개인정보 유출 사태는 중대한 사안 아니다? 쿠팡, 아직도 미국서 공시 안했다

3370만명 개인정보 유출 사태 파문이 확산하면서 쿠팡이 미국 증권거래위원회(SEC) 조사를 받을 수 있다는 가능성이 제기되고 있다. 쿠팡 모기업인 쿠팡Inc는 미국 뉴욕증시 상장사로, 1일 현재까지 이번 사태와 관련해 별다른 공시를 하지 않고 있어서다.

SEC에 따르면, 상장사는 ‘중대한 사이버 보안 사고’를 겪었을 경우 이를 인지한 시점에서 4영업일 내에 관련 내용을 공시해야 한다. 쿠팡은 앞서 개인정보 유출을 처음 인지한 시점으로 탈취 건수를 4500건으로 알았던 지난달 18일이라고 밝힌 바 있다. 이미 공시 기한이 넘은 것이다.

미국에선 사이버 보안 사고가 자칫 주가 급락 등으로 이어질 수 있어 투자자 판단을 위한 중요한 기업 가치로 본다. 이에 따라 공시를 늦게 할 때에도 제재 강도가 높다.

다만 쿠팡은 중대성에 대한 판단 여부를 유보했다는 입장을 밝힐 것으로 보인다. SEC에서 중대성 관련 판단에 대한 기한은 없는 것으로 알려져 있다.

개인정보 유출 사태는 국내에서 벌어진 일이지만, 피해 규모 등을 봤을 때 쿠팡Inc가 공시를 해야 하는 중대한 사안이라는 것이 일반적인 시각이다. 국내에서는 개인정보 유출 사실을 인지한 뒤 72시간 이내에 이용자에게 통지해야 한다는 현행법에 따라 쿠팡은 이를 지난달 20일 개인정보보호위원회에 신고했다.

쿠팡은 지난 2월 SEC에 제출한 연간 보고서에서도 사이버 보안 항목에 “위협에 따른 위험이 사업 전략이나 영업실적, 재무 상황 등에 중대한 영향을 미치지 않았다”고 공시했다. 향후 중대한 영향을 미칠 가능성에도 “해당 없음”이라고 밝혔다.

국내 유통업계에서는 쿠팡이 2021년과 2023년에도 개인정보 유출 사건이 있었던 만큼 해당 공시의 내용이 논란이 될 것으로 보고 있다.