KT 과징금 540억 어떻게 나왔나…5G·LTE 매출 기준 ‘중대 위반’

민관합동조사단 2만2227건·개보위 1만6647명…중복 제외 여부 차이

KT “전례 없는 신유형 사고” 주장…개보위 “충분히 예방 가능”

KT는 조사방해로 고발·LGU+는 수사 의뢰…증거 폐기 제재 강화 추진

박윤영 KT 대표가 지난 6일 서울 풀만 앰배서더 서울 이스트폴 호텔에서 가진 취임 후 첫 기자간담회에서 발언하고 있다.ⓒKT

개인정보보호위원회(개보위)가 29일 KT 개인정보 유출 사고와 관련해 부과한 과징금 540억원은 5G·LTE 이동통신 매출을 기준으로 산정됐다.

과기정통부 민관합동조사단이 발표한 유출 규모 2만2227건과 개인정보보호위원회가 확인한 1만6647명은 집계 기준 차이에서 비롯됐다. 민관합동조사단은 유출된 정보 전체 규모를 집계한 반면, 개보위는 법인과 다중회선 등 중복을 제외한 실제 정보주체를 기준으로 산정했다.

아래는 개보위의 주요 설명이다.

민관합동조사단 조사결과 2만2227건 유출과 차이가 있는 이유?

과기정통부 민관합동조사단이 발표한 유출 규모는 해커의 펨토셀을 통해 유출된 정보의 전체 규모를 산정했다.

위원회는 유출된 정보 중 법인 및 다중회선 등 중복을 제외한 실제 정보주체의 규모로 산정했다. 그 결과, KT 이동통신서비스 이용자 1만6647명의 개인정보가 유출된 것으로 확인했다. 유출내용은 KT통신망(알뜰폰 포함) 이용자 1만6647명의 개인정보(휴대전화번호, IMSI, IMEI)다.

과징금 산정 과정은?

개인정보 유출 사고 발생 시 안전조치 의무 위반이 확인될 경우, 전체 매출액의 3%를 초과하지 않는 범위에서, 위반행위와 관련없는 매출액을 제외한 매출액을 기준으로 과징금을 산정하게 된다.

이어 법 위반행위의 중대성과, 정보주체의 피해 규모 및 영향, 조사협조 및 시정완료 여부 등의 요소를 고려한 가중·감경을 거쳐 최종 과징금을 산정한다.

무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 과징금을 산정했고, IPTV·인터넷통신 등 관련 없는 독립적인 매출액은 관련 매출액에서 제외됐다.

국민의 생활에 필수적인 이동통신 서비스를 제공하는 기간통신사업자로서, 내부망에 대한 접근통제 관리 소홀로 공격자의 불법적인 접근을 제한하지 못하고 지속적인 접근에도 이상행위를 탐지하지 못해 실제 금전적 피해로 이어지는 등 개인정보 침해 수준이 상당히 높다는 점에서 개보위는 중대한 위반행위로 판단했다.

위반기간 및 위반행위의 시정 여부, 피해 회복 노력 등 다양한 요소를 고려해 최종 과징금액을 산정했다.

이번 심의 과정에서 KT의 주요 주장은?

KT는 이번 유출 사고가 해커가 펨토셀을 제작해 단말기에서 송출되는 통신신호를 가로채는 방식으로 발생한 전례 없는 신유형의 사고로 예측 및 대응이 불가능했다고 주장했다.

개보위는 펨토셀은 단순한 말단 통신장비가 아닌 이동통신 서비스를 이용하기 위해 반드시 경유해야 하는 필수적인 장비로 펨토셀 장비에 대한 관리 부실 및 펨토셀을 통한 내부망 접속에 대한 접근통제 미흡으로 발생한 사고라는 점에서 안전조치의무 준수시 충분히 예방이 가능한 사고이며 펨토셀을 통한 해킹 공격은 해외사례 및 학계에서 보안 취약점에 대한 지적이 지속적으로 제기되어온 사안으로 판단했다.

KT 고발과 LGU+ 수사의뢰 차이가 발생하는 이유는?

KT의 경우 위원회 조사착수 이후 위원회 조사과정에서 거짓 자료 제출 등을 통해 위원회 조사를 방해한 행위에 해당해 보호법 제73조(벌칙) 및 ‘개인정보 보호 법규 위반에 대한 고발기준’에 따라 고발하기로 결정했다.

LGU+는 위원회 조사착수 전 서버 폐기 등 증거 은닉·폐기가 이뤄져 보호법상 조사방해 요건에 해당하지 않아 형법상 공무집행 방해로 수사기관에 수사 의뢰하기로 했다.

개보위는 이러한 규제 사각지대 및 행정조사의 한계를 인지하고, 조사실효성 확보를 위한 제도개선을 추진 중에 있다.

증거 은닉·폐기 과징금 등 제도개선 계획은?

개인정보 침해 사고 발생 시, 조사 실효성 강화를 위해 증거 은닉·폐기에 대한 제재 규정 및 이행강제금·증거보전명령 제도 도입을 추진하고 있다.

이행강제금·증거보전명령 도입 관련 법안은 이미 국회에 발의돼 있으며 증거 은닉·폐기 제재규정 관련 법안은 하반기 국회 통과를 목표로 현재 발의를 추진하고 있다.

개보위는 관련 법안이 연내에 통과될 수 있도록 해, 향후 개인정보 유출 사고 발생 시 신속한 조사를 통해 정보주체의 권리가 보호될 수 있도록 하겠다는 방침이다.