[3줄 요약]
1. 쿠팡 미국 소송 대리인 손동후 SJKP 뉴욕주 변호사 인터뷰
2. 셀프 발표나 여론전은 법리 해석과 별개
3. 한국엔 없는 ‘디스커버리’ 활용... 거버넌스 실패 입증 주력

[보안뉴스 강현주 기자] “셀프 발표로 쿠팡의 법적리스크가 제거되는건 아닙니다. 오히려 진정성과 책임 인식 등을 파악하는 자료로 재해석될 수 있습니다. 미국 정치인의 쿠팡 옹호도 여론일뿐 법리 해석을 좌우하진 않습니다.”

쿠팡이 3370만명 개인정보 유출 사고 조사 결과를 ‘셀프 발표’한 것에 대해 쿠팡 미국 소송을 담당하는 손동후 미국 변호사는 이같이 말했다. 손 변호사는 뉴욕 소재 로펌 SJKP의 파트너로, 미국 쿠팡Inc.를 상대로 한 집단 소송을 대리하고 있다.


▲쿠팡 미국 소송 대리인 손동후 SJKP 뉴욕주 변호사 [자료: 보안뉴스]

이해 벗어난 행동들... “소송과 자본시장 의식한 전략”
“미국에선 법 위반이 아니다”라는 쿠팡 대표의 청문회 발언, 정부와 협의 없는 셀프 발표, 마케팅을 연상케 하는 쿠폰 ‘보상’ 등 일련의 대응들이 논란이 되고 있다. 정부와 소비자의 부정적 여론을 유발하면서까지 이 같은 대응을 이어가는 것은 소송에서 유리한 입지를 차지하기 위해설까?

<보안뉴스>와 인터뷰를 가진 손 변호사는 이에 대해 “명백히 소송과 규제, 자본시장을 동시에 의식한 위기관리 전략으로 보인다”고 답했다.

그는 “국회 청문회를 하루 앞두고 발표된 보상안, 이어진 자체 조사 결과 공개, 시차를 두고 나온 영문 사과문과 SEC 공시는 우연보다는 일정이 정교하게 맞춰진 커뮤니케이션 흐름으로 보인다”며 “특히 현금이 아닌 자사 플랫폼 바우처 형태의 보상은, 피해 회복보다는 고객 이탈을 막고 여론을 안정시키려는 목적이 강한 전형적인 기업 대응 방식”이라고 밝혔다.

이어 “미국 자본시장은 불확실성을 가장 경계하고, 경영진이 직접 나서 사실관계를 정리하면 주가가 반등하는 경우가 적지 않다”며 “실제로 쿠팡의 ‘셀프 조사’ 발표 이후 주가가 급등한 것도 이런 맥락에서 설명할 수 있다”고 말했다.

“자체 발표 피해 종결로 안봐... 오히려 법정에서 따져 물을 것”
손 변호사는 “하지만 미국 법원은 이같은 발표를 책임 이행이나 피해 종결로 여기지 않는다”고 강조했다. “오히려 소송에서 왜 그 시점에 그런 발표가 나왔나, 근거는 무엇인가 다시 들여다보게 되며, 진정성과 책임 인식 등을 다투는 자료로 재해석될 수 있다”는 설명이다.

최근 한 미국 하원 의원은 한국 정부의 쿠팡 사고 조사를 염두에 두고 “한국 정부가 미국 기업을 차별하고 공격한다”는 내용의 기고문을 냈다. 쿠팡의 광범위한 국내외 로비력이 작용한 결과라는 해석이 나온다.

하지만 이 역시 소송에 영향을 주기 어려울 것이라고 손 변호사는 내다봤다.

그는 “쿠팡이 미국 정치권 등으로부터 옹호를 얻어낸다 해도, 여론이 법리 해석을 좌우하는 것은 아니다”라며 “미국 집단 소송의 판단 기준은 여론이나 주가가 아니라 사고 관련 피고 기업이 무엇을 언제 알았고, 어떤 조치를 했는지 등이 핵심으로, 정치인의 옹호 발언으로 흐름이 바뀌진 않을 것”이라고 했다.

‘디스커버리’ 전면 활용해 ‘보안 거버넌스 실패 입증’ 주력
손 변호사는 이번 미국 집단 소송에서 활용할 무기로 미국의 ‘디스커버리’(증거 개시) 제도를 내세운다. 한국에는 없는 디스커버리는 원고측이 기업 내부 핵심 증거에 접근할 수 있게 하는 제도다.

이 제도를 피해 원고는 기업들에게 고의성이나 중대과실 여부를 판단할 수 있는 각종 자료들을 제출받을 수 있다. 이번 쿠팡 사고를 계기로 국내에서도 이 제도가 부각돼, 국회에서 ‘한국형 디스커버리’ 도입 논의가 이뤄지고 있다.

손 변호사는 “쿠팡 미국 소송은 기각 단계만 넘기면 바로 전면적 디스커버리에 들어갈 수 있다”며 “실제 내부 문서, 이메일, 보안 보고서, 시스템 로그 등을 통해 사실관계를 직접 검증할 수 있는 단계로 빠르게 진입할 수 있음을 의미한다”고 밝혔다.

손 변호사는 디스커버리를 통해 쿠팡의 보안 거버넌스 실패 입증에 주력할 방침이다.

그는 “이 사건의 승산은 여론이나 사회적 분위기에 있는 것이 아니라, 입증 구조 자체에 있다”며 “쿠팡이 개인정보를 처리하면서 어떤 기본적 보안 통제들이 부재했는지, 예컨대 접근통제, 다중인증(MFA), 로그 관리 및 상시 모니터링 체계 등이 어떻게 미흡했는지 구체적으로 짚는다”고 말했다.

승소가 실제로 손해 배상으로 이어지는지 여부에 대해서 손 변호사는 “유출 가능성이나 불안감만으로 배상까진 어렵다는 점을 분명히 했다”며 “신원도용이나 사기의 ‘위험’ 자체가 아니라 실제 오남용 또는 오남용 시도 정황을 강조할 계획”이라고 밝혔다.

이어 “개인정보 유출 이후 피해를 완화하기 위해 원고들이 실제로 투입한 시간과 비용, 예컨대 계정 비밀번호 변경, 카드 재발급, 신용 모니터링 서비스 이용, 금융기관·통신사 대응 등에 소요된 노력과 지출 등을 손해 요소로 제시할 방침”이라며 “개인정보가 외부로 유출됨으로써 발생한 개인정보 통제 상실과 프라이버시 침해를 독립적 손해로 구성하고, 경우에 따라서는 실제로 발생한 금전적 손해까지 포함해 입증할 예정”이라고 설명했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>