방지방법원에 제기했다고 밝혔다.

소장에 따르면 이번 사고는 전직 직원이 보안 키를 탈취한 뒤 한 달 넘게 내부 시스템에 무단 접근하면서 발생했다. 이 과정에서 약 3370만 건에 달하는 고객 정보가 외부로 유출됐으며, 이름과 연락처뿐 아니라 건물 출입코드 등 보안상 민감도가 높은 정보까지 포함된 것으로 전해졌다. SJKP 측은 이를 “사후 대응의 문제가 아니라, 사전에 인지 가능한 위험을 방치한 결과”로 규정했다.

이번 소송의 또 다른 특징은 원고 범위다. 대표 원고는 뉴욕에 거주하는 미국인이지만, 미국 내 피해자뿐 아니라 한국에 거주하는 피해자 전체를 하위 집단(Subclass)으로 포함했다. 서버와 데이터가 한국에 있더라도, 피해가 국경을 넘어 발생했고 서비스 이용 구조 자체가 글로벌하게 설계돼 있다는 점을 전면에 내세운 것이다. 소송이 본격화될 경우 미국 내 법적 판단이 한국 이용자 권리에도 영향을 미칠 수 있다는 관측이 나오는 이유다.

관할권 설정 역시 이번 소송의 중요한 쟁점이다. SJKP는 피해 규모가 500만달러를 넘어 연방 집단소송 공정법(CAFA) 요건을 충족한다고 보고, 뉴욕 동부 연방법원을 관할 법원으로 특정했다. 서버가 한국에 위치해 있더라도, 보안 예산과 정책, 사고 대응 프로토콜 등 핵심 의사결정이 미국에 기반을 둔 경영진에 의해 이뤄졌다는 점에서 미국 법원이 재판을 맡을 수 있다는 논리다. 글로벌 플랫폼 기업의 ‘의사결정 중심지’를 어디로 볼 것인지가 향후 재판 과정에서 주요 쟁점으로 떠오를 전망이다.

특히 김범석 의장이 개인 자격으로 공동 피고에 포함됐다. SJKP는 김 의장이 정보보호 인력과 예산 편성·집행에 대한 최종 권한을 가진 인물임에도, 이미 인지된 보안 위험을 방치하거나 중대한 과실로 묵인했다고 주장했다. 이는 개인정보 유출 사건에서 최고경영진의 ‘직접 책임’을 어디까지 물을 수 있는지를 가르는 시금석이 될 수 있다는 평가가 나온다.

SJKP 측은 손해배상과 함께 쿠팡에 암호화와 다중인증 도입 등을 강제하는 이행 명령(Injunctive Relief)도 청구했다. 과거 사고에 대한 책임 추궁을 넘어, 향후 추가 유출을 원천 차단하는 구조적 개선까지 법원의 판단을 구하겠다는 의미다.

김국일 대륜 경영대표는 “이번 사안의 본질은 특정 국가 기업에 대한 규제가 아니라 3300만 명에 달하는 소비자 정보 보호라는 국가의 기본적 책무에 있다”며 “쿠팡이 글로벌 기업에 걸맞은 거버넌스를 구축해 한미 디지털 경제 협력의 모델로 이어지길 기대한다”고 밝혔다.