쿠팡 정보유출에 10만원 배상 권고 — 개인정보 유출 첫 손해배상 인정

한국소비자원 소비자분쟁조정위원회가 쿠팡의 개인정보 유출에 대해 소비자 정신적 고통에 대한 위자료 배상 책임을 인정하고 현금 10만원 또는 쿠팡캐시 10만원을 배상하라고 결정했다. 개인정보 유출에 손해배상 책임이 인정된 첫 사례다.

사건 경위

전직 직원에 의해 3,400만 명 규모의 개인정보가 유출됐다. 성명, 이메일, 주소, 공동현관 비밀번호, 주문내역 등이 포함됐다. 이후 해커가 4월부터 11월까지 데이터를 유출하고 일부 악용한 정황이 확인되면서 심각성이 인정됐다.

소비자 50명이 지난해 12월 8일 집단분쟁조정을 신청했고, 위원회는 4월 6일 조정을 개시해 7월 10일과 22일 조정기일을 진행했다. 개인정보보호위원회는 이미 쿠팡에 과징금을 부과한 상태다.

강제력의 한계

쿠팡은 결정서 수령 후 15일 이내에 수락 여부를 통보해야 한다. 다만 조정은 당사자 동의가 없으면 강제력이 없다. 결정 자체보다 이후 수락 여부와 후속 소송 흐름이 실질적인 파장을 결정할 가능성이 크다.

마케팅·데이터 실무에 주는 함의

첫째, 유출 대응 비용의 하한선이 생겼다. 이전에는 규제 과징금이 사실상 유일한 비용이었지만, 이제 이용자 1인당 위자료라는 항목이 선례로 남는다. 이용자 규모가 큰 서비스일수록 노출 규모와 비용이 직결된다.

둘째, 유출 항목이 마케팅 데이터와 겹친다는 점을 봐야 한다. 주문내역과 주소는 개인화 추천과 배송 최적화에 쓰이는 데이터다. 활용도가 높은 데이터일수록 축적 유인이 크고, 유출 시 피해도 크다. 보관 기간과 최소 수집 원칙을 정기적으로 점검할 실질적 이유가 생긴 셈이다.

셋째, 내부자 유출이라는 경로가 확인됐다. 외부 침입 방어에 집중된 통제만으로는 부족하고, 접근 권한 관리와 로그 감사가 함께 필요하다.

플랫폼을 둘러싼 규제가 촘촘해지는 흐름은 불법 대부광고 사전심의 의무화 법안 발의 — 신고포상금 근거까지에서도 확인된다.