불법 소형기지국(펨토셀) 해킹으로 이용자 개인정보 유출과 무단 소액결제 피해를 낸 KT가 약 540억 원의 과징금 처분을 받았다. 지난해 유심 정보 유출 사고를 낸 SK텔레콤에 부과된 과징금 약 1348억 원의 40% 수준이다.

개인정보보호위원회는 7월29일 제15회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령 등을 의결했다고 7월30일 밝혔다. 로그 삭제와 거짓진술 등 조사 방해 행위에 대해서는 KT를 수사기관에 고발하기로 했다.

관심을 모았던 과징금 규모는 SK텔레콤의 절반에도 못 미쳤다. 

실제 금전 피해가 발생한 첫 대규모 유출 사고라는 점에서 SK텔레콤을 웃도는 제재가 나올 수 있다는 관측도 있었지만, 개인정보위는 두 사고의 위반 등급 자체를 다르게 판단했다. SK텔레콤 사고가 '매우 중대한 위반'으로 분류된 반면 KT 사고는 한 단계 아래인 '중대한 위반'으로 평가됐다.

양청삼 개인정보위 사무처장은 30일 브리핑에서 "2차 피해가 발생했다는 점은 위원들이 굉장히 심각한 요소로 봤다"면서도 "타 통신사 유사 사례와 비교해 확인된 유출 규모 자체가 상대적으로 소규모였고, 유출된 정보도 3종에 불과했던 점, 피해보상과 시정조치에 신속하게 협조한 점 등이 감안됐다"고 설명했다.

격차를 가른 것은 유출 규모와 정보의 성격이다. 

SK텔레콤 사고에서는 가입자 2300만여 명의 유심(USIM) 인증키 등 인증 정보가 통째로 빠져나갔지만, KT 사고의 확정 유출 규모는 알뜰폰 가입자를 포함해 1만6647명, 유출 정보도 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 3종에 그쳤다.

개인정보위 관계자는 "이전 (SK텔레콤) 사건의 경우 인증 정보가 유출됐고 피해 규모도 2천만 명이 넘었다"며 "유출된 개인정보의 유형과 규모에서 차이가 있어 중대성 판단이 달라진 것"이라고 부연했다. 

과징금 산정 기준이 되는 관련 매출액은 무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 매출로 잡혔다. 

펨토셀이 기본적으로 LTE용 장비지만 5G 음영지역에서 LTE망이 겸용으로 쓰이는 점이 고려됐다. IPTV·인터넷 등의 매출은 제외됐다. 최종 과징금은 KT 산정 매출액(6조6689억 원)의 약 0.81%로, 법정 상한(관련 매출액의 3%)을 밑돌았다.

다만 개인정보위는 사고 책임이 전적으로 KT에 있다고 못박았다. KT는 심의 과정에서 "전례 없는 신유형 사고로 예측과 대응이 불가능했다"고 주장했지만 받아들여지지 않았다. 개인정보위는 "펨토셀은 이동통신 서비스 이용을 위해 반드시 경유해야 하는 필수 장비로, 안전조치 의무를 준수했다면 충분히 예방 가능한 사고였다"고 일축했다.

송경희 개인정보위 위원장은 "사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 말했다.