2026년 7월 13일, 미국 캘리포니아 북부 연방지방법원은 많은 사람들을 복잡한 심정으로 만드는 판결을 내렸다: Apple이 소송에서 이겼고, iCloud를 통해 유포되는 아동 성적 학대 콘텐츠(CSAM)에 대한 법적 책임을 지지 않아도 되게 되었다. Noël Wise 판사는 법적으로는 Apple 편에 서야 한다고 판단했다 — 하지만 그녀는 동시에 드문 직설법으로 이 결과가 피해 아동들을 「무력한 법적 환경의 부수적 피해」로 만든다고 적었다. 그녀는 입법자들에게 직접적으로 말했다: 기술 기업이 무언가를 하게 만들고 싶다면, 법으로 강제해야 한다고.
소송은 이겼지만, 법원도 실망했다. 도대체 무슨 일일까?
Apple은 무엇을 했고, 무엇을 하지 않았나?
사건은 2021년으로 거슬러 올라간다. 그해 Apple은 NeuralHash라는 시스템을 출시하겠다고 대대적으로 발표했다. 작동 방식은 이렇다: 사용자가 사진을 iCloud에 업로드하기 전에 기기 로컬에서 해시 매칭(일종의 디지털 지문 비교)을 수행하고, 알려진 아동 학대 데이터베이스와 일치하는 내용이 발견되면 업로드를 차단하고 신고하는 것이었다.
합리적으로 들리지 않는가? 하지만 문제가 있었다.
업계에는 이미 검증된 도구가 있었다 — Microsoft의 PhotoDNA는 Google, Facebook, Microsoft 자사 등 거의 모든 대형 플랫폼에서 채택하고 있었다. 하지만 Apple은 PhotoDNA를 그대로 사용하는 대신 자체 시스템인 NeuralHash를 개발했다. 결과는 기대에 미치지 못했다 — 연구자들은 곧 오탐(false positive) 문제와 우회 가능성을 발견했다. 더욱 중요한 것은, 프라이버시 권리 옹호자들이 이 방안을 맹비난했다는 점이다. 본질적으로 아이폰에 「백도어」를 설치하는 것이며, 정부에 의해 악용될 위험이 있다는 이유에서였다.
2022년 말, Apple은 180도 방향을 전환했다: iCloud에서 CSAM을 스캔하는 계획을 완전히 포기하고, 대신 iCloud의 종단간 암호화(Advanced Data Protection)를 도입했다. 이는 Apple 자신조차 사용자의 iCloud에 저장된 콘텐츠를 읽을 수 없다는 것을 의미한다.
이 결정은 모두를 혼란스럽게 했다. 아동 보호를 지지하는 사람들은 Apple이 책임을 저버렸다고 생각했고, 프라이버시 옹호자들은 이것이 올바른 선택이라고 보았다. 그리고 법적 소송이 뒤따랐다.
소송의 핵심: 문제를 알면서도 해결하지 않는 것이 불법인가?
Amy와 Jessica라는 가명의 두 원고 — 그들이 어린 시절 학대당한 사진이 아직도 iCloud에서 유포되고 있다 — 는 약 2680명의 피해자를 대표해 집단 소송을 제기했으며, 청구 금액은 무려 328억 달러에 달했다.
변호인 측은 이렇게 주장했다: Apple 내부 직원들은 iMessage 대화 기록을 통해 iCloud가 이러한 불법 콘텐츠 유포에 사용되고 있다는 사실을 알고 있었음에도, Apple은 PhotoDNA나 NeuralHash를 사용해 탐지하지 않기로 선택했다. 원고 측은 기술적 능력이 문제가 아니라 Apple이 아무것도 하지 않기로 선택한 것이 문제라고 주장했다.
듣기에는 상당히 합리적으로 들리지 않는가? 하지만 법원의 대응은 예상 밖이었다.
법의 핵심: Section 230 — 1996년에 제정된 법률
법원이 소송을 기각한 법적 근거는 인터넷 전화 접속 시대에 탄생한 법률이다: 통신 품위법 제230조(Section 230).
이 조항의 핵심 내용은 인터넷 플랫폼이 사용자가 게시한 콘텐츠에 대해 「출판자」 책임을 지지 않는다는 것이다. 쉽게 말해, 누군가 Facebook에 타인을 비방하는 글을 올렸다 해도 Facebook은 그 글에 대해 책임을 지지 않는다 — Facebook은 플랫폼이지 출판자가 아니기 때문이다.
하지만 Apple의 iCloud는 「클라우드 스토리지」이지 「소셜 미디어」가 아닌데? 법원의 논리는 이랬다:
Wise 판사는 판결문에서 이렇게 썼다:
「원고의 청구는 본질적으로 Apple이 제3자 콘텐츠를 처리하는 출판자로서의 역할을 요구하는 것입니다. CSAM 탐지 도구 — NeuralHash든 PhotoDNA든 — 그 기능은 사용자가 업로드하는 콘텐츠를 심사하는 것입니다. 이러한 도구를 배치할지 말지는 그 자체로 콘텐츠 심사(content moderation) 결정입니다.」
다시 말해: Apple이 iCloud 콘텐츠를 스캔해 CSAM을 찾도록 요구하는 것은, 본질적으로 Apple에게 「검열관」 역할을 요구하는 것이며 — 이것이 바로 Section 230이 보호하려는 바로 그 행위다. 법률은 플랫폼이 사용자 콘텐츠를 적극적으로 심사할 의무가 없다고 명시하므로, Apple이 심사하지 않는 것은 불법을 구성하지 않는다는 것이다.
법원은 또한 Apple 내부에서 iCloud가 악용되고 있다는 사실을 알고 있었다 하더라도, Section 230의 면책 특권이 「인지」만으로 무효화되지 않는다고 지적했다.
법관의 불만: 법은 Apple을 보호했지만, 아이들은 보호하지 못했다
판결이 여기서 끝났다면, 이것은 평범한 법률 보도에 그쳤을 것이다. 하지만 Wise 판사가 판결문에 쓴 몇 문장이 이 사건을 매우 이례적으로 만들었다.
그녀는 이렇게 썼다:
「현재 법률은 어떤 기업 — Apple을 포함해 — 이 아동 성적 학대 콘텐츠를 식별하고 신고하기 위해 기존 기술을 사용하는 것을 막지 않습니다. 그러나 동시에, 그 어떤 법률도 기업이 그렇게 하도록 강제하지 않습니다.」
「이 아이들은 우리의 무력한 법 체계의 부수적 피해입니다. 그들은 더 나은 대우를 받을 자격이 있습니다.」
이 말의 숨은 뜻은 명확하다: 판사는 도덕적 관점에서 Apple이 무언가를 해야 한다고 생각하지만, 법적 관점에서는 Apple에게 어떤 것도 강제할 수 없다. 그녀는 의회가 입법으로 이 문제를 해결해주길 바라며, 법원이 그 공백을 메우는 것은 원치 않는다.
이는 사실상 전형적인 「입법 공백」 딜레마다: 기술 발전이 너무 빠르고 법이 따라가지 못하고 있다. 1996년에 제정된 Section 230은 오늘날 수십억 명이 사용하는 클라우드 스토리지 서비스를 전혀 예견하지 못했다.
Eric Goldman 블로그의 분석이 이 글의 핵심 출처다
반대편의 시각: 프라이버시 대 아동 보호
이 사건의 가장 까다로운 점은 단순한 「선과 악」의 서사가 존재하지 않는다는 데 있다.
스캔을 지지하는 측의 주장:
아동 성적 학대 콘텐츠는 범죄 행위와 관련된다 — 도구는 이미 존재하고(PhotoDNA는 광범위하게 검증됨), Apple은 수천억 달러의 현금을 보유하고 있으며, 배포할 능력이 충분하다. 스캔하지 않는 것은 범죄를 방조하는 것이다. 유포되는 모든 사진은 피해자에게 두 번째 가해(trauma)를 안긴다. 영국과 호주의 규제 기관도 Apple의 결정을 공개적으로 비판했다.
스캔에 반대하는 측의 주장:
일단 Apple이 iCloud 콘텐츠를 스캔하도록 허용하면, 종단간 암호화에 균열이 생긴다. 오늘은 CSAM을 찾는 데 사용되지만, 내일은 정치적 반대 의견, 의료 기록, 개인 사진을 조사하는 데 사용될 수 있다. 역사는 이미 증명했다 — 「프리즘(PRISM)」 폭로부터 각국 정부의 암호화 공격까지 — 어떤 강제적 스캔 메커니즘도 결국 악용된다. 게다가 NeuralHash 같은 시스템은 오탐 위험이 있어 무고한 사용자의 개인 사진이 잘못 표시될 수도 있다.
필자는 양측 모두 일리가 있다고 생각한다. 하지만 문제의 본질은 권력 배분의 층위에 놓여 있다.
엔지니어링 판단: 기술적으로 할 수 있다고 해서 해야 하는 것은 아니다
순수 기술적 관점에서 보면, iCloud에 PhotoDNA나 개선된 NeuralHash를 배포하는 것은 완전히 실행 가능하다. Microsoft의 PhotoDNA는 10년 넘게 운영되며 매일 수십억 장의 이미지를 처리하고, 오탐율은 극히 낮다.
하지만 문제는 이것이다: 클라우드 스토리지에 어떤 스캔 메커니즘이라도 배포하는 순간, 종단간 암호화는 명목상의 존재로 전락한다. 스캔은 암호화 전이나 복호화 후에 이루어져야 하기 때문에, Apple이 복호화 키를 보유해야 한다는 뜻이다 — 즉 모든 사용자의 개인 파일에 접근할 권한이 주어진다.
Apple이 2022년에 내린 결정 — 스캔을 포기하고 종단간 암호화를 채택한 것 — 은 보안 엔지니어링 관점에서 정직한 결정이다. 그것은 인정하는 것이다: 사용자에게 진정한 프라이버시를 제공하면서 동시에 클라우드에서 그들의 콘텐츠를 엿볼 수는 없다는 사실을.
Apple의 기술 자체는 문제가 아니다. 하지만 물리 법칙은 종단간 암호화와 클라우드 콘텐츠 스캔을 동시에 허용하지 않는다.
앞으로 어떻게 될까?
원고 측 변호인은 이미 제9순회 항소법원에 항소하겠다는 의사를 밝혔다. 하지만 더 주목할 만한 것은 입법 차원의 움직임이다: 미국 의회는 최근 몇 년간 Section 230 개정을 논의해왔지만, 이 문제는 너무 정치화되어 진전이 더디다.
한편, 웨스트버지니아주 법무장관은 Apple을 상대로 또 다른 소송을 제기했다 — CSAM 유포에서 iCloud의 역할을 다루는 정부 기관 최초의 소송이다.
이 사건은 결국 대법원까지 갈 수도 있다. 그리고 그때까지, 피해자들의 사진은 여전히 iCloud 위를 떠돌고 있다.
생각
이 소송은 불편한 진실을 드러낸다: 우리의 법 체계는 「플랫폼이면서 동시에 인프라」인 상황을 설계할 때 전혀 고려되지 않았다. iCloud는 개인 아카이브이자 동시에 콘텐츠 유통 채널이다. 여기에 스캔 의무를 부과하면, 개인 아카이브로서의 기능도 함께 파괴된다.
Wise 판사의 말이 맞다: 이 문제는 법원이 아니라 입법자가 해결해야 한다. 하지만 입법자들이 아동 보호와 프라이버시 수호 사이에서 균형점을 찾을 정치적 의지를 가지고 있을지는 또 다른 문제다.
기술이 가장 어려운 부분인 적은 없었다. 가장 어려운 것은, 우리가 하나의 권리를 보호하기 위해 얼마나 많은 다른 권리를 희생할 의향이 있느냐는 것이다.
참고 링크:
- Eric Goldman 블로그: Apple 승소 분석과 Section 230 법률 해설
- HN 토론 (item?id=48992870): 기술 커뮤니티의 양극화된 논의
- 9to5Mac 보도: 사건 기본 사실과 소송 경과
- 로이터 통신 보도: 판결 결과와 원고 항소 의향
- Microsoft PhotoDNA 공식 사이트: 해시 매칭 기술 원리
- EFF 관련 글: 종단간 암호화와 CSAM 스캔의 기술 윤리 분석
- 위키피디아: iCloud Advanced Data Protection 타임라인
