개인정보보호위원회가 쿠팡에서 약 3755만명의 개인정보가 유출됐다고 결론 내린 가운데, 쿠팡이 미국 증권거래위원회(SEC)에는 실제 저장된 개인정보가 약 3000개 계정에 불과하다는 자체 조사 결과를 공시해 논란이 커지고 있다.

시민단체들은 이를 ‘허위 공시’라고 주장하며 김범석 쿠팡Inc. 최고경영자(CEO) 등을 SEC에 신고했다.

22일 참여연대 등에 따르면 ‘소비자 보호를 위한 집단소송법 제정연대’와 법무법인 지향은 이날 김범석 CEO와 가우라브 아난드 최고재무책임자(CFO), 해롤드 L. 로저스 최고행정책임자(CAO)를 상대로 SEC에 공식 TCR(제보·고발 및 수사의뢰) 신고서를 제출했다.

쟁점은 쿠팡이 미국 투자자들에게 공개한 개인정보 유출 사고 규모의 표현이다.

쿠팡은 지난해 12월29일 SEC에 제출한 수정 수시보고서(Form 8-K/A)에서 약 3300만개 계정에 접근이 이뤄졌지만 전 직원이 실제 저장한 개인정보는 약 3000개 계정에 한정됐다는 자체 조사 결과를 밝혔다. 올해 2월 제출한 연례보고서(Form 10-K)에도 같은 취지의 내용이 담겼다.

그러나 개인정보위는 지난 6월11일 쿠팡에서 약 3755만명의 개인정보가 유출됐다고 공식 판단했다. 쿠팡의 안전조치 의무 위반과 법적 근거 없는 개인정보 수집 등에 대해서는 과징금 6246억8100만원과 과태료 1680만원을 의결했다.

개인정보위 조사에서는 쿠팡이 다른 회사의 웹사이트·앱에 접속한 회원 약 1117만명의 방문기록과 접속일시, IP 등 온라인 활동기록을 수집·저장한 사실도 확인됐다. 개인정보보호책임자(CPO)의 독립성 보장 의무 위반과 조사 방해 행위도 제재 대상에 포함됐다.

시민단체들은 한국 정부 조사 결과와 쿠팡이 SEC 공시에서 제시한 ‘약 3000개 계정 데이터 저장’이라는 설명 사이에 중대한 괴리가 있다고 주장했다.

법무법인 지향 이은우·이병주 변호사는 쿠팡 경영진이 미국 연방 증권법상 Exchange Act Section 10(b)와 SEC Rule 10b-5 등을 위반해 투자자에게 허위·기망적 정보를 제공했다는 취지로 신고했다고 밝혔다. 내부 조사 과정에서 CPO를 배제하고 정부의 자료보전 명령을 위반했으며 핵심 접속기록과 포렌식 로그를 삭제·방치했다는 주장도 신고서에 담았다.

백미순 참여연대 공동대표는 쿠팡이 소비자 피해를 이른바 ‘꼼수 쿠폰’으로 무마하면서 미국 기업에 대한 탄압을 주장하고 있다고 비판하며 SEC의 객관적인 조사를 촉구했다.

다만 SEC가 쿠팡의 허위 공시나 관련 법률 위반을 인정한 것은 아니다. 쿠팡의 SEC 공시에도 약 3300만개 계정에 접근했다는 내용은 명시돼 있다. 향후 SEC가 ‘3300만 계정 접근’과 ‘3000개 계정 데이터 저장’을 구분한 쿠팡의 설명이 투자자에게 사고 규모와 위험을 적정하게 전달했는지 판단할지가 핵심 쟁점이 될 전망이다.