[뉴스스페이스=김정영 기자] 쿠팡 개인정보 유출 사건이 미국 의회의 ‘한국 규제 차별’ 공세와 한국 정부의 ‘소비자 보호를 위한 적법 집행’ 반박이 맞부딪히는 한미 통상 현안으로 비화하고 있다. 미국 CNBC는 8월 31일(현지시간) 미국 의회와 백악관 주변에서 쿠팡 사안을 이유로 한국에 대한 추가 관세, 무역법 301조 조사, 나아가 제재 가능성까지 거론되고 있다고 보도했다.

 

그러나 현재까지 미 무역대표부(USTR)가 한국을 대상으로 쿠팡 사안에 관한 공식 301조 조사를 개시했다는 발표는 없으며, 제재 또는 추가 관세가 결정된 상태도 아니다.

 

이번 갈등의 출발점은 지난해 11월 공개된 쿠팡 고객정보 유출이다. 한국 개인정보보호위원회는 쿠팡 및 쿠팡풀필먼트서비스에 대해 총 6246억8100만원, 통상적으로 약 6250억원 규모의 과징금을 부과했다. 이는 국내 개인정보보호 제재 가운데 역대 최대 수준이다. 개인정보보호위원회 조사 결과를 인용한 AP통신 보도에 따르면 유출·노출된 개인정보는 3755만명 규모이며, 이 가운데 쿠팡 고객은 3300만명 이상으로 집계됐다. 이름·이메일 주소뿐 아니라 제3자의 이름·전화번호·주소 등이 포함된 것으로 알려졌다.

 

한국 당국의 판단은 사건의 규모와 보안 관리 실패에 방점이 찍혀 있다. AP통신은 "개인정보보호위원회가 쿠팡이 법정 기한인 72시간 내에 유출 사실을 신고하지 못했고, 고도화된 해킹이 아니라 기본 보안조치로도 방지할 수 있었던 사고라고 판단했다"고 전했다. 전직 직원이 탈취한 보안키를 이용해 고객 계정에 무단 접근했고, 퇴사 이후에도 접근이 가능하도록 방치됐다는 것이 한국 규제당국의 조사 취지다.

 

반면 미국 하원 법사위원회 공화당 소속 조사팀은 지난 7월 1일 발표한 35쪽 분량의 중간보고서에서 한국 정부가 쿠팡을 상대로 ‘전 정부적 공격(whole-of-government assault)’을 벌였다고 주장했다. 보고서는 10개가 넘는 한국 정부 기관이 쿠팡을 상대로 다수의 조사를 진행했고, 4000건 이상의 자료 제출 요구와 최소 652회의 임직원 인터뷰가 이뤄졌다고 적시했다.

 

또 국가정보원이 중국 내 전직 직원이 보유한 기기와 진술서 회수를 위해 쿠팡 측에 인력을 보내도록 강제했고, 이후 그 관여 사실을 부인했다고 주장했다.

 

한국 정부는 이 보고서의 전제를 정면으로 부인했다. 외교부는 보고서가 쿠팡 측의 일방적 주장에 치우쳐 한국 정부의 설명을 충분히 반영하지 않았다고 지적했다. 주미 한국대사관도 CNBC에 국가정보원은 대규모 개인정보 유출과 관련한 정보 공유 및 추가 피해 예방을 위한 실무 협의만 했을 뿐, 쿠팡에 특정 행동을 강요하거나 지시한 사실은 없다고 밝혔다. 개인정보 유출 대응과 제재는 국내법에 따른 소비자 보호 조치였으며, 특정 국적 기업을 겨냥한 차별적 규제가 아니라는 것이 한국 정부의 공식 입장이다.

 

숫자는 크고, 해석은 정반대다

쿠팡 사안을 둘러싼 한미 간 인식 차이는 ‘3755만명 대 약 3000개 계정’이라는 수치에서 압축된다. 한국 정부가 미 의회에 제출한 반박 문서는 개인정보가 노출된 피해 규모를 3755만명으로 봤다. 그러나 미 하원 보고서는 전직 직원이 실제로 저장·보유한 정보가 약 3000개 계정 관련 자료에 불과했다고 맞섰다.

 

전자는 접근 또는 노출 가능성이 있었던 개인정보의 범위를, 후자는 행위자가 실제로 취득·보유한 정보의 범위를 기준으로 삼은 것으로 보인다. 같은 사건을 두고도 산정 기준이 다르기 때문에, 어느 한 숫자만으로 제재의 정당성 또는 부당성을 단정하기는 어렵다.

 

과징금의 비례성도 양측이 첨예하게 맞서는 대목이다. 미 하원 보고서는 약 4억1000만달러 규모의 과징금이 단일 기업에 부과된 국내 최대 제재이며, 더 민감한 정보를 포함한 국내 기업의 다른 유출 사고와 비교해 과도하다고 주장했다. 반면 한국 정부는 해당 과징금이 법률상 가능한 매출액의 최대 3%보다 낮은 수준이라는 논리를 제시했다.

 

쿠팡의 2025년 연결 기준 순매출은 345억3400만달러로 전년보다 14% 증가했다. 단순 환산하면 6250억원 안팎의 과징금은 연 매출의 약 1.2% 수준으로, 법정 상한보다 낮지만 기업의 연간 영업이익 4억7300만달러와 비교하면 결코 작지 않은 부담이다.

 

쿠팡은 2025년 매출 345억3400만달러, 영업이익 4억7300만달러, 순이익 2억800만달러를 기록했다. 매출 증가율은 14%였지만 순이익률은 약 0.6%에 불과한 저마진 구조다. 따라서 약 4억달러 규모의 과징금은 매출 대비 비중만 보면 제한적일 수 있으나, 단년도 영업수익성과 현금흐름·투자 여력에는 중대한 영향을 줄 수 있다. 규제의 비례성을 평가할 때 매출 대비 과징금 비율뿐 아니라 사고의 성격, 실제 피해, 재발 방지 노력, 제재 대상의 수익성, 동종 사례와의 균형을 함께 따져야 하는 이유다.

 

 

‘관세 카드’는 현실화했나

CNBC 보도에서 가장 민감한 대목은 미국 내에서 관세와 제재가 거론된다는 부분이다. 워싱턴주 출신 공화당 소속 마이클 바움가트너 하원의원은 "트럼프 대통령이 미국 기업이 부당한 대우를 받는 문제에 강경한 입장"이라며 "한국에 대한 대응이 상당한 수준(significant)이 될 수 있다"고 말했다. 하원 법사위·외교위·군사위 관계자와 접촉한 익명 소식통은 의회가 제재를 포함한 가용 수단을 검토하고 있다고 CNBC에 전했다.

 

절차상 현실적인 경로는 세 갈래다. 첫째, USTR이 무역법 301조에 따라 한국의 조치가 불합리·차별적이거나 미국 통상에 부담을 준다고 판단해 조사를 개시하는 경우다. 둘째, 한미 자유무역협정(FTA)의 투자·서비스·비차별 의무 위반 여부를 놓고 정부 간 협의 또는 분쟁 절차로 가는 경우다. 셋째, 투자자가 한미 FTA상 투자자-국가 분쟁해결(ISDS)을 제기하는 길이다. 다만 어떤 경로든 위법성 판단과 인과관계 입증, 정부 간 협의, 정치적 판단이 필요하므로 ‘쿠팡 제재=자동 관세’라는 등식은 성립하지 않는다.

 

실제로 그리녹스캐피털과 알티미터캐피털은 올해 1월 USTR에 한국 정부 조치가 차별적이라며 301조 조사를 청원했다. 두 투자자는 한국산 제품에 대한 관세, 미국 내 한국 서비스 제한 등을 포함한 통상구제 조치를 요구했다. 그러나 3월 두 투자사는 회사 단독 사안에 관한 301조 청원을 철회했다고 밝혔다. USTR이 한국을 상대로 쿠팡 사안의 공식 조사에 들어갔다는 발표도 확인되지 않는다. 다만 투자자들은 ISDS 절차 추진 가능성을 별도로 시사해, 통상 압박이 사라졌다기보다 형태를 바꿔 이어질 가능성을 남겼다.

 

워싱턴의 공세, 초당적이지만 일방적이지는 않다

미 의회의 문제 제기가 공화당에만 국한된 것은 아니다. 쿠팡 본사가 있는 워싱턴주 지역구의 수전 델베네 민주당 하원의원은 올해 1월 청문회에서 쿠팡 등으로부터 한국이 2025년 통상 합의의 비차별 약속을 위반하고 있다는 이야기를 들었다고 밝혔다. 마리아 캔트웰 민주당 상원의원도 2월 주미 한국대사에게 쿠팡 처리에 대한 ‘중대한 우려’를 전달했다.

 

하지만 워싱턴 내 반응이 일방적으로 형성된 것도 아니다. CNBC는 의회 법사위 조사에 정통한 한 민주당 관계자가 쿠팡의 미국 내 사업 기반이 제한적인데도 공화당이 유난히 강하게 사안을 다루고 있다고 의문을 제기했다고 보도했다. 쿠팡은 2024년 트럼프 대통령 취임기금에 100만달러를 기부했으며, 로브 포터 최고대외협력책임자는 1기 트럼프 행정부에서 백악관 비서실장실 직원비서(staff secretary)를 지냈다. 이런 정치적 연결고리가 사안의 정책적 정당성을 자동으로 부정하지는 않지만, 미국 정치권의 대응을 순수한 통상 원칙만으로 읽기 어렵게 만드는 변수다.

 

미 하원 보고서도 절대적 중립성을 전제하기 어렵다. 이 보고서는 하원 법사위원회 전체의 초당적 의결 보고서가 아니라 공화당 소속 조사팀이 발간한 ‘중간 직원보고서’다. 보고서는 쿠팡에 대한 소환장, 회사 문서, 쿠팡 법무책임자 증언 등을 토대로 작성됐다. 보고서에 제시된 다수의 정황은 중대한 검증 대상이지만, 보고서 자체가 법원의 확정판결이나 행정부의 공식 무역판정은 아니다. 

 

진짜 리스크는 ‘쿠팡’보다 ‘규제 신뢰’다

이번 사안의 본질은 쿠팡 한 곳의 과징금이 아니라, 한국이 미국 자본과 미국 상장 플랫폼 기업에 예측 가능하고 비차별적인 규제 환경을 제공하고 있다는 신뢰를 유지할 수 있느냐에 있다. 한국 정부는 대규모 개인정보 유출에 대해 소비자 보호를 최우선 기준으로 제재했다는 점을 명확히 설명해야 한다. 동시에 조사 과정, 자료요구 범위, 타 기업과의 제재 비교, 과징금 산정 논리, 외국 기업 경영진에 대한 형사절차의 법적 근거를 영문 자료로 투명하게 공개할 필요가 있다.

 

한국에도 정당한 규제권은 있다. 개인정보 침해가 3700만명 이상에게 영향을 미쳤다는 당국의 판단이 사실이라면, 국적과 무관하게 강력한 제재와 시정명령을 내리는 것은 국가의 소비자 보호 책무에 속한다. 다만 한미 동맹과 통상 갈등의 무대에서 규제 목적의 정당성만으로는 충분하지 않다. 집행의 비례성, 절차의 투명성, 동종 사건과의 형평성, 외교적 설명 능력까지 보여줘야 한다.

 

미국 역시 쿠팡을 ‘미국 기업 보호’의 상징으로 내세우기 전에 대규모 개인정보 유출과 기업의 보안 책임을 분리해 보아야 한다. 규제의 차별 여부는 쿠팡이 미국에 본사를 둔 기업이라는 사실만으로 결론나지 않는다. 동일하거나 유사한 개인정보 침해 사건에서 한국 기업에 어떤 제재가 부과됐는지, 쿠팡의 신고 지연과 보안통제 실패가 어떤 수준이었는지, 제재가 법률상 기준에 맞게 산정됐는지를 비교 검증해야 한다.

 

업계 전문가들은 "쿠팡 사태는 결국 ‘반미 규제’와 ‘미국 기업의 면책’이라는 단순 구도로 정리될 문제가 아니다"면서 "한국에는 소비자 보호를 위한 법 집행의 권리가 있고, 미국 기업과 투자자에게는 공정하고 예측 가능한 규제 절차를 요구할 권리가 있다"고 설명했다.

 

이어 "한미 양국이 필요한 것은 감정적 반박이나 제재 위협이 아니라, 개인정보 유출의 실체와 제재 비례성을 공동 검증할 수 있는 투명한 데이터와 제도적 대화"라며 "그렇지 않으면 6250억원짜리 개인정보 제재는 관세·투자분쟁·디지털 규제 갈등이 교차하는 수십조원 규모의 한미 통상 리스크로 증폭될 수 있다"고 지적했다.