[비즈니스포스트] 소비자분쟁조정위원회가 쿠팡 개인정보 유출 피해자에게 1인당 10만 원을 배상하라는 조정 결정을 내렸다.

소비자분쟁조정위원회는 31일 쿠팡 개인정보 유출 관련 집단분쟁조정 사건에서 신청인 50명에게 현금 10만 원 또는 쿠팡에서 현금처럼 쓸 수 있는 쿠팡캐시 10만 원을 지급하도록 결정했다고 밝혔다. 
 
쿠팡의 개인정보 유출에 따른 손해배상 책임을 인정한 첫 사례다. 

위원회는 쿠팡 회원의 이름과 이메일, 주소뿐 아니라 공동현관 비밀번호와 주문내역 등 사생활 관련 정보까지 유출됐다는 점을 판단 근거로 들었다.

해커가 2025년 4월부터 11월까지 상당 기간 정보를 빼낸 뒤 일부 고객에게 유출 사실 관련 이메일을 직접 보내는 등 실제 악용 가능성이 드러났다는 점도 고려했다.

쿠팡은 유출된 개인정보와 범행에 사용된 기기를 회수해 추가 유출 가능성이 없다고 주장했지만 위원회는 이를 단정하기 어렵다고 판단했다.

위원회는 대규모 개인정보 유출 사건에서 법원이 통상 10만 원 범위에서 배상액을 결정해온 점과 유출 정보의 성격 등을 고려해 배상액을 정했다.

당사자는 결정서를 받은 날부터 15일 안에 조정안 수락 여부를 위원회에 알려야 한다. 쿠팡과 신청인들이 모두 조정 결정을 수락하면 재판상 화해와 같은 효력이 발생한다.

위원회는 쿠팡이 조정 결정을 수락하면 이번 절차에 참여하지 않은 피해자에게도 같은 보상이 이뤄질 수 있도록 보상계획서 제출 등 후속 절차를 진행할 예정이다.

쿠팡 개인정보 유출 사고는 2025년 11월19일 4536개 회원 계정의 고객 이름과 이메일, 주소 등이 유출된 사실이 확인되면서 처음 알려졌다. 그러나 후속 조사에서 유출 계정이 3370만 개로 늘어나면서 대규모 개인정보 침해사고로 번졌다.

정부는 2025년 11월30일 과학기술정보통신부 주관 민관합동조사단을 꾸려 유출 경위와 피해 범위를 조사했다. 피해 규모가 커지자 소비자 50명은 2025년 12월8일 쿠팡에 손해배상을 요구하는 집단분쟁조정을 신청했다.

쿠팡은 2026년 1월15일 이용자들에게 모두 5만 원 상당의 구매 이용권을 제공하는 자체 보상안을 내놨다. 

쿠팡과 쿠팡이츠 구매 이용권 각각 5천 원, 쿠팡트래블과 알럭스 구매 이용권 각각 2만 원으로 나눠 지급하는 방식이었다. 쿠팡트래블은 여행상품 예약 서비스, 알럭스는 명품·뷰티 전문관이다.

쿠팡은 2월5일 기존에 파악한 계정 말고도 16만5455개 계정의 배송지 정보가 추가로 유출됐다고 밝혔다. 소비자분쟁조정위원회는 피해 범위가 다시 확대되자 추가 사실관계를 확인하기 위해 집단분쟁조정 절차 개시를 미뤘다.

민관합동조사단은 2월10일 쿠팡 이용자 정보 약 3367만 건이 유출됐다고 발표했다. 개인정보보호위원회의 후속 조사에서는 회원뿐 아니라 비회원의 개인정보까지 유출된 것으로 파악됐다.

개인정보보호위원회는 6월11일 쿠팡 회원과 비회원의 개인정보 모두 3756만여 건이 유출됐다고 발표했다. 회원 개인정보는 3322만2472명분, 비회원 개인정보는 최소 433만8368명분이었다.

유출 정보에는 이름과 이메일, 휴대전화번호, 주소뿐 아니라 공동현관 비밀번호와 주문일, 상품명, 수량, 가격 등 주문내역이 포함됐다. 개인정보보호위원회는 쿠팡이 개인정보보호법상 안전조치와 유출 통지, 개인정보 파기 의무 등을 위반했다고 판단했다. 조성근 기자