'개인정보 유출' SKT 1348억, KT 540억⋯"매출 산정·유출 규모 달라" [일문일답]

[아이뉴스24 안세준 기자] 개인정보보호위원회가 KT와 SK텔레콤의 개인정보 유출 사고에 대한 과징금 규모·위반 중대성 판단이 달라진 배경으로 관련 매출액 산정과 개인정보 유출 규모·유형의 차이 등을 들었다. KT의 경우 실제 무단 소액결제 피해가 발생했지만, 경쟁사와 비교해 유출 규모가 작고 인증정보가 포함되지 않은 점 등을 종합적으로 고려했다는 설명이다.

양청삼 개인정보위 사무처장은 30일 정부서울청사에서 열린 KT 개인정보 유출 사고 제재 관련 브리핑에서 KT와 SK텔레콤 간 과징금 산정 기준을 묻는 질의에 대해 "관련 매출액 산정에서 차이가 있었다. 무엇보다 피해 규모가 타 사업자 경우 2300만 명에 달해 유심 인증키 등이 문제가 된 반면, KT는 확정된 유출 규모가 1만6647명이었다. 이를 종합적으로 고려했다"고 말했다.

이날 개인정보위는 개인정보보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고 및 공표명령을 의결했다고 밝혔다. 지난해 SK텔레콤에 부과한 과징금 규모인 1348억원 대비 40% 수준이다.

KT 사고로 368명에게 약 2억4000만원 무단 소액결제 피해가 발생했지만 개인정보위는 이를 '매우 중대한 위반'보다 한 단계 낮은 '중대한 위반'으로 판단했다. 다만 악성코드 감염 사고와 관련해 로그를 삭제하고 거짓 자료를 제출하는 등 조사를 방해한 KT의 행위에 대해서는 경찰 고발하기로 했다.

다음은 양청삼 개인정보보호위원회 사무처장 등과의 일문일답이다.

KT 사고로 실제 금전 피해가 발생했다. SK텔레콤보다 과징금이 적은 이유는.

"(양 사무처장) 2차 피해가 발생했다는 점은 개인정보위 위원들이 매우 심각한 요소로 판단했다. 다만 다른 통신사 사고와 비교하면 확인된 유출 규모가 상대적으로 작았다. 유출 정보도 IMSI(가입자식별번호)와 IMEI(단말기식별번호), 휴대전화번호 등 3종이었다. 피해보상과 시정조치가 신속하게 이뤄진 점도 종합적으로 고려했다."

SK텔레콤 사고는 '매우 중대한 위반', KT 사고는 '중대한 위반'으로 표현했다. 실제 등급이 다른 것인가.

"(양 사무처장) '매우 중대한 위반'과 '중대한 위반'이라는 등급이 따로 있다. 매우 중대한 위반, 중대한 위반, 보통 위반, 약간 위반 순이다. KT 사건은 중대한 위반으로 판단했다. 금전적 2차 피해 발생은 매우 중요하게 봤고 위원들 사이에서도 치열한 논의가 있었다.

다만 KT 사고에서는 인증정보가 유출되지 않았다. 유출 정보는 IMSI와 IMEI, 휴대전화번호 등 통신 서비스에 필요한 기본적인 정보였다. 유출 정보의 유형과 규모를 어떻게 평가할지를 논의한 결과 다른 통신사 사고와는 차이가 있었다."

임시 전체회의까지 열어 처분을 의결한 이유는 무엇인가. 과징금 산정의 구체적인 기준은.

"(양 사무처장) 특별한 이유가 있었던 것은 아니다. 최근 개인정보 유출 신고와 사건이 늘어나고 있다. 조사와 제재 처분이 확정돼야 법정 손해배상 등 후속 절차도 진행될 수 있기 때문에 위원회 역량을 동원해 신속히 처리하려는 것이다. 필요하면 정기 전체회의 외에 추가 회의도 적극적으로 열 방침이다.

KT 사건은 무선통신 매출을 기준으로 LTE와 5G 매출을 포함했다. 위반 기간과 피해 규모, 시정 노력 등을 종합적으로 고려했다. 구체적인 산정 수치는 의결서가 확정되는 과정에서 공유할 예정이다."

KT의 과징금 539억7900만원에 KT 악성코드 감염 사건도 포함된 것인지.

"(양 사무처장) 이번 처분은 펨토셀을 통한 소액결제 사고에 관한 것이다. 악성코드 감염 사건은 아직 남아 있다. 행정조사만으로 확보할 수 있는 증거에는 한계가 있어 고발 조치를 결정했다. 수사를 통해 새로운 사실이 확인되면 별도로 처분할 예정이다."

KT 악성코드 감염 사고에서 실제 개인정보 유출이 확인된 것인가. 관련 조사는 끝났나.

"(양 사무처장) 악성코드 감염 사건은 아직 남아 있다. 조사가 끝난 것이 아니라 보류된 상태다. 이번 전체회의에서는 조사 방해 행위에 대한 고발을 의결했다. 새로운 사실이 확인되면 별도 처분할 예정이다."

"(이정은 조사2과장) 과기정통부 민관합동조사단 발표 당시에는 악성코드 감염 사실은 확인됐지만 개인정보 유출은 추가로 확인되지 않았다고 발표한 것으로 알고 있다. 개인정보위가 이후 조사를 이어가는 과정에서 당시 서버에 SQL 삽입 공격이 있었고 그 과정에서 일부 개인정보가 유출된 사실은 확인했다."

SK텔레콤에서도 과거 악성코드 감염 서버가 확인됐다. KT 사건과 동일한 기준으로 검토한 것인가.

"(이 조사2과장) SK텔레콤 조사 당시에도 해당 사실을 확인했다. 다만 SK텔레콤은 2022년 악성코드 감염 사실을 알고도 신고하지 않거나 조치하지 않은 사례가 아니다. 최근 유출 사고를 조사하는 과정에서 과거 침해 사실을 확인한 것이다. KT 사건과는 차이가 있다."

LG유플러스 서버 폐기와 관련한 수사의뢰는 과학기술정보통신부가 앞서 의뢰한 사건과 별개인가.

"(양 사무처장) 기본적으로 동일한 사건이다. 개인정보위 조사 과정에서 확인한 사실관계를 경찰청에 제공해 수사가 효과적으로 진행될 수 있도록 할 예정이다."

LG유플러스 사건은 수사 결과가 나오면 개인정보위 조사를 재개할 수 있나.

"(양 사무처장) 그렇다. 개인정보위 행정조사는 강제조사가 아니다. 자료 제출 요구와 사업자의 협조를 바탕으로 진행하기 때문에 행정조사만으로 충분한 증거를 확보하는 데 한계가 있다. 수사를 통해 새로운 실체나 사실이 발견되면 조사와 제재로 이어질 수 있다.

다만 조사가 완료된 단계는 아니다. 고발 이후 추가 사실관계를 확인할 예정이어서 정확한 내용은 조사 단계에서 확정해 설명하겠다."

증거 은닉·폐기에 대한 처벌과 과징금 신설이 이번 KT·LG유플러스 사건에도 소급 적용되나.

"(양 사무처장) 사업자에게 불이익을 주는 규정은 기본적으로 소급 적용할 수 없다. 증거 은닉에 대한 벌칙과 별도 과징금, 신고포상금 제도는 관련 법이 시행된 이후 발생한 행위부터 적용될 예정이다.

다만 이번 사건은 수사의뢰와 고발을 통해 새로운 사실이 확인될 경우 현행법에 따라 추가 처분할 수 있다."

앞으로 개인정보 유출과 증거 은닉이 함께 확인되면 과징금을 두 차례 부과할 수 있다는 의미인가.

"(양 사무처장) 그렇다. 증거 은닉에 대해서는 별도의 과징금이 부과된다. 개인정보 유출에 대한 기존 과징금과 증거 은닉에 대한 과징금은 별개다."