쿠팡 개인정보유출 사태…집단소송 확산에 데이터보호법 시험대

대형 전자상거래 플랫폼의 개인정보 보호 실패가 데이터 경제 전반에 충격을 주고 있다. 쿠팡에서 3370만 건 규모 고객 정보가 외부로 유출된 사실이 드러나면서, 국내 최대급 온라인 쇼핑 플랫폼의 보안 체계와 데이터 거버넌스가 정면으로 도마에 올랐다. 기술 집약적 플랫폼 산업의 근간이 개인정보 신뢰에 놓여 있다는 점에서, 이번 사태가 향후 전자상거래와 핀테크, 디지털 헬스케어까지 이어지는 데이터 활용 생태계 전반의 규제 방향을 가늠하게 하는 분기점이 될 수 있다는 관측이 나온다.

쿠팡이 지난달 29일 대규모 정보 유출 사실을 공개한 지 불과 이틀 만에, 네이버에는 쿠팡을 상대로 한 집단소송 준비 카페가 잇따라 개설되며 소비자들의 조직적 대응 움직임이 본격화됐다. 2일 오전 9시 기준 주요 카페 누적 가입자 수는 약 48만명 수준으로 집계됐다. 개별 카페 중에는 이미 가입자 10만명을 넘긴 곳이 등장했고, 다수 카페가 하루 사이 수천 명씩 증가하는 양상을 보이고 있다. 온라인 커뮤니티가 사실상 피해자 조직화 플랫폼으로 기능하고 있다는 평가가 나온다.

현재 가장 많은 회원을 보유한 쿠팡 집단소송 카페는 가입자 12만9850명 수준까지 늘었고, 쿠팡 해킹 피해자 집단소송 카페 10만4775명, 쿠팡 개인정보유출 집단소송카페 6만9973명, 쿠팡 해킹 3370만명 피해자 카페 5만5563명, 쿠팡 해킹 피해자 모임 5만3476명 등 유사 성격의 커뮤니티가 빠르게 확대되고 있다. 이 밖에 쿠팡 피해 연대 집단소송 2만9000명, 쿠팡 개인정보유출 단체 소송 카페 2만419명, 쿠팡 소송 해킹 개인 고객 정보유출 집단소송 9500명 등도 단기간에 회원 수가 가파르게 상승 중이다.

주요 카페 운영진은 공지를 통해 단순한 정보 공유를 넘어 실제 소송 절차를 추진하는 채널이 되겠다는 입장을 밝히고, 복수의 로펌과 협의를 진행 중이라고 강조했다. 플랫폼 사업자를 상대로 한 개인정보 소송 참여가 온라인 커뮤니티를 통해 대규모로 조직되는 방식은 국내 디지털 경제 환경에서 드물게 관측된 사례로, 향후 빅테크와 유통 플랫폼 전반으로 신뢰 위기가 확산될 수 있다는 우려도 제기된다.

법적 대응은 이미 시작됐다. 1일에는 쿠팡을 상대로 한 첫 손해배상 소장이 서울중앙지방법원에 접수됐다. 초기 소송에는 쿠팡 이용자 14명이 참여해 1인당 20만 원의 위자료를 청구했다. 소송을 대리하는 법무법인 청 측은 소규모 선발대를 구성해 선행 판례를 확보하는 전략이라고 설명하면서, 이후 참여 인원 확대 가능성을 열어뒀다. 다만 대형 정보 유출 사건의 경우 입증 과정과 책임 범위 산정이 복잡해 장기 소송으로 이어질 수 있다는 관측이 우세하다.

기술적 관점에서는 쿠팡이 수집·처리하던 데이터의 범위와 보호 체계가 핵심 쟁점으로 떠올랐다. 쿠팡은 이름과 전화번호, 이메일 주소 등 기본 인적 정보뿐 아니라, 배송 주소록과 주문 정보까지 외부로 유출됐다고 밝혔다. 주소록과 구매 이력은 단순 식별 정보를 넘어 개인의 생활 패턴과 건강 상태, 재무 상황을 추정할 수 있는 고차원 데이터라는 점에서, 사고의 실질적인 민감도가 크다는 분석이 나온다. 예를 들어 특정 의약품, 건강식품, 보험 상품 구매 이력을 통해 개인의 질병 가능성이나 자산 상황을 유추할 수 있어, 2차 피해 우려가 상존한다.

다만 현재까지 금융 정보나 비밀번호, 주민등록번호 등 일부 정보의 유출 여부는 구체적으로 공개되지 않았다. 업계에서는 데이터베이스 접근 통제, 암호화 수준, 내부 계정 관리 등 기본 정보보호 체계에 구조적 허점이 있었는지 여부를 주목하고 있다. 특히 대규모 트래픽과 주문 데이터를 처리하는 커머스 플랫폼은 마이크로서비스 아키텍처, 데이터 레이크 등 복합 구조를 채택하는 경우가 많아, 보안 통제가 미흡할 경우 단일 취약점이 광범위한 유출로 이어질 수 있다는 지적이 제기된다.

시장 차원에서는 소비자의 이탈 움직임과 함께, 다른 전자상거래 플랫폼과 핀테크 서비스에 대한 동시다발적인 신뢰 재평가가 촉발되는 양상이다. 온라인 쇼핑, 배달, 모빌리티, 간편결제 등 디지털 생활 인프라 서비스 대부분이 방대한 개인정보와 위치, 결제 데이터를 축적하고 있어, 어느 한 곳에서 대규모 유출이 발생하면 전반적인 데이터 보안 불안 심리가 커진다는 분석이다. 특히 구독형 멤버십, 로열티 프로그램을 기반으로 한 초개인화 마케팅 전략은 정교한 데이터 분석에 의존하는 만큼, 정보 유출 시 브랜드 가치와 광고 비즈니스에도 타격을 줄 수 있다.

글로벌 사례와 비교하면, 이번 사태는 국내 데이터 보호 규제 수준을 재점검하는 촉매제가 될 가능성이 있다. 유럽에서는 일반개인정보보호법을 통해 매출 대비 최대 4퍼센트 수준의 과징금을 부과할 수 있고, 미국도 캘리포니아 소비자 프라이버시법 등 주 단위 규제를 강화하는 추세다. 반면 한국은 개인정보보호법을 중심으로 사고 신고, 이용자 통지, 과징금 부과가 이뤄지고 있으나, 실제 부과액과 소송을 통한 배상 규모가 피해 체감에 크게 못 미친다는 비판이 많다. 과거 인터파크 정보 유출에서 1030만명의 정보가 유출됐지만, 소송에 참여한 2400여 명만이 1인당 10만원 수준 배상을 받는 데 그친 사례가 대표적이다.

법제 측면에서 정보 유출 사건이 정식 집단소송 대상이 아니라는 점도 구조적 한계로 지적된다. 현재는 소송에 개별적으로 참여한 피해자만 배상 대상에 포함되는 구조여서, 실제 피해 규모와 법적 구제 사이 괴리가 크다. 국회에서는 소비자와 데이터 피해자를 포괄하는 집단소송제와 징벌적 손해배상 도입 논의가 이어져 왔지만, 이해관계 충돌로 입법 속도가 더딘 상황이다. 플랫폼 기업 입장에서는 거액 소송 리스크가 규제 부담으로 작용할 수 있지만, 이용자 신뢰와 데이터 활용 기반을 지키기 위해서라도 일정 수준의 책임 강화가 불가피하다는 의견이 확산되고 있다.

쿠팡 사고를 계기로 데이터보호위원회와 과학기술정보통신부도 움직임을 서두르고 있다. 쿠팡은 지난달 18일 사고를 인지한 뒤 20일과 29일 두 차례에 걸쳐 개인정보보호위원회에 신고했다. 현재 개인정보보호위원회와 과학기술정보통신부는 각각 원인 규명과 법 위반 여부 조사에 착수했고, 정부는 민관합동조사단을 꾸려 유출 경위와 재발 방지 대책을 마련하겠다는 방침을 밝혔다. 조사 과정에서는 사고 인지 후 이용자 통지 시점, 내부 보고와 대응 체계, 기술적 보호 조치 수준이 핵심 쟁점이 될 전망이다.

전문가들은 데이터 중심 산업 구조에서 대형 플랫폼의 정보보호 역량이 사실상 사회 인프라 수준의 안정성을 요구받고 있다고 진단한다. 인공지능 추천, 맞춤형 광고, 동적 가격 책정 등 고도화된 디지털 서비스는 모두 대규모 개인정보와 행태 데이터를 기반으로 작동하는 만큼, 한 번의 대형 유출이 시장 신뢰를 장기간 훼손할 수 있다는 경고도 나온다. 향후 조사 결과에 따라 쿠팡뿐 아니라 다른 빅테크, 커머스, 핀테크 기업에 대한 전방위적인 보안 투자 확대와 규제 기준 상향이 불가피하다는 전망이 제기된다.

산업계는 이번 유출 사태가 단기적인 소송 비용을 넘어, 데이터 보호를 전제로 한 디지털 경제 성장 모델을 재설계하는 계기로 이어질지 주시하는 분위기다. 기술 혁신 속도뿐 아니라, 개인정보 보호와 책임 체계를 둘러싼 제도 정비가 디지털 산업의 지속 가능성을 좌우하는 핵심 변수로 부상하고 있다.