한국 인구의 절반 이상이 피해자가 된 초대형 개인정보 유출 사건이, 이번엔 한미 외교 갈등의 뇌관으로 떠올랐다. 규제 당국의 역대 최대 과징금 부과가 단순한 법 집행을 넘어 양국 간 통상 분쟁의 불씨가 된 것이다.
미국 트럼프 행정부는 2일(현지시간) 쿠팡의 개인정보 유출 사건과 관련해 한국 정부가 미국 기술기업을 표적으로 삼고 있다고 주장했다.
한국 인구 3분의 2가 피해자…역대 최대 과징금 624억 원
이번 갈등의 출발점은 2025년 발생한 쿠팡 고객 데이터 유출 사건이다. 개인정보보호위원회(PIPC) 조사 결과, 영향을 받은 계정은 약 3,300만~3,750만 명에 달하는 것으로 파악됐다. 한국 인구의 약 3분의 2에 해당하는 규모다.
유출된 정보에는 이름, 연락처, 배송지 주소, 주문·구매 내역 등이 포함됐다. PIPC 조사에 따르면 전직 직원인 중국 국적 인물이 보안 키를 탈취해 2025년 6월경부터 외국 서버를 통해 고객 계정에 무단 접근한 것으로 확인됐다.
PIPC는 지난달 11일 쿠팡에 총 약 624억 원의 과징금을 부과했다. 개인정보 유출 관련 423억 원, 약 1,117만 명의 온라인 활동 기록을 동의 없이 수집한 것에 대해 201억 원이 각각 부과됐다. 이는 한국 개인정보보호 역사상 단일 기업에 부과된 최대 규모 과징금이다.
“고도 해킹 아닌 기초 보안 실패”…’내부 통제 부실’이 핵심
PIPC 송경희 위원장은 브리핑에서 “고도화된 해킹이 아니라 쿠팡의 기초적인 안전관리·접근통제 실패로 인한 사고”라고 규정했다. 인증 키 관리, 이상 트래픽 탐지, 내부 권한 관리 등 기본적인 보안 체계가 갖춰지지 않았다는 설명이다.
쿠팡은 2025년 11월경 약 4,500개 계정에서 이상 징후를 인지하고 당국에 보고했으나, 이후 조사에서 실제 피해 규모가 수천만 계정으로 확대된 사실이 드러났다. 한국 개인정보보호법은 중대한 유출 발생 시 72시간 내 보고·통지를 의무화하고 있으며, PIPC는 쿠팡이 이 기한을 준수하지 못했다고 발표했다.
개인정보 유출 외에도 쿠팡 물류 자회사(CFS)는 경찰 기자단 소속 언론인 71명을 채용제한 명단에 올리고, 직원 건강관리용으로 수집한 체중 데이터를 산업재해 소송에 활용한 혐의도 적발됐다.
“차별이냐” vs “명백한 허위”…한미 간 프레임 충돌
백악관 당국자는 한국의 개인정보보호 조치를 “미국 디지털 서비스의 시장 접근 제한을 포함한 불공정 무역 관행”으로 규정했다.
이에 한국 외교부는 해당 보고서가 “쿠팡 측 주장만을 일방적으로 반영해 사실과 다르다”며 유감을 표했다. 국가정보원도 보고서에 담긴 쿠팡 측 주장에 대해 “명백한 허위”라는 공식 반박 입장문을 냈다.
법조계에서는 규제 당국의 행정처분과 별개로 민사적 책임을 묻는 움직임도 거세다. 민주사회를 위한 변호사모임(민변) 디지털정보위원회는 쿠팡에 대한 손해배상 청구 규모를 약 6,300억 원대로 추산하며 집단 분쟁조정·소송 참여를 독려하고 있다.
