[비즈니스포스트] 박윤영 KT 대표이사 사장이 지난해 해킹사고에 따른 개인정보보호위원회의 539억7900만 원 과징금 처분을 놓고 불복 행정소송에 나설지 주목된다.

처분을 그대로 수용할 경우 향후 유사한 통신망 사고에서 과징금 산정의 선례로 작용할 수 있는데다 수백억 원대 과징금이 회사 재무와 주주가치에도 영향을 미칠 수 있는 만큼 박 사장이 행정소송에 나설 가능성에 무게가 실린다.
 

KT가 행정소송에 나선다면 과징금 규모를 결정한 사고 관련 매출액 범위, 위반기간 산정 등을 놓고 개인정보위와 치열한 법리 공방을 벌일 것으로 전망된다.

22일 통신업계 취재를 종합하면 KT는 최근 개인정보위로부터 과징금 의결서를 전달받고, 행정소송 제기 여부를 검토하고 있다.

앞서 SK텔레콤도 개인정보위로부터 1347억9100만 원의 과징금을 부과받은 뒤 의결서를 검토해 입장을 정하겠다는 뜻을 밝힌 이후 2026년 1월 처분 취소 행정소송을 제기했다.

박윤영 사장 입장에선 개인정보위의 과징금 처분을 수용하면, 향후 유사한 통신망 사고에서도 이번 과징금 산정 기준을 그대로 적용받을 수 있어 부담이 될 것으로 보인다. 

게다가 수백억 원대 과징금이 회사 재무와 주주가치에 미치는 영향을 고려하면, 처분의 적정성을 법적으로 따져볼 수밖에 없다는 분석이 나온다.

박 사장이 행정소송에 나설 경우 과징금 부과 과정에서 개인정보위가 받아들이지 않은 KT의 주장들이 주요 법적 쟁점으로 다시 떠오를 것으로 예상된다.

개인정보위 전체회의 속기록에 따르면 KT는 과징금 심의 단계부터 관련 매출액 범위와 사고의 중대성, 과실 정도 등을 놓고 적극적으로 항변했다.

가장 큰 쟁점으로는 과징금 산정의 기초가 되는 관련 매출액 범위가 꼽힌다.

KT는 지난해 해킹 사고가 펨토셀 관리·연동 구간에 한정된 만큼, 개인정보위가 적용한 전체 무선통신서비스 매출 산정 범위가 지나치게 넓다고 보고 있다. 이에 따라 LTE 트래픽 비중이나 실제 펨토셀 접속 이용자 매출 등을 기준으로 관련 매출액을 좁혀야 한다고 주장했다.

당시 KT 법률대리인은 “전체 이동통신 매출액을 기준으로 과징금을 산정하는 것은 위반행위와 매출액 사이의 관련성을 지나치게 확대하는 결과”라며 “실제 통제·관리 미흡이 문제된 펨토셀 영역을 기준으로 산정돼야 한다”고 주장했다.

개인정보위는 이를 받아들이지 않았다. 펨토셀 전파 도달범위에 있는 이용자 단말기가 해당 펨토셀에 접속할 수 있고, 펨토셀 관리 부실의 영향을 받는 서비스가 무선통신서비스라는 점 등을 들어 무선통신서비스 매출을 관련 과징금 산출 매출로 판단했다.

다만 펨토셀이 LTE망에서만 작동한다는 점을 고려해 3G 서비스와 개인정보 처리와 무관한 법인·기타 매출 등은 제외했다.

위반기간 산정도 주요 쟁점으로 떠오를 것으로 보인다.

KT는 최초 불법 펨토셀 접속일부터 추가 피해 가능성을 차단한 시점까지 약 11개월에 불과한 만큼, 위반기간에 따른 과징금 가중을 적용해서는 안 된다고 주장했다.

당시 KT 법률대리인은 “최초 불법 펨토셀을 통한 접속일은 2024년 10월8일이고, 추가 피해 가능성을 차단한 날은 2025년 9월5일”이라며 “위반 기간은 약 11개월로서 1년을 초과하지 않으므로 위반 기간 가중 사유에 해당하지 않는 것으로 생각한다”고 말했다.

그러나 개인정보위는 펨토셀 관리와 내부망 접근통제 등 안전조치 의무 위반을 문제 삼아, 최종 과징금 산정에서 위반기간을 2년 초과로 보고 50%를 가중했다.

신종 공격의 예견 가능성도 주요 공방 대상이 될 수 있을 전망이다.

KT는 국제통신표준을 준수하는 상태에서 펨토셀과 통신 프로토콜의 특성을 악용한 새로운 유형의 공격이 발생해 사전 예측이 어려웠던 만큼 과징금 부과 기준율을 정하는 고의·과실 정도도 낮게 평가해야 한다고 주장했다.

당시 KT 법률대리인은 “개인정보 보호 관점에서 구체적 공격 방식과 결과를 손쉽게 예측할 수 있었던 사안이 아니다”라며 “KT의 고의·과실은 ‘하’로 평가되는 것이 타당하다”고 주장했다.

반면 개인정보위는 동일한 제조사 인증서를 사용하고 펨토셀 인증서 유효기간을 10년으로 설정한 점, 해외·타사 IP 접속 통제와 셀 ID 관리가 미흡했던 점 등을 들어 접근통제 등 사고예방 조치가 충분하지 않았다고 판단했다.

개인정보위는 펨토셀을 통한 해킹 공격과 관련해 해외 사례와 학계에서 보안 취약점이 지속적으로 제기돼 왔다며, 사고가 예측과 대응이 불가능한 신유형 공격이었다는 KT의 주장을 받아들이지 않았다.
 

이에 따라 박 사장이 처분 취소 행정소송에 나설 경우, 개인정보 유출 사실 자체보다는 사고와 직접 관련된 매출의 범위를 어디까지 인정할지, 위반기간을 어떻게 산정할지, 신종 공격이라는 특성을 과실 판단에 어느 정도 반영할지가 법정 공방의 핵심이 될 것으로 예상된다.

행정소송에서 관련 매출액 범위가 좁아지거나, 위반기간을 2년 초과로 보지 않을 겨우 과징금 규모가 낮아질 수 있을 것으로 보인다.

또 소송 결과는 KT의 과징금 규모를 넘어 향후 통신업계 개인정보 유출 사고에서 관련 매출액의 범위와 위반기간을 판단하는 데 영향을 줄 수 있을 것으로 예상된다.

KT 관계자는 비즈니스포스트에 “의결서를 면밀히 검토한 뒤 입장을 정할 것”이라고 말했다. 조승리 기자