[투어코리아=조성란 기자] 소비자분쟁조정위원회가 쿠팡 개인정보 유출 사고와 관련해 처음으로 손해배상 책임을 인정했다.
위원회는 쿠팡이 개인정보 유출 피해자에게 1인당 현금 10만 원 또는 쿠팡캐시 10만 원을 지급해야 한다고 결정했다.
이번 결정은 지난해 발생한 쿠팡 개인정보 유출 사고를 둘러싼 첫 공식 손해배상 판단이라는 점에서 의미가 크다.
소비자분쟁조정위원회는 쿠팡의 개인정보 유출로 피해를 입은 소비자 50명이 지난해 12월 8일 집단분쟁조정을 신청한 이후 올해 4월 6일 조정 절차를 시작했다. 이어 7월 10일과 22일 두 차례 조정기일을 거쳐 최종 결정을 내렸다.
위원회는 이번 사고로 이름과 이메일, 주소 등 기본적인 개인정보뿐 아니라 공동현관 비밀번호와 주문내역처럼 개인의 사생활과 밀접한 정보까지 유출된 점을 중요하게 판단했다.
또 해커가 2025년 4월부터 11월까지 장기간 정보를 빼낸 데 이어 일부 고객에게 직접 유출 사실을 알리는 이메일을 발송하는 등 실제 악용 가능성이 확인됐다는 점도 고려했다. 쿠팡은 유출된 정보와 범행에 사용된 기기를 모두 회수해 추가 유출 우려가 없다고 주장했지만, 위원회는 이를 단정하기 어렵다고 판단했다. 이에 따라 소비자들이 일상적으로 쿠팡 서비스를 이용하며 겪었을 정신적 피해에 대해 위자료를 지급할 책임이 있다고 봤다.
위원회는 배상액을 1인당 10만 원으로 정했다. 대규모 개인정보 유출 사건에서 법원이 통상 10만 원 수준의 위자료를 인정해온 점과 함께, 유출된 정보가 일상생활에서 악용될 가능성이 높은 점 등을 종합적으로 고려한 결과다.
아울러 쿠팡이 올해 1월 이용자들에게 총 5만 원 상당의 구매 이용권을 지급하는 자체 보상안을 마련했지만, 실제 사용 현황을 제출하지 않은 점도 판단에 반영됐다. 신청인은 현금 대신 쿠팡캐시 10만 원을 선택해 지급받을 수도 있다.
조정 결정은 당사자들이 결정서를 받은 날부터 15일 이내 수락 여부를 위원회에 통보해야 한다. 별도의 의사표시가 없으면 수락한 것으로 간주되며, 양측이 수락하면 재판상 화해와 같은 효력이 발생한다.
위원회는 쿠팡이 이번 조정안을 받아들일 경우 집단분쟁조정에 참여하지 않은 다른 피해자들에게도 동일한 기준의 보상이 이뤄질 수 있도록 보상계획서 제출 등 후속 절차를 진행할 계획이다.
이번 사건은 역대 최대 규모의 개인정보 유출 사고 가운데 하나로 기록됐다. 쿠팡은 2025년 11월 최초 조사에서 3,370만 개 계정의 정보 유출을 확인했으며, 이후 추가 조사 결과를 반영해 개인정보보호위원회는 올해 6월 회원과 비회원을 합쳐 총 3,756만여 건의 개인정보가 유출된 것으로 판단했다.
유출된 정보에는 회원 이름과 이메일뿐 아니라 배송지 이름, 전화번호, 주소, 공동현관 비밀번호, 주문일과 상품명, 수량, 가격 등 주문내역까지 포함됐다. 개인정보보호위원회는 쿠팡이 개인정보보호법상 안전조치 의무와 유출 통지 의무, 개인정보 파기 의무 등을 위반했다고 판단했다.
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
