Coupang: disputa por la violación de datos y arbitraje

Choque geopolítico por la violación masiva de datos de Coupang

La masiva violación de datos de Coupang en Corea del Sur se ha transformado en un punto álgido geopolítico, después de que varios inversores estadounidenses iniciaran acciones legales contra el gobierno surcoreano. Lo que comenzó como una investigación regulatoria sobre fallos en seguridad de datos se ha ampliado hacia una disputa sobre supuesto trato discriminatorio contra la compañía con sede operacional en Corea y sede legal en Estados Unidos.

Quién es Coupang y por qué importa

Coupang, que opera principalmente en Corea del Sur, Taiwán y Japón, es a menudo llamada el "Amazon de Corea del Sur". Aunque su presencia comercial es regional, la empresa tiene sede global en Seattle, Washington, lo que complica la relación entre la empresa, sus inversores estadounidenses y las autoridades surcoreanas.

Reclamaciones de los inversores y arbitraje internacional

El 23 de enero de 2026, las firmas de inversión estadounidenses Greenoaks y Altimeter notificaron al Ministerio de Justicia de Corea del Sur que habían sufrido pérdidas por lo que describen como una investigación discriminatoria del gobierno tras la violación. Los inversores declararon su intención de iniciar un arbitraje inversionista-Estado (ISDS) bajo el Tratado de Libre Comercio entre EE. UU. y Corea (KORUS FTA).

Posteriormente, otros tres inversores —Abrams Capital, Durable Capital Partners y Foxhaven Asset Management— se sumaron al caso, alegando que el gobierno actuó ilegalmente contra la compañía de comercio electrónico.

"El asalto sin precedentes del Gobierno a una empresa estadounidense para beneficiar a sus competidores coreanos y chinos es una violación gravísima del Tratado..."

Detalles de la violación y la respuesta gubernamental

En diciembre, Coupang informó que casi 34 millones de clientes en Corea del Sur pudieron haber visto comprometida su información personal en una filtración que, según la empresa, ocurrió meses antes de detectarse. La compañía dijo que se expusieron nombres, correos electrónicos, números de teléfono, direcciones de envío y ciertos historiales de pedidos.

La Comisión de Protección de Información Personal de Corea (PIPC) afirmó que más de 30 millones de cuentas se vieron afectadas. Los inversores, sin embargo, sostienen que solo unas 3.000 cuentas fueron retenidas por el autor del incidente. Coupang explicó que más de 33 millones de cuentas fueron accesadas pero que solo se conservaron alrededor de 3.000 antes de su eliminación y que no se accedió a datos de pago, contraseñas ni identificaciones gubernamentales.

Medidas propuestas y clima regulatorio

Bajo la ley vigente, las sanciones por violación de datos se limitan al 3% de los ingresos. Los inversores estiman que eso representaría más de 800 millones de dólares para Coupang, pero algunos legisladores han propuesto aumentar el tope al 10% y aplicarlo con efecto retroactivo, lo que generó alarma entre los accionistas.

Aunque una posible ley posterior no sería aplicable retroactivamente al incidente, algunos políticos y la PIPC han apoyado imponer multas punitivas mediante nuevas normas o actos especiales. Incluso el presidente surcoreano, Lee Jae Myung, pidió públicamente penalizaciones más severas.

Acusaciones de trato desigual y precedentes locales

Los inversores argumentan que la actuación del gobierno contra Coupang es un "ataque sin precedentes" y señalan discrepancias en el trato a otras empresas tecnológicas surcoreanas tras violaciones de datos:

• KakaoPay: supuesta transferencia masiva de registros, pero sanción comparativamente baja.
• SK Telecom: multa significativa tras una violación masiva relacionada con tarjetas SIM.
• Upbit y AliExpress: acciones gubernamentales mínimas según los inversores.

Estos ejemplos, según los demandantes, subrayan el contraste con la respuesta aplicada a Coupang.

Investigaciones y obligaciones de Coupang

El Ministerio de Ciencia y TIC de Corea del Sur afirmó que la brecha fue cometida por un exempleado con acceso al sistema de autenticación y gestión de claves, y que Coupang no notificó la violación a la Korea Internet & Security Agency (KISA) dentro de las 24 horas requeridas. Además, el ministerio indicó que la empresa no cumplió plenamente una orden de preservación de datos de noviembre de 2025, lo que condujo a la eliminación de registros clave.

Las autoridades remitieron el caso a los investigadores y ordenaron a Coupang presentar un plan de prevención para febrero de 2026, con supervisión hasta julio.

Impacto corporativo y cambios en dirección

Tras el incidente, Coupang reemplazó a su CEO Dae-jun Park por Harold Rogers, abogado jefe de la matriz estadounidense, en diciembre. La compañía y los principales fondos implicados no ofrecieron comentarios públicos a TechCrunch en el momento del reporte.

Implicaciones geopolíticas y comerciales

Analistas como Adam Farrar (CSIS / Bloomberg) han señalado que el caso trasciende una simple violación de datos y plantea cuestiones mayores sobre el trato a empresas estadounidenses en Corea del Sur. La disputa eleva riesgos comerciales y políticos, especialmente si el Congreso de EE. UU. se involucra.

Además, críticos mencionan políticas digitales surcoreanas que podrían favorecer a empresas nacionales, como tarifas de uso de red a proveedores de contenido, reglas de pagos en tiendas de aplicaciones y requisitos de localización de datos que limitan ciertos servicios extranjeros.

Próximos pasos legales

El aviso de intención presentado por los inversores es un paso de preludio: inicia un periodo obligatorio de consulta de 90 días que el Ministerio de Justicia de Corea del Sur está ahora revisando. Si no se resuelve, podría comenzar un arbitraje formal ISDS bajo el tratado comercial bilateral.

El resultado potencial incluye reclamaciones por miles de millones de dólares y posibles efectos duraderos en la relación comercial y tecnológica entre Corea del Sur y Estados Unidos.

Resumen clave

• La violación de datos de Coupang comprometió información de millones de clientes y desencadenó una disputa entre inversores estadounidenses y el gobierno surcoreano.
• Los inversores han iniciado un proceso de arbitraje bajo el Tratado de Libre Comercio entre EE. UU. y Corea, alegando trato discriminatorio.
• Corea del Sur ha considerado multas y sanciones más duras, mientras que los inversores invocan precedentes que, según ellos, muestran trato desigual.
• El caso plantea implicaciones políticas, regulatorias y comerciales que podrían afectar a la cooperación tecnológica entre ambos países.