SBS Biz

[정부가 해킹 방지를 소홀히 해 이용자에게 안전한 통신 서비스를 제공할 의무를 다하지 못한 책임을 물어 KT에 전 이용자를 대상으로 위약금 면제 조치를 할 것을 29일 요구했다. (사진=연합뉴스)]

개인정보보호위원회가 지난해 개인정보 유출 사고가 발생한 KT에 대한 제재 수위를 오는 29일 결정합니다.

오늘(27일) 업계에 따르면 개인정보위는 29일 오후 전체회의를 열고 KT의 개인정보보호법 위반 여부와 과징금 부과, 시정명령 등을 담은 처분안을 심의·의결할 예정입니다. 처분안이 의결되면 최종 결과는 다음 날인 30일 공개됩니다.

다만 위원들이 추가 검토가 필요하다고 판단할 경우 의결은 차기 회의로 미뤄질 수 있습니다. 지난해 SK텔레콤 제재안도 한 차례 추가 심의를 거친 뒤 최종 의결된 바 있습니다.

KT는 지난해 9월 불법 소형 기지국(펨토셀)을 악용한 해킹으로 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 고객 2만2천227명의 개인정보가 유출됐습니다.

이후 유출 피해자 가운데 368명은 총 777건, 약 2억4천300만원 규모의 무단 소액결제 피해를 본 것으로 조사됐습니다. 개인정보위는 이번 사고와 함께 리눅스 서버를 장기간 은닉 감염시키는 악성코드 'BPFDoor' 감염 여부에 대해서도 추가 조사를 진행해 왔습니다.

이번 심의에서는 과징금 규모에도 관심이 쏠립니다. 개인정보보호법은 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있습니다.

KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6천689억원으로, 법정 상한을 단순 적용하면 과징금은 약 2천억원 수준입니다. 다만 실제 부과액은 위반 행위와 관련된 매출액 산정 범위와 위반 정도, 피해 규모, 사고 이후 대응, 감경·가중 사유 등을 종합적으로 고려해 결정됩니다.

업계에서는 개인정보 유출 규모 자체는 SK텔레콤이나 쿠팡 사례보다 크지 않지만, 실제 무단 소액결제로 이어진 2차 금전 피해가 발생했다는 점이 제재 수위를 가를 핵심 변수로 보고 있습니다. 반면 KT가 피해 고객 보상과 위약금 면제, 정보보안 투자 확대, 재발 방지 대책을 마련한 점은 감경 요소로 검토될 가능성이 있습니다.

이번 처분은 최근 SK텔레콤과 쿠팡에 이어 개인정보 유출 사고에 대한 개인정보위의 제재 기조를 가늠할 또 하나의 사례가 될 전망입니다. 개인정보위가 실제 금전 피해와 사업자의 사후 대응을 어떻게 평가하느냐에 따라 제재 수위가 결정될 것으로 보입니다.