‘역대급 제재’ 나올까···개인정보위, KT 과징금 얼마? 2000억?

박윤영 KT 대표. [사진=KT] 

[이뉴스투데이 백연식 기자] 개인정보보호위원회는 오는 29일 전체회의를 열고 KT 개인정보 유출 사고에 대한  개인정보보호법 위반 여부와 과징금 부과 등을 담은 처분안을 심의, 의결할 예정이다. KT의 경우 확인된 개인정보 유출 규모는 SK텔레콤이나 쿠팡 사고보다 상대적으로 적다. 하지만 유출 정보가 무단 소액결제 범죄에 실제로 악용돼 금전 피해가 발생했다는 점이 치명적이다. 법조계에서는 1200억원 정도가 유력하다고 보고 있다.

가장 큰 관심사는 과징금 규모다. KT는 지난해 9월 불법 소형 기지국(펨토셀)을 악용한 공격으로 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 고객 2만 2227명의 개인정보가 유출됐다. 이후 유출 피해자 가운데 368명은 총 777건, 약 2억 4300만원 규모의 무단 소액결제 피해를 본 것으로 조사됐다. 개인정보위는 이 사고와 함께 악성코드 ‘BPF도어(BPFDoor)’ 감염과 관련해서도 추가 조사를 진행해 왔다.

개인정보보호법은 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정한다. KT의 최근 3년간 무선서비스 매출은 연평균 약 6조 6689억원으로, 법정 상한을 단순 적용하면 과징금 규모는 약 2000억원 수준이다. 다만, 실제 과징금은 개인정보위가 무선서비스 매출 가운데 어느 범위까지 위반 행위와 관련된 매출로 인정하는지와 위반 행위의 중대성, 위반 기간, 사후 조치, 가중·감경 사유 등에 따라 크게 달라질 수 있다.

KT의 경우 통신망 핵심 설비인 펨토셀 관리가 부실했다는 점은 과징금을 높일 수 있는 사유다. KT는 펨토셀 생산과 납품, 내부망 접속 인증 전반에서 보안 관리를 제대로 하지 않아 불법 장비의 내부망 접속을 막지 못해서다. 통신망 보안 관리 부실이 가입자 정보 유출을 넘어 실제 결제 인증 탈취로 이어졌다는 점도 KT에는 불리한 점이다.

KT 서버에서 악성코드가 발견된 점도 과징금을 높일 수 있다. 개인정보 유출 정황이 확인된 것은 아니지만 KT가 악성코드 방지와 접근 통제, 접속기록 보관 등 안전조치 의무를 제대로 이행하지 않았다고 정부가 판단하면 법 위반 사항에 해당돼 과징금 산정에 반영될 수 있다.

비교 대상은 SK텔레콤 사례다. SK텔레콤은 해킹 사고 당시 수천억원대 과징금이 예상됐지만, 개인정보보호법상 감경 사유가 일부 인정되면서 최종 과징금은 1348억원으로 결정됐다. 현재까지 개인정보보호법상 역대 최대 과징금은 쿠팡에 부과된 6247억원이다. 개인정보위는 쿠팡의 개인정보 3756만여건 유출 사고와 관련해 당시 기준 역대 최대 규모의 과징금을 의결했다.

법조계 관계자는 “KT의 경우 원래 700억원 선에서 얘기되다가 최근 심결 전 막바지 단계에 이르면서 1200억원까지 고려한다는 말이 있다”고 귀띔했다.

업계에서는 이번 제재가 최근 정부의 개인정보보호 기조를 보여주는 시험대가 될 것으로 보고 있다. 개인정보 유출 사고가 반복되는 상황에서 강도 높은 제재가 이뤄질 경우 기업들의 보안 투자 확대를 유도하는 신호가 될 수 있기 때문이다.

통신업계 관계자는 “이번 제재는 단순히 KT 한 곳의 문제가 아니라 국내 기업 전반의 개인정보 보호 수준을 가늠하는 기준이 될 것”이라며 “과징금 액수 자체보다 개인정보위가 어떤 원칙을 제시하느냐가 더 중요하다”고 말했다.