소비자분쟁조정위원회가 쿠팡의 대규모 개인정보 유출 사고와 관련해 회사의 손해배상 책임을 인정하고 피해 신청인들에게 1인당 10만 원을 배상하도록 결정했다.

이번 결정은 쿠팡 개인정보 유출 사건에서 처음으로 손해배상 책임을 공식 인정한 사례로, 향후 집단 피해 보상과 개인정보 보호 분쟁의 기준이 될 수 있다는 평가가 나온다.

▲ 쿠팡 개인정보 유출 첫 손해배상 책임 인정

소비자분쟁조정위원회는 31일 쿠팡 개인정보 유출 집단분쟁조정 사건에서 쿠팡이 신청인들에게 현금 10만 원 또는 쿠팡캐시 10만 원을 지급하도록 결정했다고 밝혔다.

위원회는 이번 사건이 쿠팡의 개인정보 유출에 대해 손해배상 책임을 처음으로 인정한 사례라고 설명했다.

▲ 공동현관 비밀번호·주문내역까지 유출

위원회는 이번 사고에서 이름과 이메일, 주소 등 일반적인 개인정보뿐 아니라 공동현관 비밀번호와 주문내역 등 개인의 사생활과 밀접한 정보까지 유출됐다는 점을 중요하게 판단했다.

또 해커가 장기간에 걸쳐 정보를 유출했으며 일부 고객에게 직접 유출 사실을 알리는 이메일을 발송하는 등 실제 악용 가능성도 확인됐다고 설명했다.

위원회는 쿠팡이 추가 유출 가능성이 없다고 주장했지만 이를 단정하기는 어렵다고 판단했다.

▲ 정신적 피해에 대한 위자료 인정

위원회는 개인정보 유출로 인해 소비자들이 정신적 고통을 겪었다고 판단했다.

평소 다양한 방식으로 쿠팡 서비스를 이용하던 소비자들이 개인정보 유출로 불안과 피해 우려를 겪은 만큼 위자료를 지급할 책임이 있다고 결정했다.

쿠팡 본사▲ 쿠팡 본사 [연합뉴스 제공]

▲ 1인당 현금 또는 쿠팡캐시 10만 원 지급

손해배상 규모는 신청인 1인당 10만 원으로 결정됐다.

위원회는 기존 대규모 개인정보 유출 사건에서 법원이 통상 10만 원 수준의 배상액을 인정한 점과 유출된 정보의 민감성, 개인정보 악용 가능성 등을 종합적으로 고려했다고 설명했다.

신청인이 원할 경우 현금 대신 쿠팡캐시 10만 원으로도 지급받을 수 있도록 했다.

▲ 쿠팡 자체 보상은 별도 고려

위원회는 쿠팡이 올해 1월 이용자들에게 총 5만 원 상당의 구매 이용권을 지급하는 자체 보상안을 시행했지만, 신청인들의 실제 사용 현황이 제출되지 않은 점도 판단 요소 가운데 하나였다고 밝혔다.

이에 따라 별도의 위자료 지급이 필요하다고 판단했다.

▲ 조정 수락하면 재판상 화해 효력

조정 결정은 당사자들이 결정서를 받은 날부터 15일 이내 수락 여부를 통보해야 한다.

양측이 수락하거나 별도의 거부 의사를 밝히지 않을 경우 재판상 화해와 동일한 효력이 발생한다.

위원회는 쿠팡이 이번 조정을 수락하면 조정 절차에 참여하지 않은 다른 피해자들에게도 동일한 보상이 이뤄질 수 있도록 보상계획서 제출 절차를 진행할 예정이라고 밝혔다.

▲ 피해 규모 3,700만 건 넘어

사건 조사 결과에 따르면 쿠팡은 2025년 11월 최초로 개인정보 유출 사실을 확인했으며, 이후 조사 과정에서 유출 규모가 지속적으로 확대됐다.

개인정보보호위원회는 올해 6월 회원과 비회원을 포함해 총 3,756만여 건의 개인정보가 유출된 것으로 확인했다고 발표했다.

유출된 정보에는 회원 이름과 이메일뿐 아니라 배송지 주소, 전화번호, 공동현관 비밀번호, 주문일과 상품명, 구매 수량 및 가격 등 민감한 정보가 포함됐다.

또 개인정보보호위원회는 쿠팡이 개인정보보호법상 안전조치 의무와 개인정보 유출 통지 의무, 개인정보 파기 의무 등을 위반했다고 판단했다.

위원회는 이번 조정에서 기존 개인정보 유출 관련 법원 판례와 함께 쿠팡 서비스의 특성, 이용자들의 신뢰 수준 등을 종합적으로 고려했다고 설명했다.

특히 유출 규모가 3,700만 건을 넘고 배송 관련 정보까지 포함된 점을 감안해 소비자 피해 회복이 필요하다고 판단했다.