[문답]"쿠팡 한국 피해자 별도 비용 없이 美소송 병행 가능"

"미 법원 '증거개시' 절차 따른 내부자료 공개가 '스모킹 건'"
"내부통제 시스템 미비, 사후 대처 과정 등 중요 소송 쟁점"

3370만 건의 개인정보 유출 사태를 빚은 쿠팡의 미국 본사를 상대로 한 집단소송이 추진된다. 소송을 주도하는 법무법인 대륜은 "정보 유출 자체도 문제지만, 사후 대처 과정에서 경영진 판단 실패 역시 중요한 소송 쟁점으로 끝까지 책임을 추궁할 것"이라고 밝혔다.

대륜의 미국 현지법인 'SJKP LLP'는 8일(현지시간) 미국 뉴욕 맨해튼 원월드트레이드센터(1WTC) 내 SJKP 사무실에서 진행한 기자회견에서 쿠팡의 미국 본사인 '쿠팡 아이앤씨(Inc.)'를 상대로 한 손해배상 소송 법적 근거에 대해 이같이 설명했다.

대륜 측은 "한국 소송을 위임하면 미국 소송도 자동으로 병행해 진행된다"면서, 미국 법원은 (원고의) 국적보다 '누가 원인을 제공했는가'를 중요하게 본다. 한국 거주자도 당연히 원고 적격성이 있다"고 했다.

대륜 측은 "소송 제기를 위한 최소 요건인 원고 40명을 넘어 현재까지 200명 이상을 확보했다"며 "법원을 확실히 설득하기 위해 한국뿐 아니라 전 세계 피해자를 규합해 규모를 키워 연내에 소장을 제출할 계획"이라고 말했다.

특히 한국 피해자들이 미국 소송을 병행할 것을 권하는 이유로 대륜 측은 미국 법원의 증거개시(Discovery) 제도를 꼽았다. 한국 수사기관이 미국 본사의 내부 자료를 압수수색 하는 데는 현실적인 한계가 있어 미국 소송이 진행되면 증거개시 절차를 통해 본사의 이사회 회의록, 보안 투자 결정 내역, 보고 체계 등 은밀한 내부 자료를 강제로 공개시킬 수 있고 이것이 소송의 핵심적인 '스모킹 건'이 될 수 있다고 강조했다.

다음은 김국일 대륜 경영대표와 손동후 뉴욕주 변호사, 탈 허쉬버그(Tal Hirshberg) 뉴욕주 변호사 등과 진행한 일문일답이다.

―한국 소송을 신청한 피해자가 미국 소송을 병행할 경우, 별도의 비용이 발생하는가.
▶발생하지 않는다. 한국 소송을 위임하면 미국 소송도 자동으로 병행해 진행되며, 이에 따른 별도의 착수금이나 추가 비용은 없다. 미국 소송만 단독으로 진행해야 하는 미국 시민권자도 마찬가지다. 미국 시민권자가 SJKP 로펌 홈페이지를 통해 신청하거나, 한국의 법무법인 대륜 홈페이지를 통해 미국 소송만 신청하는 경우에도 비용은 전액 무료로 진행된다. 이번 소송은 한국 로펌이 주도해 뉴욕에서 제기하는 첫 사례인 만큼, 피해자들의 비용 부담 없이 단계별로 체계적으로 진행할 예정이다.

―한국의 손해배상액은 소액(30만~100만 원)에 불과하다. 미국 징벌적 손해배상(Punitive Damages) 청구 시 예상 규모는.
▶한국 법원의 판결 금액은 피해자들이 겪은 고통에 비해 턱없이 낮은 수준이다. 반면 미국은 소송 제기자뿐 아니라 피해 사실을 입증한 모든 피해자가 배상받을 수 있는 구조이며, 그 규모는 한국과 비교할 수 없을 정도로 크다. 특히 징벌적 손해배상은 단순한 보상을 넘어 "이런 식으로 기업을 운영해서는 안 된다"는 경종을 울리는 의미가 있다. 법원이 쿠팡 측의 악의성이나 중대 과실을 인정한다면, 천문학적인 배상 판결이 나올 수 있다.

―실질적인 정보 유출 피해는 한국에서 발생했다. 미국 법인을 상대로 한 소송이 가능한가.
▶충분히 가능하다. 쿠팡 주식회사의 지분 100%를 보유한 모회사는 미국 델라웨어 법인인 '쿠팡(Coupang Inc.)'이다. 서버 관리, 인사 시스템, 내부 통제 등을 총괄하는 주체는 본사다. 피해는 한국에서 발생했더라도, 보안 시스템을 설계하고 관리한 본사 경영진이 적절한 조치 없이 책임을 회피하고 있다는 점에 대해 델라웨어 모회사에 직접적인 책임을 물을 것이다.

―이번 집단 소송의 구체적인 법적 근거는.
▶핵심은 두 가지다. 첫째, 데이터 감시 및 내부 통제 시스템의 미비다. 둘째, 사건 발생 후 본사 차원의 인정이나 회복 조치가 전무했다는 점이다. 정보 유출 자체도 문제지만, 사후 대처 과정에서의 경영진 판단(Business judgment & fiduciary duty) 실패 역시 중요한 소송의 쟁점이다. 우리는 이 부분에 대해 끝까지 책임을 추궁할 것이다.

―공시의무 위반 등 증권법 이슈도 있어 보이는데, 투자자 소송이 아닌 소비자 소송을 먼저 제기하는 이유는.
▶전략적인 선택이다. 델라웨어 법원은 전통적으로 매우 친기업적(corporate-friendly)인 성향을 보여 주주 소송의 문턱이 높다. 따라서 우리는 뉴욕 등에서 사용자(소비자) 피해를 중심으로 먼저 소송을 제기하여 관할을 확보한 뒤, 소장 수정(Amendment)을 통해 주주 피해 부분까지 범위를 확장하는 전략을 취할 것이다.

―미국 및 해외 피해자들의 상황은 어떠한가.
▶쿠팡 모회사는 영국 이커머스 기업 '파페치(Farfetch)' 등을 인수해 북미와 유럽의 사용자 데이터를 보유하고 있으며, 한국에서는 R.LUX라는 이름으로 영업 중에 있다. 시스템 연동 과정에서 이들의 정보 또한 유출되었을 가능성이 매우 높다. 현재 북미·유럽 지역의 피해자들도 확보 중이며, 이들을 포함해 전 세계적인 피해 사실을 소장에 적시할 계획이다.

―한국 형사 고소와 미국 민사 소송은 어떻게 연계되는가.
▶한국 소송은 한국 내에서 발생한 정보유출과 국내 소비자 피해를 중심으로 판단되지만, 미국 소송은 그보다 상위 구조인 미국 본사의 관리·감독 책임, 즉 글로벌 수준의 거버넌스 실패를 묻는 성격을 갖고 있다. 쿠팡의 궁극적 의사결정 주체가 미국 본사이고, 이사회·경영진이 보안·리스크 투자에 관한 핵심 권한을 행사해 왔다는 점에서 미국에서의 법적 책임 검토는 필수적이다. 또한 미국 시민권자·영주권자·미국 거주 이용자도 상당수 존재하므로, 미국 내 피해 회복을 위한 별도의 절차 역시 필요하다. 결과적으로 두 국가의 소송은 관점과 법리가 다르고, 서로 보완적인 관계에 있다.

―한국 소비자가 미국 소송에 참여하려면 반드시 한국 소송을 해야 하는가.
▶미국 법원은 국적보다 '누가 원인을 제공했는가'를 중요하게 본다. 따라서 한국 거주자도 당연히 원고 적격성이 있다. 다만, 한국 소송을 통해 구체적인 피해 입증 자료를 확보하는 것이 전략적으로 유리하므로 양국 소송을 병행하는 것을 강력히 권장한다. 미국 소송만 단독으로 진행하는 것은 미국 시민권자 등 특수한 경우로 한정하고 있다.

―피해자가 동일한데 굳이 한국과 미국 양쪽에서 소송하는 실익은 무엇인가.
▶가장 큰 이유는 미국의 '디스커버리(Discovery·증거개시)' 제도 때문이다. 한국 수사기관이 미국 본사의 내부 자료를 압수수색 하는 데는 현실적인 한계가 있다. 하지만 미국 소송이 진행되면 디스커버리 절차를 통해 본사의 이사회 회의록, 보안 투자 결정 내역, 보고 체계 등 은밀한 내부 자료를 강제로 공개시킬 수 있다. 이것이 이번 소송의 핵심 '스모킹 건'이 될 것이다.

―소장 제출 시점은 언제인가.
▶소송 제기를 위한 법적 최소 요건인 원고 40명 모집은 이미 달성했다 (현재 200명 이상 확보). 당장 내일이라도 제출할 수 있지만, 전략적인 이유로 시기를 조율 중이다. 첫째, 한국뿐 아니라 전 세계 피해자를 규합해 규모를 키워야 미국 법원을 확실히 설득할 수 있다. 둘째, 소송 전략 보안 때문이다. 타 로펌들이 무리하게 개입하거나 전략을 모방하여 피해자들에게 혼선을 주는 것을 방지하기 위해 구체적인 날짜는 비공개로 하고 있다. 다만, 목표는 연내(12월 중) 제출로 변함이 없다.

―전체 소송 규모가 7억 달러(약 1조 원)라고 해도, 전체 피해자 3000만 명으로 나누면 1인당 2만~3만 원 수준에 불과하다. 실질적인 피해 회복이 가능한가.
▶그렇지 않다. 미국 집단소송의 합의금(Settlement)은 전체 피해자가 아닌, 실제 소송에 참여한 원고(Class members)들을 대상으로 산정되고 분배되는 것이 일반적이다. 따라서 소송에 참여하지 않은 사람과 참여한 사람이 받는 금액은 다르다. 과거 AT&T 등 유사한 정보 유출 사건 당시 1인당 60만 원 정도의 배상금을 받았던 것으로 기억한다. 물론 이번 사건의 경우, 피해 규모나 원고 수가 아직 확정되지 않았으므로 예상 배상액을 현재 구체적으로 말하긴 어렵지만, 한국 소송에서 받을 수 있는 일반적인 배상액보다는 높을 것이라고 예상한다.

―미국 본사가 한국 서버에 접근 가능하다는 사실이 확인되었는가.
▶자체 리서치를 통해 델라웨어 법인(본사)이 한국 시스템을 관리하고 있다는 정황은 파악했다. 하지만 이에 대한 결정적인 물증(서버 로그 등)을 확보하기 위해서는 법원의 디스커버리(Discovery) 절차가 반드시 필요하다. 우리가 소송을 제기하는 이유도 바로 이것이다. 소송이 개시되어야 법적 강제력을 통해 본사의 관리 책임을 입증할 내부 자료를 확보할 수 있다.

―미국 법원이 관할권을 갖는다고 판단하는 핵심 근거는 무엇인가.
▶사건의 '초국경적(Multinational)' 성격 때문이다. 본사는 미국(델라웨어), 플랫폼 서비스는 한국, 그리고 보안 개발 업체는 중국(상하이)에 위치해 있다. 이처럼 가해 주체와 피해자, 관리 시스템이 여러 국가에 걸쳐 있는 '국경 없는' 데이터 침해 사건이기 때문에, 특정 지역 법원이 아닌 미 연방 법원이 이를 포괄적으로 다루는 것이 타당하다.

―소장에 명시될 구체적인 혐의(Cause of Action)는 무엇인가.
▶크게 △데이터 유출(Data Breach) △소비자 보호법 위반(Consumer Protection) △보안 의무 위반(Security Duty) 3가지다. 주주들의 공시 의무 위반(증권법) 이슈도 존재하지만, 우선은 피해자 보호에 집중하기 위해 소비자 관련 혐의를 우선 적용하고, 향후 소송 진행 과정에서 혐의를 추가하거나 병합(Multi district litigation)하는 전략을 취할 예정이다.

류정민 특파원 (ryupd01@news1.kr)

[기사전문보기]
[문답]"쿠팡 한국 피해자 별도 비용 없이 美소송 병행 가능" (바로가기)