쿠팡, 美 공시서 “외부 유출 미확인” 반복 강조…법적 책임 최소화 전략에 주주 반발

[녹색경제신문 = 서영광 기자] 쿠팡이 3300만 명 규모의 개인정보 접근 사고와 관련해 미국 증권당국에 제출한 공시에서 “외부로 데이터가 공개됐다는 정황은 확인되지 않았다”는 점을 유독 강조한 것으로 나타났다.

공시 문구 전반에 걸쳐 책임 범위를 최소화하려는 보수적 표현이 반복되면서, 미국 주주들 사이에서는 “위험을 축소해 전달했다”는 비판이 커지고 있다.

쿠팡은 지난 15일(현지시간) 미 증권거래위원회(SEC)에 제출한 Form 8-K 공시에서 전직 직원에 의한 무단 접근 사실을 공개하면서도, “쿠팡이 인지한 바에 따르면(To Coupang’s knowledge), 해당 전직 직원이 확보한 데이터를 외부에 공개한 사실은 없다”고 명시했다. 단순한 사실 서술이 아닌, ‘회사가 현재까지 파악한 범위 내에서는’이라는 조건을 전제로 책임을 한정한 것.

이와 같은 문구는 미국 증권 공시에서 자주 활용되는 전형적인 방어적 표현으로, 향후 추가 사실이 드러나더라도 고의적 허위 공시 책임을 피하기 위한 장치라는 해석이 나온다. 실제 공시에서도 쿠팡은 “접근이 있었을 가능성”이라는 표현을 사용했고, 사고의 성격을 ‘유출’이 아닌 ‘unauthorized access(무단 접근)’로 규정했다.

공시 내용은 피해 범위를 축소하는 데에도 초점이 맞춰졌다. 쿠팡은 이름, 전화번호, 배송지 주소, 이메일 주소 등 기본 정보와 일부 주문 이력만 접근됐을 가능성이 있으며, 결제 정보나 로그인 정보는 포함되지 않았다고 강조했다.

또 “영업 활동에는 중대한 차질이 없었다”며 사고가 회사의 재무 상태나 운영에 미친 영향을 제한적으로 묘사했다.

이러한 공시 태도는 오히려 주주들의 반발을 키우는 계기가 됐다. 미국 캘리포니아 북부 연방법원에는 쿠팡이 사고를 인지하고도 적시에 공시하지 않았고, 위험 요소를 축소해 투자자들에게 전달했다는 취지의 증권 집단소송이 제기됐다.

소송을 제기한 주주는 쿠팡이 미 증권법상 요구되는 ‘중대한 사이버 사고 발생 후 4영업일 이내 공시’ 의무를 위반했다고 주장하고 있다. 특히 논란이 되는 대목은 공시 시점과 표현의 대비다. 쿠팡은 지난 11월 18일 사고를 인지했지만, 약 한 달이 지난 12월 중순에야 SEC에 관련 사실을 보고했다. 그 사이 주가는 하락했고, 주주들은 “사고의 실질적 위험이 제때 시장에 반영되지 않았다”고 반발하고 있다.

시장에서는 쿠팡이 법적 리스크 관리에는 충실했지만, 그 과정에서 투자자 신뢰를 희생했다는 평가도 나온다. ‘외부 유출이 확인되지 않았다’는 문구는 법적으로는 신중한 표현이지만, 대규모 개인정보 접근 사실 자체만으로도 기업 가치에 중대한 영향을 미칠 수 있다는 점에서 충분한 설명 책임을 다하지 못했다는 것이다.

한 업계 관계자는 <녹색경제신문>에 “공시 문구 하나하나가 향후 소송을 염두에 둔 방어적 언어를 사용한 것으로 보인다”며 “문제는 이런 태도가 단기적으로는 책임을 줄일 수 있을지 몰라도, 장기적으로는 기업의 투명성과 신뢰에 더 큰 부담으로 작용할 수 있다는 점”이라고 말했다.

결국 이번 사안의 쟁점은 개인정보가 실제로 외부에 공개됐는지 여부를 넘어, 기업이 중대한 리스크를 언제, 어떤 언어로 시장에 알렸는가로 옮겨가고 있다. ‘To Coupang’s knowledge’라는 한 문장이 쿠팡의 위기 대응 전략을 상징적으로 보여주고 있다는 평가가 나오는 이유다.