왜 서울이 아닌 뉴욕인가…쿠팡 소송, 징벌을 넘어 '디지털 책무'를 묻다

3,300만 정보 유출 사태…한국 소비자를 위한 '서브클래스' 전략의 의미

최근 3,300만명의 개인정보가 유출된 쿠팡(Coupang, Inc.) 사태를 두고 법조계 안팎의 논의가 뜨겁다. 대다수가 국내 소송을 준비하는 상황에서, 필자가 속한 로펌 SJKP, LLP(법무법인 대륜의 미국 협력사)가 미국 뉴욕 동부 연방지방법원(EDNY)에 소장을 제출한 것에 대해 의문을 표하는 시선도 적지 않다. "매출 대부분이 한국에서 발생하는 기업을 상대로, 왜 굳이 절차가 까다로운 미국 법원을 택했는가?"라는 질문이다.

해당 질문에 대한 답은 명확하다. 이번 소송의 핵심은 쿠팡 미국 본사(Inc.)에 사태의 본질적 책임을 묻고, 실질적인 재발 방지 시스템 구축을 강제하는 데 있다. 그리고 이를 실현할 최적의 사법 전장이 바로 미국이라는 것이 SJKP의 판단이다. 이는 단순히 미국 소송 절차의 우월성을 주장하려는 것이 아니다. 국경을 초월한 데이터 침해 사고에서 피해자들에게 가장 실질적인 구제 수단을 제시하고자 치열하게 법리를 고민한 결과다.

이번 소송이 국내 소송과 가장 차별화되는 지점은 '피고 적격성'의 확장이다. 소장에는 쿠팡 법인뿐만 아니라 김범석 의장이 공동 피고로 명시됐다. 이는 단순히 기업 대표라는 지위에 기댄 상징적인 선택이 아니다. 미국 법령상 기업이 위반 행위가 경영진의 직접적인 관여나 승인, 혹은 중대한 관리 소홀로 발생한 경우 해당 임원은 법인과 별도로 책임을 질 수도 있다. SJKP는 김범석 의장이 보안 정책과 예산에 대한 최종 결정권자로서 이번 '내부 통제 실패'에 대한 실질적인 책임을 져야 한다고 봤다.

나아가 뉴욕주 회사법(N.Y. GBL) 제349조 위반 소지 또한 명백하다. 해당 조항은 소비자를 기만하는 행위나 관행을 엄격히 금지하고 있다. 쿠팡은 그간 대외적으로 "충분한 보안 시스템을 갖추고 있다"는 인상을 지속적으로 주면서, 실상은 이에 미치지 못하는 허술한 보안 체계를 운영하며 소비자를 오인하게 했다. 이러한 '기만적 관행'에 대한 최종 책임의 화살은 정책 방향을 총괄한 김범석 의장에게 향할 수밖에 없다.

또한 미국 민사소송의 핵심인 '디스커버리(증거개시)' 제도를 적극 활용해 이번 사태의 근본 원인인 거버넌스 실패를 규명할 계획이다. 피해자 입증이 어려운 국내와 달리, 미국 법정에서는 내부 이메일이나 의사결정 회의록 등 결정적 증거를 강제로 확보할 수 있기 때문이다. SJKP는 이를 통해 김범석 의장과 본사가 보안 취약성을 인지하고도 수익성을 이유로 개선을 묵인했는지 여부를 철저히 밝혀낼 것이다. 이는 단순한 데이터 유출을 넘어 최고 의사결정 체계의 책무 방기인 '거버넌스 붕괴'를 입증하고, 엄중한 법적 책임을 묻는 강력한 동력이 될 것이다.

일각에서는 500만달러(한화 약 73억원) 이상의 손해배상 청구액에 주목하지만, 법률 전문가로서 주목해야 할 이번 소송의 진정한 가치는 '형평적 피해배상'에 있다. 사후적 금전 배상에 그치는 경우가 많은 국내 민사소송과 달리, 미국 법원은 판결을 통해 기업의 행위가 위법함을 공식 확정하는 '선언적 구제(Declaratory Relief)'와 구체적 행위를 강제하는 금지명령 구제(Injunctive Relief)'를 내릴 수 있다.

아울러 SJKP는 쿠팡이 최상의 보안 시스템을 구축하고 다중 인증 시스템을 의무화하도록 명령해 줄 것을 법원에 청구했다. 이는 단순한 합의를 넘어, 기업의 보안 거버넌스를 강제로 재편하여 제2의 유출 사태를 원천 봉쇄하겠다는 의지다. 또한 신원 도용에 취약한 미성년자나 노인 계층에 대한 강화된 모니터링 서비스를 요구하는 등 '체계적 변화'를 이끌어내는 데 목적이 있다.

미국 법원을 선택한 또 하나의 결정적 이유는 '집단(Class)'의 구성 전략에 있다. 이번 소송은 뉴욕 거주자를 대표 원고로 하되, 한국에 거주하는 피해자들을 '서브클래스(Subclass)'로 설정했다. 서브클래스란 전체 집단 내에서 거주지나 법적 쟁점이 다른 그룹을 별도로 분류하여 보호하는 장치다. 이 구조를 통해 한국 소비자들은 미국 법원의 승소 판결에 따른 효력을 동일하게 누릴 수 있으며, 보안 강화 명령의 혜택 역시 국경을 넘어 한국의 사용자들에게까지 확장될 것이다.

결국 SJKP가 미국 법원으로 향한 이유는 명확하다. 이번 소송은 단순한 배상금 다툼이 아니라, 글로벌 기준에 부합하는 기업의 '데이터 보안 책무'를 확립하기 위한 투쟁이다. 이번 소송이 글로벌 기업의 책임 회피를 막고, 국경을 초월해 소비자의 권리가 온전히 보호받는 새로운 디지털 정의의 이정표가 될 것으로 확신한다.

중소기업팀

[기사전문보기]
왜 서울이 아닌 뉴욕인가…쿠팡 소송, 징벌을 넘어 '디지털 책무'를 묻다 (바로가기)