소비자분쟁조정위원회가 쿠팡의 개인정보 유출 사고와 관련해 집단분쟁조정을 신청한 소비자 50명에게 1인당 현금 10만원 또는 쿠팡캐시 10만원을 지급하라는 조정결정을 내렸다. 사진은 서울 송파구 쿠팡 본사 전경. /박헌우 기자

[더팩트ㅣ유연석 기자] 소비자분쟁조정위원회가 쿠팡의 개인정보 유출 사고와 관련해 집단분쟁조정을 신청한 소비자 50명에게 1인당 현금 10만원 또는 쿠팡캐시 10만원을 지급하라는 조정결정을 내렸다고 31일 밝혔다.

이번 결정은 쿠팡의 개인정보 유출 사고에 따른 피해자 손해배상 책임을 처음으로 인정한 사례다.

정부 조사에 따르면 쿠팡에서 유출된 회원과 비회원 정보는 합계 3756만여건에 달한다. 이들 피해 계정에 이번 보상안을 단순 대입해 산출하면 총배상액 규모는 약 3조7560억원까지 치솟는다.

비록 이번 결정이 신청인 50명에게만 직접 적용되고 전체 피해 계정에 10만원씩 즉시 지급할 법적 의무가 성립하는 것은 아니지만, 향후 비신청 피해자들의 추가 보상 요구와 연동될 수 있어 쿠팡 측의 재무적 부담이 가중될 것이라는 관측이다.

이번 사건은 지난해 12월 소비자 50명이 손해배상을 요구하며 집단분쟁조정을 신청하면서 시작됐다. 위원회는 올해 4월 6일 절차를 개시한 뒤 판례와 배상 범위를 검토해왔다.

위원회는 성명, 이메일 등 일반 개인정보 외에도 공동현관 비밀번호와 주문내역 등 사생활 밀접 정보가 유출된 점을 배상 책임의 근거로 들었다. 해커가 2025년 4월부터 11월까지 장기간 정보를 유출했고 일부 고객에게 직접 이메일을 발송하는 등 실제 악용 가능성이 확인된 점도 반영됐다.

쿠팡은 유출 정보와 범행 기기를 모두 회수해 추가 유출 위험이 없다고 주장했으나 위원회는 이를 단정하기 어렵다고 보고 정신적 고통에 대한 위자료 책임을 물었다.

쿠팡이 올해 1월 이용자들에게 총 5만원 상당의 구매이용권을 지급하는 자체 보상안을 냈으나 신청인들의 이용권 사용 현황을 제출하지 않은 점도 판단 요소가 됐다.

쿠팡과 신청인은 결정서를 받은 날부터 15일 이내에 수락 여부를 통보해야 한다. 양측이 받아들이면 재판상 화해 효력이 생기지만, 쿠팡이 거부하면 조정은 불성립되며 별도의 민사소송 단계로 넘어간다.

앞서 SK텔레콤 유심 해킹 사고 집단분쟁조정에서도 사측이 조정안을 거부해 소비자원이 소송 지원에 나선 선례가 있다. 쿠팡 역시 보상 부담으로 거부할 경우 대규모 소송전으로 번질 가능성이 제기된다.

쿠팡은 "소비자분쟁조정위원회의 조정안을 받아본 뒤 면밀히 검토하겠다"는 입장을 밝혔다.

한편 개인정보보호위원회는 지난 6월 쿠팡의 개인정보보호법 위반 행위에 대해 역대 최대 규모인 총 6246억8100만원의 과징금과 과태료 1680만원을 부과한 바 있다.

ccbb@tf.co.kr