개인정보 유출로 과징금 151억원을 부과받은 카카오가 제기한 과징금 취소 소송에서 보호조치 의무를 두고 설전이 벌어졌다.
서울고법 행정9-2부(부장판사 김동완)는 3일 카카오가 "과징금 부과 처분과 시정 명령을 취소해 달라"며 개인정보보호위원회(개보위)를 상대로 낸 소송의 항소심 첫 변론을 진행했다.
카카오 측은 2020년 8월 오픈채팅방 일부에 대해서만 보호조치를 한 데 대해 기술적인 사정이 있었다고 주장했다. 카카오 측은 "일부 오픈채팅방에 암호화 조치를 한 것은 기존 채팅방에 보안을 업그레이드하려면 서비스 이용에 중대한 위험이 발생하는 문제가 있었다"며 "이 사건 해커의 공격 방법은 당시 예견하기 어려운 것이었다"고 했다.
카카오 측은 해커의 공격을 실시간·단기간에 식별하지 못했다고 탐지·차단 의무를 위반했단 점은 인정할 수 없다고 했다. 카카오 측은 "카카오톡과 같이 방대한 메시지 처리 시스템에선 입력 정보와 다른 기능 정보가 다양해 사전에 (공격을) 완벽하게 차단하는 건 기술적으로 불가능하다"고도 주장했다. 이어 해커가 공격을 위해 사용한 방법이 카카오톡 메시지 환경 내 전체 호출 건수의 0.0007%에도 미치지 못했다고 덧붙였다.
카카오 측은 유출된 정보가 '개인정보'가 아니므로 개인정보보호법상 처분의 대상이 되는 정보가 아니라고도 주장했다. 해커가 카카오에서 탈취한 정보를 타 정보와 연계 및 역산하는 방식으로 이용자들의 핵심 정보를 생성했다는 취지다. 이어 "카카오의 관리·통제권을 벗어난 정보"라며 "(해커가 탈취한 정보는) 메시지 식별을 위해 설계한 정보이고 이용자도 동의했다"고 했다.
과징금 산정에도 문제가 있다고 강조했다. 카카오 측은 개보위가 과징금 산정에 있어서 매출액 범위·위반 행위·기간을 산정하는 데 있어 여러 오류를 범했다며 "비례원칙, 평등원칙을 범하는 위법을 범했다"고 했다.
개보위 측도 팽팽히 맞섰다. 먼저 카카오가 오픈채팅방 일부에 보호조치를 한 데 대해서는 "2020년 8월 오픈채팅방 일부에 암호화 조치를 했는데 이후 생성된 오픈채팅방에만 적용되고 그전에 발생한 방은 그대로 방치돼 어떤 보안 조치도 안 됐다"며 "아직까지 후속 조치 마련되지 않았고 검토조차 안 했는지 의문을 가지지 않을 수 없다"고 했다.
독자들의 PICK!
이어 카카오 측이 유출된 정보가 '개인정보'가 아니라고 주장한 데 대해 "판례와 정면 배치되는 주장"이라며 "카카오의 관리·통제권을 벗어나 해커 등 제3자가 알게 되고 재판매되기도 했다. 재고의 여지가 없다"고 말했다. 그러면서 "카카오가 도저히 사회 통념상 기대할 수 있는 수준의 보안 조치를 했다고 볼 수 없다"고 지적했다.
카카오 측은 추후 변론에서 당시 보안 담당자를 부르겠다는 입증 계획을 밝혔다. 카카오 측은 "일부 오픈채팅방에 암호화를 하고 나머지는 하지 못한 데 대해 당시 기술적으로 어떤 난점이 있었는지 상세히 설명드리겠다"고 설명했다. 또 이번 사건이 기술적인 쟁점이 복잡한 만큼 정보·보안 전문가의 의견을 제출하겠다고 덧붙였다.
재판부는 양측의 의견을 청취한 뒤 다음 기일을 12월17일 오후 3시로 지정했다.
개보위는 2023년 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론보도에 따라 개인정보보호법 위반 여부를 조사했다. 개보위 조사 결과 해커가 카카오톡 오픈채팅방의 취약점을 이용해 오픈채팅방 참여자 정보를 알아내고 일반채팅 이용자 정보를 빼낸 것으로 파악됐다.
해커는 이들 정보를 회원 일련번호를 기준으로 결합해 6만5000건 이상의 개인정보 파일을 생성해 판매한 것으로 확인됐다. 개보위는 이에 카카오에 과징금 151억원과 과태료 780만원을 각각 부과하고 시정명령과 처분 결과를 공표하도록 의결했다.
카카오는 이에 불복해 2024년 11월 행정소송을 냈고 지난 1월15일 패소했다. 1심 재판부는 카카오가 접근 제한 및 유출 탐지 기능이 포함된 시스템을 체계적으로 관리하지 않은 점과 개인정보 유출·노출 방지 조치에 소홀했던 점을 인정해 개보위의 과징금 처분이 정당하다고 판단했다.
