쿠팡 개인정보 10만 원 배상 거부: 끝난 조정과 아직 남은 조정

쿠팡이 개인정보 유출 피해자에게 1인당 10만 원을 배상하라는 조정안을 받지 않겠다고 9월 11일 서면으로 통보했습니다. 이 결정으로 배상이 무산된 사람은 3,700만 명이 아니라 50명입니다. 그 조정을 신청한 사람이 50명이었기 때문입니다.

정보가 털린 사람은 그보다 훨씬 많은데 뉴스가 50명 이야기로 끝나는 이유, 그리고 지금도 결과를 기다리는 14만 5,653명짜리 사건이 따로 있다는 사실이 이 소식의 핵심입니다. 쿠팡을 상대로 한 조정은 처음부터 두 곳에서 따로 돌아갔고, 이번에 끝난 것은 그중 하나뿐입니다.

같은 사건인데 조정 창구가 두 곳입니다

기관 이름이 비슷해서 헷갈리기 쉽습니다. 하나는 한국소비자원에 있는 소비자분쟁조정위원회이고, 다른 하나는 개인정보보호위원회에 있는 개인정보 분쟁조정위원회입니다. 근거 법도 다르고, 신청 시기도 신청 인원도 다릅니다.

	소비자분쟁조정위원회 (한국소비자원)	개인정보 분쟁조정위원회 (개인정보보호위원회)
신청 인원	50명	14만 5,653명
신청 시기	2025년 12월 8일	2025년 12월 11일·23일, 2026년 6월 12~26일 추가 모집
진행 상황	2026년 7월 22일 1인당 10만 원 결정 → 쿠팡 거부로 종료	2026년 8월 18일 처리기간 연장 공고 → 결과 대기
근거	소비자기본법	개인정보 보호법

이번에 쿠팡이 거부한 것은 소비자원 쪽입니다. 소비자원은 7월 31일 배포한 보도자료에서, 이름·이메일·주소 같은 일반적인 정보뿐 아니라 공동현관 비밀번호와 주문내역처럼 사생활과 밀접한 정보가 유출됐고 해커가 2025년 4월경부터 11월경까지 상당한 기간 정보를 빼냈다는 점을 들어 위자료 배상 책임을 인정했습니다. 신청인이 원하면 현금 대신 쿠팡캐시로 받을 수 있게 한 것도 이 결정입니다.

개인정보 분쟁조정위원회 쪽은 규모가 전혀 다릅니다. 이 위원회는 처음 1,676명의 신청을 받아 두었다가 정부 조사를 이유로 2026년 2월 9일 절차를 멈췄고, 제재가 확정된 뒤인 6월 12일에 두 사건을 합쳐 재개하면서 6월 26일까지 추가 참가 신청을 받았습니다. 그 결과 개인 977명, 집단 14만 4,676명을 더해 모두 14만 5,653명이 됐습니다. 개인정보 집단분쟁조정 제도에서 역대 최대 규모입니다.

10만 원이 나머지 사람에게도 갈 수 있었던 길

신청인이 50명뿐인 조정 결과가 왜 큰 뉴스가 됐을까요. 집단분쟁조정에는 신청하지 않은 피해자까지 끌어오는 장치가 하나 있기 때문입니다.

소비자기본법 제68조 제5항은 사업자가 집단분쟁조정을 수락한 경우, 조정 당사자가 아닌 피해 소비자에 대한 보상계획서를 내도록 조정위원회가 권고할 수 있게 하고 있습니다. 소비자원도 보도자료에 쿠팡이 결정을 수락하면 조정에 참여하지 않은 피해자에게도 같은 보상이 이뤄지도록 관련 절차를 진행하겠다고 적었습니다. 개인정보 보호법 제49조 제5항에도 같은 장치가 있습니다.

조건은 하나, 사업자가 수락해야 한다는 것입니다. 수락 여부는 통지받은 날부터 15일 안에 답해야 하고, 그 기간에 아무 말이 없으면 수락한 것으로 봅니다. 쿠팡은 침묵이 아니라 서면으로 거부했습니다. 보상계획서 단계로 넘어갈 여지가 이 지점에서 닫힌 것이고, 그래서 50명짜리 사건의 결말이 나머지 사람에게도 의미가 있었던 것입니다.

같은 장치가 개인정보 분쟁조정위원회 사건에도 남아 있습니다. 조정안이 나오고 쿠팡이 그것을 수락하면 14만 명 너머로 확대될 수 있고, 거부하면 거기서도 끝납니다.

1조 6,850억 원은 현금이 아닙니다

쿠팡은 거부 이유를 밝히면서 1조 6,850억 원 규모의 자발적 보상안을 이행해 왔다고 설명했습니다. 조정안의 10만 원보다 훨씬 큰 숫자로 보입니다. 그런데 이 보상안의 실체는 2026년 1월 15일 이용자에게 지급한 5만 원 상당의 구매 이용권입니다.

쿠팡 전 상품	5,000원
쿠팡이츠	5,000원
쿠팡트래블	20,000원
알럭스(R.LUX)	20,000원
합계	50,000원

계정 3,370만 개에 5만 원을 곱하면 1조 6,850억 원이 나옵니다. 발표된 총액과 정확히 맞아떨어지는 숫자입니다. 즉 이 금액은 지급된 현금이 아니라 쿠폰의 액면가를 모두 더한 값입니다.

쿠팡트래블에서 여행을 예약할 생각이 없는 사람에게 2만 원 할인권은 받은 돈이 아니고, 알럭스에서 살 물건이 없는 사람에게 나머지 2만 원도 마찬가지입니다. 실제로 소비자분쟁조정위원회는 배상액을 10만 원으로 정하면서, 쿠팡이 이 보상안을 신청인들이 얼마나 썼는지에 관한 자료를 내지 않은 점을 판단 근거의 하나로 들었습니다. 액면가와 실제 수령액은 다른 문제라는 뜻입니다.

과징금 6,246억 원은 피해자 몫이 아닙니다

개인정보보호위원회는 6월 11일 제재처분을 발표하면서 쿠팡에 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과했습니다. 단일 개인정보 유출 사고에 내린 과징금으로는 역대 최대입니다. 인증 서명키 관리와 접근통제가 소홀했고, 그 결과 약 3,755만 명의 정보가 유출됐다는 결론이었습니다. 유출 통지 의무와 파기 의무 위반, 조사 방해도 함께 인정됐습니다.

여기서 오해가 자주 생깁니다. 과징금과 과태료는 국고로 들어갑니다. 피해자에게 나눠 주는 돈이 아닙니다. 회사가 국가에 내는 제재와, 개인이 회사에서 받아내는 손해배상은 서로 다른 절차이고 서로를 대신하지 않습니다. 6,246억 원이 부과됐다는 소식과 내 통장에 들어올 금액 사이에는 아무 연결이 없습니다.

같은 발표에서 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만 명의 온라인 활동기록을 법적 근거 없이 수집해 저장한 사실도 확인됐습니다. 해킹과 별개의 위반입니다.

지금 열려 있는 문과 이미 닫힌 문

집단분쟁조정에 참가하는 문은 닫혔습니다. 추가 참가 접수는 6월 26일 자정에 끝났고, 지금 신청해도 그 사건의 당사자가 되지 않습니다. 결과를 기다리는 14만 5,653명은 그 전에 접수를 마친 사람들입니다.

대신 개인정보 분쟁조정을 개인 자격으로 신청하는 길은 상시 열려 있습니다. 위원회는 이 제도를 비용과 시간이 많이 드는 소송의 대안으로 설명합니다. 쿠팡 유출로 신청된 개인 사건 977건은 집단 사건과 함께 병합 처리하기로 했으므로, 지금 새로 넣는 신청이 어떻게 다뤄질지는 위원회 판단에 달려 있습니다. 진행 상황은 분쟁조정위원회 공지사항에 올라옵니다.

조정 밖의 선택지는 민사소송입니다. 개인정보 유출 소송에는 일반 손해배상보다 유리한 장치가 두 가지 있습니다.

입증책임이 뒤집힙니다. 개인정보 보호법 제39조 제1항은 개인정보처리자가 고의 또는 과실이 없음을 스스로 입증하지 못하면 책임을 면할 수 없다고 정합니다. 피해자가 회사의 잘못을 증명해야 하는 구조가 아닙니다.
손해액을 증명하지 않아도 됩니다. 같은 법 제39조의2는 300만 원 이하 범위에서 법정손해배상을 청구할 수 있게 하고, 법원이 변론 전체의 취지와 증거조사 결과를 고려해 상당한 금액을 인정하도록 하고 있습니다. 이미 일반 손해배상을 청구한 사람도 사실심 변론이 끝나기 전까지 이 청구로 바꿀 수 있습니다.

반면 시민단체가 제기하는 단체소송은 돈을 받아내는 절차가 아닙니다. 제51조는 사업자가 집단분쟁조정을 거부하거나 결과를 수락하지 않은 경우 단체가 소송을 낼 수 있게 하는데, 청구할 수 있는 것은 권리침해 행위의 금지·중지뿐입니다. 이름이 비슷한 집단소송과 혼동하기 쉬운 지점입니다.

기한도 봐 두는 편이 좋습니다. 민법 제766조는 불법행위 손해배상 청구권을 손해와 가해자를 안 날부터 3년, 불법행위를 한 날부터 10년으로 제한합니다. 유출 사실을 알게 된 때를 2025년 11월 말 통지 시점으로 본다면 3년은 2028년 말입니다. 다만 기산점을 언제로 잡을지는 사건마다 다툼이 있는 부분이라, 소송을 생각한다면 조정 결과를 무한정 기다릴 일은 아닙니다.

SK텔레콤 때는 30만 원 조정안도 무산됐습니다

남은 조정에 기대를 걸기 전에 비교해 볼 사례가 있습니다. 2025년 유심 정보가 유출된 SK텔레콤 사건에서 개인정보 분쟁조정위원회는 신청인 3,998명에게 1인당 30만 원을 배상하라는 조정안을 냈고, SK텔레콤은 이를 받지 않았습니다. 조정은 성립하지 않았고 신청인들은 소송으로 옮겨 갔습니다.

조정은 재판이 아닙니다. 양쪽이 모두 수락해야 성립하고, 성립하면 재판상 화해와 같은 효력을 갖지만 한쪽이 거부하면 그것으로 끝납니다. 조정위원회에는 회사에 이행을 강제할 권한이 없습니다. 이번 쿠팡 사건에서 소비자원 결정이 그대로 무산된 것도 같은 구조 때문입니다.

그래서 남은 사건의 관전 포인트는 조정안 금액이 아니라 쿠팡이 그것을 받을지 여부입니다. 14만 5,653명에게 10만 원씩이면 약 146억 원이지만, 보상계획서로 3,700만 명까지 확대되면 3조 7천억 원대가 됩니다. 수락 여부를 정하는 회사가 보는 숫자는 뒤쪽입니다.

정리하면

내 정보가 유출됐다고 해서 지금 어딘가에 신청하면 10만 원이 나오는 상태는 아닙니다. 그런 결과가 만들어질 수 있었던 경로는 쿠팡의 수락을 전제로 했고, 소비자원 쪽에서는 그 전제가 깨졌습니다.

남은 것은 개인정보 분쟁조정위원회의 결정과, 각자 판단으로 가는 민사소송입니다. 앞의 것은 이미 신청을 마친 14만여 명에게 해당하고, 결과를 기다리는 데 드는 비용은 없습니다. 뒤의 것은 소송비용과 시간을 들여야 하지만 회사가 수락하느냐에 결과가 걸려 있지 않습니다. 3년이라는 기한을 머리에 두고, 조정 결과를 본 다음 소송 여부를 정하는 순서가 무난합니다.

이 블로그 검색