쿠팡이 최근 발생한 개인정보 유출 사고의 자체 조사 결과와 보상안을 미국 증권거래위원회(SEC)를 통해 공시했다. 쿠팡의 자체 조사 결과에 대해 한국 정부가 ‘확인되지 않은 내용’이라며 부인하고 있는 상황은 공시에 담기지 않았다.

쿠팡은 29일(현지시각) 제출한 ‘Form 8-K/A 보고서’를 통해 유출 사고 피해 고객 3370만명에게 1인당 5만원, 총 1조6850억원 규모의 바우처를 지급한다는 전날 발표 내용을 공시했다. 대규모 자금 투입이 예상되는 만큼 투자자들에게 재무적 변화를 알리는 이번 공시는 미국 증권법상 불가피한 조치로 풀이된다. 이 보고서는 상장사가 투자자에게 중요한 새로운 사실을 알리기 위해 이전 공시를 수정·보완하는 문서로, 투자자 판단을 오도하지 않도록 신속하게 제출해야 한다.

논란이 되는 지점은 쿠팡이 공시 서류에 명시한 사고의 성격과 범위다. 쿠팡은 보고서에서 “3300만개 계정에 접근이 있었으나, 범인이 실제로 저장한 데이터는 약 3000건에 불과하다”고 명시했다. “회수된 기기 분석 결과, 유출된 데이터가 제3자에게 공유되거나 전송된 증거가 없다”며 제3자 유출도 없다고 보고했다. 하지만 공시에는 한국 민관합동조사단과 규제 당국이 이러한 수치에 대해 ‘쿠팡의 일방적인 주장일 뿐’이라며 반박하고 있다는 내용은 담기지 않았다.

쿠팡은 이번 공시에서 “정부의 직접적인 지휘(express direction of government) 하에 조사가 이루어졌다”고 강조했다. 쿠팡은 정부의 제안으로 유출자와 접촉했고, 범인의 자백과 기기 회수 과정이 정부의 지시에 따른 것이라고 기록했다. 심지어 “정부의 비밀 유지 명령(order to keep the operation confidential)을 준수하느라 국회와 미디어의 비판에도 대응하지 못했다”는 주장도 공시 서류에 담았다. 한국 정부는 ‘일부 협력 요청’은 인정하지만 ‘직접 지시’는 부인하고 있다. 미국 증권거래위원회(SEC) 규정에 따르면, 기업은 투자자의 판단에 중요한 영향을 미칠 수 있는 반대되는 정황이나 리스크도 함께 공개해야 할 의무가 있다.

쿠팡이 공시 서류의 ‘전망적 진술(Forward-Looking Statements)’ 섹션에서 조사 결과가 달라질 수 있다는 점을 언급했지만, ‘현지 규제 당국(한국 정부)이 조사 결과의 신뢰성에 의문을 제기하고 있다’는 구체적인 리스크를 빠뜨렸다는 점은 향후 부실 공시 논란을 낳을 수도 있다. 다만 미국 주주 집단소송에서 ‘공개 지연’을 더 엄중하게 다루는 만큼 현재 시점상 자체 조사결과 공시는 불가피한 측면이 있다는 지적도 나온다.