KT 개인정보 유출 제재 임박, 과징금 규모 가를 핵심 변수

KT 개인정보 유출 사고에 대한 정부 제재 수위가 이르면 7월 말 결정될 전망이다. 지난해 2만2천여명의 고객 정보가 유출되고 일부 이용자에게 소액결제 피해까지 발생한 사건인 만큼, 과징금 규모와 제재 사유를 둘러싼 관심이 커지고 있다.

연합뉴스 보도에 따르면 개인정보보호위원회는 오는 7월 29일 전체회의에서 KT에 대한 과징금 부과 등 제재안을 심의·의결할 가능성이 있다. 다만 추가 검토가 필요하다고 판단되면 의결 시점은 늦어질 수 있다. 개인정보위는 앞서 5월 조사를 마무리하고 KT에 처분 사전통지서를 보낸 상태다.

유출 규모와 피해 내용

이번 사고는 불법 소형 기지국, 이른바 펨토셀을 통해 가입자식별번호, 단말기식별번호, 전화번호 등 민감한 통신 관련 정보가 외부로 빠져나간 사안이다. 유출 대상은 2만2천227명으로 집계됐다. 이후 유출 고객 중 368명이 총 777건, 약 2억4천300만원 규모의 무단 소액결제 피해를 입은 것으로 파악됐다.

개인정보 유출 사고에서 단순한 유출 규모만큼 중요한 것은 피해로 이어진 경로다. 통신 서비스는 본인 인증, 결제, 각종 온라인 계정과 연결되는 경우가 많다. 따라서 전화번호와 단말기 정보가 함께 노출되면 2차 피해 우려가 커질 수밖에 없다. 이번 사건이 단순 정보 노출을 넘어 소액결제 피해로 이어졌다는 점도 제재 수위를 가르는 주요 요소로 거론된다.

현행 개인정보보호법은 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있도록 한다. KT의 최근 3년 무선서비스 매출을 단순 적용하면 법정 상한은 약 2천억원 안팎으로 추산된다. 실제 과징금은 관련 매출 범위, 위반 행위의 중대성, 사고 이후 조치, 당국 신고와 협조 여부 등을 종합해 산정된다.

감경과 가중 사유가 동시에 존재

KT가 사고 이후 일부 해지 고객의 위약금을 면제하고 보상 프로그램을 운영한 점, 정보보호 투자 확대 계획을 내놓은 점은 감경 요소로 평가될 수 있다. 기업이 피해 확산을 막고 이용자 보호 조치를 취했는지는 개인정보 사고 처분에서 반복적으로 고려되는 대목이다.

반면 불리하게 작용할 수 있는 부분도 있다. 보도에 따르면 KT가 감염 서버를 발견하고도 당국에 즉시 신고하지 않고 자체 처리한 점, 보안 취약점을 인지한 뒤에도 가입자 유치 활동을 지속한 점 등이 가중 사유로 검토될 수 있다. 사고 자체뿐 아니라 사고 인지 이후의 대응 속도와 투명성이 중요하다는 뜻이다.

최근 대형 개인정보 유출 사건의 과징금 규모가 커진 점도 주목된다. SK텔레콤은 지난해 해킹 사고와 관련해 당초 수천억원대 과징금 가능성이 거론됐으나 최종 1천348억원을 부과받았다. 개인정보 3천756만명이 유출된 쿠팡 사건에는 6천247억원의 과징금이 내려져 역대 최대 기록이 됐다. KT 사건도 이런 흐름 속에서 심의될 가능성이 크다.

제재 이후에도 쟁점은 남는다

개인정보위 처분이 확정되더라도 절차가 곧바로 끝난다고 보기는 어렵다. KT가 과징금 규모나 위반 판단에 불복하면 행정심판 또는 행정소송으로 이어질 수 있다. 대형 플랫폼과 통신사를 상대로 한 개인정보 제재는 과징금 산정 방식, 관련 매출 범위, 사고 책임 범위를 놓고 법정 공방이 벌어지는 경우가 많다.

이용자 입장에서는 최종 과징금 액수만큼이나 재발 방지 대책의 실효성이 중요하다. 통신사는 고객 식별 정보와 결제 인프라를 동시에 다루는 사업자다. 보안 취약점 점검, 이상 기지국 탐지, 피해 신고 체계, 결제 차단 절차가 촘촘하게 작동해야 같은 유형의 사고를 줄일 수 있다.

이번 심의는 국내 통신사의 개인정보 보호 책임을 다시 확인하는 계기가 될 전망이다. 과징금 규모가 얼마로 정해지든, 핵심은 유출 이후 보상이 아니라 유출 이전에 위험을 줄이는 구조를 만드는 데 있다.