법정 가는 개인정보위-카카오…"임시ID, 개인정보 여부 다툰다"

[이데일리 김가은 기자] 개인정보보호위원회와 카카오(035720)가 소송전에 돌입한다. 카카오톡 오픈 채팅 이용자 개인정보 유출을 두고 첨예하게 대립하고 있는 것이다. 주요 쟁점은 크게 두 가지다.

이번 사고가 개인정보 유출에 해당하는지, 또 카카오가 개인정보보호법 상 의무를 준수해야 하는지다. 카카오 측은 개인정보위가 내린 과징금 처분에 대해 동의할 수 없다며 행정소송을 준비 중이다.

최장혁 개인정보보호위원회 부위원장이 5일 서울 종로구 정부서울청사에서 개최된 출입기자단 정례브리핑에서 인사말을 하고 있다(사진=개인정보보호위원회)

최장혁 개인정보위 부위원장은 5일 정부서울청사에서 열린 정례 브리핑에서 “카카오에 특별히 개인정보 보호에 대한 사항을 강하게 적용한 것이 아니라 법과 원칙에 따라 처분했다”며 “카카오는 피해를 입은 것으로 확인된 고객 696명에 대한 개별 통지를 하지 않았고, 피해 사실도 신고하지 않았다”고 강조했다.

앞서 개인정보위는 카카오에 국내 업체 기준 역대 최대인 과징금 151억5196만원과 과태료 780만원을 부과했다. 조사 결과 카카오가 개인정보 관리 감독을 소홀히 해 카카오톡 오픈 채팅 이용자 정보 6만5000여건이 유출됐다는 판단이다.

조사에 따르면 해커는 카카오톡 오픈채팅방 취약점을 이용해 이용자들의 임시 아이디(ID)를 알아냈다. 임시 ID 뒷자리에는 개인마다 부여된 회원 고유 일련번호가 포함돼 있었다. 해커는 카카오톡 친구 추가 기능과 불법 해킹 프로그램 등을 활용해 임시 ID와 일련번호를 결합한 후 이용자 이름과 전화번호 등 개인정보 5종을 파악해 이를 판매했다.

개인정보위는 카카오가 이용자 임시 ID를 암호화 하지 않아 이 같은 사태가 발생했다고 밝혔다. 또 카카오가 오픈채팅 이용자 개인정보가 유출되고 있다는 사실을 인지한 후에도 유출신고와 이용자 개별 통지를 하지 않아 개인정보보호법을 위반했다고 보고 이용자 대상으로 유출 사실을 통지하라고 명령했다. 이날 개인정보위는 처분을 내렸음에도 불구하고 카카오가 여전히 신고와 통지를 하지 않고 있다고 지적했다.

최 부위원장은 “규제당국에서 유출에 대한 처분을 했는데 아직도 신고나 통지를 하지 않고 있다는 것은 말이 안된다”며 “개인정보보호법 의무사항을 취한 후 법정에서 다투는 것이 맞다”고 꼬집었다.

반면 카카오는 이번 사고의 경우 개인정보 유출에 해당하지 않는다는 입장이다. 해킹에 의한 피해이기 때문에 개인정보보호법 대상이 아니라는 것이다. 앞서 카카오는 입장문을 통해 회원 일련번호와 임시 ID는 숫자로 구성된 문자열일 뿐, 어떠한 개인정보도 포함하고 있지 않다고 강조했다. 일련번호는 그 자체로 개인 식별이 불가능해 개인정보가 아니라는 것이다. 또한 과학기술정보통신부, 한국인터넷진흥원(KISA), 경찰 등에 해킹 신고를 마쳐 법적 의무도 모두 준수했다고 강조했다.

이에 대해 김해숙 개인정보위 조사2과 과장은 “카카오는 회원 일련번호로 모든 회원들을 관리하고 있었고, 이는 식별이 가능한 정보기 때문에 명백하게 개인정보라고 볼 수 있었다”며 “사례별로 다르지만 다른 정보와 결합돼 식별성을 가질 경우 개인정보에 해당한다는 것은 보호법 초기부터 나왔던 개념”이라고 반박했다.

향후 판단은 법정에서 가려질 전망이다. 최 부위원장은 “지난해에 송무 예산도 100% 이상 늘렸기 때문에 자신있다”며 “(카카오와의 소송이) 오래 걸리지 않을 것으로 생각한다”고 언급했다.

카카오 관계자는 “개인정보위로부터 의결서를 받은 후에 소송 절차를 진행할 수 있다”며 “아직 과징금에 대한 문서가 전달되지 않았다”고 말했다.