쿠팡 개인정보 유출 사태는 단순 사고가 아니다. 쿠팡은 책임지고 배상해야 하며, 한국 역시 개인정보 분야 집단소송 제도 도입이 반드시 필요한 중대함 사안이다.
쿠팡 개인정보 유출 사태는 기업 보안 사고라는 말로 넘길 수 있는 수준을 이미 넘어섰다. 수천만 명의 개인정보가 외부로 유출됐고, 그 이후 소비자들이 마주한 것은 명확한 설명도, 납득할 만한 보상도 아닌 불확실성과 침묵이었다. 개인정보는 한 번 유출되면 되돌릴 수 없고, 피해는 시간이 지날수록 확산된다. 그럼에도 책임을 져야 할 기업의 태도는 지나치게 소극적이다. 이번 사태는 쿠팡이라는 한 기업의 문제이자, 동시에 한국 사회 소비자 보호 제도의 민낯을 드러낸 사건이다. 기업은 책임을 회피하고, 피해자는 각자 알아서 대응해야 하는 구조가 여전히 유지되고 있다. 이제 질문은 단순하다. 쿠팡은 책임을 져야 하는가, 그리고 한국에는 왜 집단소송 제도가 없는가라는 문제다. 두 질문은 결국 하나로 이어진다.
쿠팡은 명백한 책임 주체이며 배상은 선택이 아닌 의무
이번 개인정보 유출 사태의 책임 소재는 복잡하지 않고 명료하다. 소비자가 기업에 제공한 정보를 기업이 제대로 보호하지 못했기 때문이다. 쿠팡은 소비자에게 편리함을 제공하는 대신 개인정보를 수집했고, 이는 신뢰를 전제로 한 거래였다. 그 신뢰가 무너졌다면, 책임 역시 기업이 져야 한다.
문제는 사고 이후의 대응이다. 개인정보 유출이 확인된 이후에도 소비자들은 정확히 어떤 정보가 유출됐는지, 어느 범위까지 위험에 노출됐는지 명확히 알지 못하고 있다. 최고 책임자의 직접적인 사과나 책임 표명도 확인하기 어렵다. 대규모 정보 유출이 발생했을 때 최고 의사결정권자가 전면에 나서 책임을 인정하는 것은 글로벌 기업의 기본적인 대응 방식이다. 그러나 쿠팡에서는 그런 장면이 나타나지 않고 있다. 김범석은 자신과 무관한 양 어떤 반응도 내놓고 있지 않다. 쿠팡의 지배 구조 역시 책임 회피 논란을 키우고 있다. 쿠팡은 미국 법인이 지배하고 있지만, 실질적인 영업과 매출, 그리고 피해는 한국에서 발생했다. 그럼에도 책임의 무게는 구조 속에서 흩어지고 있다. 법적 구조가 어떻든, 피해자가 한국 소비자라면 책임 역시 한국 사회 앞에서 져야 한다는 점은 달라지지 않는다.
배상은 도의적인 선택이 아니다. 개인정보 유출은 명확한 피해를 동반하는 사고이며, 기업이 감당해야 할 법적·사회적 책임의 영역이다. 단기적인 비용 부담을 이유로 책임을 최소화하려는 태도는 오히려 더 큰 신뢰 손실과 장기적 위험으로 되돌아온다. 쿠팡이 지금 해야 할 일은 피해를 축소하는 것이 아니라, 피해를 인정하고 배상 기준을 명확히 제시하는 일이다.
집단분쟁 조정만으로는 부족하며 집단소송 필요
현재 진행 중인 집단분쟁 조정 절차는 소비자들의 분노가 제도적 대응으로 옮겨졌다는 점에서 의미가 있다. 짧은 기간에 수백 명이 참여했다는 사실은 이번 사태가 일부의 불만이 아니라 광범위한 불안과 분노로 확산됐다는 증거다. 그러나 집단분쟁 조정은 구조적 한계를 안고 있다.
가장 큰 문제는 법적 강제력이 없다는 점이다. 기업이 조정안을 거부할 경우 소비자가 선택할 수 있는 수단은 다시 개별 소송뿐이다. 이 과정에서 시간과 비용, 법률적 부담은 전부 개인에게 전가된다. 개인정보 유출처럼 피해자가 수천만 명에 이르는 사건에서 이 방식은 사실상 실효성이 없다. 이 때문에 집단소송 제도의 필요성이 반복적으로 제기된다. 집단소송은 대표 피해자가 소송을 제기해 승소할 경우, 동일한 피해를 입은 다수 피해자에게 판결 효력이 미치는 제도다. 이는 개인의 소송 부담을 줄이는 동시에, 기업이 책임을 회피하기 어렵게 만든다.
기업들은 집단소송 도입이 과도한 부담이라고 주장한다. 그러나 부담이 커지는 이유는 피해 규모가 크기 때문이다. 집단소송은 무분별한 소송을 늘리기 위한 장치가 아니다. 명백한 피해가 발생했을 때 책임을 명확히 하기 위한 최소한의 제도다. 오히려 집단소송 제도가 존재할 때 기업은 사전에 보안과 개인정보 보호에 더 많은 투자를 하게 된다.
개인정보 유출은 현대 사회에서 가장 집단적인 피해를 낳는 사건 중 하나다. 이 영역에서 집단소송이 허용되지 않는 것은 제도의 공백에 가깝다.
OECD에서도 예외적인 한국, 이제는 바꿔야 한다.
국제적으로 보면 한국의 상황은 더욱 이례적이다. OECD 회원국 다수는 이미 개인정보 유출과 대규모 소비자 피해에 대해 집단적 법적 대응이 가능하다. 반면 한국은 여전히 증권 분야에 한정된 집단소송만 허용하고 있다.
이 구조가 지속되면 기업은 잘못된 신호를 받게 된다. 대규모 사고가 발생해도 과징금이나 일부 보상으로 버틸 수 있다는 경험이 반복되면, 구조적인 개선보다는 단기 대응에 머물 가능성이 커진다. 피해자는 반대로 무력감을 느끼게 된다. 소송을 제기해도 실익이 없다는 인식이 확산되면 권리 행사는 위축된다. 국회 입법조사처를 비롯한 여러 기관이 개인정보 분야 집단소송 도입 필요성을 지적해 온 이유도 여기에 있다. 제도가 없기 때문에 피해가 축적되고, 축적된 피해는 결국 사회 전체의 신뢰 비용으로 돌아온다. 이번 쿠팡 사태는 이 문제를 더 이상 미룰 수 없다는 점을 분명히 보여준다. 피해자가 수천만 명에 이르는 상황에서 개별 소송만 허용하는 제도는 현실과 맞지 않는다. 이 상태를 방치한다면 다음 대형 정보 유출 사건 역시 같은 구조 안에서 반복될 가능성이 높다.
쿠팡 개인정보 유출 사태는 단발성 이슈가 아니다. 이 사건은 기업 책임, 소비자 권리, 그리고 한국 사회의 제도적 한계를 동시에 드러낸 사건이다. 쿠팡은 책임을 인정하고 배상에 나서야 하며, 재발 방지 대책을 구체적으로 제시해야 한다. 그것이 신뢰 회복의 최소 조건이다. 동시에 한국 사회 역시 선택해야 할 시점이다. 집단소송 제도를 도입하지 않은 채 대형 플랫폼 시대를 계속 맞이할 것인지, 아니면 소비자 보호의 기준을 현실에 맞게 정비할 것인지의 문제다. 개인정보는 이제 사소한 부가 정보가 아니라, 개인의 삶과 안전을 직접적으로 위협할 수 있는 핵심 자산이다. 이번 사태를 바꾸지 못한다면, 다음 피해자는 또 다른 기업의 고객일 가능성이 크다. 그리고 그 고객은 특별한 누군가가 아니라, 평범한 소비자일 가능성이 높다.