국내 최대 이커머스 업체 쿠팡의 개인정보 유출 사태가 확산하면서 창업자이자 실질적 지배자인 김벅석 쿠팡Inc 의장의 책임론이 거세다. 한국에서 사실상 모든 매출을 올리는 기업임에도 위기 상황마다 김 의장은 모습을 감추고 미국 본사 중심 지배구조 뒤로 숨어버린다는 비판이 쏟아지고 있다.
11월 30일 쿠팡은 개인정보 유출 사실을 당국에 신고했다. 중국 국적의 쿠팡 전 직원 A씨가 퇴사 후에도 회수하지 않은 인증키(Access Key)를 이용, 6월 24일부터 11월 초까지 5개월간 쿠팡 데이터베이스(DB)에 무단 접속한 것. 유출된 정보는 회원 이름, 전화번호, 주소, 주문 내역, 공동 현관 비밀번호 등 3370만 건으로, 국내 총인구의 65%에 달한다.
사고 소식이 전해진 12월 1일(이하 현지시각)부터 12월 3일까지 미국 뉴욕증권거래소에서 쿠팡 주가는 3거래일 연속 하락하며 누적 낙폭 약 5.7%를 기록했다. 미국 현지 로펌은 12월 3일 쿠팡이 내부 통제 미비로 사베인스-옥슬리법(SOX) 의무를 위반해 주주 가치를 훼손한 정황이 있는지를 조사하기 시작했으며, 증권 집단소송 원고 모집을 위한 예비 절차에도 착수했다.
국회 과학기술정보방송통신위원회(과방위)는 12월 2일 긴급 현안 질의에서 쿠팡이 기본적인 보안 규정조차 제출하지 않고, 영업비밀을 이유로 자료 제출을 거부한 점을 강하게 비판했다.
의원들은 쿠팡의 실소유주 김 의장을 증인으로 불러 직접 책임을 묻는 청문회 개최 가능성을 공개 거론하기도 했다. 강민국 국민의힘 의원은 3일 “검은 머리 외국인 김범석은 한국에서 돈을 벌고 있다. 한국 국민의 개인정보를 활용하고, 한국의 물류 배송 인프라를 사용하지만, 법적 책임은 전혀 지고 있지 않다”고 했다. 박대준 쿠팡 대표는 “김 의장은 글로벌 비즈니스를 담당하고 있다. (김 의장이 있는) 장소까지는 모르고 있다”고 했다. 그러자 “사태가 이만큼 심각한데, 실소유주의 거처를 모른다는 게 말이 되냐”는 질책이 나왔다. 국회와 개인정보보호위원회(개보위)는 김 의장을 ‘개인정보보호법 위반’ 혐의로 수사기관에 고발하는 방안을 검토 중이다.
문제 때마다 거리 두기… 김범석式 경영
김 의장은 2010년 쿠팡을 창업하고 ‘로켓배송’을 도입하며 국내 유통 시장을 장악했다. 2021년 3월 뉴욕증권거래소 상장은 그의 경영 성과를 상징하는 사건이었다. 월스트리트저널(WSJ) 등 외신은 김 의장을 “아마존의 제프 베이조스에게 비견되는 한국의 혁신가” 라고 했다. 당시 인터뷰에서 김 의장은 “한강의 기적을 믿는다”고 했다.
쿠팡의 지배구조는 미국 델라웨어주에 본사를 둔 모회사 쿠팡Inc가 한국 사업 법인인 쿠팡㈜ 을 100% 소유하는 형태다. 김 의장은 일반 주식의 29배에 달하는 의결권을 가진 ‘클래스 B’ 주식을 통해 전체 의결권의 76.7%를 장악하고 있다. 이사회의 어떤 결정도 김 의장의 뜻을 거스를 수 없는 구조라는 얘기다. 김 의장은 쿠팡Inc 상장 직후인 2021년 6월 17일 쿠팡㈜ 의 등기이사 및 이사회 의장직에서 모두 사임했다. 이천 덕평물류센터 화재 사고가 발생한 지 5시간 만에 김 의장의 사임 사실이 알려졌다. 현재 그는 미국 쿠팡Inc의 의장 겸 최고경영자(CEO) 직함만 유지하고 있어 한국 내 실질적인 지배력은 유지하되, 중대재해처벌법이나 개인정보보호법 등 국내법상 형사책임에서는 벗어나 있는 상태다.
김 의장의 ‘거리 두기’는 그의 경영 스타일을 보여준다. 2024년 공정거래위원회가 자체 브랜드(PB) 상품 검색 순위 조작 혐의로 1400억원의 과징금을 부과했을 때도, 노동계의 ‘취업 제한 블랙리스트’ 의혹 제기 때도 공식 사과와 해명은 강한승, 박대준 각자 대표가 맡았다. 이번 대규모 개인정보 유출 사고에도 김 의장의 공식 사과는 12월 4일 기준으로 없는 상태다. 회원 50만 명 이상이 탈퇴하고, 불매 운동 조짐도 일고 있으나, 사과문은 각자 대표 명의로만 나갔다.
실질 소유자 겨냥… 당국, 처벌 검토
김 의장과 쿠팡 측은 김 의장이 한국 법인 등기이사가 아니기 때문에 직접적인 법적 책임이 없다는 입장을 고수해 왔다. 그러나 이번 사고 이후 기류 변화가 감지된다. 허영 더불어민주당 원내정책수석부대표는 4일 “입법적 제도 개선에 착수하겠다”고 했다. 앞서 3일 신장식 조국혁신당 의원은 “국회 정무위원회에서 (김 의장에 대한) 고발 의결을 했으면 좋겠다”고 했다. 대법원 판례에 따르면, 등기상 직함과 관계없이 업무를 실질적으로 지시하고 결재한 사주에게 양벌규정 책임을 물을 수 있다. 이번 사고가 5개원간의 장기 유출 방지라는 중대 과실에 기인한 만큼, 회사의 실질적 오너가 보안 투자, 인력 관리에 대한 의사 결정을 소홀했는지 입증할 수 있다면, 처벌 가능성이 열리는 셈이다. 개보위는 “엄중히 책임을 물을 수 있는 방안을 적극 검토하겠다”고 했다.
쿠팡㈜를 소유한 쿠팡Inc가 지난 11월 미국 증권거래위원회(SEC)를 통해 공시한 분기 보고서(10-Q)에 따르면, 한국 사업의 최고운영의사결정자(CODM)는 김 의장이다. 쿠팡Inc는 공시에서 “우리는 한국 소매시장과 기타 해외시장을 중심으로 사업하는 소매업체를 소유하고 운영한다”며 “CODM은 우리 CEO”라고 기재했다. 쿠팡Inc의 CEO는 김 의장이다. 그가 한국 시장을 중심으로 하는 전체 사업의 관리 및 자원 배분, 운영 결정, 성과 평가 등 핵심 의사 결정을 주도하고 있다는 게 분기 보고서에 명시돼 있는 것이다.
개인정보보호법에 따라 이번 사태의 과징금은 매출액의 3%까지 부과될 수 있다. 쿠팡은 2024년 연간 매출 41조2901억원을 기록해 산술적으로 과징금 규모가 1조2000억원 이상에 달할 가능성이 있다. 또 개인정보 유출로 재산상 손해가 확인될 경우 영업정지 처분도 내려질 수 있다. 이 경우 소비자 보상, 물류 재가동 비용이 더해져 쿠팡의 재무 부담은 기하급수적으로 커질 전망이다.
JP모건 "韓, 쿠팡 이탈 제한적일 듯"
글로벌 투자은행 JP모건이 쿠팡의 대규모 개인정보 유출 사태에도 고객 이탈은 제한적일 것이라는 분석을 내놨다. 11월 2일 로이터통신에 따르면, JP모건은 전날 보고서에서 “쿠팡이 이커머스 시장에서 독보적인 지위를 누리고 있고, 한국 고객은 데이터 유출에 대해 덜 민감해 보인다”라며 이같이 내다봤다. 쿠팡이 한국 이커머스 시장에서 대체 불가능한 시장 지위를 갖고 있고, 최근 SK텔레콤, KT 등 이동통신사 개인정보 유출 사태가 연속 발생하는 등 한국 소비자가 개인정보 유출 이슈에 비교적 덜 민감한 편으로 보인다는 주장이다. 다만 JP모건은 쿠팡이 자발적 보상 패키지를 도입하거나, 한국 정부가 과징금 등 제재를 가할 가능성이 크다며 “상당한 일회성 손실이 발생할 수 있다”고 했다. 이어 이런 요인은 단기적으로 투자 심리에 부담을 줄 것이라고 분석했다.