개인정보보호위원회
심의ㆍ의결
제2025-010-027호
개인정보 보호조치에 대한 개선권고에 관한 건
의결일: 2025년 5월 2일
요지
안건번호 : 제2025-010-027호
안건명 : 개인정보 보호조치에 대한 개선권고에 관한 건
신청인 : SK텔레콤(주) (사업자등록번호 : )대표자
의결연월일 : 2025. 5. 2.
안건명 : 개인정보 보호조치에 대한 개선권고에 관한 건
신청인 : SK텔레콤(주) (사업자등록번호 : )대표자
의결연월일 : 2025. 5. 2.
주문
1. 피심인 SK텔레콤(주)에 대하여 다음과 같이 개선을 권고한다.
가. 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대하여 법정 사항*을 갖추어 신속히 유출 통지**할 것
* 1. 유출등이 된 개인정보 항목, 2. 유출등이 된 시점과 그 경위, 3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 4. 개인정보처리자의 대응조치 및 피해 구제절차, 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
** SKT 알뜰폰 이용자의 경우, 개인정보 유출 통지 주체ㆍ방법 등을 검토하여, 위원회에 별도로 제출할 것
나. 고령자ㆍ장애인 등 디지털 취약계층에 대한 별도의 보호 대책 마련 및 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련할 것
(기존 유심보호서비스, 유심교체 外 이심(esim), 사업자 변경 등 다양한 대책 포함)
다. 이용자의 개인정보 관련 급증하는 민원에 성실히 대응하기 위해, 114 포함 전담 대응팀을 확대하여 사태가 완전히 해결될 때까지 운영할 것
라. 피심인은 가., 나., 다.의 개선권고 통지를 받은 날로부터 7일 이내에 조치 결과를 개인정보보호위원회에 제출하고, 정기적으로 실적을 보고*할 것
* 실적보고 방법ㆍ주기 등 사항은 위원회와 협의하여 결정할 것
가. 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대하여 법정 사항*을 갖추어 신속히 유출 통지**할 것
* 1. 유출등이 된 개인정보 항목, 2. 유출등이 된 시점과 그 경위, 3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 4. 개인정보처리자의 대응조치 및 피해 구제절차, 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
** SKT 알뜰폰 이용자의 경우, 개인정보 유출 통지 주체ㆍ방법 등을 검토하여, 위원회에 별도로 제출할 것
나. 고령자ㆍ장애인 등 디지털 취약계층에 대한 별도의 보호 대책 마련 및 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련할 것
(기존 유심보호서비스, 유심교체 外 이심(esim), 사업자 변경 등 다양한 대책 포함)
다. 이용자의 개인정보 관련 급증하는 민원에 성실히 대응하기 위해, 114 포함 전담 대응팀을 확대하여 사태가 완전히 해결될 때까지 운영할 것
라. 피심인은 가., 나., 다.의 개선권고 통지를 받은 날로부터 7일 이내에 조치 결과를 개인정보보호위원회에 제출하고, 정기적으로 실적을 보고*할 것
* 실적보고 방법ㆍ주기 등 사항은 위원회와 협의하여 결정할 것
이유
Ⅰ. 기초 사실
피심인은 이동통신 서비스를 제공하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)에 따른 개인정보처리자에 해당하며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=163721027" alt="1번째 이미지"></img>
Ⅱ. 현재까지 확인된 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 자사 시스템에 대한 해킹 공격으로 고객 유심(USIM) 관련 정보가 유출된 정황을 인지한 후 유출 신고('25. 4. 22.)해옴에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사하고 있는 과정에서 다음과 같은 사실을 확인하였다.
2. 조사 진행상황
1) (유출 인지 및 대응)
<img src="/LSW/flDownload.do?flSeq=163721029" alt="2번째 이미지"></img>
3. 행위 사실
가. 개인정보 유출 통지를 실시하지 않은 행위
피심인의 시스템에서 다량의 개인정보 유출이 있었고, 유출 항목이 유심 복제에 사용될 수 있는 중요한 개인정보임에도,
'25. 4. 19. 23:40경 개인정보 유출 의심 정황을 인지한 후, ’25. 4. 22. 10:00경 홈페이지에 공지한 사실 외에 정보주체에 대한 개별 유출통지를 하고 있지 않고,
※ 피심인이 ’25. 4. 22. 게시한 홈페이지 공지문은 보호법 상 규정된 법정 사항을 고지했다고 보기 어렵다고 판단되며, '25. 4. 29.에 개별 발송한 문자는 본 사고에 대한 사과문과 유심보호서비스, 유심교체에 관한 내용만 기재되어 있음
나. 개인정보 유출 피해 최소화를 위한 대책 마련 부실
피심인이 피해방지 대책으로 제시한 유심보호서비스는 신청 폭주로 가입이 지연되고, 유심 물량 부족 등으로 유심교체 역시 신속하게 진행되지 못하고 있다.
또한, 피해방지 대책이 Tworld 앱 등 모바일 또는 현장방문을 통해 이뤄지고 있어 모바일 기기 사용에 익숙지 않은 고령자, 장애인 등의 디지털 취약계층과 군인과 같은 특수직군은 이용이 어려운 상황이다.
※ 이와 관련하여, 개인정보위에서도 다량의 민원이 접수되고 있으며, SKT 민원센터가 연결되지 않는다는 민원도 다수 접수
Ⅲ. 개선 방안
피심인은 연간 매출액 원(’24년 기준), 상시 종업원 명에 달하는 굴지의 대기업이자 약 명*의 이용자를 보유한 국내 1위의 통신 사업자로서 개인정보 유출 통지 및 피해방지 대책을 신속히 조치할 충분한 인력과 체계, 자본 등을 갖추고 있음에도 불구하고,
* ('25.2월 기준) SKT 이용자 : 약 명, SKT 알뜰폰(S-MVNO 개 사업자) 이용자(약 명)
피심인이 적시에 개인정보 유출 통지를 실시하지 않아 개인정보 유출 및 2차 피해 등에 대한 국민들의 불안과 혼란을 가중하고 있으며,
피심인이 마련한 유심보호서비스 및 유심교체 등 피해방지대책이 피심인의 미흡한 준비로 인해 원활하게 진행되지 않고 있으며, 이로 인한 2차 피해 가능성에 대한 우려로 관련 민원이 급증하고 있어 신속한 조치가 필요한 상황이다.
※ '25.5.1. 00:00 기준 유심보호서비스 가입자 약 명(SKT 이용자 약 명 대비 %)
1. 관련법 규정
가. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(1호)’, '유출등이 된 시점과 그 경위(2호)’, '유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(5호)’의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조 및 제40조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, '유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우(1호)’, '천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우(2호)’의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.“라고 규정하고 있고, 제39조제2항은 ”제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.“라고 규정하고 있고, 제39조제3항은 ”제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.“라고 규정하고 있다.
나. 보호법 제34조제2항은 “개인정보처리자는 개인정보가 유출등이 된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다.”라고 규정하고 있다.
Ⅳ. 개선 권고
보호법 제61조제2항에 따라 피심인의 이동통신 서비스를 이용하고 있는 정보주체의 개인정보 유출로 인한 추가 피해 방지 등을 위해 피심인에게 다음과 같이 개선권고 한다.
※ 현재, SKT 이용자 개인정보 유출로 인한 추가 피해 방지 등을 위해 개선권고 하는바,
본 건 조사를 완료한 후 보호법 상 개인정보 유출통지 의무 등 위반행위가 확인되는 경우 관계 법령에 따라 처분할 예정임
가. 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대하여 법정 사항*을 갖추어 신속히 유출 통지**할 것
* 1. 유출등이 된 개인정보 항목, 2. 유출등이 된 시점과 그 경위, 3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 4. 개인정보처리자의 대응조치 및 피해 구제절차, 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
** SKT 알뜰폰 이용자의 경우, 개인정보 유출 통지 주체ㆍ방법 등을 검토하여, 위원회에 별도로 제출할 것
나. 고령자ㆍ장애인 등 디지털 취약계층에 대한 별도의 보호 대책 마련 및 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련할 것
(기존 유심보호서비스, 유심교체 外 이심(esim), 사업자 변경 등 다양한 대책 포함)
다. 이용자의 개인정보 관련 급증하는 민원에 성실히 대응하기 위해, 114 포함 전담 대응팀을 확대하여 사태가 완전히 해결될 때까지 운영할 것
라. 피심인은 가., 나., 다.의 개선권고 통지를 받은 날로부터 7일 이내에 조치 결과를 개인정보보호위원회에 제출하고, 정기적으로 실적을 보고*할 것
* 실적보고 방법ㆍ주기 등 사항은 위원회와 협의하여 결정할 것
Ⅴ. 결론
피심인에 대하여 보호법 제61조(의견제시 및 개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 이동통신 서비스를 제공하는 「개인정보 보호법」개인정보 보호법(법률 제19234호, 2023. 3. 14. 일부개정, 2023. 9. 15. 시행)(이하 '보호법’)에 따른 개인정보처리자에 해당하며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=163721027" alt="1번째 이미지"></img>
Ⅱ. 현재까지 확인된 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인이 자사 시스템에 대한 해킹 공격으로 고객 유심(USIM) 관련 정보가 유출된 정황을 인지한 후 유출 신고('25. 4. 22.)해옴에 따라 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사하고 있는 과정에서 다음과 같은 사실을 확인하였다.
2. 조사 진행상황
1) (유출 인지 및 대응)
<img src="/LSW/flDownload.do?flSeq=163721029" alt="2번째 이미지"></img>
3. 행위 사실
가. 개인정보 유출 통지를 실시하지 않은 행위
피심인의 시스템에서 다량의 개인정보 유출이 있었고, 유출 항목이 유심 복제에 사용될 수 있는 중요한 개인정보임에도,
'25. 4. 19. 23:40경 개인정보 유출 의심 정황을 인지한 후, ’25. 4. 22. 10:00경 홈페이지에 공지한 사실 외에 정보주체에 대한 개별 유출통지를 하고 있지 않고,
※ 피심인이 ’25. 4. 22. 게시한 홈페이지 공지문은 보호법 상 규정된 법정 사항을 고지했다고 보기 어렵다고 판단되며, '25. 4. 29.에 개별 발송한 문자는 본 사고에 대한 사과문과 유심보호서비스, 유심교체에 관한 내용만 기재되어 있음
나. 개인정보 유출 피해 최소화를 위한 대책 마련 부실
피심인이 피해방지 대책으로 제시한 유심보호서비스는 신청 폭주로 가입이 지연되고, 유심 물량 부족 등으로 유심교체 역시 신속하게 진행되지 못하고 있다.
또한, 피해방지 대책이 Tworld 앱 등 모바일 또는 현장방문을 통해 이뤄지고 있어 모바일 기기 사용에 익숙지 않은 고령자, 장애인 등의 디지털 취약계층과 군인과 같은 특수직군은 이용이 어려운 상황이다.
※ 이와 관련하여, 개인정보위에서도 다량의 민원이 접수되고 있으며, SKT 민원센터가 연결되지 않는다는 민원도 다수 접수
Ⅲ. 개선 방안
피심인은 연간 매출액 원(’24년 기준), 상시 종업원 명에 달하는 굴지의 대기업이자 약 명*의 이용자를 보유한 국내 1위의 통신 사업자로서 개인정보 유출 통지 및 피해방지 대책을 신속히 조치할 충분한 인력과 체계, 자본 등을 갖추고 있음에도 불구하고,
* ('25.2월 기준) SKT 이용자 : 약 명, SKT 알뜰폰(S-MVNO 개 사업자) 이용자(약 명)
피심인이 적시에 개인정보 유출 통지를 실시하지 않아 개인정보 유출 및 2차 피해 등에 대한 국민들의 불안과 혼란을 가중하고 있으며,
피심인이 마련한 유심보호서비스 및 유심교체 등 피해방지대책이 피심인의 미흡한 준비로 인해 원활하게 진행되지 않고 있으며, 이로 인한 2차 피해 가능성에 대한 우려로 관련 민원이 급증하고 있어 신속한 조치가 필요한 상황이다.
※ '25.5.1. 00:00 기준 유심보호서비스 가입자 약 명(SKT 이용자 약 명 대비 %)
1. 관련법 규정
가. 보호법 제34조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 ”유출등“이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 '유출등이 된 개인정보 항목(1호)’, '유출등이 된 시점과 그 경위(2호)’, '유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보(3호)’, '개인정보처리자의 대응조치 및 피해 구제절차(4호)’, '정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처(5호)’의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제39조제1항은 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조 및 제40조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, '유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우(1호)’, '천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우(2호)’의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 지체 없이 정보주체에게 알릴 수 있다.“라고 규정하고 있고, 제39조제2항은 ”제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다.“라고 규정하고 있고, 제39조제3항은 ”제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.“라고 규정하고 있다.
나. 보호법 제34조제2항은 “개인정보처리자는 개인정보가 유출등이 된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다.”라고 규정하고 있다.
Ⅳ. 개선 권고
보호법 제61조제2항에 따라 피심인의 이동통신 서비스를 이용하고 있는 정보주체의 개인정보 유출로 인한 추가 피해 방지 등을 위해 피심인에게 다음과 같이 개선권고 한다.
※ 현재, SKT 이용자 개인정보 유출로 인한 추가 피해 방지 등을 위해 개선권고 하는바,
본 건 조사를 완료한 후 보호법 상 개인정보 유출통지 의무 등 위반행위가 확인되는 경우 관계 법령에 따라 처분할 예정임
가. 유출이 확인된 이용자는 물론 유출 가능성이 있는 모든 이용자(SKT 망 사용 알뜰폰 이용자 포함)에 대하여 법정 사항*을 갖추어 신속히 유출 통지**할 것
* 1. 유출등이 된 개인정보 항목, 2. 유출등이 된 시점과 그 경위, 3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 4. 개인정보처리자의 대응조치 및 피해 구제절차, 5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
** SKT 알뜰폰 이용자의 경우, 개인정보 유출 통지 주체ㆍ방법 등을 검토하여, 위원회에 별도로 제출할 것
나. 고령자ㆍ장애인 등 디지털 취약계층에 대한 별도의 보호 대책 마련 및 SKT 전체 이용자의 2차 피해 예방을 위한 충실한 지원 대책을 마련할 것
(기존 유심보호서비스, 유심교체 外 이심(esim), 사업자 변경 등 다양한 대책 포함)
다. 이용자의 개인정보 관련 급증하는 민원에 성실히 대응하기 위해, 114 포함 전담 대응팀을 확대하여 사태가 완전히 해결될 때까지 운영할 것
라. 피심인은 가., 나., 다.의 개선권고 통지를 받은 날로부터 7일 이내에 조치 결과를 개인정보보호위원회에 제출하고, 정기적으로 실적을 보고*할 것
* 실적보고 방법ㆍ주기 등 사항은 위원회와 협의하여 결정할 것
Ⅴ. 결론
피심인에 대하여 보호법 제61조(의견제시 및 개선권고)제2항에 따라 개선권고를 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).