- 법원은 이용자가 iCloud에 저장·공유한 아동 성착취물(CSAM) 을 Apple이 탐지하지 않았다는 청구가 제3자 콘텐츠의 게시자 책임을 묻는다고 보고, 통신품위법 230조에 따라 면책을 인정함
- PhotoDNA나 NeuralHash 배치는 콘텐츠 감시·신고와 직결된 콘텐츠 조정 결정이므로, 이를 설계 결함으로 구성해도 230조를 우회할 수 없다고 판단함
- Apple이 iCloud의 CSAM 유통 가능성을 알고 있었더라도 면책에는 영향이 없으며, CSAM을 식별하지 않았다면 NCMEC 신고 의무도 발생하지 않는다고 봄
- 법원은 세 번째 수정 소장을 기각하면서도 현행법이 기업에 선제적 탐지를 요구하지 않아 피해자를 보호하지 못한다고 우려했으며, 의무화 여부는 입법자가 결정해야 한다고 밝힘
- CSAM 스캔 의무는 수백만 명의 사생활과 종단간 암호화를 훼손할 수 있으므로, 정부는 암호화를 약화하기보다 CSAM 제작자·유포자·다운로더를 찾아 기소하는 데 우선순위를 둬야 함
Apple의 CSAM 탐지 정책 전환
- Apple은 비공개 iCloud 저장소에 이용자가 올린 파일을 PhotoDNA로 검사하는 대신 독자 기술인 NeuralHash를 개발했으나, 이후 클라우드의 CSAM 스캔 계획을 철회함
- 그 대신 iCloud 파일에 종단간 암호화를 도입함
- 이 정책 전환은 대중에게 혼란을 줬고, Apple이 더 적극적인 개입 방식을 자발적으로 시연했던 만큼 정부와 CSAM 피해자들의 압박도 이어짐
소송의 청구와 절차
- 원고들은 Apple이 알려진 CSAM 탐지 기능을 구현하지 않은 것이 설계 결함에 해당한다고 주장함
- Apple은 이미 알려진 CSAM의 확산을 막을 수 있는 기능을 안전하게 구현할 수 있는데도 계속 도입하지 않았다는 논리임
- 법원은 세 번째 수정 소장을 기각했으며, 사건은 제9연방항소법원으로 넘어갈 수 있는 단계가 됨
- 사건은 Amy v. Apple Inc., 2026 WL 2031817이며, 캘리포니아 북부 연방법원이 2026년 7월 13일 결정함
- 최초 소장도 공개돼 있음
통신품위법 230조에 따른 면책
- 원고들의 피해를 직접 유발한 주체는 iCloud로 CSAM을 공유한 제3자 이용자이며, Apple은 그러한 이용을 명시적으로 승인하거나 차단하지 않았음
- 원고들이 요구한 의무는 Apple이 제3자 콘텐츠의 유통을 막아야 한다는 것으로, Apple의 게시자 지위에서 발생함
- 책임을 피하려면 Apple이 콘텐츠를 검사해 유통 여부를 결정해야 하므로, 요구된 조치 자체가 게시자의 역할에 해당함
- 이에 따라 법원은 원고들의 모든 청구에 230조가 적용되며 Apple이 완전한 면책을 받는다고 판단함
- 내부 문자 메시지처럼 Apple이 iCloud 도구가 아동 성착취물 유통에 쓰일 가능성을 알고 있었다고 가정해도, 피고의 일반적 인식은 현행 230조 면책을 바꾸지 않음
PhotoDNA 도입도 콘텐츠 조정에 해당
- CSAM 탐지 도구를 운영하려면 파일이 CSAM인지 판별하기 위해 콘텐츠를 검토해야 함
- Apple의 경쟁사들이 사용하는 PhotoDNA와 Apple의 NeuralHash는 회사 서버에 올라온 위반 이미지를 감시하고 신고하도록 설계됨
- 어느 도구를 배치할지 정하는 행위도 콘텐츠 조정과 연결되므로, Apple이 선택할 수 있었던 설계 결정을 근거로 책임을 물을 수 없음
- Apple이 CSAM을 처음부터 식별하지 않았다면 NCMEC에 신고할 대상도 없어 신고 의무 위반이 성립하지 않음
기존 230조 우회 판례와의 차이
- 원고들은 Doe v. Twitter에서 인정된 새로운 예외를 적용하려 했지만 받아들여지지 않음
- Twitter는 제3자 콘텐츠를 감시하거나 제거하지 않고도 신고 인프라의 결함을 고칠 수 있었음
- 반면 Apple이 CSAM 보호 장치를 구축하려면 NeuralHash나 PhotoDNA로 제3자 콘텐츠를 직접 감시해야 함
- Lemmon v. Snap도 적용되지 않음
- 해당 사건과 달리 Apple이 Snapchat 필터 같은 콘텐츠를 만들어 피해를 일으켰다는 청구가 없으며, 모든 청구가 제3자 콘텐츠와 불가분하게 연결돼 있음
- Roommates.com에 따른 우회도 성립하지 않음
- Apple이 서버의 CSAM을 수정하거나 확장했다는 주장이 없기 때문임
판사가 우려한 법적 공백
- 현행법은 Apple을 비롯한 기업이 서버나 클라우드에 저장·유통되는 아동 성착취물을 식별하고 신고하는 기술을 사용하거나 개발하는 것을 막지 않음
- 동시에 기업에 그러한 조치를 선제적으로 이행할 의무를 부과하는 법도 없음
- 기업의 자발적 조치만으로는 CSAM 유통을 막기 부족하며, Apple과 다른 기업에 대응을 요구하려면 입법자가 이를 법률로 의무화해야 한다고 봄
- 다만 그러한 법률은 수백만 명에게 최소한 어느 정도의 사생활 손실을 초래할 수 있음
종단간 암호화가 치를 비용
- 판결문은 암호화를 두 차례만 다뤘지만, Apple의 정책 변경에서 종단간 암호화는 핵심 요소임
- iCloud에서 CSAM 스캔을 강제하면 모든 이용자와 모든 목적에 적용되는 종단간 암호화를 깨뜨려야 함
- 범죄 목적으로 비공개 파일을 가로채려는 악의적 행위자가 이를 악용할 수 있음
- 정부 행위자도 비공개 파일 저장소에 침입해 자료를 유포하거나 무기화할 수 있음
- 민감하거나 사적이거나 학대와 관련된 이미지가 동의 없이 가로채지고 퍼져 새로운 피해자가 생길 수 있음
- 종단간 암호화는 선택적 편의 기능이 아니라 사람들의 안전을 지탱하는 기술 아키텍처의 핵심 요소임
피해 현실과 현행법의 충돌
- 판결은 Apple의 결정이 피해에 기여했는지가 아니라, 모든 청구가 Apple을 제3자 콘텐츠의 게시자로 취급하는지에 따라 내려짐
- 그렇다고 피해자들이 실제적이고 지속적인 피해를 입지 않았다는 뜻은 아님
- 피해자들은 아동기에 성적 학대를 당하는 장면이 촬영됐고, 해당 이미지와 영상이 iCloud에서 반복적으로 저장·유통될 때마다 다시 피해를 입는다고 주장함
- 제9연방항소법원이 인터넷 기업이 불법 콘텐츠를 알았거나 알았어야 하는 경우에도 230조의 범위를 기능적 면책 수준으로 넓혔다는 비판에 힘이 실림
- 온라인에 금융·건강 정보를 포함한 개인 데이터가 저장·전송되는 현실에서 사생활은 중요하지만, CSAM 제작·열람·유포자가 사생활 보호를 이용해 수사를 피하는 문제도 남아 있음
- 현재 법적 체계에는 집단소송 대상 피해자들을 보호할 수단이 없으며, 이들이 비효율적인 법률 환경의 부수적 피해를 떠안고 있음
규제의 우선순위
- CSAM 대응의 핵심은 정부가 제작자·유포자·다운로더를 찾아 기소하는 활동임
- 정부가 가능한 수사와 기소를 수행하도록 보장하는 일을 최우선에 둬야 함
- 종단간 암호화 파괴는 규제 수단에 포함돼서는 안 됨