[서울=뉴스핌] 박민경 기자 = 개인정보 유출 사건으로 150억원대 과징금을 부과받은 카카오의 불복소송 항소심이 시작된 가운데, 카카오와 개인정보보호위원회가 해당 정보의 '개인정보 유출' 해당 여부와 보안조치의 적정성을 두고 맞섰다.

서울고법 행정9-2부(재판장 김동완)는 3일 카카오가 개인정보위를 상대로 제기한 과징금 부과 처분 및 시정명령 취소 소송 항소심 첫 변론기일을 진행했다.

이날 카카오 측은 해커가 확보한 정보가 카카오 서버에서 직접 유출된 것이 아니라 공격자가 별도로 생성한 정보라는 점을 강조했다.

카카오 측은 "이 사건 정보를 완성하는 결정적 고리인 매칭 정보는 카카오 서버에서 전송된 사실이 전혀 없다"며 "공격자가 스스로 역산해 생성한 정보인 만큼 개인정보 유출이 아니라 공격자의 별도 정보처리 행위에 해당한다"고 주장했다.

반면 개인정보위 측은 개인정보가 카카오의 관리·통제 범위를 벗어나 제3자에게 넘어간 이상 유출에 해당한다고 반박했다.

개인정보위 측은 "판례에 따르면 유출은 개인정보처리자의 의사에 반해 관리·통제권을 벗어나 제3자가 알 수 있는 상태에 이르렀는지를 기준으로 판단한다"며 "이 사건 정보는 원고의 관리·통제권을 벗어나 해커 등 제3자가 알게 됐고 재판매까지 이뤄졌다"고 밝혔다.

카카오가 개인정보 유출을 방지하기 위해 충분한 보안조치를 취했는지를 두고도 양측의 공방이 이어졌다.

카카오 측은 해커의 공격 방식이 당시로서는 예견하기 어려웠다는 입장이다. 특히 공격에 이용된 호출이 전체 호출 건수에서 차지하는 비중이 극히 미미했다는 점을 들어 "카카오톡과 같이 방대한 정보가 처리되는 시스템에서 모든 파라미터 변조 시나리오를 사전에 완벽하게 차단하는 것은 기술적으로 불가능하다"고 강조했다.

반면 개인정보위는 카카오가 2020년 8월 일부 오픈채팅방에 암호화 조치를 적용하면서 이후 새로 생성된 채팅방에만 이를 적용하고 기존 채팅방에는 별도의 조치를 하지 않았다고 지적했다.

개인정보위 측은 "해킹 사고가 발생할 때까지 어떠한 후속 보안조치도 이뤄지지 않았다"며 "이러한 암호화 조치의 미흡한 점이 해킹 사고의 주된 원인이 됐다"고 주장했다.

카카오 측은 추후 변론에서 당시 보안 담당자를 부르겠다는 입증 계획을 밝혔다. 재판부는 오는 12월 17일 오후 3시 다음 변론기일을 진행하기로 했다.

앞서 1심은 해커의 공격이 카카오의 모니터링이나 로그 분석 등에 적발되지 않은 점 등을 근거로 접근 제한과 유출 탐지 등 보안조치가 미흡했다고 판단해 카카오의 청구를 받아들이지 않았다.

과징금 액수 역시 과도하지 않다고 봤다. 법원은 과징금이 이미 40% 감경된 데다 관련 매출액이 약 1조2000억원에 달하는 점 등을 고려하면 151억원의 과징금이 지나치게 무겁다고 볼 수 없다고 판단했다.

pmk1459@newspim.com