쿠팡발 한미 갈등, '법적 잣대'의 간극부터 좁혀야 한다

쿠팡과 쿠팡이츠, 쿠팡플레이 앱에서 9일 자정께부터 접속 오류가 발생해 이용자들이 불편을 겪은 가운데 이날 서울 광진구 쿠팡 본사의 모습. 접속 오류는 같은 날 오전 2시30분께 해결됐다. 쿠팡은 홈페이지 등을 통해 "서비스 업그레이드 과정에서 쿠팡 전반적인 서비스에 일시적인 오류가 발생했으나 이를 해소해 정상적으로 이용이 가능하다"고 공지했다. 연합뉴스

지난해 11월 알려진 쿠팡 개인정보 유출 사고의 여파가 1년 가까이 이어지고 있다. 개인정보보호위원회는 지난 6월 쿠팡에 총 6천246억원의 과징금을 부과했고, 쿠팡은 이달 7일 서울행정법원에 취소소송을 냈다. 공정거래위원회와 고용노동부 등 여러 부처의 조사도 진행 중이다. 사안은 한 기업의 제재를 넘어 한미 통상 현안으로 번지고 있다.

이 중심에는 양국 당국의 현저한 인식차가 자리 잡고 있다. 한국 당국은 "법에 근거해 집행했을 뿐 미국 기업이라고 해서 차별한 바가 없다"는 입장을 고수하고 있다. 반면 미국 하원 법사위원회는 지난 7월 보고서에서 한국 정부가 쿠팡 등 미국 기업을 차별해 왔다고 주장했다.

양측의 간극 한가운데에는 '유출'을 어떻게 정의하느냐는 질문이 놓여 있다.

한국 정부는 개인정보가 처리자의 관리·통제권을 벗어나 제3자가 내용을 알 수 있는 상태가 되면 저장 여부와 무관하게 유출로 해석한다. 이 해석에 따라 정부 조사단은 3천367만여 건, 개인정보위는 3천756만명 이상의 유출을 확인했다고 밝혔다.

반면 쿠팡은 전직 직원이 3천300만 계정에 접근한 것은 맞지만 실제 저장한 것은 약 3천개 계정이고, 이를 삭제했으며 외부 전송은 없었다고 반박했다. 쿠팡은 미국 증권거래위원회(SEC)에도 같은 취지로 공시했다.

실제 미국의 경우 연방 차원의 통일된 기준 없이 주(州)마다 개인정보 유출에 대한 법이 다르다. 무단 접근만으로는 개인정보가 유출됐다고 판단하지 않는 곳도 있다. 캘리포니아와 워싱턴 등은 무단 접근이 아닌 취득을 기준으로 삼는다. 일부 주는 신분도용 위험 같은 피해 가능성을 추가로 따지기도 한다.

쿠팡의 사례를 보면, 이번 사건에서 중국인 용의자가 실제로 저장장치에 담아간 정보는 3천여 건으로 확인된다. 쿠팡 측은 이마저도 안전하게 회수됐으며, 그 외의 추가적인 유출은 없었다고 설명한다. 실제로 외부로 유출된 데이터가 없다는 점에서, 대규모 개인정보가 외부로 유출된 타 기업의 사례와는 본질적인 차이가 있다는 주장이다.

미국법의 기준으로 보면 이번 사태는 유출 사고로 규정하기 어렵다. 이 때문에 쿠팡은 미국 증권 당국에 '3천여 건이 유출됐다가 회수됐다'고 신고했다. 즉, 미국에서는 미국법에 따라, 한국에서는 한국법에 따라 각각 신고와 대응을 진행한 것뿐이다. 그러나 국내에서는 이를 두고 '고의로 유출 규모를 축소했다'는 비판이 가라앉지 않고 있다.

결국 양국 법제도의 차이에 대한 깊이 있는 이해가 선행되지 않는다면, 꼬일 대로 꼬인 쿠팡발 한미 갈등의 실마리를 풀기 어렵다. 사법 주권의 엄중함과 글로벌 스탠다드 사이의 접점을 찾기 위한 정교한 접근이 필요한 시점이다.