최장혁 "승소 자신있다"…뿔난 개보위, '개인 정보 유출' 카카오와 정면 승부

[이슈 진단+] 카톡 오픈채팅방 '회원일련번호' 두고 개인 정보 해석 다툼…카카오 행정소송에 맞대응

(지디넷코리아=장유미 기자)"지난해 어려운 경제 환경에서 소송비를 거의 100% 이상 늘렸기 때문에 (이번 소송도) 자신있습니다. 개인정보라는 개념이 기술 진보와 함께 계속 바뀌고 있다는 점에서 카카오가 주장하는 부분은 수용하기 어렵습니다."

최장혁 개인정보보호위원회 부위원장은 지난 5일 오후 정부서울청사에서 정례브리핑을 갖고 최근 카카오의 행정소송 움직임에 대해 향후 강경 대응에 나설 것을 예고했다. 카카오톡 오픈채팅방 개인정보 유출 건과 관련한 개인정보위의 제재에 맞서 카카오 측이 최근 행정소송으로 맞대응에 나설 것을 시사한 데 따른 것이다.

최장혁 개인정보보호위원회 부위원장이 6월 5일 오후 서울 종로구 정부서울청사에서 개최된 출입기자단 정례브리핑에서 인사말씀을 하고 있다. (사진=개인정보보호위원회)

앞서 개인정보위는 지난달 카카오가 개인정보보호 법규를 위반했다고 보고 총 151억4천196만원의 과징금과 780만원의 과태료를 부과하고 시정명령과 처분결과를 공표했다. 국내 기업을 상대로 부과한 조치로는 역대 최대 규모다.

제재를 한층 강화한 개정 개인정보법이 적용된 골프존(기존 국내 최다 과징금 건)이 75억원의 과징금을 받는 데 그쳤다는 점을 고려하면, 카카오는 상대적으로 제재가 약한 구법이 적용됐다는 점에서 최악의 상황은 피했다. 구법을 적용했음에도 골프존보다 2배가 넘는 과징금이 매겨졌다는 점에서 신법을 적용했을 경우 500억원가량의 과징금이 부과됐을 수 있었다는 분석도 나왔다.

또 개인정보위는 지난해 3월 오픈채팅 개인정보 유출 의혹이 제기된 이후 카카오가 개인정보 유출신고를 하지 않은 점을 문제 삼아 780만원의 과태료도 부과했다. 카카오 측이 이번 일에 대해 직접적으로 피해를 입은 696명에게 적극 고지하지 않았다는 점도 심각한 문제로 판단했다. 

이번 일은 지난해 3월 카카오톡 오픈채팅방 참여자들의 개인정보가 유출됐다는 의혹이 불거진 데 따른 것으로, 개인정보위는 시스템의 보안 취약점으로 인해 최소 6만5천여 명의 개인정보가 유출됐을 것으로 추정했다. 

최 부위원장은 "카카오가 반발하고 있지만 정부 입장은 전혀 변함이 없고, 관련 소송은 (결론이 나는데) 오래 걸리지 않을 것"이라며 "개인정보 개념을 (신법에 맞춰) 강하게 적용하지 않고 구법에 따라 제재를 했다는 점을 일단 알아달라"고 운을 띄웠다.

이어 "재판을 앞두고 쟁점에 대응하는 게 조심스럽긴 하지만 개인정보 개념은 계속 변하고 있고, 해킹 기술도 굉장히 발달하고 있다"며 "이에 맞춰 (카카오 같은) 국내 기업들이 기술 발전에 따라 적절한 준비를 해 나가야 하는 것 아닌가 싶다"고 말했다.

그러면서 "카카오톡은 무료 서비스지만 이와 관련해 다른 매출이 많이 발생하고 있다는 점을 고려해 과징금 기준이 책정된 것"이라며 "신법이 적용됐다면 더 많은 과징금이 나올 수 있었을 것"이라고 덧붙였다.

'회원일련번호'가 개인정보?…개보위 vs 카카오, 해석 두고 의견 팽팽

이번 일에서 양측의 의견이 가장 엇갈리는 부분은 '회원일련번호'가 개인정보에 포함되는 지에 대한 여부다. 회원일련번호는 주민등록번호나 사원증 번호처럼 개인에게 부여된 고유 번호와 유사한 개념으로, 이 번호만으로는 일단 그 사람의 이름이나 전화번호를 알아낼 수 없다.

카카오톡 오픈채팅방은 참가자들이 익명을 전제로 주식 투자, 게임 등 동일한 관심사에 대한 정보나 친분을 나누는 공간으로 활용돼 왔다. 오픈채팅방 참가자들에게는 회원일련변호가 매겨져 있는데, 이 번호는 그간 카카오톡 내부에서만 회원 관리 목적으로 사용돼 왔다. 

하지만 카카오가 이 회원일련번호와 오픈채팅방 정보를 단순히 연결한 임시ID를 만들어 암호화 없이 그대로 사용했다는 점이 문제가 됐다. 그 결과 해커가 시스템 취약점을 악용해 오픈채팅방 참여자 정보를 알아낸 후 카카오톡의 친구추가 기능 등을 이용해 일반채팅 이용자 정보를 알아냈다. 또 이 정보들을 '회원일련번호'를 기준으로 결합해 개인정보 파일을 생성, 판매한 것으로 확인됐다. 개인정보위에 따르면 해커는 특정 사이트에 696명의 정보를 올려 거래를 시도한 것으로 파악됐다. 

개인정보위 관계자는 "어떤 것(개인정보)은 10만원에 거래됐다는 얘기가 있다"며 "해커가 최소 6만5천719건의 (개인정보를) 조회한 것으로 확인했다"고 말했다.

카카오톡 (사진=카카오 웹사이트 캡처)

카카오에 따르면 지난해 3월 문제가 된 해커는 이렇게 얻은 회원일련번호에서는 얻을 수 없는 이름, 전화번호 등을 알아내기 위해 별도의 프로그램을 동원했다. 예컨대 010-0000-0000에서 010-9999-9999에 이르는 1억 개의 전화번호를 임시로 생성한 후 전화번호로 카카오톡 친구를 추가하는 방식을 활용한 것이다.

카카오 관계자는 "회원일련번호와 임시ID는 메신저를 포함한 모든 온라인 및 모바일 서비스 제공을 위해 반드시 필요한 정보"라며 "번호생성기를 이용해 무작위로 전화번호를 만들어 불특정 다수를 대상으로 스팸메시지를 뿌리는 것은 스미싱, 피싱 등 사기를 저지르는 범죄자들이 주로 활용하는 방식"이라고 밝혔다. 

이어 "사업자가 생성한 서비스 일련번호는 관련법상 암호화 대상이 아니다"며 "이를 암호화하지 않은 것은 법령 위반으로 볼 수 없을 것"이라고 덧붙였다.

반면 개인정보위는 카카오의 회원일련정보가 개인정보라고 볼 수 있는 부분이 상당하다고 주장했다.

최 부위원장은 "회원일련번호가 개인 정보냐, 결합 가능한 정보냐라고 판단하는 부분은 개인정보보호법 초기부터 나왔던 개념"이라며 "이를 근거로 다른 정보와 쉽게 결합해 개인 식별 가능한 내용도 개인 정보로 보고 있다"고 설명했다. 

이어 "카카오는 이를 기반으로 개인들을 다 관리하고 있었고, 본인들도 식별 체계라고 얘기하고 있다"며 "이는 명백하게 카카오가 개인 정보로 볼 수 있었다는 것"이라고 덧붙였다.

또 그는 "이번 일은 개인 정보의 결합 용이성, 입수 가능성을 어떤 기준으로 판단하느냐의 문제로 보여진다"며 "해커 입장에서 얼마나 쉽게 해킹을 할 수 있는지, 이를 토대로 얼마나 쉽게 정보를 결합할 수 있었는지라는 측면에서 볼 때 개인 정보라고 보고 카카오에 처분이 내려진 것"이라고 강조했다.  

행정소송 예고한 카카오…개인정보위, '승소' 자신

개인정보위는 대법원이 차대번호를 개인 식별 정보로 본 전례가 있다는 점을 근거로 카카오 측과의 행정 소송이 진행되면 승소할 것으로 봤다. 기술 발전에 맞춰 개인 정보라는 개념도 바뀌고 있다는 점을 재판부가 고려해 '회원일련정보'를 해석할 것으로 예상해서다.

최 부위원장은 "(기업들이) 기술 진보에만 집착하다보니 오히려 국민들의 개인정보 보호 측면은 좀 소홀해진 것 아닌가에 대해 우려스럽다"며 "점차 정보가 결합될수록 개인 정보를 특정할 수 있는 가능성이 더 많아진다는 점에서 향후 결합 기관에서만 가명 정보, 결합된 개인 정보를 관리하고 기준을 제안하는 역할을 더 강화해야 할 듯 하다"고 말했다.

개인정보보호위원회는 6월 5일 오후 서울 종로구 정부서울청사에서 출입기자단 정례브리핑을 개최했다. (사진=개인정보보호위원회)

개인정보위는 카카오 측의 안일한 대응에 대해서도 비판했다. 카카오 측이 이번 사건을 인지한 즉시 선제적 신고를 하고 수사에도 적극 협조했다고 주장했지만 사실과 다소 다르다는 점을 강조했다. 앞서 카카오는 KISA와 과학기술정보통신부에 신고를 했을 뿐 아니라 카카오톡 공지사항에 전체 이용자를 대상으로 서비스 공지를 게재했다고 밝힌 바 있다.

최 부위원장은 "카카오 측이 696명에게 본인의 정보가 유출됐다는 사실을 지난달 처분 의결 당시까지도 개개인에게 통지하지 않았다"며 "카카오 측이 통지했다고 주장하는 건 홈페이지에 공지로 게시한 것밖에 없다"고 설명했다.

이어 "규제당국에서 처분을 내렸음에도 카카오 측은 통지도 제대로 하지 않고 (아직) 가만히 있다"며 "일단은 행정기관에서 처분을 하면 법원 판결 전까지 이 처분의 효력이 유지가 되고 있다는 점에서 (카카오 측이) 일단 처분을 수용한 후 소송을 다퉈야 한다"고 덧붙였다.

개인정보위 관계자는 "카카오 측이 신고하고 고객들한테 통지했다고 하지만 실제로는 (우리쪽엔 안하고) 과기부에만 했다"며 "하나의 사고로 발생한 문제지만 적용되는 법은 두 개로, (개인정보보호법에 대한 것은 이행 안하고) 정보통신망법에 맞춰서만 (카카오가) 했다"고 설명했다.

그러면서 "카카오 측이 입장문에 모든 조치를 다 한 것처럼 했지만 실제로 개인 정보가 유출된 피해자들한테 사실을 고지하는 게 기업으로서의 도리가 아닌가 싶다"며 "개인정보보호법상 피해 사실을 알게 된 시점마다 개별적으로 계속 통지해야 하는데 카카오는 알면서도 이를 이행하지 않았다"고 꼬집었다.

하지만 카카오는 여전히 개인정보위의 움직임에 반발하며 강경한 태도를 보이고 있다. 또 개인정보위가 제재처분을 내리는 과정에서 해커가 독자적으로 자행한 불법행위까지 카카오의 과실로 본 점은 잘못됐다고 비판했다. 

이처럼 개인정보위와 카카오의 입장이 극명하게 엇갈리는 만큼 이번 제재 처분은 법정 공방으로 이어질 전망이다. 

카카오는 "회원일련번호는 페이스북, 인스타그램 등에서도 볼 수 있는데 이 역시 개인정보 유출로 다 볼 수 있는 부분인지에 대해서도 의문이 든다"며 "이번 결정에 대해 행정소송을 포함한 다양한 조치와 대응을 적극 검토할 것"이라고 밝혔다.

장유미 기자(sweet@zdnet.co.kr)