개인정보보호위원회
심의ㆍ의결
제2026-015 - 093호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 7월 29일
요지
안건번호 : 제2026-015 - 093호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 주식회사 케이티(사업자등록번호 : )대표자
의결연월일 : 2026. 7. 29.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 주식회사 케이티(사업자등록번호 : )대표자
의결연월일 : 2026. 7. 29.
주문
1. 피심인에 대해서 다음과 같이 시정조치를 명한다.
피심인은 국민 생활에 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 개인정보 보호 강화 및 유출 사고 재발 방지를 위하여,
가. 이동통신망에 접속하는 기지국(펨토셀 포함) 등 통신설비 전반에 대한 인증ㆍ검증 체계를 마련하여 불법ㆍ비인가 기지국(펨토셀 포함)이 이동통신망에 접속하거나 개인정보를 수집ㆍ탈취하지 못하도록 안전조치를 강화하고, 이상접속에 대한 실시간 탐지ㆍ차단 체계를 구축ㆍ운영할 것
나. 개인정보처리시스템 및 네트워크 구간에 대한 침해사고 위험 요소를 분석하고, 정기적인 취약점 분석ㆍ점검 체계를 마련ㆍ시행할 것
다. 회사 전반의 개인정보 처리 업무를 총괄하도록 개인정보 보호책임자의 책임과 역할을 명확히 정립하고, 개인정보 보호에 필요한 조치가 신속히 이행될 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 제출할 것
2. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 53,979,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인에 대한 개선권고, 시정조치 명령, 과징금 부과의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인의 홈페이지에 공표명령한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 1개월 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보휘원회와 협의하여 정할 것
5. 피심인에 대해서 다음와 같이 개선을 권고한다.
가. 피심인의 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 인프라 영역으로 확대하여, 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고할 것
나. 피심인은 가.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출할 것
피심인은 국민 생활에 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 개인정보 보호 강화 및 유출 사고 재발 방지를 위하여,
가. 이동통신망에 접속하는 기지국(펨토셀 포함) 등 통신설비 전반에 대한 인증ㆍ검증 체계를 마련하여 불법ㆍ비인가 기지국(펨토셀 포함)이 이동통신망에 접속하거나 개인정보를 수집ㆍ탈취하지 못하도록 안전조치를 강화하고, 이상접속에 대한 실시간 탐지ㆍ차단 체계를 구축ㆍ운영할 것
나. 개인정보처리시스템 및 네트워크 구간에 대한 침해사고 위험 요소를 분석하고, 정기적인 취약점 분석ㆍ점검 체계를 마련ㆍ시행할 것
다. 회사 전반의 개인정보 처리 업무를 총괄하도록 개인정보 보호책임자의 책임과 역할을 명확히 정립하고, 개인정보 보호에 필요한 조치가 신속히 이행될 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 제출할 것
2. 피심인에 대하여 다음과 같이 과징금을 부과한다.
가. 과 징 금 : 53,979,000,000원
나. 납부기한 : 고지서에 명시된 납부기한 이내
다. 납부장소 : 한국은행 국고수납 대리점
3. 피심인에 대한 개선권고, 시정조치 명령, 과징금 부과의 내용 및 결과를 개인정보보호위원회 홈페이지에 1년 간 공표한다.
4. 피심인의 법 위반 내용 및 처분 결과를 피심인의 홈페이지에 공표명령한다.
가. 피심인은 처분 등에 대한 통지를 받은 날부터 1개월 이내 당해 처분 등을 받은 사실 등을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만 기간 동안(휴업일 포함) 게시할 것
나. 피심인은 원칙적으로 표준 공표 문안을 따르되, 공표 문안에 관하여 개인정보보호위원회와 미리 문서로 협의하고, 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 개인정보보휘원회와 협의하여 정할 것
5. 피심인에 대해서 다음와 같이 개선을 권고한다.
가. 피심인의 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 인프라 영역으로 확대하여, 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고할 것
나. 피심인은 가.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출할 것
이유
Ⅰ. 기초 사실
피심인은 이동통신서비스 등을 제공하면서 이용자의 개인정보를 처리하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행(이하 '보호법’)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169624271" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 소액결제 서비스를 통한 피해사례가 접수됨에 따라 개인정보 유출 정황이 확인되어 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('25.9.10. ~ '26. 4.17.)하였으며, 다음과 같은 사실을 확인하였다.
한편, 피심인은 개인정보 유출을 세 차례 신고(9.11., 9.18., 10.17.)하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 ’25. 11. 3. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169624283" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 펨토셀 및 관련 네트워크 운영 현황
펨토셀(Femtocell)은 피심인의 이동통신망을 구성하는 초소형 기지국(접속설비)이며, 펨토셀의 이동통신망에 대한 접속 승인, 인증 체계 관리, 보안통제 및 운영 등을 피심인이 수행하며, 펨토셀을 이용하는 이용자는 펨토셀 장비의 설치 장소와 인터넷 회선 등 운영환경을 제공하고 있다. 펨토셀은 이용자에게 별도 판매하거나 이용료를 부과하지 않으며, 고객센터 등을 통해 전파 수신이 원활하지 않은 지역(음영지역) 발생 등 이용자의 민원 접수 시 피심인 설치기사의 방문 등을 통해 설치가 이루어진다.
※ 펨토셀 : KT는 '16.11.28.부터 무선통신 품질 개선을 위해 가정이나 사무실, 지하 등 무선통신 신호가 약한 음영지역에 소형기지국을 도입ㆍ운영
피심인의 펨토셀은 인증서버로부터 발급받은 인증서를 통해 와 통신터널을 개통하여 피심인의 내부망과 연결되며, 피심인은 및 를 통해 펨토셀을 관리ㆍ운영하였다.
① (펨토셀↔인증서버) 인증서버에 접속한 후 펨토셀에 내장된 인증서(’제조사 인증서')를 통해 인증서(’펨토셀 인증서')를 발급한다.
② (펨토셀↔ ) 에서 펨토셀 인증서의 유효성을 검증하고 인증 성공시, 펨토셀과 간 을 통해 내부망에 접속한다.
③ (펨토셀↔ ) 펨토셀 내부SW를 통해 에 접속하면 는 펨토셀 를 확인하여 Cell ID를 부여하고, 와 연동 IP를 확인하여 에 등록하고 등록된 펨토셀 장비를 관리ㆍ운영하였다.
* Cell ID : 개별 펨토셀을 식별하기 위한 정보
:
:
<img src="/LSW/flDownload.do?flSeq=169624285" alt="3번째 이미지"></img>
2) 개인정보 처리흐름
① (이동통신서비스) 피심인의 이용자 휴대폰이 펨토셀에 접속하면 단말기와 피심인 서버(HSS 등) 간에 이용자 정보(IMSI, IMEI, 전화번화)홈가입자인증서버(Home Subscriber Server, HSS), 국제모바일가입자식별번호(International Mobile Subscriber Identity, IMSI), 국제모바일기기식별번호(International Mobile Equipment Identity, IMEI)를 송ㆍ수신하여 사용자인증ㆍ기기인증 및 음성서비스 등록 등을 통해 이동통신서비스가 제공된다.
<img src="/LSW/flDownload.do?flSeq=169624287" alt="4번째 이미지"></img>
② (상품권 구매) 이용자가 상품권 홈페이지에서 상품권 구매 요청 및 결제 수단을 선택하고, 휴대폰 소액결제를 위한 추가정보(이름, 생년월일, 전화번호 등)를 입력 후 본인확인을 요청하면, 인증코드가 피심인 통신망을 거쳐 이용자 단말에 전송되고 이를 홈페이지에 입력하여 상품권 결제가 이루어진다.
<img src="/LSW/flDownload.do?flSeq=169624289" alt="5번째 이미지"></img>
3) 비인가 펨토셀 침투 및 개인정보 유출 경위
해커는 비인가 펨토셀을 통해 피심인의 이동통신망에 접속 후, 고객 단말이 해커의 펨토셀을 경유하도록 유도하여 단말기와 내부망 간 송수신 정보를 탈취('24.10월~'25.9월)하였고, 이를 이용해 휴대폰 소액결제 요청 후 ARSㆍSMS(결제인증 코드 포함)를 탈취하여 결제에 성공하였다.('25.8월~9월)
① (비인가 펨토셀 제작ㆍ내부망 접속) 해커는 정상 펨토셀 장비에서 피심인의 인증서, 피심인 서버 IP주소 등 펨토셀 형상 정보를 추출하여 비인가 펨토셀에 복사한 후 피심인의 내부망에 접속하였다.
② (고객정보 탈취) 비인가 펨토셀을 통해 강한 전파를 발사하여 정상 기지국에 접속했던 단말기가 비인가 펨토셀에 연결되도록 한 후, 접속된 이용자 단말 기기와 내부망 간 송수신 정보(IMEI, IMSI)를 획득하였다.
③ (내부망의 정보 수집) 내부망에 접속된 비인가 펨토셀을 통해 내부망으로부터 전송되는 이용자의 개인정보(전화번호)를 획득하였다.
④ (회원가입ㆍ소액결제) 탈취한 정보와 미상의 경로로 취득한 개인정보(이름, 성별, 생년월일 등)를 이용하여 상품권 판매 사이트 가입 및 소액결제를 요청하였다.
⑤ (인증코드 탈취ㆍ소액결제 성공) 해커는 결제인증코드가 포함된 ARSㆍSMS를 비인가 펨토셀을 통해 탈취하여 인증 성공 후 상품권 구입을 완료하였다.(소액결제 피해 368명, 2.42억원)
4) 유출내용
○ (유출 규모) 피심인의 통신망(알뜰폰 포함) 고객 16,647명(법인 및 다중회선 등 중복제거)의 개인정보(휴대전화번호, IMSI, IMEI)
※ 비인가 펨토셀을 통해 결제인증코드가 포함된 ARSㆍSMS 765건 추가 탈취
<img src="/LSW/flDownload.do?flSeq=169624291" alt="6번째 이미지"></img>
※ '24.8.1 ~ ’25.9.10.까지 피심인이 보유한 관련 데이터 분석을 통해 비인가 Cell ID 탐지, 접속피해 고객 및 결제 피해 고객 산정
5) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=169624293" alt="7번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624295" alt="8번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
피심인은 ’16.11월부터 무선통신 품질 개선을 목적으로 소형기지국에 해당하는 펨토셀을 관리ㆍ운영하였고, 내부망 내 개인정보처리시스템(HSS 등)과 필수적으로 연동됨에도,
비정상 IP 차단 및 비인가 펨토셀 접근제한 조치 소홀, 이상행위 탐지ㆍ대응을 소홀히 하여 비인가 펨토셀이 '24.10~’25.9월까지 약 11개월에 이르는 기간 동안 KT 내부망에 접속하여 이용자 개인정보를 지속적으로 유출하였다.
피심인은 펨토셀 장비에 동일한 '제조사 인증서’를 사용하였고, 모든 '펨토셀 인증서’의 유효기간을 10년으로 장기간 설정하여, 해커가 유실된 KT 펨토셀로부터 인증서를 탈취해 자체적으로 펨토셀을 제작한 후 피심인의 처리시스템이 존재하는 내부망까지 접근할 수 있었다.
※ 해커가 유실된 펨토셀에서 추출한 펨토셀 인증서의 유효기간은 '19.7.2.~'29.6.29.(10년)이었음
아울러, 피심인은 를 통해 내부망으로 접속하는 펨토셀 IP를 자사 IP대역 등으로 제한하지 않았고, 해외ㆍ타사 IP 접속에 대한 검증 없이 접근을 허용하였으며, 펨토셀 관리서버( )에서 인가받지 않은 미등록 펨토셀의 내부망 연동을 위한 인증ㆍ접속을 허용하였다.
※ 해커의 비인가 펨토셀은 관리서버에 등록되지 않은 채로 피심인의 내부망에 접속
국내 다른 통신사의 펨토셀 운영 현황과 비교해 볼 때, 피심인의 인증서 관리 및 펨토셀의 내부망 연동을 위한 인증ㆍ접속 허용 체계는 보안이 미흡했음을 확인할 수 있었다.유심인증 방식으로 전환하여 인증서 해킹공격을 원천차단하거나 펨토셀 인증서를 사용하는 경우 유효기간을 짧게 설정하고 내부 통신망과 연동 시 펨토셀의 위치, 식별자 등 부가정보 확인 후 접속여부 결정아울러, 피심인은 정상 펨토셀 Cell ID를 관리하지 않아 비인가 Cell ID를 통해 내부망에 접속한 미등록 펨토셀을 장기간(’24.10. ~ ’25.9.) 탐지ㆍ식별하지 못하였다.
※ 해커가 임의로 생성한 비인가 Cell ID(20개)로 내부망에 장기간 접속(’24.10.8.~'25.9.5.)이 이루어졌음에도 KT는 해당 접속 행위를 탐지하지 못하였음
<img src="/LSW/flDownload.do?flSeq=169624297" alt="9번째 이미지"></img>
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 17. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 5. 15. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템”이라 한다)에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)(이하 '고시’) 제6조제1항은 “ 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한(제1호)’, '개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응(제2호)’의 안전조치를 하여야 한다.” 라고 규정하고 있다.
2. 위법성 판단
가. 피심인의 관리통제 범위 및 개인정보 유출 여부
1) 피심인의 관리통제 범위
피심인의 네트워크 운영 현황 및 개인정보 처리 흐름에 비추어 볼 때, 피심인은 펨토셀 기기의 내부망 접속 및 이동통신 서비스 제공을 위한 이용자 인증 과정 전반에 대해 관리통제권을 갖고 있다.
특히, 이 사건에서 해커가 탈취한 IMSI, IMEI, 휴대전화번호는 이용자 단말기에서 최초로 생성되어 피심인에게 전달되는 제3자 정보가 아니라, 애초에 피심인이 유심 발급 및 단말기 개통 시 직접 부여ㆍ등록ㆍ보유하고 있던 피심인 자신의 관리 정보이다. IMSI는 피심인이 유심(USIM) 발급 시 가입자 식별을 위해 직접 부여하는 번호이고, IMEI 역시 단말기 개통 절차에서 피심인이 가입자 데이터베이스(HSS 등)에 등록ㆍ저장하는 정보이며, 전화번호 또한 피심인이 할당ㆍ관리하는 번호자원이다. 인증 과정에서 단말기가 이 정보를 전송하는 것은 피심인이 사전에 보유ㆍ관리하던 자신의 정보를 인증 목적으로 다시 조회ㆍ대조받는 절차에 불과하고, 단말기가 피심인에게 새로운 정보를 최초로 이전하는 과정이 아니다.
따라서, 탈취된 정보의 원 소유ㆍ관리 주체가 피심인이며, 해당 정보가 이동하는 경로(펨토셀- -코어망)를 피심인이 구축ㆍ인증ㆍ통제하고 있다는 점에서 피심인의 관리통제권에 속한다.
2) 개인정보 유출 여부
피심인은 펨토셀의 코어망 접속을 통제하기 위하여 인증서 발급, 인증서 유효성 검증, 관리서버 등록 등 3단계의 인증 절차를 마련하고 있었으나, 실제 피심인은 인증 절차를 소홀히 운영하였다.
해커의 펨토셀은 유실된 펨토셀로부터 획득한 인증서를 통해 별도의 검증 절차 없이, 와 통신이 체결되어 코어망으로 접속이 가능하였으며, 비인가 Cell ID를 통해 11개월 간 접속하였음에도 탐지되지 않고 지속적으로 이용자 정보를 탈취하였다.
피심인 통제권 범위 안에서 단말기와 코어망 간 이용자 기기 인증 및 음성통신서비스 체결 과정에 송ㆍ수신되는 정보가 해커의 펨토셀을 통해 탈취되어 외부로 전송된 것으로, 단순히 '경유 중이던 제3의 정보’가 탈취된 것이 아니라 피심인이 보유ㆍ관리하는 개인정보 자체가 피심인의 관리통제권을 벗어나게 된 것으로 개인정보 보호법 상 유출에 해당한다.
대법원 역시 개인정보 유출이란 '개인정보가 해당 정보통신서비스 제공자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다’고 판시하였으며(대법원 2014. 5. 16. 선고 2011다24555, 2011다24562 판결 등 다수), 표준 개인정보 보호지침 제25조(개인정보의 유출등)에서도 “개인정보의 분실ㆍ도난ㆍ유출(이하 ”유출등“이라 한다)은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것”이라고 규정하고 있다.
나. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
피심인은 내부망 내 개인정보처리시스템인 HSS(이용자 인증서버) 및 (기기인증서버) 통해 이용자 단말로부터 IMSI, IMEI를 전송받아 이용자를 인증하고, (이동통신서버)를 통해 IMSI, IMEI, 전화번호를 이용자 단말과 송ㆍ수신하여 음성ㆍ문자서비스를 제공하고 있다.
펨토셀은 일반기지국 접속이 어려운 지역(음영지역)에서 이동통신 서비스를 이용하기 위해 반드시 경유해야 하는 통신장비로, 내부망 내 처리시스템(HSS 등)과 필수적으로 연동하고 있다.
그런데 피심인은 펨토셀 장비에 동일한 '제조사 인증서’를 사용하고 있고, 코어망 접속을 위한 '펨토셀 인증서’의 유효기간을 10년으로 장기간 설정하여, 해커가 펨토셀 인증서 탈취 및 비인가 펨토셀 제작을 통해 피심인의 개인정보처리시스템이 존재하는 내부망까지 접근할 수 있는 위험성이 있는 상태로 이동통신 시스템을 운영하고 있는 상황에서,
① (비정상IP 차단 조치 소홀) 피심인은 를 통해 내부망으로 접속하는 펨토셀 IP를 자사 IP대역 등으로 제한하지 않으면서, 해외ㆍ타사 IP 접속에 대한 검증 없이 접근을 허용한 것은 접속권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한할 의무를 소홀히 하였다.
② (비인가 펨토셀 제한 소홀) 처리시스템(내부망 서버)은 외부 정보통신망과 분리되어 침입차단시스템 등을 통해 인가된 경로로만 접속되도록 네트워크 통제가 이루어져야 함에도,
- 피심인은 펨토셀 관리서버( )에서 인가받지 않은 미등록 펨토셀의 내부망 연동을 위한 인증ㆍ접속을 제한하는 접근통제 조치(장비 인증, 등록정보 확인, 인증서 검증 등)를 소홀히 하였다.
③ (이상행위 탐지ㆍ대응 소홀) 피심인은 정상 펨토셀 Cell ID를 관리하지 않아 비인가 Cell ID를 통해 내부망에 접속한 미등록 펨토셀을 장기간(’24.10. ~ ’25.9.) 탐지ㆍ식별하지 못해,
- 해커가 비인가 Cell ID의 펨토셀을 통해 내부망에 접속 가능하였고, 이를 통해 이용자 개인정보를 유출한바, 불법적인 개인정보 유출 시도를 탐지ㆍ대응하기 위한 조치를 이행했다고 볼 수 없다.
개인정보의 안전성 확보조치 기준 제6조제1항은 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해” 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하고(제1호), 개인정보처리시스템에 접속한 IP주소 등을 분석하여 개인정보 유출시도를 탐지ㆍ대응할 것(제2호)을 요구하고 있다. 이는 정보통신망을 매개로 개인정보처리시스템에 대한 불법적 접근 경로가 발생하지 않도록 사전에 차단하고, 설령 그러한 접근이 시도되더라도 이를 탐지하여 대응할 수 있는 체계를 갖추라는 데 그 취지가 있다.
그런데 피심인은 이용자 단말이 펨토셀을 경유하여 내부망의 개인정보처리시스템인 HSS 등과 필수적으로 연결되도록 통신망을 구성하였음에도 펨토셀의 통신망 접속 여부에 대한 관리를 소홀히 하여 해커의 펨토셀이 피심인의 개인정보처리시스템과 연결되도록 방치하였고, 비인가 Cell ID를 가진 펨토셀이 장기간(’24.10. ~ ’25.9.) 내부망에 접속한 사실을 탐지ㆍ대응하지 못하여 처리시스템과 이용자 단말 사이에서 송ㆍ수신되는 개인정보(IMSI, IMEI, 전화번호)가 해커에 의해 탈취될 수 있는 상태에 이르렀다.
이러한 피심인의 행위는 보호법 제29조, 시행령 제30조제1항제3호, 개인정보의 안전성 확보조치 기준 제6조제1항 위반에 해당한다.
<img src="/LSW/flDownload.do?flSeq=169624273" alt="10번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 보호법 제29조 위반에 대해 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’중대한 위반행위'로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다. 과징금 부과기준 제7조제2항은 '시행령 제60조의2제1항 단서에서 정한 직전 3개 사업연도 또는 해당사업연도는 위반행위의 종료일을 기준으로 판정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 위반행위와 관련이 없는 매출액은 무선통신 매출액 중 개인정보가 유출되지 않은 법인 회선 매출액, 공공회선 매출액 및 3G 서비스 매출액 등과 별도의 서비스인 유선통신(초고속인터넷ㆍIPTV), 기업서비스, 부동산 등 무선통신 서비스와 관련이 없는 매출액인 천 원으로 하고, 직전 3개 사업년도의 연평균 전체 매출액에서 관련 없는 매출액을 제외한 천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1천분의 를 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169624275" alt="11번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=169624277" alt="12번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 피심인의 보호법 제29조 위반에 대해 '피심인의 위반행위의 기간이 2년을 초과하는 경우’에 해당하여 기준금액의 100분의 50에 해당하는 천 원을 가중하고,
피심인이 '위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우’에 해당하여 기준금액의 100분의 30에 해당하는 금액인 천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 보호법 제29조 위반에 대해 피심인이 ▲조사에 적극 협력한 경우, ▲과징금의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲정보주체에게 발생한 피해에 대한 원상회복, 손해배상 또는 이에 상당하는 필요한 피해의 회복 및 피해확산 방지 조치를 이행한 경우, ▲자율적인 보호 활동 등 개인정보 보호를 위하여 노력한 경우에 해당하는 점 등을 종합적으로 고려하여, 1차 조정을 거친 금액의 100분의 50에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 539억 7,900만 원*을 최종 과징금으로 한다.
* 최종 과징금은 천 원으로 산정되었으나, 과징금 부과기준 제11조제5항에 따라, 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버리는 원칙을 적용하여 53,979,000천 원을 최종 과징금으로 결정함
<img src="/LSW/flDownload.do?flSeq=169624279" alt="13번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲ 대규모 통신망을 운영하면서, 11개월 간('24.10. ~ ’25.9.) 해커의 펨토셀의 접속을 허용했다는 점, ▲ 펨토셀은 통신 서비스의 일부이자 필수영역임에도, 펨토셀 장비에 대한 유실 등 관리를 소홀히 한 점, ▲ 펨토셀을 통한 해킹 공격은 학계 등에서 지속적으로 지적되어온 것으로, 인증서 관리, Cell ID 관리, 비인가 IP접근차단 등 이상행위 탐지ㆍ차단 및 불법적인 접근제한 조치를 통해 사고 예방이 충분히 가능하였던 점 등을 고려할 때, 위반행위에 중대한 과실 존재, ▲ 다만, 안전조치의무 및 유출 등 위반행위와 관련하여 고의나 영리 목적 등을 인정하기 어려운 점을 참작 사유로 고려
②(부당성:중) ▲ IP 제한 및 인증서 관리, 이상행위 탐지 등 비인가 접근 및 침해사고 방지를 위한 안전조치의무를 소홀히 한 행위와 해커의 비인가 접근 및 개인정보 유출 발생 등에 직접적인 관련성 존재, ▲ 다만, 위반행위가 내부에서 조직적으로 이루어지거나 대표자 또는 임원이 관여하지는 않은 점, 개인정보보호책임자(CPO) 등 개인정보 보호조직을 갖추고 있는 점 등을 참작사유로 고려
③(개인정보 유형:하) ▲민감정보, 고유식별정보, 인증정보 미포함
④(피해규모:중) ▲ 정보 유출을 통해 무단 휴대폰 소액결제가 이루어져 정보주체에게 금전적 피해가 직접적으로 발생한 점(368명, 2.42억 원), ▲ 해커의 펨토셀을 통한 KT내부망 접속을 허용함에 따라 문자ㆍ전화가 탈취되어 국민의 사생활에 중대한 침해가능성이 발생하게 된 점, ▲ 위반기간이 장기인 점('16.8월~’25.10월), ▲ 이동통신망의 보안과 안전성에 대한 전국민적인 불안을 야기하고, 심각한 사회적 혼란이 발생한 점, ▲ 다만, 유출된 정보주체의 수가 16,647명 규모인 점 등을 고려
** 위반기간 : 펨토셀 접근통제 등 안전조치 의무 위반기간 약 10년('16.8월~’25.10월)
*** ① 소액결제 피해금액 보상, 통신요금/단말교체 할인(15만원), ② 전체 가입자 대상 유심 무상교체, 데이터(100GB) 제공, 위약금 면제 및 OTTㆍ로밍 할인 등 제공
2. 시정조치 명령
피심인의 위반행위에 대해 보호법 제64조제1항제3호에 따라 개인정보 처리시 다음의 사항을 시정하도록 명한다.
피심인은 국민 생활에 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 개인정보 보호 강화 및 유출 사고 재발 방지를 위해,
가. 이동통신망에 접속하는 기지국(펨토셀 포함) 등 통신설비 전반에 대한 인증ㆍ검증체계를 마련하여 불법ㆍ비인가 기지국(펨토셀 포함)이 이동통신망에 접속하거나 개인정보를 수집ㆍ탈취하지 못하도록 안전조치를 강화하고, 이상접속에 대한 실시간 탐지ㆍ차단 체계를 구축ㆍ운영할 것
나. 개인정보처리시스템 및 네트워크 구간에 대한 침해사고 위험 요소를 분석하고, 정기적인 취약점 분석ㆍ점검 체계를 마련ㆍ시행할 것
다. 회사 전반의 개인정보 처리 업무를 총괄하도록 개인정보 보호책임자의 책임과 역할을 명확히 정립하고, 개인정보 보호에 필요한 조치가 신속히 이행될 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 개인정보보호위원회에 제출할 것
3. 결과 공표
보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)」(이하 ’공표 및 공표명령 지침') 제3조(공표요건)제1항에 따라, '보호위원회의 처분 시점을 기준으로 최근 3년 내 시정조치 명령, 과태료, 과징금 부과처분을 2회* 이상 받은 경우(제2호)’에 해당하므로, 피심인이 시정조치 명령과 과징금ㆍ과태료 부과, 시정명령을 받은 사실에 대해 개인정보보호위원회 홈페이지에 1년간 공표한다.
* 피심인은 '25. 2. 25. 2회 과태료 부과 처분 받은 사실이 있음(2025-203-64, 65)
<img src="/LSW/flDownload.do?flSeq=169624281" alt="14번째 이미지"></img>
4. 공표 명령
피심인의 위반행위는 보호법 제66조제2항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)(이하 ’공표 및 공표명령 지침') 제6조제1항에 따라 ’위반행위 시점을 기준으로 위반상태가 3년을 초과하여 지속된 경우(7호)', ’위반행위로 인하여 재산상 손실 등 2차 피해가 발생한 경우(9호)'에 해당하고 위반행위가 인터넷을 통하여 이루어졌으므로, 제8조 및 제11조에 따라 처분등에 대한 통지를 받은 날부터 1개월 이내에 당해 처분등을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만의 기간 동안(휴업일 포함) 공표하도록 명한다. 다만, ’1일간 다시 보지 않기' 기능의 사용 등 팝업창 설정방식 등은 보호위원회와 협의하여 정한다.
이때 제7조제1항, 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅴ. 개선권고
피심인의 개인정보보호 실태에 대하여 보호법 제61조(의견제시 및 개선권고)제2항에 따라 아래와 같이 개선을 권고한다.
가. 피심인의 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 인프라 영역으로 확대하여, 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고할 것
나. 피심인은 가.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 할 것
Ⅵ. 결론
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제64조제1항(시정조치 등), 제66조(결과의 공표)제1항ㆍ제2항, 제61조(의견제시 및 개선권고)제2항에 따라 과징금 부과, 시정조치 명령, 결과 공표, 공표명령 및 개선권고를 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정조치 명령, 결과 공표 및 공표명령에 불복이 있는 경우, 「행정심판법」제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 이동통신서비스 등을 제공하면서 이용자의 개인정보를 처리하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행(이하 '보호법’)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169624271" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 피심인의 소액결제 서비스를 통한 피해사례가 접수됨에 따라 개인정보 유출 정황이 확인되어 개인정보 취급ㆍ운영 실태 및 보호법 위반 여부를 조사('25.9.10. ~ '26. 4.17.)하였으며, 다음과 같은 사실을 확인하였다.
한편, 피심인은 개인정보 유출을 세 차례 신고(9.11., 9.18., 10.17.)하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 ’25. 11. 3. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169624283" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 펨토셀 및 관련 네트워크 운영 현황
펨토셀(Femtocell)은 피심인의 이동통신망을 구성하는 초소형 기지국(접속설비)이며, 펨토셀의 이동통신망에 대한 접속 승인, 인증 체계 관리, 보안통제 및 운영 등을 피심인이 수행하며, 펨토셀을 이용하는 이용자는 펨토셀 장비의 설치 장소와 인터넷 회선 등 운영환경을 제공하고 있다. 펨토셀은 이용자에게 별도 판매하거나 이용료를 부과하지 않으며, 고객센터 등을 통해 전파 수신이 원활하지 않은 지역(음영지역) 발생 등 이용자의 민원 접수 시 피심인 설치기사의 방문 등을 통해 설치가 이루어진다.
※ 펨토셀 : KT는 '16.11.28.부터 무선통신 품질 개선을 위해 가정이나 사무실, 지하 등 무선통신 신호가 약한 음영지역에 소형기지국을 도입ㆍ운영
피심인의 펨토셀은 인증서버로부터 발급받은 인증서를 통해 와 통신터널을 개통하여 피심인의 내부망과 연결되며, 피심인은 및 를 통해 펨토셀을 관리ㆍ운영하였다.
① (펨토셀↔인증서버) 인증서버에 접속한 후 펨토셀에 내장된 인증서(’제조사 인증서')를 통해 인증서(’펨토셀 인증서')를 발급한다.
② (펨토셀↔ ) 에서 펨토셀 인증서의 유효성을 검증하고 인증 성공시, 펨토셀과 간 을 통해 내부망에 접속한다.
③ (펨토셀↔ ) 펨토셀 내부SW를 통해 에 접속하면 는 펨토셀 를 확인하여 Cell ID를 부여하고, 와 연동 IP를 확인하여 에 등록하고 등록된 펨토셀 장비를 관리ㆍ운영하였다.
* Cell ID : 개별 펨토셀을 식별하기 위한 정보
:
:
<img src="/LSW/flDownload.do?flSeq=169624285" alt="3번째 이미지"></img>
2) 개인정보 처리흐름
① (이동통신서비스) 피심인의 이용자 휴대폰이 펨토셀에 접속하면 단말기와 피심인 서버(HSS 등) 간에 이용자 정보(IMSI, IMEI, 전화번화)홈가입자인증서버(Home Subscriber Server, HSS), 국제모바일가입자식별번호(International Mobile Subscriber Identity, IMSI), 국제모바일기기식별번호(International Mobile Equipment Identity, IMEI)를 송ㆍ수신하여 사용자인증ㆍ기기인증 및 음성서비스 등록 등을 통해 이동통신서비스가 제공된다.
<img src="/LSW/flDownload.do?flSeq=169624287" alt="4번째 이미지"></img>
② (상품권 구매) 이용자가 상품권 홈페이지에서 상품권 구매 요청 및 결제 수단을 선택하고, 휴대폰 소액결제를 위한 추가정보(이름, 생년월일, 전화번호 등)를 입력 후 본인확인을 요청하면, 인증코드가 피심인 통신망을 거쳐 이용자 단말에 전송되고 이를 홈페이지에 입력하여 상품권 결제가 이루어진다.
<img src="/LSW/flDownload.do?flSeq=169624289" alt="5번째 이미지"></img>
3) 비인가 펨토셀 침투 및 개인정보 유출 경위
해커는 비인가 펨토셀을 통해 피심인의 이동통신망에 접속 후, 고객 단말이 해커의 펨토셀을 경유하도록 유도하여 단말기와 내부망 간 송수신 정보를 탈취('24.10월~'25.9월)하였고, 이를 이용해 휴대폰 소액결제 요청 후 ARSㆍSMS(결제인증 코드 포함)를 탈취하여 결제에 성공하였다.('25.8월~9월)
① (비인가 펨토셀 제작ㆍ내부망 접속) 해커는 정상 펨토셀 장비에서 피심인의 인증서, 피심인 서버 IP주소 등 펨토셀 형상 정보를 추출하여 비인가 펨토셀에 복사한 후 피심인의 내부망에 접속하였다.
② (고객정보 탈취) 비인가 펨토셀을 통해 강한 전파를 발사하여 정상 기지국에 접속했던 단말기가 비인가 펨토셀에 연결되도록 한 후, 접속된 이용자 단말 기기와 내부망 간 송수신 정보(IMEI, IMSI)를 획득하였다.
③ (내부망의 정보 수집) 내부망에 접속된 비인가 펨토셀을 통해 내부망으로부터 전송되는 이용자의 개인정보(전화번호)를 획득하였다.
④ (회원가입ㆍ소액결제) 탈취한 정보와 미상의 경로로 취득한 개인정보(이름, 성별, 생년월일 등)를 이용하여 상품권 판매 사이트 가입 및 소액결제를 요청하였다.
⑤ (인증코드 탈취ㆍ소액결제 성공) 해커는 결제인증코드가 포함된 ARSㆍSMS를 비인가 펨토셀을 통해 탈취하여 인증 성공 후 상품권 구입을 완료하였다.(소액결제 피해 368명, 2.42억원)
4) 유출내용
○ (유출 규모) 피심인의 통신망(알뜰폰 포함) 고객 16,647명(법인 및 다중회선 등 중복제거)의 개인정보(휴대전화번호, IMSI, IMEI)
※ 비인가 펨토셀을 통해 결제인증코드가 포함된 ARSㆍSMS 765건 추가 탈취
<img src="/LSW/flDownload.do?flSeq=169624291" alt="6번째 이미지"></img>
※ '24.8.1 ~ ’25.9.10.까지 피심인이 보유한 관련 데이터 분석을 통해 비인가 Cell ID 탐지, 접속피해 고객 및 결제 피해 고객 산정
5) 유출 인지 및 대응
<img src="/LSW/flDownload.do?flSeq=169624293" alt="7번째 이미지"></img>
<img src="/LSW/flDownload.do?flSeq=169624295" alt="8번째 이미지"></img>
3. 개인정보의 취급ㆍ운영 관련 사실관계
피심인은 ’16.11월부터 무선통신 품질 개선을 목적으로 소형기지국에 해당하는 펨토셀을 관리ㆍ운영하였고, 내부망 내 개인정보처리시스템(HSS 등)과 필수적으로 연동됨에도,
비정상 IP 차단 및 비인가 펨토셀 접근제한 조치 소홀, 이상행위 탐지ㆍ대응을 소홀히 하여 비인가 펨토셀이 '24.10~’25.9월까지 약 11개월에 이르는 기간 동안 KT 내부망에 접속하여 이용자 개인정보를 지속적으로 유출하였다.
피심인은 펨토셀 장비에 동일한 '제조사 인증서’를 사용하였고, 모든 '펨토셀 인증서’의 유효기간을 10년으로 장기간 설정하여, 해커가 유실된 KT 펨토셀로부터 인증서를 탈취해 자체적으로 펨토셀을 제작한 후 피심인의 처리시스템이 존재하는 내부망까지 접근할 수 있었다.
※ 해커가 유실된 펨토셀에서 추출한 펨토셀 인증서의 유효기간은 '19.7.2.~'29.6.29.(10년)이었음
아울러, 피심인은 를 통해 내부망으로 접속하는 펨토셀 IP를 자사 IP대역 등으로 제한하지 않았고, 해외ㆍ타사 IP 접속에 대한 검증 없이 접근을 허용하였으며, 펨토셀 관리서버( )에서 인가받지 않은 미등록 펨토셀의 내부망 연동을 위한 인증ㆍ접속을 허용하였다.
※ 해커의 비인가 펨토셀은 관리서버에 등록되지 않은 채로 피심인의 내부망에 접속
국내 다른 통신사의 펨토셀 운영 현황과 비교해 볼 때, 피심인의 인증서 관리 및 펨토셀의 내부망 연동을 위한 인증ㆍ접속 허용 체계는 보안이 미흡했음을 확인할 수 있었다.유심인증 방식으로 전환하여 인증서 해킹공격을 원천차단하거나 펨토셀 인증서를 사용하는 경우 유효기간을 짧게 설정하고 내부 통신망과 연동 시 펨토셀의 위치, 식별자 등 부가정보 확인 후 접속여부 결정아울러, 피심인은 정상 펨토셀 Cell ID를 관리하지 않아 비인가 Cell ID를 통해 내부망에 접속한 미등록 펨토셀을 장기간(’24.10. ~ ’25.9.) 탐지ㆍ식별하지 못하였다.
※ 해커가 임의로 생성한 비인가 Cell ID(20개)로 내부망에 장기간 접속(’24.10.8.~'25.9.5.)이 이루어졌음에도 KT는 해당 접속 행위를 탐지하지 못하였음
<img src="/LSW/flDownload.do?flSeq=169624297" alt="9번째 이미지"></img>
4. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 17. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 5. 15. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제29조는 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령개인정보 보호법 시행령(대통령령 제33723호, 2023. 9. 12. 일부개정, 2023. 9. 15. 시행)(이하 '시행령’) 제30조제1항제3호는 “개인정보에 대한 접근을 통제하기 위해 '데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템”이라 한다)에 대한 침입을 탐지하고 차단하기 위하여 필요한 조치(가목)’, '그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치(다목)’를 하여야 한다.”라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호, 2023. 9. 22. 시행)(이하 '고시’) 제6조제1항은 “ 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 '개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한(제1호)’, '개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응(제2호)’의 안전조치를 하여야 한다.” 라고 규정하고 있다.
2. 위법성 판단
가. 피심인의 관리통제 범위 및 개인정보 유출 여부
1) 피심인의 관리통제 범위
피심인의 네트워크 운영 현황 및 개인정보 처리 흐름에 비추어 볼 때, 피심인은 펨토셀 기기의 내부망 접속 및 이동통신 서비스 제공을 위한 이용자 인증 과정 전반에 대해 관리통제권을 갖고 있다.
특히, 이 사건에서 해커가 탈취한 IMSI, IMEI, 휴대전화번호는 이용자 단말기에서 최초로 생성되어 피심인에게 전달되는 제3자 정보가 아니라, 애초에 피심인이 유심 발급 및 단말기 개통 시 직접 부여ㆍ등록ㆍ보유하고 있던 피심인 자신의 관리 정보이다. IMSI는 피심인이 유심(USIM) 발급 시 가입자 식별을 위해 직접 부여하는 번호이고, IMEI 역시 단말기 개통 절차에서 피심인이 가입자 데이터베이스(HSS 등)에 등록ㆍ저장하는 정보이며, 전화번호 또한 피심인이 할당ㆍ관리하는 번호자원이다. 인증 과정에서 단말기가 이 정보를 전송하는 것은 피심인이 사전에 보유ㆍ관리하던 자신의 정보를 인증 목적으로 다시 조회ㆍ대조받는 절차에 불과하고, 단말기가 피심인에게 새로운 정보를 최초로 이전하는 과정이 아니다.
따라서, 탈취된 정보의 원 소유ㆍ관리 주체가 피심인이며, 해당 정보가 이동하는 경로(펨토셀- -코어망)를 피심인이 구축ㆍ인증ㆍ통제하고 있다는 점에서 피심인의 관리통제권에 속한다.
2) 개인정보 유출 여부
피심인은 펨토셀의 코어망 접속을 통제하기 위하여 인증서 발급, 인증서 유효성 검증, 관리서버 등록 등 3단계의 인증 절차를 마련하고 있었으나, 실제 피심인은 인증 절차를 소홀히 운영하였다.
해커의 펨토셀은 유실된 펨토셀로부터 획득한 인증서를 통해 별도의 검증 절차 없이, 와 통신이 체결되어 코어망으로 접속이 가능하였으며, 비인가 Cell ID를 통해 11개월 간 접속하였음에도 탐지되지 않고 지속적으로 이용자 정보를 탈취하였다.
피심인 통제권 범위 안에서 단말기와 코어망 간 이용자 기기 인증 및 음성통신서비스 체결 과정에 송ㆍ수신되는 정보가 해커의 펨토셀을 통해 탈취되어 외부로 전송된 것으로, 단순히 '경유 중이던 제3의 정보’가 탈취된 것이 아니라 피심인이 보유ㆍ관리하는 개인정보 자체가 피심인의 관리통제권을 벗어나게 된 것으로 개인정보 보호법 상 유출에 해당한다.
대법원 역시 개인정보 유출이란 '개인정보가 해당 정보통신서비스 제공자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것을 의미한다’고 판시하였으며(대법원 2014. 5. 16. 선고 2011다24555, 2011다24562 판결 등 다수), 표준 개인정보 보호지침 제25조(개인정보의 유출등)에서도 “개인정보의 분실ㆍ도난ㆍ유출(이하 ”유출등“이라 한다)은 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고 개인정보가 해당 개인정보처리자의 관리ㆍ통제권을 벗어나 제3자가 그 내용을 알 수 있는 상태에 이르게 된 것”이라고 규정하고 있다.
나. 개인정보처리시스템에 대한 안전조치 의무를 소홀히 한 행위
[보호법 제29조(안전조치의무)]
피심인은 내부망 내 개인정보처리시스템인 HSS(이용자 인증서버) 및 (기기인증서버) 통해 이용자 단말로부터 IMSI, IMEI를 전송받아 이용자를 인증하고, (이동통신서버)를 통해 IMSI, IMEI, 전화번호를 이용자 단말과 송ㆍ수신하여 음성ㆍ문자서비스를 제공하고 있다.
펨토셀은 일반기지국 접속이 어려운 지역(음영지역)에서 이동통신 서비스를 이용하기 위해 반드시 경유해야 하는 통신장비로, 내부망 내 처리시스템(HSS 등)과 필수적으로 연동하고 있다.
그런데 피심인은 펨토셀 장비에 동일한 '제조사 인증서’를 사용하고 있고, 코어망 접속을 위한 '펨토셀 인증서’의 유효기간을 10년으로 장기간 설정하여, 해커가 펨토셀 인증서 탈취 및 비인가 펨토셀 제작을 통해 피심인의 개인정보처리시스템이 존재하는 내부망까지 접근할 수 있는 위험성이 있는 상태로 이동통신 시스템을 운영하고 있는 상황에서,
① (비정상IP 차단 조치 소홀) 피심인은 를 통해 내부망으로 접속하는 펨토셀 IP를 자사 IP대역 등으로 제한하지 않으면서, 해외ㆍ타사 IP 접속에 대한 검증 없이 접근을 허용한 것은 접속권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한할 의무를 소홀히 하였다.
② (비인가 펨토셀 제한 소홀) 처리시스템(내부망 서버)은 외부 정보통신망과 분리되어 침입차단시스템 등을 통해 인가된 경로로만 접속되도록 네트워크 통제가 이루어져야 함에도,
- 피심인은 펨토셀 관리서버( )에서 인가받지 않은 미등록 펨토셀의 내부망 연동을 위한 인증ㆍ접속을 제한하는 접근통제 조치(장비 인증, 등록정보 확인, 인증서 검증 등)를 소홀히 하였다.
③ (이상행위 탐지ㆍ대응 소홀) 피심인은 정상 펨토셀 Cell ID를 관리하지 않아 비인가 Cell ID를 통해 내부망에 접속한 미등록 펨토셀을 장기간(’24.10. ~ ’25.9.) 탐지ㆍ식별하지 못해,
- 해커가 비인가 Cell ID의 펨토셀을 통해 내부망에 접속 가능하였고, 이를 통해 이용자 개인정보를 유출한바, 불법적인 개인정보 유출 시도를 탐지ㆍ대응하기 위한 조치를 이행했다고 볼 수 없다.
개인정보의 안전성 확보조치 기준 제6조제1항은 “개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해” 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하고(제1호), 개인정보처리시스템에 접속한 IP주소 등을 분석하여 개인정보 유출시도를 탐지ㆍ대응할 것(제2호)을 요구하고 있다. 이는 정보통신망을 매개로 개인정보처리시스템에 대한 불법적 접근 경로가 발생하지 않도록 사전에 차단하고, 설령 그러한 접근이 시도되더라도 이를 탐지하여 대응할 수 있는 체계를 갖추라는 데 그 취지가 있다.
그런데 피심인은 이용자 단말이 펨토셀을 경유하여 내부망의 개인정보처리시스템인 HSS 등과 필수적으로 연결되도록 통신망을 구성하였음에도 펨토셀의 통신망 접속 여부에 대한 관리를 소홀히 하여 해커의 펨토셀이 피심인의 개인정보처리시스템과 연결되도록 방치하였고, 비인가 Cell ID를 가진 펨토셀이 장기간(’24.10. ~ ’25.9.) 내부망에 접속한 사실을 탐지ㆍ대응하지 못하여 처리시스템과 이용자 단말 사이에서 송ㆍ수신되는 개인정보(IMSI, IMEI, 전화번호)가 해커에 의해 탈취될 수 있는 상태에 이르렀다.
이러한 피심인의 행위는 보호법 제29조, 시행령 제30조제1항제3호, 개인정보의 안전성 확보조치 기준 제6조제1항 위반에 해당한다.
<img src="/LSW/flDownload.do?flSeq=169624273" alt="10번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 과징금 부과
피심인의 보호법 제29조(안전조치의무) 위반행위에 대해 같은 법 제64조의2제1항제9호, 시행령 제60조의2 [별표 1의5] 및「개인정보보호 법규 위반에 대한 과징금 부과기준개인정보보호 법규 위반에 대한 과징금 부과기준(개인정보보호위원회 고시 제2023-3호, 2023. 9. 15. 시행)」(이하 '과징금 부과기준’)에 따라 다음과 같이 부과한다.
가. 과징금 상한액
피심인의 보호법 제29조 위반에 대한 과징금 상한액은 같은 법 제64조의2제1항, 시행령 제60조의2에 따라 위반행위가 있었던 사업연도 직전 3개 사업연도의 연평균 매출액의 100분의 3을 초과하지 아니하는 범위에서 부과할 수 있다.
나. 기준금액
1) 중대성의 판단
과징금 부과기준 제8조제1항은 '시행령 [별표 1의5] 2. 가. 1) 및 2)에 따른 위반행위의 중대성의 정도는 [별표] 위반행위의 중대성 판단기준을 기준으로 정한다.’라고 규정하고 있다.
[별표] 위반행위의 중대성 판단기준에 따르면 '위반행위의 중대성의 정도는 고려사항별 부과기준을 종합적으로 고려하여 판단’하고, '고려사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 부과수준을 적용한다.’라고 규정하고 있으며, '고려사항별 부과수준의 판단기준은 ▲(고의ㆍ과실) 위반행위의 목적, 동기, 당해 행위에 이른 경위, 영리 목적의 유무 등을 종합적으로 고려, ▲(위반행위의 방법) 안전성 확보 조치 이행 노력 여부, 개인정보 보호책임자 등 개인정보 보호 조직, 위반행위가 내부에서 조직적으로 이루어졌는지 여부, 사업주, 대표자 또는 임원의 책임ㆍ관여 여부 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 개인정보의 유출등과 안전성 확보 조치 위반행위와의 관련성을 포함하여 판단, ▲(위반행위로 인한 정보주체의 피해 규모 및 정보주체에게 미치는 영향) 피해 개인정보의 규모, 위반기간, 정보주체의 권리ㆍ이익이나 사생활 등에 미치는 영향 등을 종합적으로 고려하고, 개인정보가 유출등이 된 경우에는 유출등의 규모 및 공중에 노출되었는지 여부를 포함하여 판단한다.’라고 규정하고 있다.
피심인의 보호법 제29조 위반에 대해 고의ㆍ과실, 위반행위의 방법, 처리하는 개인정보의 유형, 정보주체의 피해 규모 및 정보주체에게 미치는 영향 등을 종합적으로 고려하여, 위반행위의 중대성을 ’중대한 위반행위'로 판단한다.
2) 기준금액 산출
과징금 부과기준 제6조제1항은 '기준금액은 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한 매출액에 부과기준율을 곱한 금액으로 정한다’라고 규정하고 있다. 과징금 부과기준 제7조제2항은 '시행령 제60조의2제1항 단서에서 정한 직전 3개 사업연도 또는 해당사업연도는 위반행위의 종료일을 기준으로 판정한다’라고 규정하고 있다.
피심인의 경우, 과징금 부과기준 제7조제3항에 따라 위반행위와 관련이 없는 매출액은 무선통신 매출액 중 개인정보가 유출되지 않은 법인 회선 매출액, 공공회선 매출액 및 3G 서비스 매출액 등과 별도의 서비스인 유선통신(초고속인터넷ㆍIPTV), 기업서비스, 부동산 등 무선통신 서비스와 관련이 없는 매출액인 천 원으로 하고, 직전 3개 사업년도의 연평균 전체 매출액에서 관련 없는 매출액을 제외한 천 원에 시행령 [별표 1의5] 2. 가. 1)에 따른 '중대한 위반행위’의 부과기준율 1천분의 를 적용하여 기준금액을 천 원으로 한다.
<img src="/LSW/flDownload.do?flSeq=169624275" alt="11번째 이미지"></img>
※ 피심인이 제출한 회계자료를 토대로 작성
<img src="/LSW/flDownload.do?flSeq=169624277" alt="12번째 이미지"></img>
다. 1차 조정
과징금 부과기준 제9조에 따라 피심인의 보호법 제29조 위반에 대해 '피심인의 위반행위의 기간이 2년을 초과하는 경우’에 해당하여 기준금액의 100분의 50에 해당하는 천 원을 가중하고,
피심인이 '위반행위로 인하여 경제적ㆍ비경제적 이득을 취하지 아니하였거나 취할 가능성이 현저히 낮은 경우’에 해당하여 기준금액의 100분의 30에 해당하는 금액인 천 원을 감경한다.
라. 2차 조정
과징금 부과기준 제10조에 따라 보호법 제29조 위반에 대해 피심인이 ▲조사에 적극 협력한 경우, ▲과징금의 사전통지 및 의견제출 기간이 종료되기 이전에 위반행위를 중지하는 등 시정을 완료한 경우, ▲정보주체에게 발생한 피해에 대한 원상회복, 손해배상 또는 이에 상당하는 필요한 피해의 회복 및 피해확산 방지 조치를 이행한 경우, ▲자율적인 보호 활동 등 개인정보 보호를 위하여 노력한 경우에 해당하는 점 등을 종합적으로 고려하여, 1차 조정을 거친 금액의 100분의 50에 해당하는 천 원을 감경한다.
마. 과징금의 결정
피심인의 보호법 제29조(안전조치의무) 위반행위에 대한 과징금은 같은 법 제64조의2제1항제9호, 시행령 제60조의2, [별표 1의5] '과징금의 산정기준과 산정절차’ 2. 가. 1) 및 '과징금 부과기준’에 따라 위와 같이 단계별로 산출한 금액인 539억 7,900만 원*을 최종 과징금으로 한다.
* 최종 과징금은 천 원으로 산정되었으나, 과징금 부과기준 제11조제5항에 따라, 1억원 이상인 경우에는 1백만원 단위 미만의 금액을 버리는 원칙을 적용하여 53,979,000천 원을 최종 과징금으로 결정함
<img src="/LSW/flDownload.do?flSeq=169624279" alt="13번째 이미지"></img>
* ①(고의ㆍ과실:중) ▲ 대규모 통신망을 운영하면서, 11개월 간('24.10. ~ ’25.9.) 해커의 펨토셀의 접속을 허용했다는 점, ▲ 펨토셀은 통신 서비스의 일부이자 필수영역임에도, 펨토셀 장비에 대한 유실 등 관리를 소홀히 한 점, ▲ 펨토셀을 통한 해킹 공격은 학계 등에서 지속적으로 지적되어온 것으로, 인증서 관리, Cell ID 관리, 비인가 IP접근차단 등 이상행위 탐지ㆍ차단 및 불법적인 접근제한 조치를 통해 사고 예방이 충분히 가능하였던 점 등을 고려할 때, 위반행위에 중대한 과실 존재, ▲ 다만, 안전조치의무 및 유출 등 위반행위와 관련하여 고의나 영리 목적 등을 인정하기 어려운 점을 참작 사유로 고려
②(부당성:중) ▲ IP 제한 및 인증서 관리, 이상행위 탐지 등 비인가 접근 및 침해사고 방지를 위한 안전조치의무를 소홀히 한 행위와 해커의 비인가 접근 및 개인정보 유출 발생 등에 직접적인 관련성 존재, ▲ 다만, 위반행위가 내부에서 조직적으로 이루어지거나 대표자 또는 임원이 관여하지는 않은 점, 개인정보보호책임자(CPO) 등 개인정보 보호조직을 갖추고 있는 점 등을 참작사유로 고려
③(개인정보 유형:하) ▲민감정보, 고유식별정보, 인증정보 미포함
④(피해규모:중) ▲ 정보 유출을 통해 무단 휴대폰 소액결제가 이루어져 정보주체에게 금전적 피해가 직접적으로 발생한 점(368명, 2.42억 원), ▲ 해커의 펨토셀을 통한 KT내부망 접속을 허용함에 따라 문자ㆍ전화가 탈취되어 국민의 사생활에 중대한 침해가능성이 발생하게 된 점, ▲ 위반기간이 장기인 점('16.8월~’25.10월), ▲ 이동통신망의 보안과 안전성에 대한 전국민적인 불안을 야기하고, 심각한 사회적 혼란이 발생한 점, ▲ 다만, 유출된 정보주체의 수가 16,647명 규모인 점 등을 고려
** 위반기간 : 펨토셀 접근통제 등 안전조치 의무 위반기간 약 10년('16.8월~’25.10월)
*** ① 소액결제 피해금액 보상, 통신요금/단말교체 할인(15만원), ② 전체 가입자 대상 유심 무상교체, 데이터(100GB) 제공, 위약금 면제 및 OTTㆍ로밍 할인 등 제공
2. 시정조치 명령
피심인의 위반행위에 대해 보호법 제64조제1항제3호에 따라 개인정보 처리시 다음의 사항을 시정하도록 명한다.
피심인은 국민 생활에 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 개인정보 보호 강화 및 유출 사고 재발 방지를 위해,
가. 이동통신망에 접속하는 기지국(펨토셀 포함) 등 통신설비 전반에 대한 인증ㆍ검증체계를 마련하여 불법ㆍ비인가 기지국(펨토셀 포함)이 이동통신망에 접속하거나 개인정보를 수집ㆍ탈취하지 못하도록 안전조치를 강화하고, 이상접속에 대한 실시간 탐지ㆍ차단 체계를 구축ㆍ운영할 것
나. 개인정보처리시스템 및 네트워크 구간에 대한 침해사고 위험 요소를 분석하고, 정기적인 취약점 분석ㆍ점검 체계를 마련ㆍ시행할 것
다. 회사 전반의 개인정보 처리 업무를 총괄하도록 개인정보 보호책임자의 책임과 역할을 명확히 정립하고, 개인정보 보호에 필요한 조치가 신속히 이행될 수 있도록 거버넌스 체계를 구축ㆍ정비할 것
라. 피심인은 가.부터 다.까지의 시정명령에 따른 시정조치를 개인정보보호위원회와 협의하여 이행하고, 시정조치 명령 처분통지를 받은 날로부터 90일 이내에 이행 결과를 개인정보보호위원회에 제출할 것
3. 결과 공표
보호법 제66조제1항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)」(이하 ’공표 및 공표명령 지침') 제3조(공표요건)제1항에 따라, '보호위원회의 처분 시점을 기준으로 최근 3년 내 시정조치 명령, 과태료, 과징금 부과처분을 2회* 이상 받은 경우(제2호)’에 해당하므로, 피심인이 시정조치 명령과 과징금ㆍ과태료 부과, 시정명령을 받은 사실에 대해 개인정보보호위원회 홈페이지에 1년간 공표한다.
* 피심인은 '25. 2. 25. 2회 과태료 부과 처분 받은 사실이 있음(2025-203-64, 65)
<img src="/LSW/flDownload.do?flSeq=169624281" alt="14번째 이미지"></img>
4. 공표 명령
피심인의 위반행위는 보호법 제66조제2항 및 「개인정보 보호법 위반에 대한 공표 및 공표명령 지침」개인정보 보호법 위반에 대한 공표 및 공표명령 지침(개인정보보호위원회 지침, 2023. 10. 11. 시행)(이하 ’공표 및 공표명령 지침') 제6조제1항에 따라 ’위반행위 시점을 기준으로 위반상태가 3년을 초과하여 지속된 경우(7호)', ’위반행위로 인하여 재산상 손실 등 2차 피해가 발생한 경우(9호)'에 해당하고 위반행위가 인터넷을 통하여 이루어졌으므로, 제8조 및 제11조에 따라 처분등에 대한 통지를 받은 날부터 1개월 이내에 당해 처분등을 받은 사실을 피심인의 홈페이지(모바일 어플리케이션 포함)의 초기화면 팝업창에 전체화면의 6분의1 크기로 2일 이상 5일 미만의 기간 동안(휴업일 포함) 공표하도록 명한다. 다만, ’1일간 다시 보지 않기' 기능의 사용 등 팝업창 설정방식 등은 보호위원회와 협의하여 정한다.
이때 제7조제1항, 제8조제3항에 따라 원칙적으로 공표지침 [별표]의 표준 공표 문안을 따르되, 공표 문안 등에 관하여 보호위원회와 미리 문서로 협의해야 하고, 제11조제3항에 따라 글자크기ㆍ모양ㆍ색상 등에 대해서는 해당 홈페이지 특성을 고려하여 보호위원회와 협의하여 정한다.
Ⅴ. 개선권고
피심인의 개인정보보호 실태에 대하여 보호법 제61조(의견제시 및 개선권고)제2항에 따라 아래와 같이 개선을 권고한다.
가. 피심인의 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 인프라 영역으로 확대하여, 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고할 것
나. 피심인은 가.의 개선권고 통지를 받은 날로부터 90일 이내에 조치 결과를 개인정보보호위원회에 제출하여야 할 것
Ⅵ. 결론
피심인의 보호법 제29조(안전조치의무) 위반행위에 대하여 같은 법 제64조의2(과징금의 부과)제1항제9호, 제64조제1항(시정조치 등), 제66조(결과의 공표)제1항ㆍ제2항, 제61조(의견제시 및 개선권고)제2항에 따라 과징금 부과, 시정조치 명령, 결과 공표, 공표명령 및 개선권고를 주문과 같이 의결한다.
피심인은 이 과징금 부과처분, 시정조치 명령, 결과 공표 및 공표명령에 불복이 있는 경우, 「행정심판법」제27조 및 「행정소송법」제20조의 규정에 따라 처분을 받은 날부터 90일 이내에 행정심판을 청구하거나 행정소송을 제기할 수 있다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).