#쿠팡

• 과징금 6200억 및 고객 보상금 여파… 상장 이후 최대 분기 손실 기록
• 외형 성장은 지속… 2분기 매출 13조 원 돌파·활성 고객 2,470만 명 달성

국내 최대 이커머스 기업 쿠팡이 정보유출 사태의 후폭풍으로 올해 상반기에만 1조 2,000억 원이 넘는 대규모 적자를 기록했다. 이는 지난 2021년 미국 뉴욕증시 상장 이후 사상 최대 손실 규모다.

쿠팡Inc가 미국 증권거래위원회(SEC)에 제출한 실적 보고서에 따르면 2026년 2분기 영업손실은 5억 5,600만 달러(약 8,350억 원), 당기순손실은 8,560억 원을 기록했다. 1분기 고객 보상안 집행에 이어 2분기 개인정보보호위원회가 부과한 6,246억 원의 과징금이 반영된 결과다.

이로써 쿠팡의 올해 상반기 누적 영업손실은 1조 1,895억 원, 당기순손실은 1조 2,457억 원으로 집계됐다. 단 반년 만에 기록한 이번 영업손실은 지난 2024년부터 2025년까지 2년간 거둬들인 합산 영업이익(1조 2,813억 원) 전체와 맞먹는 수치다.

대규모 적자 악재 속에서도 외형 성장세는 유지됐다. 2분기 매출은 전년 동기 대비 4% 증가한 13조 3,007억 원을 기록했으며, 분기 내 1회 이상 구매한 활성 고객 수도 2,470만 명으로 전년 동기 대비 3% 늘었다. 대만 로켓배송과 파페치, 쿠팡이츠 등 신사업 부문 매출 역시 2조 1,492억 원으로 20% 늘어나는 등 핵심 사업의 이용자 기반은 단단함을 유지했다.

한편 쿠팡Inc는 주가 방어와 자본 효율화를 위해 2분기 중 4억 5,900만 달러 규모의 자사주(클래스A 보통주 2,320만 주)를 매입하는 등 적극적인 주주환원 정책을 병행하고 있다.

• 분쟁조정위, 현금·쿠팡캐시 배상 결정… 개인정보 유출 첫 책임 인정
• 3천700만명 전원 보상시 3.7조원 규모… 쿠팡, 15일 내 수락 여부 결정

대규모 고객 개인정보 유출 파문을 일으킨 쿠팡에 대해 정부 기관이 피해 고객 1인당 10만 원을 배상하라는 결정을 내렸다. 3,700만 건이 넘는 대규모 유출 사태에 대해 쿠팡의 손해배상 책임을 명확히 인정한 첫 공식 기관 판단으로, 전체 피해자로 보상이 확대될 경우 전체 배상 규모는 약 3조 7,000억 원에 달할 전망이다.

한국소비자원 소비자분쟁조정위원회는 쿠팡의 고객 개인정보 유출 사고와 관련해 피해 소비자 50명이 신청한 집단분쟁조정 사건을 심의한 결과, 쿠팡의 정신적 손해배상 책임을 인정해 1인당 10만 원의 위자료를 현금 또는 쿠팡캐시로 지급하라고 결정했다고 31일 발표했다. 이번 결정은 회원의 성명, 이메일, 주소 등 기초 정보는 물론 공동현관 비밀번호와 구매 내역 등 민감한 사생활 정보까지 유출된 점이 핵심 근거가 됐다.

조정위원회는 해커가 장기간 정보를 탈취해 일부 고객에게 직접 메일을 발송하는 등 유출 정보의 실제 악용 위험성이 매우 높았다고 판단했다. 추가 유출 가능성이 없다는 쿠팡 측 주장 역시 객관적으로 단정하기 어렵다고 보았다. 배상액 산정에는 법원의 기존 개인정보 유출 손해배상 판례 기준인 10만 원을 바탕으로, 유출 정보의 민감도와 쿠팡 측이 기존 자체 보상안의 활용 실태 자료를 제출하지 않은 점 등이 종합 고려됐다.

당사자인 쿠팡은 조정 결정서를 송달받은 날부터 15일 이내에 조정안 수락 여부를 위원회에 문서로 통보해야 한다. 기한 내에 별도의 의사표시를 하지 않을 경우 조정을 수락한 것으로 간주되며, 양측이 이를 수락하면 확정판결과 동일한 재판상 화해의 효력이 발생한다. 조정위원회는 쿠팡이 수락할 경우 신청에 참여하지 않은 전체 피해자에게도 동일한 보상이 적용되도록 보상계획서 제출 등 후속 절차를 진행할 계획이다.

이번 결정에 앞서 개인정보보호위원회는 지난 6월 쿠팡의 법적 근거 없는 정보 수집 및 관리 소홀 책임을 물어 국내 법 위반 사례 중 역대 최대 규모인 6,246억 8,100만 원의 과징금과 1,680만 원의 과태료를 부과한 바 있다. 쿠팡은 지난 1월 피해 고객 3,370만 명을 대상으로 1인당 5만 원 상당의 구매이용권을 지급한 바 있으나, 이번 조정안 수락 여부에 대해서는 공식 결정서를 전달받은 후 면밀히 검토하겠다는 신중한 입장을 밝혔다.

쿠팡 개인정보 유출 사태와 관련한 집단분쟁조정 신청 규모가 14만6천여 명에 달하며 국내 역대 최대 기록을 세웠다.

개인정보분쟁조정위원회(이하 분쟁조정위)는 29일 이번 집단분쟁조정 추가 신청 기간에 14만3천 명이 참가를 신청했다고 밝혔다.

기존 집단분쟁조정 사건 2건의 신청인 1천676명, 개인분쟁조정 신청인 977명을 합산하면 전체 신청 규모는 14만6천여 명에 이른다. 이는 분쟁조정위가 그간 접수한 사건 가운데 가장 큰 규모다.

이번 신청 급증의 직접적 계기는 개인정보보호위원회(이하 개인정보위)의 쿠팡 제재 절차 마무리다. 개인정보위는 지난 10일 쿠팡이 3천756만 명의 개인정보를 유출하고, 타사 웹·앱 접속 회원 약 1천117만 명의 온라인 활동 기록을 법적 근거 없이 수집한 행위에 대해 6천246억8천100만 원의 과징금 부과를 의결했다.

분쟁조정위는 이 의결을 계기로 지난 12일 집단분쟁조정 절차를 재개하고, 같은 달 26일까지 15일간 추가 참가 신청을 받았다.

이번 신청 규모는 직전 대형 개인정보 유출 사건과 비교하면 그 차이가 뚜렷하다. 2천324만 명의 유심(USIM) 정보가 유출된 SK텔레콤(SKT) 사고 당시에는 집단분쟁조정 3건(3천267명)과 개인분쟁조정(731명)을 합쳐 총 3천998명이 신청에 그쳤다. 쿠팡 사건의 신청 규모는 SK텔레콤 사고 당시의 36배를 웃도는 수치다.

분쟁조정위는 이번 집단분쟁조정 사건과 개인분쟁조정 신청 사건을 병합 처리할 방침이다. 추가 신청인의 자격 여부를 확인한 뒤 인정 여부를 통지하고, 접수 마감일로부터 60일 이내에 조정안을 마련해 당사자들에게 통지할 예정이다.

조정안은 당사자 모두가 수락해야 효력이 발생하며, 성립될 경우 재판상 화해와 동일한 법적 효력을 갖는다. 다만 어느 한 쪽이라도 수락을 거부하면 조정은 성립되지 않으며, 이 경우 신청인들은 민사소송을 통해 권리 구제를 추진할 수 있다.

쿠팡이 자체브랜드(PB) 상품 하도급 거래 과정의 법 위반 혐의와 관련해 30억 원 규모의 수급사업자 지원 방안을 공정거래위원회로부터 최종 승인받으며 행정 제재를 면하게 됐다.

공정거래위원회는 23일 쿠팡㈜과 PB상품 제조 위탁·판매사업을 승계한 씨피엘비(CPLB)의 ‘하도급거래 공정화에 관한 법률'(하도급법) 위반 혐의에 대한 동의의결안을 소회의에서 최종 확정했다고 밝혔다.

쿠팡 측은 2022년 10월 이후 PB 상품 제조를 위탁하는 과정에서 두 가지 혐의로 공정위 조사를 받아왔다. 314개 수급사업자에게 법정 기재 사항을 누락하거나 기명날인이 없는 서면을 교부한 서면 발급 의무 위반, 그리고 94개 수급사업자에게 약정에 없는 판촉 행사를 진행하며 공급단가를 인하한 부당한 하도급대금 결정이 그것이다.

쿠팡 측은 작년 3월 동의의결 절차 개시를 신청했고, 공정위는 같은 해 8월 이를 수용해 절차를 개시했다. 이후 두 차례 의견 수렴을 거쳐 총 30억 원 규모의 상생 방안이 최종 확정됐다.

부당 단가 인하와 직접 연관된 94개 수급사업자에게는 상품 개발·생산·납품 비용 명목으로 10억 5,000만 원이 지원된다. 사업자당 1,000만 원씩 배분하고 잔액은 서면 발급 위반 관련 수급사업자에게 돌아간다.

온라인 광고비 10억 원, 오프라인 박람회 홍보 4억 5,000만 원, 우수 수급사업자 상금·판촉 1억 원, 컨설팅·해외 판로 개척 4억 원도 각각 배정됐다.

거래 질서 개선 차원에서는 발주서 기명날인 시스템 정비, 최소 생산 수량·판촉 비용 분담 비율 명문화, 리드타임(발주부터 판매 개시까지 소요 기간) 사전 공지 의무화도 추진된다.

이번 동의의결 확정은 2022년 7월 하도급법에 동의의결 제도가 도입된 이후 부당한 하도급대금 결정 혐의로는 첫 번째 사례다. 공정위는 전체 504개 수급사업자 중 실제 단가 인하 피해를 입은 곳이 94개(18.6%)에 그쳤고, 수급사업자 스스로 판촉 행사를 제안한 사례도 있어 위반 행위로 단정하기 어려운 측면이 있었다고 설명했다.

예상 과징금(6억~11억 원)의 3~5배에 달하는 상생안 규모, 단가 인하 피해액(약 7억 원)을 웃도는 직접 지원액(10억 5,000만 원)도 긍정적 요인으로 작용했다.

같은 쿠팡이 지난 18일 입점업체 최혜 대우 요구 혐의와 관련해 4년간 600억 규모 상생안을 제출했다가 기각된 것과는 대조적인 결과다. 당시 건은 예상 과징금이 최대 2,000억 원대에 달하는 데다 피해 범위도 광범위하다는 점이 기각 사유로 꼽혔다.

공정위 관계자는 “한국공정거래조정원과 함께 쿠팡 측의 동의의결 이행 여부를 분기별로 점검할 계획”이라고 밝혔다.

개인정보보호위원회(이하 개인정보위)가 3,750여만 명의 개인정보를 유출하고 1,000만 명이 넘는 회원의 온라인 활동기록을 무단 수집한 쿠팡에 역대 최대 규모인 총 6,246억8,100만원의 과징금을 부과했다.

개인정보위는 11일 전날(10일) 정부서울청사에서 전체회의를 열어 쿠팡의 개인정보 안전조치 의무 위반 제재안을 심의·의결했다고 밝혔다. 부과된 과징금은 개인정보 유출사고에 따른 4,235억7,500만원과 온라인 활동기록 무단 수집에 따른 2,011억660만원을 합산한 수치다.

단일 개인정보 유출사고 기준 역대 최대이자, 한 기업의 복수 위반행위에 부과된 과징금 중에서도 최고 기록이다. 개인정보위는 과태료 1,680만원도 함께 처분했다.

안전관리 허술…3,750만명 정보 줄줄 샜다

개인정보위 조사 결과, 쿠팡은 인증 서명키 관리와 접근 통제 등 기본적인 안전관리 체계를 소홀히 해 약 3,750여만 명의 고객 개인정보를 유출한 것으로 결론 내려졌다. 조사 과정에서는 개인정보 유출 통지 및 파기 의무 위반, 개인정보보호책임자(CPO)의 독립성 보장 위반, 조사 방해 행위 등 추가 위반사항도 확인됐다.

개인정보위는 이에 따라 유사 사고 재발 방지를 위한 안전조치 강화, 회원이 아닌 정보주체에 대한 유출 통지, CPO의 실질적 역할 보장 등을 시정명령했다. 탈퇴 회원의 개인정보 처리체계에 대해서는 개선을 권고하고, 3개월 이내 이행 여부를 확인하기로 했다.

앞서 지난해 11월 불거진 쿠팡 개인정보 유출 사고와 관련해, 올해 2월 과학기술정보통신부 민관합동조사단은 쿠팡의 ‘내 정보 수정 페이지’ 취약점을 통해 성명·이메일·주소 등이 포함된 고객 정보 3,367만3,817건이 유출된 사실을 확인한 바 있다.

1,117만명 활동기록 무단 수집…과징금 2,011억 별도 부과

개인정보위는 쿠팡이 타사 웹·앱에 접속한 회원 약 1,117만명의 온라인 활동기록을 법적 근거 없이 수집한 위반행위도 확인했다. 수집된 정보에는 타사 웹·앱 방문 기록(URL·앱 이름 등), 접속 일시, 접속 IP 등이 포함됐으며, 이용자 개인을 식별한 상태로 데이터베이스에 저장된 것으로 파악됐다. 이에 대해 과징금 2,011억660만원이 별도 부과됐다.

또 이른바 ‘납치광고’로 불리는 부정광고를 게재한 광고 파트너를 쿠팡이 적절히 관리·감독하지 않아, 이용자 의사에 반한 서비스 이용기록이 수집된 사실도 확인됐다. 개인정보위는 쿠팡에 개인정보 처리의 투명성 제고, 맞춤형 광고에 대한 정보주체의 실질적 선택권 보장, 부정광고 방지를 위한 관리·감독 강화 등의 시정명령을 내렸다.

경찰청 기자단 블랙리스트 등재·근로자 체중 정보 소송 제출도 위반

이번 조사에서는 쿠팡 자회사인 쿠팡풀필먼트서비스(CFS)가 자사 물류센터 근무 이력이 없는 경찰청 출입기자단 71명의 명단을 수집해 취업제한 목록에 등록·관리한 행위도 개인정보 수집·이용 규정 위반으로 적시됐다.

아울러 ‘임직원 건강관리’ 목적으로 보유하던 근로자의 체중 정보를 산업재해 소송 과정에서 법원에 제출한 행위는 민감정보 처리 위반으로 판단돼, 별도 과징금 2억4,800만원이 부과됐다.

업계에서는 이번 처분이 향후 개인정보 유출 사고에 대한 정부의 주요 판단 기준이 될 것으로 보고 있다. 최근 티빙과 편의점 CU의 개인정보 유출 사고가 연이어 발생한 가운데, 이번 쿠팡 제재가 기업들의 개인정보 관리 수준을 가늠하는 사실상의 기준선으로 작용할 것이라는 전망이 나온다.