카카오가 카카오톡 오픈채팅 개인정보 유출 사건과 관련해 제기한 과징금 불복 행정소송에서 패소했다. 

법원은 “개인정보 보호 조치가 충분하지 않았다”는 행정당국의 판단을 인정하며, 카카오의 주장을 받아들이지 않았다. 

이번 판결은 국내 대표 플랫폼 기업의 개인정보 보호 책임 범위를 다시 한 번 확인한 사례로 평가된다.

문제의 발단은 카카오톡 오픈채팅 서비스에서 발생한 대규모 정보 조회 사건이다. 

외부 공격자가 서비스 구조상 취약점을 이용해 이용자의 임시 ID, 회원 일련번호 등 정보를 대량으로 조회한 정황이 드러났고, 일부 정보는 외부에서 결합·유통될 가능성까지 제기됐다.

이에 대해 개인정보보호위원회는 해당 정보가 다른 정보와 결합될 경우 개인 식별이 가능하다며, 개인정보보호법 위반으로 카카오에 과징금과 시정명령을 부과했다. 제재 규모는 국내 플랫폼 기업 가운데서도 큰 편에 속했다.

카카오는 행정소송에서 “임시 ID와 회원 일련번호는 그 자체로 개인을 특정할 수 없는 단순 식별값”이라며 개인정보에 해당하지 않는다는 점을 강조했다. 

기술적 구조상 암호화 대상 정보가 아니고, 법적 보호 범위를 과도하게 확장해 해석했다는 논리였다.

그러나 서울행정법원은 이를 받아들이지 않았다. 재판부는 해당 정보가 단독으로는 개인을 바로 식별하지 못하더라도, 다른 정보와 결합될 가능성이 충분히 있고, 플랫폼 사업자인 카카오는 이러한 위험을 예견해 보안·관리 조치를 강화할 책임이 있다고 판단했다.

결과적으로 카카오의 청구는 기각됐다.

이번 판결의 핵심은 개인정보 판단 기준을 ‘직접 식별 여부’가 아니라 ‘식별 가능성’까지 포함해 봤다는 점이다. 

이는 익명성과 개방성을 특징으로 하는 서비스라 하더라도, 구조적 취약점으로 인해 개인이 특정될 수 있다면 보호 의무에서 자유로울 수 없다는 취지다.

특히 카카오톡처럼 이용자 수가 수천만 명에 이르는 플랫폼의 경우, 정보 유출 시 파급력이 크다는 점도 책임 판단에 영향을 미쳤다는 해석이 나온다.

카카오는 판결 이후에도 기존 입장을 유지하며 추가 법적 대응 가능성을 시사했다. 다만 업계와 이용자 사이에서는 “법적 다툼 이전에 서비스 구조와 내부 통제 전반을 점검하는 계기가 돼야 한다”는 지적도 나온다.

결국 이번 패소는 카카오에게 과징금 문제를 넘어, 플랫폼 신뢰 회복과 개인정보 관리 체계 전반을 어떻게 개선할 것인지에 대한 과제를 남겼다는 점에서 주목된다.