2025년 12월 7일 서울 용산구 LG유플러스 본사. (연합뉴스)
LGU+의 경우, KT와 달리 위원회 조사착수 전 서버 폐기 등 증거 은닉·폐기가 이루어져 보호법상 조사방해 요건에 해당하지 않아, 형법상 공무집행 방해로 수사기관에 수사 의뢰하기로 했다.
앞서 개인정보위는 2025년 8월 미국 보안 전문지 ‘Phrack’(프랙)에서 발표한 LGU+의 개인정보 유출 사실을 인지하고 같은 해 9월 10일 조사에 착수하여 개인정보 유출관련 사실관계를 검토했다.
조사 과정에서 LGU+ 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일의 유출 여부를 점검했고, 해당 정보가 LGU+의 통합 비밀번호 관리시스템(Automated Process Policy Management, ‘APPM’)에서 실제 LGU+가 보유·관리하던 정보로 확인됐다.
다만, LGU+는 조사 착수 전인 2024년 8월 12일과 8월 14일 APPM 서버 등 관련 서버의 운영체제(OS)를 재설치했고, 2025년 8월 25일 폐기해 위원회가 조사를 통해 정확한 유출 경위 및 추가 유출 여부 등을 확인할 수 없도록 했다.
이에 개인정보보호위원회는 이러한 규제 사각지대 및 행정조사의 한계를 인지하고, 조사실효성 확보를 위한 제도개선을 추진하겠다고 밝혔다.
현행 규정상, ‘조사 중’ 은닉 등 행위에 대해서는 형사처벌·과태료 부과가 가능하나, ‘조사 착수 전’ 행위에 대해서는 제재 규정이 미비하여 사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리할 수 있는 규제 사각지대가 있다.
개인정보 유출사고가 발생하면 적기에 신고하여 2차 피해를 최소화할 수 있도록 △ ‘조사 착수 전’ 은닉·폐기 행위에 대해 형사처벌 규정 마련 △증거 은닉·폐기시 과징금(전체 매출액의 3%) 부과 △증거 은닉·폐기를 신고하여 조사·처분에 기여한 경우, 신고포상금 지급 등 제도 개선을 추진한다.
아울러, 사업자의 비협조로 인해 조사가 지연되는 문제를 막기 위해 △조사 비협조 또는 시정명령 미이행시 이행강제금(일 매출액 0.3%) 부과 △침해사고 발생시 자료보전명령 등이 가능하도록 보호법을 개정할 계획이다.
송경희 개인정보보호 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다”라고 강조하면서, 특히, 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하여, 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다“라고 밝혔다.
LG유플러스 측은 ”이미 동일한 사항에 대해 경찰수사가 진행중이며 경찰수사에 성실히 임하고 있다“면서 ”앞으로도 경찰 수사에 성실히 임하도록 하겠다“고 밝혔다.
