쿠팡, 개인정보 유출 피해자에 1인당 10만 원 배상하라

쿠팡의 대규모 개인정보 유출 사고와 관련해 한국소비자원 소비자분쟁조정위원회가 쿠팡 측의 손해배상 책임을 인정하고 피해 소비자들에게 1인당 10만 원을 배상하라는 조정을 결정했다. 이는 쿠팡의 개인정보 유출 사고에 대해 법적 손해배상 책임을 인정한 첫 번째 분쟁조정 사례다.

소비자분쟁조정위원회(위원장 한용호)는 쿠팡 주식회사의 개인정보 유출로 인한 집단분쟁조정 사건에 대해 "쿠팡은 신청인 1인당 현금 10만 원 또는 쿠팡캐시 10만 원을 지급하라"고 결정했다고 발표했다.

조정위원회는 배상 책임 성립의 근거로 유출된 정보의 민감성과 실제 악용 위험성을 지목했다. 회원의 성명, 이메일, 주소 등 일반 정보뿐만 아니라 공동현관 비밀번호, 상세 주문내역 등 개인의 사생활과 밀접한 정보가 다수 포함된 점이 중점적으로 고려됐다. 또한 2025년 4월부터 11월까지 약 7개월간 장기간에 걸쳐 정보가 유출되었고, 해커가 일부 고객에게 유출 관련 메일을 직접 발송하는 등 구체적인 악용 가능성이 확인된 점도 판단 기준이 됐다.

쿠팡 측은 유출된 개인정보 및 범행에 사용된 기기 일체를 회수해 추가 유출 가능성이 없다고 주장했으나, 위원회는 이를 단정하기 어렵다고 보았다. 이에 따라 일상생활에서 쿠팡을 이용하던 소비자들이 느낀 정신적 고통에 대한 위자료 배상 책임이 쿠팡에 있다고 결론지었다.

배상액 10만 원은 대규모 개인정보 유출 사건에 대한 기존 법원의 판례 기준을 바탕으로 산정됐다. 위원회는 유출 정보의 악용 소지가 높다는 점과 더불어, 쿠팡이 이전에 자체적으로 제시했던 보상안(총 5만 원 상당 구매 이용권)에 대해 신청인들의 실제 사용 현황 자료를 제출하지 않은 점 등을 종합적으로 참작했다. 지급 방식은 수용률을 높이기 위해 신청인이 선택하는 바에 따라 현금 또는 온라인 쇼핑몰에서 사용할 수 있는 '쿠팡캐시'로 지급받을 수 있도록 했다.

이번 사건은 2025년 11월 쿠팡이 최초 4,536개 회원 계정의 정보 유출을 확인하고 한국인터넷진흥원(KISA)에 신고하면서 시작됐다. 이후 정부 합동 조사 및 개인정보보호위원회의 최종 조사 결과, 유출된 개인정보는 회원 계정 기준 3,322만 2,472명, 비회원 휴대전화번호 기준 최소 433만 8,368명 등 총 3,756만여 건에 달하는 것으로 집계됐다. 개인정보위는 쿠팡이 「개인정보보호법」상 안전조치 의무, 유출통지 의무, 파기 의무 등을 위반한 것으로 판단했다.

분쟁조정 당사자인 신청인(50명)과 쿠팡은 조정결정서를 통지받은 날로부터 15일 이내에 수락 여부를 위원회에 통보해야 한다. 기간 내 별도의 의사표시를 하지 않으면 수락한 것으로 간주되며, 양당사자가 이를 수락하면 「소비자기본법」 제67조에 따라 법원의 확정판결과 동일한 '재판상 화해'의 효력이 발생한다.

소비자분쟁조정위원회는 쿠팡이 이번 조정결정을 수락할 경우, 「소비자기본법」 제68조에 따라 집단분쟁조정에 직접 참여하지 않은 피해 소비자들에게도 동일한 보상이 이루어지도록 보상계획서 제출을 권고할 예정이다.