[미국 정치의 몰락①] 미 하원 쿠팡 보고서, 기업 주장에 기운 조사

[KtN 박준식기자]미국 하원 법사위원회가 7월 1일 공개한 ‘경쟁체제 폐쇄: 미국에 대한 한국의 차별적 공격’ 보고서는 한국 정부가 미국 기업 쿠팡을 표적으로 삼아 과도한 조사와 제재를 가했다고 적었다. 한국의 디지털 규제와 공정거래 집행은 미국 기업의 경쟁력을 떨어뜨리기 위한 수단으로 규정됐다. 쿠팡을 둘러싼 조사가 한미 무역 합의를 위반했다는 주장도 담겼다.

판단의 중심에는 쿠팡이 제출한 문서와 쿠팡 최고행정책임자 겸 총괄법률고문 해럴드 L. 로저스(Harold L. Rogers)의 비공개 증언이 놓였다. 법사위는 쿠팡에 관련 문서와 통신자료를 제출하도록 소환장을 보냈고, 로저스에게 증언을 요구했다. 보고서는 해당 자료를 바탕으로 한국 정부가 외국 기업을 차별해 왔으며 쿠팡을 상대로 조직적인 압박을 가했다고 결론 내렸다.

한국 정부와 조사기관이 제시한 반론은 결론을 바꾸지 못했다. 보고서가 서로 다른 자료를 어떤 기준으로 검토했는지, 쿠팡 측 주장과 한국 정부 설명을 같은 수준에서 비교했는지도 공개된 내용만으로는 확인하기 어렵다. 미국 의회의 조사 권한이 기업의 방어 논리를 검증하는 데 쓰였는지, 기업의 방어 논리에 국가기관의 권위를 실어주는 데 머물렀는지가 논란의 출발점이다.

소환장에 먼저 들어간 ‘차별’ 결론

하원 법사위가 2월 5일 쿠팡에 보낸 서한과 소환장은 개인정보 유출의 성격부터 한쪽 방향으로 정리했다. 전직 직원이 보관한 자료는 약 3,000명의 제한적이고 민감하지 않은 정보였고, 해당 자료도 회수됐다는 전제가 문서에 들어갔다. 한국 정부가 쿠팡을 상대로 대규모 조사를 벌인 행위는 해당 전제를 기준으로 과도한 대응으로 평가됐다.

로저스의 비공개 증언은 소환장 발부 뒤인 2월 23일 진행됐다. 증언을 듣기 전부터 ‘3,000개 계정’, ‘민감하지 않은 정보’, ‘피해가 크지 않은 사고’, ‘한국 정부의 과잉 대응’이라는 판단이 조사 착수 문서에 담긴 셈이다.

조사는 상반된 자료를 모아 사실관계를 좁혀 가는 절차다. 미 하원 법사위는 한국 정부의 법 집행이 차별적이었다는 판단을 먼저 세우고, 쿠팡 측에 해당 판단과 관련된 문서와 증언을 요구했다. 조사 과정에서 한국 정부와 규제기관, 개인정보 전문가, 피해 당사자에게 같은 수준의 증언 기회가 주어졌는지는 공개되지 않았다.

보고서가 작성된 순서를 보면 결론을 향해 증거를 모은 흔적이 짙다. 쿠팡을 둘러싼 사실관계를 처음부터 다시 검토하기보다 쿠팡이 미국 기업이라는 점과 한국 정부의 조사 규모를 연결해 ‘차별적 공격’이라는 틀을 먼저 세웠다.

3,000개 계정과 3,755만명, 서로 다른 숫자의 기준

미 하원 보고서는 전직 직원이 최대 3,370만개 계정에 접근할 수 있었지만 실제로 저장한 정보는 약 3,000개 계정분에 그쳤다고 설명했다. 저장된 자료도 이름과 이메일, 전화번호 등 민감도가 낮은 정보였고 외부로 공유되지 않았다는 쿠팡 측 주장이 이어졌다. 해당 설명은 전직 직원의 진술과 보안업체의 확인을 거쳤다는 내용으로 보강됐다.

한국 측이 제시한 조사 결과는 범위를 다르게 잡았다. 노동·시민사회가 인용한 민관합동조사 결과에는 회원 개인정보 3,367만여 건과 배송지 목록 페이지 약 1억4,800만회의 무단 조회가 확인됐다는 내용이 담겼다. 회원과 비회원을 합한 개인정보 유출 규모는 최소 약 3,755만명으로 제시됐다.

3,000개와 3,755만명은 같은 대상을 같은 방식으로 센 숫자가 아니다. 3,000개는 전직 직원이 저장했다고 쿠팡 측이 밝힌 계정 수다. 3,755만명은 비정상 접근과 유출 기록을 토대로 산정한 전체 정보주체 규모다. 두 숫자를 단순히 맞세워 어느 한쪽을 거짓이라고 단정하면 산정 기준의 차이가 가려진다.

미 하원 보고서의 편향은 숫자의 차이보다 숫자를 배치한 방식에서 드러난다. 보고서는 쿠팡 측이 제시한 저장 계정 수를 사고 규모를 판단하는 중심에 놓았다. 한국 조사기관이 확인한 접근 범위와 피해자 수, 인증키 관리 실패, 장기간 이어진 비정상 접근은 같은 무게로 다뤄지지 않았다.

한국 민관합동조사단이 분석한 접속 기록은 25.6테라바이트에 이른다는 내용도 발표문에 포함됐다. 미 하원 보고서가 해당 조사 결과를 어느 수준까지 검토했는지는 확인되지 않는다.

한국 정부 반론은 소개에 그쳐

한국 정부는 보고서 발표 다음 날 쿠팡 측 주장만 일방적으로 반영됐다며 유감을 표했다. 쿠팡에 대한 조사와 처분은 국내법에 따라 적법하고 비차별적으로 진행됐으며, 한국 정부가 법사위에 전달한 입장과 사실관계가 보고서에 반영되지 않았다는 설명도 내놨다.

국정원의 장비 회수 개입 여부도 양측 주장이 충돌한다. 쿠팡 측은 국정원의 요구와 지시에 따라 중국에 있던 저장장치 회수 작업을 진행했다는 취지로 주장했다. 국정원은 장비 확보를 지시하거나 명령·강요한 사실이 없다고 반박했다. 쿠팡이 다른 정부기관을 통해 장비의 국내 이송 지원을 먼저 요청했고, 국정원은 개인정보가 저장됐을 가능성을 고려해 운송을 지원했을 뿐이라는 입장이다.

미 하원 보고서는 국정원의 반론을 받아들이지 않았다. 판단 근거에는 쿠팡 내부 자료와 로저스 증언이 다시 사용됐다. 기업과 국가기관의 설명이 엇갈리는 상황에서 기업이 제출한 자료가 기업 주장에 힘을 싣고, 같은 자료가 상대 기관의 반론을 배척하는 근거까지 맡았다.

쿠팡 제출 문서 전체와 로저스 증언 전문은 공개되지 않았다. 국정원이 주고받은 공문 원문과 업무협의 기록도 함께 검토되지 않은 상태다. 양측 설명 가운데 어느 쪽이 사실에 가까운지 외부에서 확인할 수 있는 자료는 제한적이지만, 미 하원 보고서는 한국 정부의 설명이 사실과 다르다는 쪽으로 결론을 내렸다.

6,246억원 과징금에 빠진 구체적 위반 내용

보고서는 한국 정부가 쿠팡에 수천억원대 과징금을 부과한 사실을 미국 기업에 대한 과도한 제재의 근거로 들었다. 과징금 규모는 강조됐지만 처분 대상이 된 위반 행위와 산정 기준은 충분히 설명되지 않았다.

한국 측 발표문에는 쿠팡이 퇴사자의 인증 서명키를 적절히 관리하지 않았고, 2025년 4월부터 11월까지 회원정보와 배송지, 주문목록 페이지에서 개인정보가 유출됐다는 조사 결과가 담겼다. 전직 직원이 퇴사한 뒤에도 인증키를 변경하거나 폐기하지 않았다는 지적도 포함됐다.

과징금이 많다는 사실만으로 차별 여부를 판단하기는 어렵다. 적용된 법 조항과 위반 행위의 수, 유출 규모, 관련 매출액, 반복성과 피해 가능성을 함께 비교해야 한다. 한국 기업과 외국 기업에 같은 기준이 적용됐는지도 개별 처분을 맞춰 봐야 한다.

미 하원 보고서는 처분액과 조사 인원, 조사 건수를 한데 묶어 한국 정부의 압박 강도를 강조했다. 쿠팡이 어떤 의무를 위반했고 각 처분이 어떤 산정 기준을 거쳤는지는 뒤로 밀렸다. 제재의 원인을 빼고 결과만 비교하면 법 집행은 손쉽게 정치적 탄압으로 바뀐다.

기업의 방어 논리가 의회의 언어로 바뀐 과정

현재 공개된 내용만으로 쿠팡이나 로비업체가 보고서 문안을 직접 작성했다고 단정할 수는 없다. 부당한 금전 제공이나 불법 청탁이 있었다는 근거도 확인되지 않았다. 보고서가 기업 자료에 크게 의존했다는 사실과 불법 로비가 있었다는 주장은 구분해야 한다.

의회의 책임은 불법 여부만으로 정리되지 않는다. 조사 대상 기업이 제공한 자료와 임원 증언을 중심으로 상대 국가의 법 집행을 평가했다면, 반대 자료와 독립적인 검증 결과도 같은 수준으로 다뤄야 한다. 국가기관의 이름으로 발표되는 문서는 기업의 보도자료보다 훨씬 큰 외교적 영향력을 갖는다.

쿠팡의 방어 논리는 미 하원 보고서를 거치며 미국 기업에 대한 차별, 한미 무역 합의 위반, 한국 정부의 조직적 공격이라는 정치 언어로 바뀌었다. 기업이 한국에서 법적 책임을 다했는지는 뒤로 밀리고, 미국 기업이라는 국적이 논의의 앞자리를 차지했다.

미국 의원이 한국 개인정보보호법과 행정절차를 세부적으로 알지 못하는 일 자체는 비정상적이지 않다. 의회에는 전문 보좌진과 조사권, 청문 절차가 있다. 의원 개인의 지식 부족을 보완하고 이해당사자의 주장을 검증하기 위한 장치다.

정책 역량은 모든 내용을 암기하는 능력보다 상반된 자료를 가려내는 데서 드러난다. 미 하원 법사위는 조사 착수 단계부터 쿠팡 측의 사고 규모와 한국 정부의 동기를 사실에 가까운 전제로 받아들였다. 후속 보고서에서도 같은 전제가 반복된다면 미국 의회의 조사 권한은 사실 확인보다 기업의 메시지를 공식화하는 데 쓰였다는 비판을 피하기 어렵다.

로저스의 비공개 증언 전문과 쿠팡 제출 문서 원본, 한국 정부가 법사위에 전달한 답변, 보안업체 조사 결과는 아직 확인이 필요하다. 하원 법사위가 중간보고서의 수치와 자료 구성을 다시 검토할지도 남아 있다.

추가 자료 공개와 정정이 없다면 ‘한국의 차별적 공격’이라는 결론은 충분한 검증을 거친 조사 결과로 남기 어렵다. 미국 의회가 기업의 주장과 국가의 판단을 구분할 능력을 갖췄는지는 최종보고서의 자료 공개 범위와 반론 처리 방식에서 확인될 전망이다.