개인정보위, 카카오 처분 불응 비판 “회원일련번호 개인정보 맞다”

개인정보보호위원회

카카오톡 오픈채팅 정보유출 사고로 151억여원의 과징금을 부과받은 카카오가 여전히 개인정보 유출 신고를 하지 않은 것으로 확인됐다. 개인정보보호위원회는 처분에 불응한 카카오에 대해 “규제 처분을 일단 따르고 법적으로 다퉈야 한다”고 비판했다.

최장혁 개인정보위 부위원장은 지난 5일 정부서울청사에서 정례브리핑을 열고 “카카오가 이미 개인정보 유출로 처분이 내려졌음에도 해당 정보는 개인정보가 아니라는 입장을 고수하며 (개인정보위에) 신고하지 않고 있다”고 밝혔다. 개인정보보호법에 따르면 모든 개인정보처리자는 개인정보 유출 사실을 알게 된 후 72시간 이내에 개인정보위에 신고해야 한다.

개인정보위는 지난달 이용자 정보에 대한 안전조치 등을 소홀히 했다는 이유로 카카오에 국내업체 역대 최대 과징금인 151억여원을 부과했다. 하지만 카카오는 유출된 정보로는 개인식별이 불가능해 개인정보 유출이 아니라며 행정소송 등 적극적인 대응에 나서겠다는 입장이다.

카카오톡 로고

개인정보위는 지난해 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론보도에 따라 조사에 착수했다. 해커는 오픈채팅방 이용자에게 부여되는 아이디(ID) 뒷자리가 카카오톡 회원일련번호와 같다는 보안취약점을 파고들어 이용자들의 개인정보를 생성·판매했다.

이 사건에서 쟁점은 해커가 회원정보를 빼돌리는데 이용한 일련번호를 개인정보로 볼 수 있냐는 것이다. 카카오 측은 회원일련번호는 말 그대로 숫자의 나열이며, 그 자체로는 누구인지 알 수 없어 개인정보로 볼 수 없다는 입장이다. 해커가 불법적으로 정보들을 결합해 낸 것이지 카카오로부터 직접 정보가 빠져나갔다고 볼 수 없다고도 했다.

하지만 개인정보위는 일련번호를 다른 정보와 결합해 이용자들을 찾아낼 수 있었고, 실제 유출 사고로 이어진 상황에서 개인정보로 봐야한다는 입장이다. 개인정보보호법은 ‘해당 정보만으론 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 정보’도 개인정보로 규정한다. 최 부위원장은 “개인정보가 식별기능뿐만 아니라 다양한 기능을 하고 있기 때문에 개념이 계속 바뀌고 있다”고 말했다. 김해숙 개인정보위 조사2과장은 “카카오가 ‘식별체계’라고 부르며 회원일련번호로 모든 유저를 구분하고 관리하고 있었던 만큼 개인정보로 볼 수 있다”고 부연했다.

이날 브리핑에서 개인정보위는 ‘규제기관이 피규제기관과 다투는 것은 부적절하다’며 수위 조절을 했지만 불쾌감을 드러냈다. 카카오는 해킹 인지 이후 경찰과 과학기술정보통신부 등에 신고했지만, 개인정보위에는 신고하지 않았다. 유출 피해자 696명은 신원까지 파악됐음에도 카카오는 이들에게 유출 사실을 통지하지 않았다. 최 부위원장은 “규제당국의 처분은 법원에서 다른 판단을 할 때까지 유지된다”며 “본인들이 개인정보 유출이 아니라고 판단해 다툴 의향이 있더라도 일단은 신고하는 등 필요한 의무를 다하고 다퉈야 하는 것 아닌가”라고 지적했다.

또한 최 부위원장은 ‘고학수 개인정보위 위원장이 과징금 부과 관련 카카오의 언론플레이를 언급했다’는 풍문에 대해 “카카오톡은 국민대표 서비스”라며 “책임있는 기업은 갈수록 발전하는 해킹 기술에도 대응을 준비해야 한다”고 에둘러 비판했다.

---

☞ 카카오톡 ‘오픈채팅’ 개인정보 유출 151억원 과징금…카카오 “행정소송”
     https://www.khan.co.kr/economy/economy-general/article/202405231219001

---

배문규 기자 sobbell@kyunghyang.com