개인정보보호위원회의 KT 개인정보 유출 사고에 대한 제재 결정이 임박했다.
27일 업계에 따르면 개인정보위는 오는 29일 오후 전체회의를 열고 KT의 개인정보보호법 위반 여부와 과징금 부과 등을 담은 처분안을 심의·의결할 예정이다.
위원들이 추가 검토가 필요하다고 판단하면 의결이 다음 회의로 미뤄질 수 있으나 안건 상정이 결정됐다.
SK텔레콤과 쿠팡의 대규모 개인정보 유출 사건은 전체회의 심의 당일 처분안이 의결됐다는 점에서 KT 처분도 당일 확정될 가능성도 있다.
KT는 지난해 9월 불법 소형 기지국인 펨토셀을 악용한 공격을 받아 고객 2만2227명의 개인정보를 유출했다. 유출 정보에는 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등이 포함됐다.
유출 피해자 가운데 368명은 총 777건의 무단 소액결제 피해를 봤다. 피해 금액은 약 2억4300만원으로 조사됐다.
개인정보위는 펨토셀 공격과 함께 악성코드 'BPF도어(BPFDoor)' 감염과 관련한 조사도 진행해 왔다.
개인정보보호법에 따르면 개인정보위는 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있다. KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6689억원이다. 법정 상한을 단순 적용하면 과징금은 약 2000억원 수준이다.
실제 부과액은 위반 행위와 관련된 매출액의 산정 범위와 위반 정도, 감경·가중 사유 등을 종합적으로 고려해 결정된다.
KT가 피해자를 대상으로 보상 조치를 한 점은 과징금 감경 요소로 고려될 수 있다. 개인정보보호법은 과징금 산정 과정에서 피해 회복과 피해 확산 방지 조치의 이행 여부를 고려하도록 규정하고 있다.
박진형 기자 jin@etnews.com
