개인정보보호위원회가 개인정보 유출과 관련해 151억원의 과징금을 부과 받은 후 “일련번호는 개인정보가 아니다”라고 주장하는 카카오에 대해 개인정보의 개념을 좁게 해석하고 있다고 반박했다. 일련번호는 다른 정보와 결합해 특정 개인을 알아볼 수 있는 개인정보이며, 카카오도 일련번호를 이용자 식별 체계로 사용하고 있다는 것이다.
최장혁 개인정보위 부위원장은 지난 5일 서울 종로구 정부서울청사에서 열린 기자간담회에서 “기술의 발달로 개인정보 개념이 확대되고 있는데, 카카오는 개인정보를 너무 좁은 개념으로 인식하고 있다”면서 “과거 유사사례에 적용한 동일한 원칙과 법에 의해 카카오의 개인정보 유출 관련 처분을 내렸다”고 말했다.
개인정보위는 지난달 23일 전체회의를 열고 카카오에 151억4196만원의 과징금을 부과하기로 의결했다. 이는 개인정보위가 개인정보보호법 위반으로 국내 기업에 부과한 과징금 중 가장 큰 규모다. 개인정보위는 작년 3월 카카오톡 오픈채팅방참여자의 개인정보가 유출됐다는 언론 보도가 나오자 카카오의 개인정보보호법 위반 여부를 조사했다.
개인정보위에 따르면 카카오는 오픈채팅방 참여자의 임시 아이디(ID)를 암호화하지 않아 해커가 회원일련번호를 쉽게 확인할 수 있었다. ‘회원일련번호’는 카카오톡 내부 관리를 목적으로 쓰이는 정보다. 해커는 오픈채팅방에서 확보한 회원일련번호와 일반채팅방에서 알아낸 이용자 정보를 결합해 개인정보 파일을 생성, 이를 소셜미디어(SNS)에서 판매했다.
당시 남석 개인정보위 조사조정국장은 “정확한 유출 규모는 경찰에서 조사 중”이라며 “특정 사이트에 카카오톡 오픈채팅방 이용자 696명의 정보가 올라와 있는 것을 확인했고, 해커가 최소 6만5719건의 (개인정보를) 조회한 것으로 확인했다”고 밝혔다.
카카오는 개인정보위의 과징금 처분에 즉각 반발했다. 회원일련번호 형식은 카카오톡 말고도 다른 플랫폼에서도 사용되고 있으며, 이 자체로는 어떤 개인정보도 알 수 없다고 주장했다. 카카오는 회원일련번호로 개인 식별이 불가능한 만큼 관련법상 암호화할 필요가 없다며 과징금 처분에 대해 행정소송을 포함한 다양한 법적 조치 및 대응을 검토 중이다.
최 부위원장은 차대번호 사례를 들며 일련번호도 개인정보에 해당한다는 입장을 분명히 했다. 그는 “자동차 차대번호도 원래는 그 자체로 개인을 식별할 수 없어 개인정보로 보지 않았지만, 다른 정보와 결합해 개인 식별이 가능해지면서 이제는 개인정보로 분류된다”면서 “개인정보의 개념이 계속 바뀌는 상황에서 카카오의 주장을 수용하기 어렵다”고 했다.
개인정보위는 카카오가 개인정보 유출 사실을 인지한 후에도 유출 신고와 이용자 대상 유출 통지를 하지 않았던 점도 지적했다. 최 부위원장은 “규제 당국에서 개인정보 유출로 판단했음에도 카카오는 해킹신고를 했을 뿐 유출 신고를 하지도 않고, 피해자들에게 관련 사실을 개별 통보하지도 않았다”고 했다.
과징금 처분 후 카카오는 “경찰 조사에 적극적으로 협조하고 관계 기관에도 소명을 진행해 왔다”면서 “이 밖에도 지난해 3월13일에는 전체 이용자 대상으로 주의를 환기하는 서비스 공지를 카카오톡 공지사항에 게재한 바 있다”고 해명했다. 카카오는 지난해 사건이 불거진 뒤 경찰 고발과 함께 한국인터넷진흥원(KISA)과 과학기술정보통신부에 신고했다.
댓글0