한·미 통상의 '뇌관'이 된 쿠팡
2026년 1월 22일, 서울 종로구 외교부 청사에 한 장의 공문이 도착했다. 발신인은 미국 워싱턴 D.C.의 로펌 커빙턴 앤 벌링(Covington & Burling). 수신인은 대한민국 정부. 내용은 충격적이었다. "한국 정부가 쿠팡을 차별적으로 대우해 미국 투자자들에게 수백억 달러 규모의 손해를 입혔다. 국제투자분쟁(ISDS) 중재 절차에 착수하겠다." 같은 날, 미국 무역대표부(USTR)에도 청원서가 접수됐다. 무역법 301조에 근거해 한국 정부의 행위가 불공정 무역에 해당하는지 조사해 달라는 요청이었다. 지난해 11월 터진 3370만 건 개인정보 유출 사고가 두 달 만에 한·미 통상 분쟁의 뇌관으로 변한 순간이다.
청원을 제기한 주체는 쿠팡의 미국 투자사 그린옥스 캐피털과 알티미터 캐피털이다. 두 회사는 뉴욕 증시에 상장된 쿠팡Inc의 주요 주주다. 이들은 한국 정부가 개인정보 유출 사고를 계기로 쿠팡만 집중 조사하고, 김범석 쿠팡Inc 의장을 비롯한 미국 국적 임원의 형사 소환을 추진하는 것은 '미국 기업에 대한 정치적 마녀사냥'이라고 주장했다. 청원서에는 "한국 정부가 중국 기업을 편들기 위해 쿠팡을 파산시키려 한다"는 내용까지 담겼다. 이재명 대통령을 '친중(親中)'으로, 한국을 '베네수엘라'에 빗대는 표현도 등장했다.
사건의 발단은 지난해 11월로 거슬러 올라간다. 쿠팡의 서버 인증 취약점을 악용한 퇴사자가 5개월간 고객 계정 약 3370만 건의 정보를 무단 조회했다는 사실이 드러났다. 문제는 쿠팡의 대응이었다. 쿠팡은 처음 피해 규모를 4500건이라고 신고했다가 정부 합동조사 결과 3370만 건으로 정정됐다. 7500배나 축소 신고한 셈이다. 쿠팡은 '해킹에 의한 유출'이 아니라 '비인가 조회에 의한 노출'이라며 의미를 축소하려 했으나, 개인정보보호위원회는 이를 '유출'로 규정하고 재통지를 명령했다. 정부는 범정부 태스크포스를 구성해 개인정보위·공정거래위원회·과학기술정보통신부 등이 합동 조사에 나섰다. 개인정보보호법상 유출 기업에는 관련 매출의 최대 3%까지 과징금을 부과할 수 있다. 지난해 쿠팡의 매출이 38조 원을 넘긴 점을 고려하면 역대 최대 규모의 제재가 예상된다. 별도로 피해자들에 대한 손해배상 규모도 수조 원에 이를 수 있다는 분석이 나온다.
미국 투자사들이 들고나온 카드는 두 가지다. 첫째는 ISDS다. 한·미 자유무역협정(FTA)에 포함된 투자자-국가 분쟁해결 절차로, 외국 투자자가 투자 유치국 정부를 국제 중재기관에 직접 제소할 수 있는 제도다. 둘째는 무역법 301조 청원이다. 미국 정부가 외국 정부의 불공정 무역 행위를 조사하고, 인정될 경우 관세 부과나 서비스 제한 같은 보복 조치를 취할 수 있는 근거 조항이다. 301조 청원은 USTR이 접수 후 45일 이내에 조사 개시 여부를 결정해야 한다. ISDS는 결론까지 수년이 걸리지만, 301조 조사가 개시되면 한·미 통상 관계가 급속히 냉각될 수 있다는 점에서 더 위험하다는 평가다.
한국 정부는 즉각 반박했다. 외교부와 개인정보위는 "국내 수사·조사는 관련 법령에 따른 정당한 집행이며, 미국 기업에 대한 차별적 대우가 아니다"라고 밝혔다. 실제로 개인정보 유출 사고에 대한 과징금 부과는 네이버·카카오 등 국내 기업에도 동일하게 적용돼 왔다. 그러나 미국 정계의 반응은 싸늘하다. 지난 14일 미국 공화당 소속 상·하원 의원들은 공개 서한에서 "한국이 미국 기술기업을 차별하고 있다"고 주장했다. 1월 23일 워싱턴 백악관에서 김민석 국무총리와 회담한 J.D. 밴스 부통령은 쿠팡 사태를 직접 거론하며 "미국 기업에 제재를 가하지 말라"고 경고한 것으로 알려졌다. 월스트리트저널(WSJ)은 27일 "밴스 부통령이 쿠팡 같은 미국 기반 기업에 대한 제재와 규제를 추진하지 말라고 김 총리에게 경고했다"고 보도했다.
논쟁의 핵심은 쿠팡이 '미국 기업'인가라는 질문이다. 쿠팡Inc는 뉴욕 증시에 상장된 델라웨어주 법인이고, 창업주 김범석 의장은 미국 국적자다. 그러나 쿠팡의 매출 대부분은 한국에서 발생하고, 물류센터와 배송 인력 등 핵심 자산도 한국에 있다. 공정거래위원회는 2023년 쿠팡을 대기업집단으로 지정하면서도 김 의장이 미국 국적이라는 이유로 '총수(동일인)' 지정은 제외했다. 국내 법적으로는 한국 기업처럼 규제받지만, 분쟁이 생기면 '미국 기업'을 내세우는 이중 지위가 논란의 씨앗이다. 시민단체들은 "한국에서 돈을 벌면서 불이익이 생기면 미국 정부를 등에 업는 것은 적반하장"이라고 비판한다.
한국이 ISDS에서 패소한 전례가 없는 것은 아니다. 그러나 최근 희소식도 있다. 지난해 11월 국제투자분쟁해결센터(ICSID)는 론스타와 한국 정부 간 13년에 걸친 ISDS에서 한국의 최종 승소를 확정했다. 2022년 원심에서 한국이 2억1650만 달러를 배상하라는 판정이 나왔지만, 취소 심리에서 뒤집힌 것이다. 법률 전문가들은 쿠팡 투자사들의 ISDS 승산이 높지 않다고 본다. 개인정보 유출에 대한 규제는 전 세계 어디서나 정당한 공공정책으로 인정받기 때문이다. 문제는 301조 청원이다. 트럼프 행정부가 한국을 압박할 명분으로 삼을 경우, 관세 협상과 연계되면서 통상 갈등이 확대될 수 있다.
쿠팡 사태가 불거진 지 두 달, 사건의 성격은 완전히 달라졌다. 처음에는 3370만 명의 개인정보가 유출된 보안 사고였다. 지금은 한·미 동맹의 경제적 균열을 드러내는 통상 분쟁으로 비화했다. 한국 정부는 "국내법에 따른 정당한 집행"이라는 원칙을 고수하면서도, 미국 정부와의 외교 채널을 통해 오해를 푸는 데 주력하겠다는 입장이다. 그러나 트럼프 대통령이 27일 "한국에 관세 25%를 다시 부과할 수 있다"고 발언한 상황에서, 쿠팡 사태가 더 큰 불씨가 될지 주목된다. 3370만 명의 개인정보가 유출된 사고로 시작된 이 사건은 이제 두 나라 정부의 외교력 시험대가 됐다.