최근 과학기술정보통신부가 쿠팡과 KT(030200) 등에서 발생한 정보유출 사고 조사 결과를 발표한 가운데 후속 제재 권한을 가진 개인정보보호위원회 처분 수위에 관심이 쏠린다.

SK텔레콤이 지난해 개인정보 유출 사고로 1347억 9100만 원 규모의 '역대 최대 과징금' 처분을 받은 만큼 2억 원대 소액결제 피해까지 발생한 KT에도 많게는 1000억 원대 과징금 처분이 내려질 수 있다는 관측이 나온다.

13일 관가에 따르면 개보위는 지난해 9월부터 KT의 개인정보 유출 의혹에 대한 조사를 벌이고 있다. 현재 해당 기업 대상 자료요구 및 면담, 유관기관 등과 정보공유 등 사실관계를 확인하는 중이다.

개보위 처분에 앞서 과기정통부 민관 합동조사단이 발표한 조사 결과에 따르면 소액결제 피해 규모는 총 368명(777건), 2억 4319만 원이다.

펨토셀 접속을 통한 개인정보 유출 정황이 확인된 가입자는 2만 2227명이다. 과기정통부는 KT의 펨토셀 관리 문제 등 과실이 확인했으며 이 과정에서 정보통신망법을 위반했다고 봤다. 펨토셀은 이동통신사가 실내 통화 품질 개선을 위해 설치하는 소형 기지국 장비다.

무엇보다 KT의 펨토셀 부실 관리로 인해 야기된 평문의 문자, 음성통화 탈취 위험성은 소액결제 피해가 발생한 일부 이용자에 국한된 것이 아닌 KT 전체 이용자가 위험성에 노출됐던 것으로 판단했다.

개보위도 이런 민관 합동조사단의 결과를 받아 사실관계 확인과 법리 검토, 사업자 의견 청취 절차 등을 거치고 있는 것으로 알려졌다. 이후 전체회의 의결을 통해 제재 수위를 결정할 전망이다.

업계는 개보위가 이르면 3월 내 제재 처분을 의결할 것으로 내다보고 있다. 개보위는 아직 조사가 마무리되지 않았다는 입장이다.

앞서 SK텔레콤의 개인정보 유출 사고 때도 개보위는 민관 합동조사단이 지난해 7월 침해사고 최종 조사 결과를 발표한 뒤 약 두 달 뒤인 8월 28일 과징금 처분을 의결했다.


KT에 부과될 과징금 액수에도 관심이 쏠린다. 현행 개인정보보호법은 안전조치 의무 위반 등 중대한 법 위반이 발생할 경우 '위반행위와 관련된 매출액'의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있다. 이 때 매출액은 회사 전체가 아니라 위반 행위가 발생한 사업 부문을 기준으로 산정된다.

사고가 발생한 KT 무선 서비스 매출의 2022~2024년 평균치는 약 6조 5000억 원 수준이다. 이를 법률 상한인 3% 기준으로 단순 계산하면 1900억 원대까지 과징금 부과가 가능하다.

다만 실제 부과 비율은 위반의 내용과 기간, 유출 규모, 피해 확산 여부, 사후 조치 등을 종합적으로 고려해 결정된다. 앞서 개보위는 대규모 개인정보 유출 사고와 관련해 SK텔레콤에 1347억 9100만 원의 과징금을 부과했다.

SK텔레콤의 무선(이동통신) 매출은 2022~2024년 평균 약 10조5600억 원 수준으로 이를 기준으로 환산하면 1%대 수준의 과징금이 적용된 셈이다. 같은 비율을 적용한다면 KT의 과징금은 800억 원 안팎이 될 것으로 추산된다.

업계에서는 유출 규모와 정보의 성격을 감안하면 SK텔레콤 제재 수위 선에서 처분이 이뤄질 것이라는 분석을 내놓고 있다.

다만 일각에서는 KT 사태의 경우 실제 소액결제 피해가 발생했다는 점에서 제재 수위가 높아질 수 있다는 관측도 나온다. 개인정보보호위원회 고시에 따르면 과징금 산정 과정에서 피해 규모와 2차 피해 발생 여부 역시 중대성 판단 요소로 고려된다.

업계 관계자는 "고의·과실 여부와 위반행위의 영향, 개인정보 유형 등을 종합적으로 고려해 3% 이내에서 최종 비율이 결정되는 구조"라며 "과징금 산정 과정에서 피해 규모와 2차 피해 발생 여부도 중대성 판단 요소에 포함된다"고 말했다.

minju@news1.kr