KT 540억 vs SKT 1348억…'과징금 격차' 갈라놓은 3가지

[서울=뉴시스]윤정민 기자 = 정부가 개인정보 유출 사고를 낸 KT에 과징금 540억여원을 부과했다. 지난해 SK텔레콤이 받은 1348억여원의 절반에도 못 미친다. 통신 공룡 두 곳의 과징금 액수가 왜 이렇게 크게 갈렸는지 관심이 쏠린다.

결론부터 말하면 정부는 SK텔레콤 사고를 KT보다 한 단계 더 무겁게 봤다. 과징금 산정의 기준이 되는 법 위반 중대성 등급부터 달랐다. 다만 KT의 처벌이 이걸로 끝난 것은 아니다. 경찰 수사가 진행 중인 서버 악성코드 감염 사건에서 추가 유출이 확인되면 과징금 청구서가 또 날아올 수 있다.

개인정보보호위원회는 29일 전체회의를 열고 불법 펨토셀(소형 기지국)로 개인정보를 유출한 KT에 과징금 539억7900만원을 매겼다.

SK텔레콤은 지난해 4월 보안 조치 소홀로 이용자 2300만명의 유심 정보를 유출해 1347억9100만원의 과징금을 받았다.

두 회사의 희비를 가른 건 사고의 중대성 평가다. 양청삼 개보위 사무처장은 "SK텔레콤은 '매우 중대한 위반', KT는 '중대한 위반'으로 판단했다"고 설명했다.

개인정보 보호법(시행령 제60조)에 따르면 개인정보 유출 사고 과징금은 최근 3년 평균 매출액을 바탕으로 정한다.  위반행위와 관련 없는 매출을 제외한다. 여기에 중대성 등급별 부과기준율을 적용해 기준금액을 정한 뒤 위반 기간과 피해 규모·영향, 조사 협조, 시정조치와 피해 회복 노력 등을 반영해 최종 금액을 확정한다.

‘매우 중대한 위반’ 행위의 경우, 관련 매출의 2.1%에서 2.7% 사이의 비율을 적용한다. SK텔레콤과 쿠팡 개인정보 유출사고가 이 등급을 받았다. SK텔레콤의 3년 평균 무선 매출은 약 10조6000억원이다. 최종 과징금은 매출의 약 1.27% 수준에서 결정됐다.

반면, KT가 받은 '중대한 위반' 등급의 과징금 부과 기준율은 1.5% 이상 2.1%로 낮아진다. KT 3개년 무선 서비스 평균 매출(별도 기준)은 약 6조4500억원. 최종 과징금 539억7900만원을 해당 매출과 단순 비교하면 약 0.84% 수준이다.

2300만명 유심 복제 위험 vs 1만6000명 소액결제 피해

개인정보위가 두 사고의 등급을 다르게 매긴 결정적 이유는 피해 규모와 유출된 정보의 위험성이다.

SK텔레콤은 국민 절반에 가까운 2300만명의 정보가 터졌다. 특히 휴대전화 번호뿐만 아니라 유심을 복제할 수 있는 핵심 인증키까지 유출됐다. 보안 방치 기간이 8년에 달한 점도 '매우 중대한 위반' 판단 근거로 삼았다.

반면 KT 펨토셀 사고에서 개인정보위가 확인한 유출 인원은 1만6647명이다. 유출 정보는 휴대전화번호와 가입자인증번호(IMSI), 단말기식별번호(IMEI) 등 3종이었다. 무단 소액 결제 피해를 입은 이용자 수는 368명이다.

개보위는 KT 사고에서 실제 금전 피해가 발생한 점을 엄중하게 봤다. 하지만 전체 유출 규모와 정보의 위험도를 종합했을 때 SK텔레콤급의 '매우 중대한 위반'으로 보기는 어렵다고 결론 내렸다.

변수는 아직 남아 있다. 이번 과징금에는 KT의 서버 악성코드 감염 사건이 빠져 있다.

KT는 2024년 3월 서버가 악성코드에 감염돼 임직원과 협력사 일부 직원 정보가 유출됐다고 개인정보위측은 밝혔다. 다만 사고 당시 로그가 충분히 남아 있지 않은 데다 KT가 일부 침해 서버의 로그를 삭제해 정확한 유출 규모와 이용자 개인정보의 추가 유출 여부는 확인되지 않았다.

개인정보위는 KT가 악성코드 감염 사실을 정부에 신고하지 않은 데다 조사 과정에서 거짓 자료를 제출하고 진술을 번복하는 등 조사를 방해했다고 보고 수사기관에 고발했다.

하지만 사고 기록(로그)을 삭제하고 정부에 거짓 자료를 내는 등 조사를 방해한 혐의를 받고 있다. 개인정보위는 KT를 수사기관에 고발한 상태다.

개인정보위는 경찰 수사로 새로운 유출 사실이 밝혀지면 조사를 다시 시작해 추가 과징금을 때릴 방침이다. KT가 추가 제재를 받게 되면 총 과징금 액수는 지금보다 늘어날 가능성을 배제할 수 없는 셈이다.


◎공감언론 뉴시스 [email protected]