카카오가 오픈채팅방 이용자 점검과 보호 조치 등을 소홀히 해 개인정보 유출 사안에 대한 국내 업체 역대 최대 과징금인 151억여 원을 물게 됐다. 카카오는 즉각 사실과 다르다고 반박하며 행정 소송을 예고했다.
개인정보보호위원회(개보위)는 22일 열린 제9회 전체회의에서 이런 내용을 의결했다고 23일 밝혔다. 개보위는 지난해 3월 카카오톡 오픈채팅 이용자의 개인정보가 불법 거래되고 있다는 사실을 인지하고 개인정보보호법 위반 여부를 조사해 왔다. 그 결과 해커가 오픈채팅방의 취약점을 이용해 참여자 정보를 알아내고 카카오톡의 친구 추가 기능 등을 이용해 일반채팅 이용자 정보를 얻은 것으로 파악됐고 이를 근거로 카카오에 151억4,196만 원의 과징금과 780만 원의 과태료를 부과했다.
카카오는 개보위 결정이 공개된 직후 입장문을 통해 조목조목 반박하며 "행정 소송을 포함한 다양한 조치 및 대응을 적극적으로 검토하겠다"고 밝혔다.
우선 '오픈채팅방 회원의 임시ID를 암호화하지 않아 안전 조치 의무 위반'이라는 개보위 지적에 대해 카카오는 회원일련번호와 임시ID는 모든 온라인 및 모바일 서비스 제공을 위해 꼭 필요한 정보이고 개인정보로 볼 수 없다고 주장했다. 카카오는 "회원일련번호와 임시ID는 숫자로 구성된 문자열로서 어떠한 개인정보도 포함하고 있지 않으며 이것으로 개인 식별이 불가능하다"며 "사업자가 생성한 서비스 일련번호는 관련 법상 암호화 대상이 아니므로 이를 암호화하지 않은 것은 법령 위반으로 볼 수 없다"고 밝혔다. 예를 들어 회원일련번호는 페이스북 프로필 페이지에서 '컨트롤 유(Ctrl+U)'를 누르면 나타나는 등 소스코드에서 쉽게 확인할 수 있다는 설명이다.
카카오는 2020년 8월 이후 임시ID를 암호화한 것에 대해서는 "임시ID를 개인정보라고 판단할 수 없음에도 오픈채팅 서비스 개시 당시부터 임시ID를 난독화해 운영·관리했고 이에 더해 2020년 8월 이후 생성된 오픈채팅방에는 보안을 강화한 암호화를 적용했다"고 주장했다.
카카오는 '지난해 3월 오픈채팅방 이용자의 개인정보 유출 사실을 인지하고도 유출 신고와 이용자 대상 유출 통지를 하지 않아 개인정보보호법을 위반했다'는 지적에 대해서는 "해당 건을 개인정보보호법 위반으로 보기 어렵다고 판단했음에도 상황을 인지한 즉시 경찰에 선제적으로 고발하고 한국인터넷진흥원(KISA)과 과학기술정보통신부에도 신고했다"고 반박했다.