전체회의 결과 발표

안녕하십니까? 개인정보보호위원회 사무처장 양청삼입니다.

우리 위원회는 7월 29일 수요일 제15회 전체회의를 개최하여 (주)KT와 LG유플러스의 개인정보 유출사고에 대한 시정조치안을 의결하였습니다.

의결 과정에서 피심인 의견을 충분히 청취하였고 위원들 간의 치열한 논의를 거쳐 KT의 개인정보 유출사고에 대한 안전조치 의무 위반에... 대해 안전조치 의무 위반에 해당한다고 판단하여 과징금 539억 7,900만 원을 부과하고, 조사 방해 행위에 대해서는 고발하기로 결정하였습니다.

조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스의 혐의에 대해서는 수사기관에 수사 의뢰하기로 하였습니다.

어제 위원회에서 심의·의결한 내용을 설명드리겠습니다.

먼저, KT의 펨토셀을 통한 개인정보 유출사고 관련입니다.

해커는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 KT 통신망에 접속하였습니다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도하여 네트워크 송·수신 정보를 가로챘고, 이를 별도로 확보한 개인정보와 결합하여 휴대폰 소액결제를 시도하고 결제 인증코드까지 탈취하여 무단 소액결제에 성공하였습니다.

이 과정에서 KT 이용자 1만 6,647명의 개인정보가 유출되었으며, 총 368명을 대상으로 약 2억 4,000만 원 상당의 무단 소액결제 피해가 발생한 것으로 확인되었습니다.

위원회 조사 결과 이번 사고는 KT 내부망에 대한 기본적인 접근통제 관리 소홀로 인해 발생하였습니다. KT 내부망 내의 개인정보처리시스템은 이용자 단말과 개인정보를 주고받으면서 가입자 및 기기를 인증하고 음성과 문자서비스를 연결합니다.

이때 이동통신 음영지역 인근에 있는 KT 이용자의 단말은 펨토셀을 거치게 되므로 KT 내부망에서는... 내부망에는 인가된 펨토셀만 접속하도록 엄격하게 관리·통제될 필요가 있습니다.

그러나 사고 당시 KT는 인가된 펨토셀인지 확인할 수 있는 셀 ID를 관리하고 있지 않아 해커의 비인가 펨토셀이 펨토셀 관리 서버를 우회하여 접속하는 이상접속 행위를 탐지하지 못하였습니다.

KT 내부망에 접속하는 펨토셀 IP에 대해 자사 IP 대역 등으로 제한하지 않는 등 접근통제도 소홀히 하였습니다.

이번 사건은 단순 개인정보 유출에 그치지 않고 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다고 하겠습니다.

대규모 개인정보를 처리하는 이동통신사업자인 KT가 필수적인 안전조치를, 의무를 소홀히 한 행위에 대해 우리 위원회는 과징금 539억 7,900만 원을 부과하기로 결정하였습니다.

과징금 산정 과정에서 개인정보 유출로 실제 금전 피해가 발생한 점을 중대하게 보았고, 다만 유출된 개인정보의 유형, 규모가 1만 6,000여 건인 점, 소액결제를 위해서는 추가 개인정보가 필요하나 확보 경위가 확인되지 않은 점, 정보 주체에 대해 피해보상을 실시한 점을 종합적으로 고려하였습니다.

아울러, 유사 사고 재발 방지를 위해 펨토셀 등 무선통신망 장비에 대한 취약점 점검 및 접근통제 등 안전조치를 강화하도록 시정명령하고, 일부 IT 서비스를 대상으로 획득한 ISMS-P 인증 범위를 이동통신 네트워크 시스템까지 확대할 것을 권고하였습니다.

다음으로, KT의 악성코드 감염사고 관련입니다.

개인정보위는 펨토셀 사건 조사 과정에서 2024년 3월경 KT 서버 38대가 다수의 악성코드에 감염된 사실을 확인하여 개인정보 유출 가능성이 있다고 보아 조사를 확대하였습니다.

조사 결과 해커는 KT 로밍 렌털 서비스 홈페이지 취약점을 악용하여 악성코드를 업로드하고 다수의 서버를 감염시켰으며, 그 과정에 KT 임직원 및 협력사 직원 일부의 개인정보를 조회·유출한 정황을 확인하였습니다.

다만, 조사가 진행된 시점에는 2024년 사고 당시 관련 로그 확보에 어려움이 있었고, 이로 인해 추가적인 개인정보의 유출을 확인하는 데 한계가 있었습니다.

KT는 2024년 당시 악성코드 감염 사실을 인지하고도 정부에 침해 사실을 신고하지 않았고, 당시 로그가 있었는... 있었음에도 개인정보 처리 서버에 대한 상세 분석을 실시하지 않았고, 2025년 4월 타 통신사 개인정보 유출사고를 계기로 KT 서버에 대한 악성코드 감염 여부를 전수 점검하는 과정에서 침해 발생 서버 일부의 로그를 삭제하는 등 침해 사실을 은폐한 정황도 확인하였습니다.

우리 위원회는 KT의 이러한 조사 방해... 조사 과정에 거짓 자료 제출과 진술 번복 등 조사를 방해한 행위에 대해 고발하기로 결정하였습니다.

위원회는 이번 악성코드 감염사건에 대해서는 별도로 처분을 하지 않았고 수사 결과에 따라 추가로 확인되는 사실관계를 종합하여 진행할 예정입니다.

다음으로, LG유플러스의 개인정보 유출 관련입니다.

개인정보위는 미국 보안전문지 프랙(Phrack)에서 발표한 LG유플러스의 개인정보 유출 사실을 인지하고 조사에 착수하였습니다.

조사 결과 보안전문지에서 확인된 개인정보가 실제 LG유플러스의 통합 비밀번호 관리시스템에서 보유·관리하고 있던 정보로 확인되었으나 LG유플러스가 위원회에서 조사를 착수하기 전에 관련 서버의 운영체제를 재설치 또는 폐기하여 정확한 유출 경위와 추가 유출 여부를 확인하는 데 한계가 있었습니다.

우리 위원회는 LG유플러스의 이런 행위가 공무집행 방해에 해당한다고 판단하여 수사기관에 수사를 의뢰하기로 하였습니다.

위원회는 KT와 LG유플러스의 사례와 같이 유출 가능성이 존재함에도 조사 회피를 목적으로 관련 증거를 은닉·폐기하는 행위에 대한 조사 실효성을 강화하는 제도 개선을 추진 중입니다.

현행 규정상 조사 중 은닉 등 행위에 대해서는 제재가 가능하나 조사 착수 전 행위에 대해서는 제재 규정이 미비하여 사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리하다고 생각할 수 있는 규제의 사각지대가 존재합니다.

이에 위원회는 조사 착수 전 은닉·폐기 행위에 대해서 형사처벌 도입, 증거 은닉·폐기 과징금 부과, 신고포상금 지급 등 제도 개선을 추진하고, 아울러 사업자 비협조로 인한 조사 지연을 방지하기 위해 조사에 협조하지 않거나 시정명령을 이행하지 않는 경우 이행강제금 부과, 자료 보전 명령 등 조사 실효성 확보를 위한 보호법 개정을 추진할 계획입니다.

위원회는 이번 조사와 처분을 통해 위반 행위의 중대성에 상응하는 경제적 제재로 책임성을 제고하고, 사고를 은폐하더라도 끝까지 법적 책임을 묻는다는 원칙을 확인하여 사고 은폐와 조사 방해라는 일부 기업의 고질적인 관행에 대해서 경종을 울리고 증거 은닉·폐기 관련 제도 개선을 통해 더 이상 이러한 행위가 유리한 선택이 아님을 확인시켜 나갈 것입니다.

이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신업계 전반의 보안 역량을 한층 강화하는 계기가 되기를 바라며, 투명한 공개가 가장 합리적인 선택이란 인식을 업계 전반에 확립할 수 있도록 하겠습니다.

감사합니다.


(10:00)
[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 안녕하세요? 이번 KT 처분 관련해서 실제 금전 피해가 일어났다는 점에 대한 가중처벌은 없었는지 설명 부탁드리고요. SK텔레콤과 같은 다른 통신사 사고와 비교했을 때 이번 처분이 가중이나 감경 산정에 어떤 차이가 있었는지도 설명 부탁드립니다.

<답변> 일단은 2차 피해가 발생했다는 점에서는 전체 과정에서 위원님들이 굉장히 심각한 요소로 보았는데 상대적으로 타 사례와 비교해서, 타 통신사 유사 사례와 비교해서는 유출 규모, 확인된 유출 규모 자체가 상대적으로 소규모였고, 그리고 유출된 정보 자체가 임시값이라든지 IM... 기기 단말기 정보 그리고 전화번호, 3종에 불과했던 점들, 그리고 관련해서 피해보상이라든지 그리고 시정조치 이런 것들이 신속하게 협조가 됐다는 점 등이 감안이 되었습니다.

<질문> 두 가지 꼭 여쭤보고 싶은데요. 실제로 산정 기준이 된 구체적 액수가 얼마고 그 3% 룰에서 어느 정도를 부과한 것인지, 그리고 두 번째 여쭤보고 싶은 건 오늘 원래 이번에 회의가 정기적으로 열리는 주차가 아니었는데 임시회의를 열어서 처리한 걸로 알고 있는데 이렇게 속도를 내서 처리하게 된 이유가 무엇인지 설명해 주시면 감사하겠습니다.

<답변> 처리 시점과 관련해서는 특별한, 있는 것은 아니고 전체적으로 지금 유출 신고와 사건이 많아지고 있고, 사실상 위원회의 그런 역량을 최대한 동원을 해서 빨리, 이게 유출사고라든지 조사가 우리가 빨리 진행이 되고 제재 처분이 확정이 돼야 그 이후에 어떤 법정 손해배상이라든지 이런 부분들도 진행될 수 있기 때문에 신속하게 조사를 하기... 조사하고 제재하기 위해서 위원회의 전체적인 역량을 모아가는 것이고요. 그래서 필요하다면 정기적인 전체회의 외에 또 추가적으로 전체회의를 개최하... 적극적으로 개최하자는 그런 입장이고요.

그다음에 우리가 지금 전체 이번 사건 관련해서 매출액 기준과 그리고 가중·감경 요소들은 저희들이 종합적으로는 이 KT 사건의 경우에는 무선통신 매출액을 기본으로 했고, LG... LTE 단말하고, LTE와 5G 매출을 종합적으로 포함시켰고, 그리고 우리 위반 기간이라든지 그리고 아까 말씀드렸던 어떤 피해 규모 이런 부분들을 시정조치 이런 노력들을 전체적으로 감안을 했고, 구체적인 수치라든지 이런 부분들은 나중에 의결서가 확정되는 과정에서 그렇게 공유할 예정입니다.

<질문> 저도 과징금 산정 기준에 대해서 여쭤보고 싶은데 지금 말씀해 주신 감경 요소 보면 아직 좀 명확하진 않은 것 같아서 통신사들이 앞으로 어떻게... 어느 분야에 투자해야 감경을 정확히 받을 수 있을지, 피해보상이나 시정조치, 단말기 3종에 불과했다, 이런 지점 중에 어떤 게 명확하게 감경 요인으로 작동했는지 궁금합니다.

그리고 또 KT 무선서비스 연평균 매출이 6조 정도 되고 과징금이 539억 원이고 이를 단순 계산하면 약 0.8% 수준이거든요. 이게 이 수준이 SK텔레콤과 비교했을 때 더 낮게 산정된 것인지 이것도 궁금합니다.

<답변> 일단은 이번 제재 처분을 봤을 적에 이게 소액결제에 대한 건에 대한 어떤 제재 처분이고요. 여전히 악성코드의 건은 지금 남아 있습니다, pending 된 상태고. 저희들은 이게 행정 어떤 조사로서의, 위원회 조사와 행정 조사로서의 특성을 갖고 있는데 이걸로만 구속할 수 있는 증거에는 한계가 있기 때문에 새로운 어떤 실체 발견 가능성 이런 것들을 의도도 하고 그래서 적극적으로 지금 수사 의뢰 또 고발조치를 하고 있고, 이를 통해서 새로운 어떤 사실이 이렇게 확보가 되게 되면 그에 대해서는 별도의 처분이 지금 예정돼 있다는 일단 말씀을 드리고요.

그리고 아까 타 유사 사업자하고 사례에 있어서는 우리 가중·감경 요소의 여러 가지 요소들을 기본적으로 고려를 했는데 매출액 관련, 그러니까 우리가 매출액 산정에서도 조금 차이가 있고, 그리고 무엇보다도 약간 피해 규모가 타 사업자 같은 경우에는 2,300만 명에 달하는 어떤 유심에서의 인증키 이런 부분들이 문제가 된 반면에 여기는 일단 확정된 유출 규모가 1만 6,647명 부분이 있다, 라는 점, 이런 부분들이 종합적으로 고려가 된 겁니다.

<답변> (관계자) 저희가 과징금 산정할 때 기본적으로 관련매출액을 기준으로 하고요. 그다음에 이 위반 행위가 얼마나 중대한지 중대성 판단을 하는데, 기자님 질문 주신 그전의 사건의 경우에는 피해, 유출된 정보의 유형에 있어서 인증 정보가 유출된 측면이 있었고요. 그리고 피해 규모도 2,000만 명이 넘었고 이래서 유출된 개인정보의 유형과 규모 이런 부분이 이번 사고하고 있어서의 차이가 있어서 어떤 중대성 판단에 차이가 났다, 라고 볼 수 있습니다.

<질문> 안녕하세요? 조금 전에 얘기하셨던 1만 6,000여 명 같은 경우에는 기존의 2만 명 넘었던 거에 중복을 제거한 거지 이게 피해 규모가 축소된 게 아닌 거죠?

<답변> 네, 맞습니다.

<질문> 그리고 두 번째로 궁금한 거는 어떻게 보면 이게 직간접적 피해 규모에 따라서 이게 과징금을 부과할 때 매출액 산정을 할 텐데 간접 규모를 어디까지 볼 것이냐가 쟁점이었을 것 같아요. 그래서 아까 전에 구체적 금액은 공유 못 하신다고 하셨는데 그 간접 규모라는 게 실제로 국지적, 그 펨토셀이 있었던 어떤 지역의 가입자 수 그걸 기반으로 한 매출로 봤다든지, 매출액 수는 아니더라도 어떠한 기준으로 그 기준, 모수를 어떻게 잡았는지 궁금합니다.

<답변> 일단 기본적인 그 모수는 펨토셀 자체가 LTE에서 기본적으로 사용되는 장비고, 그리고 여러분들 잘 아시다시피 5G 서비스 신규 도입 이후에도 인프라 확충에 상당 기간 시간이 걸리기 때문에 5G 어떤 통신설비가 확충되지 않은 곳에서는 LTE 망을 겸용으로 이용하기 때문에 5G하고 LTE 서비스를 다 같이 이렇게 매출액 산정에 고려를 했습니다.

<질문> *** 그래서 과기정통부에 수사... 과기정통부는 수사를 의뢰했는데 개인정보위도 당시 해당 사실을 조사했었는지, 또 조사했었다면 이번 KT 사건과 동일한 기준에서 검토를 했는지, 조사를 안 했다면 당시에는 왜 조사를 안 했는지 말씀 부탁드리겠습니다.

<답변> (이정은 조사2과장) 안녕하세요? 조사2과장입니다. 말씀하시는 부분은 SKT가 조사할 때 저희가 확인을 했던 부분이고, 그때 당시에는 유심 정보 유출과 별개로 2022년에 악성코드가 감염된 서버들이 있었는데 그거를 당시에는 SKT가 당초에도 알았는데 그거를 신고하지 않고 조치를 하지 않았던 것은 아니고, 당시 유출사고 조사하는 과정에서 과거의 침해 사실을 확인하게 됐던 그런 사례였기 때문에 지금 말씀드리는 KT 경우와는 좀 다르다고 말씀드릴 수 있을 것 같습니다.

<질문> 안녕하세요? LG유플러스의 경우에는 지난해 말 과기정통부 민관합동조사단 조사 결과 발표 때 같은 내용으로 수사 의뢰가 진행이 된 걸로 알고 있는데 이번에 수사 의뢰하시는 것도 이 건과 별개의 건으로 진행하시는 건지, 그리고 또 별건일 경우에는 그때 수사 의뢰가 추가되거나 변동된 사항이 있는지 여쭤보겠습니다.

<답변> 일단 기본적으로 동일 안건으로 알고 있고요. 동일 안건입니다. 그리고 저희들이 조사 과정에서 확인된 사실관계들을 이제 추후 또 경찰청에 제공을 해서 관련 수사가 효과적으로 진행될 수 있도록 할 예정입니다.

<질문> 중대성 판단 문의드리고 싶은데 SKT 사고 같은 경우에는 당시 브리핑에서 매우 중대한 위반 행위라고 언급을 하셨고 KT 사고는 보도자료를 보면 중대한 위반 행위라고 나와 있는데, 두 사건 중대성 등급이 다른 건지 아니면 같은 건지 궁금하고요.

KT 같은 경우 실제 금전 피해 발생했는데도 이보다 낮게 판단이 된 건지 확인 부탁드리겠습니다.

<답변> 그러니까 기본적으로는 일단 매우 중대한 위반하고 중대한 위반은 차이가 있는 거고요. 그리고 중대한 위반인 경우인데 가장 핵심적인 요소가 아까 피해 규모 및 영향과 관련된 부분인데, 2차 피해가 난 부분들은 굉장히 중요하게 봤고 이 부분과 관련해서 전체 우리 위원님들 간에 치열한 어떤 논의들이 있었는데 2차 피해 여부를 어떻게 판단할 것인가, 그리고 아까 기본적으로 타 사업자하고 다른 피해 유출 정보의 유형과 규모, 여기는 인증 정보가 해당되지 않았고 그리고 임시값, IMEI 값 그리고 전화번호는 굉장히 어떻게 보게 되면 통신서비스에 필요한 아주 기본적인 정보들이어서 그것만 해당돼서 이거를 어떻게 평가할 것인가에 대한 위원님들 간에 조금 논의가, 치열한 논의가 있었습니다. 그래서 그런 부분들이 결과적으로는 아까 타 사업자의 사례하고는 조금 차이가 나게 된 원인이 되겠습니다.

<질문> ***

<답변> 그러니까 중대한 위반입니다. 매우 중대한 위반이라는 등급이 따로 있고 그다음 그 밑에 중대한 위반이 따로 있습니다. 그다음 보통 위반 행위, 약간 위반 행위 이렇게.

<질문> 안녕하십니까? 저도 LG유플러스 관련 건인데요. 조사 중지라고 말씀 주셨는데 혹시나 나중에 경찰 수사 결과 나오면 조사를 재개를 할 수 있다, 라고 지금 알고 있으면 되는 건지와.

<답변> 네, 맞습니다. 새로운 사실이 확보가 되면 저희들이 행정 조사가 갖는 기본적인 한계가 있지 않습니까? 저희들은 우리가 현장 조사를 하고 있기는 하지만 이게 강제적 조사가 아니기 때문에 항상 이렇게 문서로서 기본적인 자료 제출 요구를 통하고 또 사업자의 협조로써 조사를 진행하는데 이 행정 조사만으로는 지금 충분히 증거를, 저희들이 구속하는 데 한계가 있기 때문에 수사 의뢰를 하고 또 고발을 하게 될... 이렇게 돼 있습니다. 하고, 이를 통해서 새로운 어떤 실체라든지 사실들이 발견되면 당연히 그거를 통해서 조사·제재까지 이어질 수 있겠습니다.

<질문> 그러면 추가로 조사 중단이 어제 회의에 올라가서 보고가 된 걸로 알고 있는데 지금 조사 이렇게 중단한 사례가 개인정보위 출범하면서 있었는지, 사례가 있었는지 궁금하고요.

그리고 지금 서버 OS 재설치와 폐기가 개인정보 유출 사실을 숨기려는 목적이 있었다고 지금 판단하셨는데 그 구체적인 근거가 궁금하고, LG유플러스 측에서는 약간 단순한 시스템 정비였다고 소명을 한 걸로 알고 있거든요. 혹시 이거에 대해서 어떻게 위원회에서 평가하셨는지 같이 여쭙고 싶습니다.

<답변> (관계자) 저희 위원회 조사 관련된 규정에 피심인 측이 연락이 두절이 되거나 이런 경우에 또는 수사 결과를 기다려야 되는 경우에 이런 경우에는 중단할 수 있는 규정들이 있습니다. 그래서 그런 걸 보고 수사, 이번 경우에는 수사 결과를 확인해서 위법사항을 더 면밀하게 살펴보겠다, 그런 취지의 절차 단계에 있습니다.

그리고 LG유플러스의 경우에는 과거 민관합동조사단에서도 발표를 했지만 유출 정황에 대해서 인지한 이후에 그리고 위원회 차원의 조사를 들어가기 전에 그 사이에서의 어떤 서버 운영체계의 삭제 또는 폐기 등의, 재설치 등의 행위가 있었습니다. 그래서 그런 부분들에 대해서는 은닉·폐기의 가능성을 배제할 수 없어서 그런 판단하에서 수사를 의뢰하게 되었습니다.

<질문> 안녕하세요? 저 하나 물어보고 싶은 게 악성코드 감염 관련해서는 과기부 민관합동조사단 결과에서 로그 1개로 유출 여부 확인을 어렵다고 했었고, 그래서 KT도 개인정보위에 개인정보 유출 신고는 하지 않은 걸로 알고 있는데요.

이게 나온 보도자료를 보면 유출 임직원의 개인정보가 유출된 정황을 확인했다고 되어 있어서 이게 실제로 유출 피해가 있다고 보신 건지, 어떻게 되는지 궁금하고, 그리고 이 악성코드 감염 건에 대해서는 지금 조사가 끝나서 의결이 된 건가요? 아니면 계속 남아 있다는 건가요?

<답변> 악성코드는 지금 계속 남아 있는 겁니다. pending 돼 있는 상태고요. 그래서 조사... 고발을 의결한 겁니다, 어제. 어제 전체회의는 고발을 의결한 거고 어떤 새로운 사실들이 확인이 되면 이거는 처분이 예정돼 있는 거고요.

그리고 아까 로그 관련된 얘기.

<답변> (이정은 조사2과장) 제가 조금 말씀드리면 악성코드 건 관련해서 과기부 민관합동조사단에서 조사 결과를 발표한 당시에는 감염 사실은 있었는데 개인정보 유출은 추가적으로 확인되지 않았다, 라고 결과 발표를 한 걸로 알고 있고요. 저희는 그 이후에도 더 조사가 진행되는 과정에서 당시 서버에 SQL 인젝션 공격이 있었고, 그 과정에서 일부 개인정보의 유출이 있었던 부분들은 확인이 됐습니다.

다만, 저희가 조사를 완료한 단계가 아니고 고발을 통해서 또 추가적인 사실관계 확인이나 이런 부분들이 진행될 예정이기 때문에 저희가 정확한 사실관계나 이런 부분들은 조사 진행 중인 부분이라서 추후에 저희가 정리해서 그 단계에서 확정하고 말씀드릴 수 있을 것 같습니다.

<질문> 하나만 더 여쭈면 그 유실된 KT 펨토셀에 있는 인증서를 복사해서 자체 제작한 펨토셀에 삽입했다, 이렇게 되어 있던데 유실 펨토셀은 어떻게 구했는지 혹시 확인이 됐나요?

<답변> (이정은 조사2과장) 관련해서 경찰에서도 수사를 했었고 그 당시에 확인한 사실입니다.

<질문> 안녕하세요? 자료를 은폐하거나 축소하는 행위가 중대한 불이익으로 돌아가겠다, 이렇게 자료에 명시가 돼 있는데 이거 위헌 한도 정해 주시긴 했지만 그러면 그게 지금 해결이... 지금 이 사안에 소급이 돼서 적용이 될 수 있는지가 첫 번째로 궁금하고요.

두 번째로는 지금 가시적인 조치 같은 경우에는 ISMS-P, 거버넌스 체계 정비, 홈페이지 공지 정도가 나왔는데 이거를 개보위가 관리·감독, 나중에 제대로 됐는지, 한 몇 개월 이후에 살펴볼 수 있는지 그게 좀 궁금합니다.

<답변> 그 제도개선안은 기본적으로 국민이라든지 어떤 사업자에 불이익하게 효과를 발휘할 수 있는 규정들은 사실 소급이 이렇게 안 되는 이런 부분이 있고요. 그래서 저희들의 기본 원칙적으로는 지금 저희들이 준비하고 있는 증거 은닉 행위에 대한 어떤 벌칙 규정 그리고 새로운 과징금, 3% 과징금을 신설하려고, 증거 은닉의 전용 과징금을 신설하려고 하고, 그다음에 신고포상금 제도를 하려고 하는데 기본적으로는 이 제도가 완결되고 법 시행 이후에 이런 진행될 예정이고요.

그렇지만 저희들이 수사 의뢰와 고발을 통해서 지금 이 개인정보 유출사건, 침해사건에 대한 어떤 국민적 관심도 크고 그리고 경찰, 수사당국에서도 적극적으로 수사에 나서고 있기 때문에 저희들이 새로운 어떤 실체 발견을 하게 되면 그에 따라서 다시 처분할 수 있으리라, 저희들 그렇게 기대를 갖고 지금 이번에 그렇게 판단하게 되었습니다.

<질문> 방금 질문과 좀 연결돼서 한 가지 여쭤보고 싶은데요. 증거 은닉·폐기 시 과징금을 다시 부과한다는 얘기는 그럼 추후에 이게 만약에 지금 추진 중인 입법이 통과가 되고 유사한 사례가 발생했을 때 사업자가 증거를 은닉하거나 폐기한 것도 사실이 확인됐고 유출도 됐잖아요. 그럼 과징금이 2배로 들어간다는 얘기인가요?

<답변> 별도로, 그러니까 증거 은닉에 대해서, 증거 은닉에 대해서 별도 과징금입니다. 3%하고 기존의, 유출사건에 대한 기존 과징금은 그대로 있고. 맞습니다.

<질문> 전체 매출액의 3%인데 이것도 지금 현행 3% 룰처럼 가감을 적용하고 난 뒤에, 다음에 산정하는 건지 혹은 그냥 3%로 정률로 정해서 내는 건지, 이게 구체적으로 내부적으로 기준이 마련이 됐나요?

<답변> 지금 관련해서 입법안을 준비 중인데... 저희 조사총괄과장이 잠깐, 제도를 준비하고 있으니까 답변드리겠습니다.

<답변> (강대현 조사총괄과장) 조사총괄과장입니다. 입법안, 사무처장님 말씀처럼 준비하고 있고요. 다만, 위법 행위 내용이 다르기 때문에 현행 3% 과징금 유출 위반 행위와 관련해서 관련된 매출액을 산정하는 방식이라면 은닉·폐기 같은 경우는 은닉·폐기에 대한 정도나 위법 행위 정도를 고려해서 전체 매출액의 3% 범위 내에서 별도로 산정하게 돼 있어서 세부 산정 기준은 좀 차이가 있을 것입니다. 세부적인 사항은 입법하고 세부 시행령 만드는 과정에서 구체화하도록 하겠습니다.

<답변> (사회자) 그럼 이상으로, 시간관계상 이상으로 브리핑을 마치도록 하겠습니다. 참석해 주셔서 감사합니다.

<끝>