KT 개인정보 유출 사고와 관련한 개인정보보호위원회(개인정보위)의 제재 수위가 30일 결정된다. 개인정보보호법상 관련 사업부문 매출의 최대 3%까지 과징금을 부과할 수 있는 가운데, 실제 금전 피해 발생 여부와 유출 정보의 민감성이 최종 과징금 규모를 좌우할 것으로 보인다.
개인정보위는 29일 전체회의를 열고 KT 개인정보 유출 사고 제재안을 심의한 뒤 30일 최종 의결 내용을 발표할 예정이다.
KT는 지난해 9월 불법 소형기지국(펨토셀)을 악용한 해킹 공격으로 수도권 서남부 지역 가입자 2만2227명의 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등이 유출됐다. 이 가운데 368명은 총 777건, 약 2억4300만원 규모의 무단 소액결제 피해를 입었다. 사고 원인으로는 펨토셀 관리 부실이 지목됐다.
개인정보보호법은 위반 행위와 관련된 사업부문의 직전 3개 사업연도 평균 매출의 최대 3%까지 과징금을 부과할 수 있다. KT의 사고 직전 3년간 무선사업 매출은 약 6조5000억원으로, 법상 최대 과징금은 약 1900억원이다.
다만 실제 과징금은 법 위반 정도와 안전조치 의무 위반 수준, 피해 규모, 사후 대응 등을 종합적으로 반영해 결정된다. 앞서 쿠팡은 약 30조원의 서비스 매출을 기준으로 6246억여원(약 2%), SK텔레콤은 약 13조원의 무선사업 매출을 기준으로 1278억여원(약 1%)의 과징금을 부과받았다.
KT 사례의 가장 큰 가중 요소는 개인정보 유출이 실제 금전 피해로 이어졌다는 점이다. KT가 2024년 서버 악성코드 감염 사실을 정부에 신고하지 않고 자체 조치한 사실도 변수다. 당시 감염된 서버는 43대로, 정부 조사 과정에서 뒤늦게 확인됐다. 이는 개인정보위가 서버를 폐기하거나 접속기록을 삭제하는 행위에 형사처벌(징역 2년 이하 또는 벌금 2000만원 이하) 규정을 신설하는 계기가 됐다. 다만 이번 KT 사고에는 소급 적용되지 않는다.
반면 유심(USIM) 인증에 사용되는 핵심 정보인 유심 인증키는 유출되지 않아 2차 피해 가능성이 상대적으로 낮다는 점은 대표적인 감경 요소다. SK텔레콤은 IMSI와 유심 인증키 등이 함께 유출돼 대규모 유심 교체를 시행한 바 있다.
이 밖에도 피해 규모가 2만여명으로 SK텔레콤(2300만명), 쿠팡(3700만명 이상)보다 적고, 약 4500억원 규모의 고객 보상 프로그램 운영과 펨토셀 교체 등 후속 조치를 시행한 점도 감경 요인으로 거론된다.
업계에서는 KT의 과징금이 SK텔레콤이나 쿠팡 수준을 넘기는 것은 쉽지 않을 것으로 본다. 업계 관계자는 "금전 피해가 발생한 점은 불리하지만 유심 인증키 미유출을 포함해 피해 규모와 사후 대응이 함께 고려될 것"이라고 말했다.