Coupang perde pedido de suspender multa recorde na Coreia

Correção ao nosso registro: o registro trata o caso como "alegação" não verificada, sem vítima limpa, sem ator, sem país nem registros. Isso estava errado. A "vítima" gravada é a manchete de uma notícia, e a data 2026-11-05 é a da decisão judicial, não a do incidente. O vazamento é fato confirmado pela Coupang, em comunicados e no 8-K à SEC, e pelo PIPC, em decisão administrativa. Por isso passamos o selo para "confirmed" e o veredito para "real". Também não há "grupo": a origem é um ex-funcionário, descrito como cidadão chinês de 43 anos pela imprensa coreana (BleepingComputer, citando mídia local) e como cidadão chinês sem nome no texto do PIPC (The Record). Não encontrei acusação formal ou prisão em fonte que eu tenha lido.

O que o tribunal decidiu em 5/11: a 4ª Vara do Tribunal Administrativo de Seul (juiz Kim Young-min, segundo a Newspim) negou a suspensão da multa de ₩423,5757 bilhões. Os motivos foram que o dano financeiro é reparável por compensação e que a Coupang não demonstrou dano de difícil reparação nem urgência. Ao mesmo tempo, suspendeu as ordens corretivas, de divulgação e de publicação até 30 dias depois da sentença de primeira instância. Como a audiência de mérito não tem data, o título "adia por 30 dias" que circula, inclusive na nossa fonte original, passa a impressão errada. O adiamento é indefinido, não de um mês.

O que as ordens corretivas exigem, segundo Asia Business Daily e JoongAng Daily: reforçar medidas de segurança, notificar titulares afetados que não são membros e dar ao encarregado de privacidade (CPO) um papel efetivo. Ou seja, a parte do pacote mais ligada à redução de risco real fica parada enquanto a multa, que é a parte financeira, segue valendo. O PIPC havia argumentado que a Coupang tem mais de ₩2,6 trilhões em caixa e pode parcelar. A Coupang disse que pagar quase todo o caixa abalaria a operação. O tribunal acolheu o argumento do PIPC sobre a multa.

A distância entre os números: a Coupang anunciou 33,7 milhões de contas em 1/12/2025 e, no 8-K, "até 33 milhões". Antes disso, a estimativa interna era de cerca de 4.500 contas. O PIPC fechou em cerca de 37,55 milhões de pessoas: 33.222.472 membros e pelo menos 4.338.368 não membros, que estavam nos dados como destinatários de entrega (The Elec, teiss). Os dois números não são contraditórios, porque medem populações diferentes. A soma dos dois valores citados dá 37,56 milhões, um pouco acima do 37,55 milhões oficial. Não sei se é arredondamento ou deduplicação, e isso não altera a conclusão. A crítica ao PIPC é que a Coupang não notificou os não membros mesmo após quatro pedidos formais entre dezembro de 2025 e janeiro de 2026 (The Record).

A maior divergência é sobre o que foi de fato levado. A Coupang afirma que o ex-funcionário acessou dados básicos de cerca de 33 milhões de contas, mas salvou apenas cerca de 3.000, que foram recuperados, sem repasse externo (Korea Herald). O PIPC, segundo a The Record, afirma que ele remontou dados em perfis individuais e enviou dois e-mails de extorsão, o segundo alegando 120 milhões de endereços, 560 milhões de registros de pedidos e 33 milhões de e-mails, com amostras. Essas cifras são alegação do ator (nota F). Não encontrei prova pública de que existam nem de que não existam. Os números por si só não são absurdos: 120 milhões de endereços dão cerca de 3,6 por conta em 33,7 milhões. Mas nada nas fontes lidas resolve a divergência. O 8-K registra, em junho de 2026, que os dados não tinham sido divulgados publicamente "até onde a empresa sabe".

Os valores da multa variam conforme a fonte, e a causa é câmbio, não discordância. A multa pelo vazamento, ₩423,575 bilhões, aparece como US$315,6 milhões (Yonhap/JoongAng), US$315,7 milhões (Korea Herald), US$290 milhões (Seoul Economic Daily) e cerca de US$278 milhões (8-K da Coupang, na taxa de junho). O total de ₩624,681 bilhões inclui a multa por coleta indevida de registros de navegação de cerca de 11,17 milhões de membros em sites e apps de terceiros do programa Coupang Partners. Essa segunda multa é independente do incidente. O Korea Herald cita ₩201,16 bilhões, mas a subtração (624,681 menos 423,575) dá ₩201,106 bilhões, o que sugere erro de digitação na matéria. A Coupang, por sua vez, afirma que as medidas preventivas e as explicações dela não foram refletidas na decisão, e foi à Justiça.

Limites do que a evidência sustenta: tudo aqui sobre a decisão judicial vem de cobertura convergente de vários veículos coreanos e internacionais citando o mesmo despacho, sem acesso ao texto integral. O que o PIPC afirma sobre a causa e a escala vem de resumos da imprensa e de sites especializados, não do documento da decisão, que não li. O 10-Q do 3º trimestre foi aberto só em trechos de busca, e não confirmou nada além do que já havia no 8-K. A Coupang alertou que os valores finais e as medidas corretivas "podem diferir" do anunciado, e a ação de mérito pode alterar tudo. Também não encontrei, nestas fontes, informação sobre o pedido de suspensão da segunda multa, a de ≈₩201 bilhões.

O PIPC conta cerca de 37,55 milhões de pessoas afetadas: 33,2 milhões de membros e pelo menos 4,34 milhões de não membros, que não foram notificadas apesar de quatro pedidos do regulador. Os dados expostos foram nomes, e-mails, telefones, endereços de entrega e, para um subconjunto, histórico de pedidos. A Coupang diz que não houve vazamento de dados de pagamento, credenciais de login nem números de desembaraço aduaneiro. Para a empresa, a multa de ₩423,575 bilhões é exigível agora. A Coupang também anunciou ₩1,685 trilhão em vouchers a cerca de 33,7 milhões de clientes, utilizáveis só na plataforma, e enfrenta processos de acionistas. O PIPC achou ainda que a Coupang reteve 2.465.592 endereços de entrega e 318.499 registros de conta bancária de ex-membros, contrariando sua própria política de exclusão. Isso é um achado do regulador, não de vazamento comprovado.