애플, '아이클라우드를 안 뒤졌다'는 이유로 피소되다 — 법원은 왜 애플 편을 들면서도 불편해했나

기술 기업이 사용자 데이터를 뒤졌다고 소송당하는 건 익숙한 뉴스입니다. 그런데 안 뒤졌다고 소송당하는 경우는 어떨까요. 애플이 지금 딱 그 상황에 놓여 있습니다. 그리고 이 사건은 지난 5년간 테크 업계에서 가장 풀기 어려웠던 딜레마를 법정으로 끌고 나왔습니다.

먼저 짚고 갈 점이 있습니다. 이 주제는 최근 30일간 커뮤니티에서 활발히 논의된 이슈는 아닙니다. 레딧 기준으로 신규 스레드가 거의 잡히지 않았는데요. 법정 다툼이라는 게 원래 몇 년 단위로 조용히 진행되다가 판결 시점에만 잠깐 시끄러워지는 성격이라 그렇습니다. 그래서 이번 글은 실시간 여론보다는 사건의 구조 자체를 뜯어보는 쪽에 무게를 두겠습니다.

2021년의 그 계획, 기억하시나요

시작은 2021년 8월이었습니다. 애플은 아이클라우드에 업로드되는 사진에서 아동 성착취물(CSAM)을 탐지하겠다는 계획을 발표했습니다. 방식이 독특했습니다. 서버에서 사진을 열어보는 게 아니라, 사용자 기기 안에서 이미지의 해시값을 알려진 CSAM 데이터베이스와 대조하는 온디바이스 스캐닝이었습니다.

애플 입장에서는 절묘한 타협안이었습니다. 프라이버시도 지키고 아동도 보호한다는 논리였죠. 그런데 반응은 처참했습니다. 보안 연구자, 시민단체, 암호학자들이 일제히 들고 일어났습니다. 핵심 비판은 이랬습니다. 기술 자체가 문제가 아니라, 기기 안에서 콘텐츠를 검열하는 인프라가 한 번 깔리면 그 대상이 CSAM에만 머물 리 없다는 것이었습니다.

각국 정부가 “이왕 만든 김에 우리도 이 목록 좀 추가하자"고 요구하면 애플이 거절할 수 있겠느냐는 지적이었습니다. 애플은 몇 주 만에 계획을 무기한 연기했고, 2022년 12월에 완전히 폐기했습니다. 대신 종단간 암호화 옵션인 어드밴스드 데이터 프로텍션을 내놨습니다. 방향을 정반대로 튼 겁니다.

그래서 무슨 소송인가

폐기 결정이 3년쯤 지나자 다른 쪽에서 반격이 들어왔습니다. 아동 성착취 피해자들이 애플을 상대로 집단소송을 제기한 겁니다. 논리는 단순합니다. 애플은 탐지 기술을 만들 능력이 있었고, 실제로 만들겠다고 공개 발표까지 했으며, 그런 다음 스스로 접었다. 그 결과 아이클라우드가 착취물 유통 창구가 되는 걸 방치했다는 주장입니다.

여기서 흥미로운 지점이 나옵니다. 원고 측은 애플이 아무것도 안 한 것보다 하겠다고 했다가 안 한 것을 더 강하게 문제 삼았습니다. 발표 자체가 일종의 약속이었고, 그 약속을 믿은 이용자들이 있었다는 논리입니다. 법적으로는 제조물 책임과 과실 이론을 끌어왔습니다. 아이클라우드를 결함 있는 제품으로 규정하려 한 거죠.

숫자를 보면 이 주장이 왜 나오는지 이해는 갑니다. 구글은 연간 수백만 건 단위로 CSAM 신고를 미국 실종학대아동방지센터에 접수합니다. 메타는 그보다 더 많습니다. 반면 애플의 신고 건수는 오랫동안 연간 수백 건 수준에 머물렀습니다. 이용자 규모를 생각하면 격차가 너무 큽니다. 원고 측은 이 숫자를 “애플이 안 보니까 안 나오는 것"의 증거로 제시했습니다.

법원이 애플 손을 들어준 진짜 이유

법원은 애플의 손을 들어줬습니다. 그런데 판단 근거가 “애플은 잘못이 없다"가 아니었습니다. 핵심은 미국 통신품위법 230조였습니다.

230조는 인터넷 규제의 뼈대 같은 조항입니다. 요지는 이렇습니다. 온라인 플랫폼은 제3자가 올린 콘텐츠에 대해 발행인으로서의 책임을 지지 않는다. 유튜브에 누가 명예훼손 영상을 올려도 유튜브가 피고가 되지 않는 근거가 바로 이겁니다.

애플의 방어 논리도 여기에 기댔습니다. 아이클라우드에 올라간 파일은 사용자가 올린 것이고, 애플은 그 저장 공간을 제공했을 뿐이라는 겁니다. 스캐닝을 하지 않기로 한 결정 역시 콘텐츠를 어떻게 다룰지에 관한 편집적 판단의 영역이라는 주장이었습니다. 230조에는 플랫폼이 자발적으로 콘텐츠를 걸러내도 면책된다는 조항이 있는데, 법원은 그 반대 방향 — 걸러내지 않기로 한 선택 — 도 같은 보호 우산 아래 있다고 봤습니다.

제조물 책임 주장도 받아들여지지 않았습니다. 클라우드 스토리지는 물리적 제품이 아니라 서비스이고, 서비스에는 제조물 책임 법리를 그대로 적용하기 어렵다는 판단입니다.

판사가 불편해한 대목

여기서부터가 진짜 흥미로운 부분입니다. 이런 유형의 판결에서 반복적으로 관찰되는 패턴이 있는데요. 법원이 결론은 플랫폼 편으로 내면서, 판결문 안에 이건 우리가 정할 문제가 아니다라는 취지의 문장을 남기는 겁니다.

논리 구조를 따라가 보면 이유가 보입니다. 법원이 만약 “애플은 스캐닝을 했어야 했다"고 판단하면, 그건 사실상 모든 클라우드 사업자에게 콘텐츠 감시 의무를 부과하는 결과가 됩니다. 판사 한 명이 판결로 만들어낼 수 있는 규범이 아닙니다. 반대로 애플을 면책하면, 지금처럼 신고 건수가 바닥인 상태가 법적으로 정당화됩니다. 피해자 입장에서는 구제 수단이 사라지는 셈이죠.

어느 쪽도 깔끔하지 않습니다. 그래서 법원이 택하는 건 절차적 회피입니다. 230조라는 명확한 법조문이 있으니 그걸로 각하하되, 이 문제의 무게 자체는 부정하지 않는다는 태도입니다. 공은 의회로 넘어갑니다. 문제는 미국 의회가 230조 개정을 10년 넘게 논의만 하고 있다는 점입니다.

이 사건이 남기는 진짜 질문

이 소송의 구조를 다시 보면 기묘한 대칭이 보입니다. 2021년에 애플은 스캐닝을 하겠다고 해서 욕을 먹었고, 2025년 이후에는 안 하기로 해서 소송을 당했습니다. 같은 회사가 정반대 이유로 두 번 두들겨 맞은 겁니다.

이게 애플만의 문제일까요. 아닙니다. 종단간 암호화를 채택한 모든 서비스가 같은 자리에 서 있습니다. 시그널, 왓츠앱, 텔레그램 모두 마찬가지입니다. 암호화의 정의상 서비스 제공자가 내용을 볼 수 없다면, 불법 콘텐츠도 볼 수 없습니다. 이건 버그가 아니라 설계 그 자체입니다.

기술적으로 이 딜레마를 우회하는 방법은 아직 없습니다. 클라이언트 사이드 스캐닝, 준동형 암호, 신뢰실행환경 등 여러 아이디어가 나왔지만 하나같이 “그럼 그 감시 능력을 누가 통제하느냐"는 질문 앞에서 멈춰섭니다. 암호학자들이 2021년에 애플에게 던졌던 바로 그 질문입니다.

마무리

법원은 애플의 손을 들어줬지만, 그건 애플이 옳았다는 뜻이 아니라 법이 이 질문에 답할 준비가 안 됐다는 뜻에 가깝습니다. 판결은 끝났는데 문제는 그대로 남아 있는 상태입니다.

여러분은 어느 쪽이신가요. 내 기기가 내 사진을 검사하지 않는 대가로 감시망의 사각지대가 생기는 걸 받아들이시겠습니까, 아니면 아동 보호를 위해서라면 그 정도 스캐닝은 감수할 만하다고 보시나요. 참고로 이 질문에 쉽게 답하신다면, 아마 반대편 논리를 아직 충분히 안 들어보신 겁니다. 5년째 답이 안 나오는 데는 이유가 있습니다.