지난 8월 28일, 쿠팡 개인정보 유출 소송의 변론을 보고 왔습니다.

개인정보 유출 피해자들이 제기한 손해배상소송입니다.

이날 재판부는 법무법인 3곳(지향·LKB평산·청)의 소송 9건을 한 번에 진행했습니다. 소송 9건에 참여한 피해자만 총 2만 7000명이 넘습니다. 변호사들이 좁은 법정을 채웠고, 제 곁에 앉은 방청객 한 분은 변론 내용을 빠르게 노트에 받아적었습니다.

피해자들을 대리하는 한 변호사는 이 재판부를 두고 "(심리를) 제일 먼저, 열심히 하는 재판부"라고 했습니다. 이외에도, 여러 재판부가 맡은 쿠팡 개인정보 유출 관련 소송들이 많이 있습니다. 저희도 아직 모든 사건을 모으지 못한 상황입니다.

소송은 쿠팡 개인정보 유출 사실이 드러난 직후인 2025년 12월부터 하나씩 제기됐습니다.

지금까지 별다른 진전은 없습니다.

쿠팡 측이 피해자들의 주장에 대한 실질적인 답변을 내놓지 않고 있기 때문입니다.

의결서가 나오면

이날 쿠팡 대리인은 "처분서(의결서)에 따라 답변서를 내겠다", "일부러 지체하는 건 아니다"라고 말했습니다.

지난 6월 10일, 개인정보보호위원회(개인정보위)는 쿠팡에 대해 과징금 부과 등을 의결한 바 있습니다. 과징금 6246억 8100만 원으로, 역대 최고 규모입니다.

개인정보위는 의결 이후 의결서를 작성해 홈페이지에 공개합니다.

개인정보위가 내린 결론(과징금·과태료 부과, 시정조치 명령, 개선 권고 등)뿐만 아니라, 조사한 내용과 처분 근거 등도 담습니다.

개인정보위에 따르면, 쿠팡 의결서를 곧 공개할 예정이라고 하는데요.

쿠팡은 의결서를 받고 90일 이내에 이에 불복하는 행정소송을 제기할 수 있습니다. 쿠팡 대리인은 법정에서 "(의결서를 받으면) 행정소송 가능성이 크다"며 손해배상소송에 대해서도 비슷한 시점에 답변서를 낼 수 있을 것 같다고 했습니다.

원고들의 주민등록번호

소송 절차에서 아직 정리되지 않은 부분도 있습니다.

소송을 제기한 당사자들을 특정하는 문제입니다.* 당사자가 워낙 많다 보니, 재판부는 그 안에 허위 등이 섞여 있을 수 있다고 우려했습니다. 강제 규정은 없지만, 법원이 일반적으로 주민등록번호나 여권번호를 받고 있다고도 했고요.

주민등록번호는 법적 근거가 명확해야 수집할 수 있습니다.

한 법무법인은 소송 당사자들의 주민등록번호를 수집하는 것에 문제를 제기했습니다.

주민등록번호 대신, '모두싸인'처럼 법적 효력이 있는 전자서명·계약 서비스에서 본인 인증을 거쳐 서명을 완료하면 생성되는 인증서를 제출했습니다.

민사소송에서 주민등록번호를 요구하는 법적 근거가 불분명한 데다, 이번 소송이 개인정보 유출 소송이다 보니 더욱 민감하게 판단할 필요가 있다는 겁니다.

(반면, 당사자들에게 신분증 사본 등을 받은 법무법인도 있습니다.)

재판장은 민사소송에서 위와 같은 인증서 방식이 적정한지 살펴보겠다고 했습니다.

* * *

지난 7월, 미국 하원 법사위원회의 중간보고서가 공개되며 논란이 일었습니다.

〈경쟁 차단 : 미국 소유 기업에 대한 한국의 차별적 공격〉. 한국 정부가 미국 기업, 특히 쿠팡을 차별적으로 공격해 왔다는 내용입니다. 쿠팡 개인정보 유출 사고 이후, 한국 정부의 대응을 '특히 심각한 사례(a particularly egregious example)'라고 서술하고요. 어조가 상당히 강합니다.

개인정보 유출 피해자들의 대리인은 이 보고서에 첨부된 유출자의 진술서에 주목했습니다.

전직 직원인 유출자의 진술은 쿠팡이 (민관합동조사단의 조사가 끝나지 않았을 때) 선제적으로 발표한 내용의 핵심 근거 중 하나였습니다. 약 3000개 계정의 정보만 저장했고, 단독으로 저지른 일이라는 내용 등이었습니다. 당시 쿠팡은 '셀프조사'로 사건을 축소하려 한다고 비판받았습니다.

대리인은 "(관련) 자료가 이것 이외에 없었다"며 쿠팡이 '셀프조사' 결과에 대한 근거 등을 빨리 밝혀야 한다고 강조했습니다.

유출자의 한 쪽짜리 진술서에는 아래와 같은 내용이 나옵니다.

"본인이 해당 데이터를 취득한 목적은 쿠팡 보안 시스템의 특정 취약점을 알리기 위한 것이었다. 판매나 이전 등 어떤 다른 목적도 없었다. 오로지 쿠팡에 취약점을 알리기 위해서였다."

"본인은 2025년 11월 쿠팡 및 일부 사용자에게 보안 취약점을 알리는 이메일을 발송했다. 이를 제외하고 쿠팡 외부의 어떤 개인이나 기관에도 공개, 판매, 이전 또는 공유하지 않았다."

"본인의 행위가 알려진 이후, 즉시 모든 쿠팡 사용자 데이터를 삭제했다. 더 이상 어떠한 데이터도 보유하거나 통제하지 않는다."

* 앞서, 쿠팡 측은 원고들이 쿠팡 회원인지 확인해야 한다는 취지로 주민등록번호가 필요하다고 주장했다. 하지만 회원 가입 시 주민등록번호를 수집하지 않기 때문에 대조에 필요한 정보가 아니라는 반박이 나온다.