개인정보 약 6만5000건이 유출돼 과징금 151억여원을 물게 된 카카오(KAKAO)가 법원에 불복 소송을 냈으나 패소했다.

서울행정법원 행정14부는 15일 카카오가 개인정보보호위원회(이하 개인정보위)를 상대로 낸 과징금 부과 처분, 시정명령 등 취소 소송에서 원고 패소로 판결했다.

개인정보위는 2023년 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 언론 보도 이후 카카오의 개인정보보호법 위반 여부 조사에 착수했다. 이후 개인정보위는 카카오가 회원 개인정보를 부실하게 관리해 개인정보가 유출된 사실을 확인하고 2024년 5월 안전 조치 의무 위반으로 역대 최대 과징금인 151억여 원을 부과했다.

◇언론보도로 시작된 카카오의 개인정보 유출 의혹

2023년, 카코오톡 오픈채팅 이용자의 개인정보가 온라인에서 불법 거래되고 있다는 언론보도가 나왔다. 해당 보도에 따르면 판매된 정보에는 △휴대전화번호 △프로필명 △참여 오픈채팅방명 △오픈채팅방 내 프로필 정보 등이다. 이와 같은 정보들이 결합된 데이터베이스 형태로 판매, 거래되고 있다.

개인정보위의 조사 결과 해커는 오픈채팅의 볻안 취약점을 악용해 임시 ID를 통해 회원 일련번호를 역추적했다. 또 카카오톡 친구 추가 기능 등을 활용해 일반 채팅 이용자 정보까지 확보했다. 이렇게 수집한 정보를 대조·결합해 판매용 파일을 별도로 제작했다. 이는 단순한 유출이 아닌 구조적 취약점을 이용해 정보를 수집하고 일정한 시간을 들여 재가공한 결과물이었다.

◇카카오의 보안 관리 부실 및 늑장 조치

개인정보위의 조사 결과 카카오의 보안 관리가 심각하게 미흡했던 점이 드러났다. 2020년 8월 5일부터 새로 생성되는 오픈채팅방에만 암호화가 적용되고, 해당 날짜 이전의 오픈채팅방에는 아무런 보안 조치가 없었다. 또 기존 방이나 전체 시스템에 대한 추가 보안 조치는 하지 않았다. 이는 충분히 인지할 수 있는 상황이었음에도 카카오 측에서는 추가 개선을 하지 않은 점이 법원에서 문제로 지적되기도 했다.

법원은 카카오가 이 같은 유출 사실을 인지하면서도 당국에 신고하지 않았고, 이용자에게도 통지하지 않았다며, 이는 명백한 개인정보 보호법 위반으로 인정된다고 밝혔다.

법원의 판결에 따라 개인정보위는 2024년 5월 카카오에 과징검 151억4196만원과 과태료 780만원을 내리고 보안 미흡 사항에 대한 시정 조치 명령을 내렸다. 151억여원의 과징금은 역대 최대 규모로 알려졌다. 또 유출된 개인정보는 총 6만5000여건으로 공식 확인됐다.

이에 카카오는 같은 해 11월 개인정보위 처분이 부당하다며 행정소송을 제기했다. 하지만 재판부는 개인정보위의 과징금 부과가 적법하다고 판단했다. 재판부는 “휴대전화번호, 프로필명, 참여 오픈채팅방명, 해당 오픈채팅방 프로필 등의 형태로 결합한 오픈채팅 데이터베이스가 온라인에 공개·판매된 것은 개인정보 유출에 해당한다”고 설명했다. 그러면서 카카오가 개인정보 유출 사실을 당국과 이용자에게 신고·통지하지 않은 것은 위법하다고 했다.

이어 재판부는 카카오가 2020년 8월 5일 새롭게 생성되는 오픈채팅방에 한해 암호화 조치를 한 점에 비춰 보안상 위험이 현실화하거나 개인정보 유출의 위험성이 발생했음을 인지했거나 최소한 인지할 수 있는 상황이었다며, 그런데도 이후 추가 개선 조처를 하지 않았다고 지적했다.

재판부는 개인정보위가 카카오에 부과한 과징금액 역시 산정 기준을 그대로 따른 것으로 정당하다고 판단했다. 한편 카카오는 재판부의 판단에 대해 항소 의사를 밝혔다.