2021년, 애플은 아이클라우드에 올라오는 사진에서 아동 성착취물(CSAM, Child Sexual Abuse Material)을 자동으로 찾아내는 기능을 발표했다가 거센 반발 끝에 철회한 적이 있어요. 그런데 이 결정이 몇 년 뒤 부메랑이 되어 돌아왔는데요. 피해자들이 '애플이 스캔 기술을 만들어 놓고도 쓰지 않아서 피해 이미지가 계속 유통됐다'며 소송을 걸었거든요. 최근 미국 법원이 이 소송에서 애플의 손을 들어줬어요. 흥미로운 건, 판결을 내린 판사조차 이 결과가 썩 마음에 들지 않는다는 기색을 내비쳤다는 점이에요. 법적으로는 애플이 이겼지만, 논쟁은 오히려 더 뜨거워질 만한 판결이죠.
5년 전으로 거슬러 올라가는 이야기
배경부터 짚어볼게요. 2021년 애플은 'NeuralHash'라는 기술을 발표했어요. 이게 뭐냐면, 서버가 아니라 사용자의 아이폰 안에서 사진을 해시값(사진마다 고유하게 만들어지는 일종의 지문)으로 바꾼 뒤, 이미 불법으로 확인된 이미지들의 해시 데이터베이스와 대조하는 방식이에요. 이렇게 하면 애플이 사진 내용을 직접 들여다보지 않고도 알려진 불법 이미지가 아이클라우드에 올라가는 걸 잡아낼 수 있다는 아이디어였죠.
그런데 보안 전문가들과 프라이버시 단체들이 크게 반발했어요. 핵심 우려는 이거였는데요. '일단 사용자의 기기 안에서 콘텐츠를 검사하는 장치가 만들어지면, 나중에 정부가 다른 것도 찾아내라고 요구할 수 있는 뒷문이 된다'는 거예요. 오늘은 아동 성착취물이지만 내일은 정치적 반대 자료가 될 수도 있다는 거죠. 결국 애플은 계획을 접었고, 오히려 2022년에는 '고급 데이터 보호'라는 이름으로 아이클라우드의 종단간 암호화를 확대했어요. 종단간 암호화가 뭐냐면, 보내는 사람과 받는 사람만 내용을 볼 수 있고 서버를 운영하는 회사조차 열어볼 수 없게 잠그는 방식이에요.
소송에서 무슨 일이 있었나
피해자 측의 논리는 이래요. 구글이나 메타 같은 회사들은 이미 서버에서 해시 매칭으로 불법 이미지를 걸러내고 당국에 신고하고 있는데, 애플은 기술까지 개발해 놓고 스캔을 하지 않으니 피해 이미지가 아이클라우드를 통해 계속 보관·유통됐고, 그만큼 피해자들의 고통이 이어졌다는 거죠. 그래서 손해배상을 청구했어요.
하지만 법원은 애플의 책임을 인정하지 않았어요. 여기서 중요한 게 미국 통신품위법 230조(Section 230)인데요. 이게 뭐냐면, 인터넷 플랫폼은 이용자가 올린 콘텐츠에 대해 출판사처럼 책임을 지지 않는다는 미국 법 조항이에요. 이용자가 올린 게시물 때문에 플랫폼을 고소할 수 없게 만들어서, 지금의 인터넷 서비스들이 존재할 수 있게 해준 법이기도 하죠. 이 논리 위에서는 '올라온 콘텐츠를 스캔하지 않았다'는 부작위, 그러니까 뭔가를 안 한 것에 대해서도 플랫폼에 책임을 묻기 어려워요. 판사는 이 법리를 따라 애플의 손을 들어주면서도, 결과적으로 피해자가 구제받을 길이 막히는 상황에 대한 문제의식을 드러냈다고 해요. 법이 그렇게 설계돼 있으니 따르지만, 입법적으로 손볼 부분이 있지 않느냐는 뉘앙스인 거죠.
전 세계에서 벌어지는 같은 싸움
이 판결은 애플 혼자만의 이야기가 아니에요. 지금 세계 곳곳에서 '프라이버시 대 아동 보호'라는 똑같은 줄다리기가 벌어지고 있거든요. EU에서는 메신저의 종단간 암호화 메시지까지 스캔을 의무화하려는 이른바 '채팅 통제(Chat Control)' 법안이 수년째 밀고 당기기를 반복하고 있고, 영국의 온라인 안전법도 비슷한 논쟁을 낳았어요. 문제의 본질은 이거예요. 종단간 암호화와 콘텐츠 스캔은 구조적으로 양립하기 어렵다는 것. 회사가 내용을 볼 수 없게 만들어 놓고 동시에 불법 콘텐츠를 걸러내라는 건, 자물쇠를 채우면서 열쇠도 내놓으라는 요구에 가깝거든요.
한국 개발자에게 주는 시사점
한국도 남의 이야기가 아니에요. 이른바 'n번방 방지법'으로 불리는 전기통신사업법 개정 이후, 일정 규모 이상의 서비스는 공개 게시판에 올라오는 영상물에 대해 필터링 같은 기술적 조치를 해야 하거든요. 사용자 생성 콘텐츠(UGC)를 다루는 서비스를 만든다면, 불법 촬영물 신고·차단 의무가 우리 서비스에 적용되는지 반드시 확인해야 해요. 그리고 더 근본적으로는, 암호화를 어디까지 적용할지 같은 아키텍처 결정이 단순한 기술 선택이 아니라 법적 책임 구조와 직결된다는 걸 이번 판결이 보여줘요. 서비스 설계 단계에서 법무 검토가 왜 필요한지에 대한 좋은 사례인 셈이죠.
마무리
정리하면, 법원은 '스캔하지 않은 것'으로 플랫폼을 처벌할 수 없다고 선을 그었지만, 프라이버시와 아동 보호 사이의 근본적인 긴장은 그대로 남았어요. 여러분이 메신저나 클라우드 서비스를 설계하는 입장이라면, 종단간 암호화와 불법 콘텐츠 차단 사이에서 어디에 선을 그으시겠어요?
🔗 출처: Hacker News