昨年、フェムトセル（小型基地局）を悪用した個人情報流出事故を被ったKTが、個人情報保護委員会から539億7900万ウォンの課徴金処分を受けた。個人情報委は個人情報流出事故を起こしたSKテレコムに昨年1348億ウォン、クーパンに今年、過去最大の6246億8100万ウォンの課徴金を科したことがある。
個人情報委は昨年、SIMカード情報のハッキングにより約2324万人の個人情報が流出したSKテレコムに対し、前年度の無線サービス売上の約1%に当たる1348億ウォンの課徴金を科した。流出の内容は異なるが、同じ基準をKTに適用すると課徴金は約600億〜700億ウォン水準で、実際の賦課額はこれより低かった。ただし、流出人数に対する課徴金だけをみると、KTの制裁強度は1人当たり324万ウォン水準で、SKテレコム（5800ウォン）やクーパン（1万6600ウォン）よりはるかに高い。
KTは昨年9月、個人情報流出の可能性を認知して通報した。KTではフェムトセルを通じて1万6647人の携帯電話番号、加入者識別番号（IMSI）、端末識別番号（IMEI）などの個人情報が流出した。フェムトセルは半径10m以内の通信を提供する超小型基地局を指す。個人情報委は、個人情報流出者のうち368人について総計2億4000万ウォンの実質的な不正少額決済被害が発生した点が、過去の個人情報流出事件とは異なるとみた。個人情報委は課徴金賦課と併せて、KTが2024年3月のマルウェア感染事故発生当時に個人情報流出分析を疎かにし政府に未申告であったこと、またその後、事故サーバーのログ一部を削除し、委員会の調査過程で虚偽資料の提出および翻意などで委員会の調査を妨害した行為については告発することを決定した。
◇ KTの個人情報流出、1人当たり課徴金320万ウォン、SKTは5800ウォン、クーパンは1万6600ウォン
個人情報委は、課徴金を違反行為に関連する売上高の最大3%まで科すことができる。KTの無線サービス売上は約7兆ウォン前後である。法定上限を単純適用すると課徴金規模は約2000億ウォン水準だった。ただし、個人情報委は単純な流出人数よりも違反行為の重大性や関連売上高などを中心に制裁水準を決定する。
個人情報流出規模だけをみると、KTは1万6847人でSKテレコム（2300万人）やクーパン（3755万人）に大きく及ばない。しかしKTに賦課された課徴金を流出人数で単純換算すると、被害者1人当たり約324万3800ウォンに達する。これはSKテレコム（約5800ウォン）の560倍、クーパン（約1万6600ウォン）の195倍水準だ。個人情報委が単純な流出人数よりも違反行為の重大性や関連売上高などを中心に制裁水準を決定した結果と解される。
個人情報委は「これまで多数の個人情報流出事故は、個人情報が第三者に流出したにもかかわらず直接的な被害が明確に確認されない場合が多かったが、KTは単純な個人情報流出を越えて金銭的被害に至った事例という点で深刻性が非常に大きい」と述べた。
◇ KTはSKTに続き課徴金取消訴訟を起こすのか…「議決書を検討後に決定」
KTが課徴金処分に不服として行政訴訟を提起するかどうかも注目される。個人情報委は個人情報流出が金銭的被害につながった点を重視したが、KTの立場では個人情報流出の全体規模を勘案すると、1人当たり課徴金が過度だと主張できるとの見方が出ている。KTは個人情報委に対し、携帯電話番号、加入者識別番号（IMSI）、端末識別番号（IMEI）の流出と少額決済の直接的な因果関係はないと把握しており、決済が行われたことは事実だが請求にまでは至らなかったと説明したと伝えられる。
個人情報委から1348億ウォンの課徴金を科されたSKテレコムは、1月19日に処分取消訴訟の訴状を提出した。課徴金は議決書の送達を受けてから30日以内に納付しなければならないが、行政訴訟法では課徴金納付後、処分送達日から90日以内に行政訴訟を提起できる。
KT側は「個人情報委の処分結果を重く受け止め、今回の事故で顧客と国民の皆さまに大きなご心配と不安をおかけした点について、あらためて深くお詫び申し上げる」とし、「KTは個人情報保護体制全般を原点から再整備しており、セキュリティ投資を拡大し、全社的な個人情報保護能力を強化するなど、事態の再発防止と顧客信頼の回復に全力を尽くす」と述べた。ただし、法的対応に関しては「議決書を受領し次第、その内容を綿密に検討した後、関連する立場を定める予定だ」として含みを残した。
◇「二次被害を勘案すると課徴金はやや弱い」vs「調査妨害行為で減軽措置を受けられず」
KTの課徴金水準について専門家の意見は分かれた。チャン・ハンベ中央大産業保安学科教授は「個人情報委が個人情報流出被害規模の重大性を重視し、課徴金の軽重を論じにくい」としつつも「KTは金銭的被害があったことを勘案すると、課徴金はやや弱く出た」と述べた。キム・スンジュ高麗大情報保護大学院教授は「個人情報委がSKテレコムの場合は二次被害の可能性があるとみるにとどまったが、KTは実質的に二次被害が続き、課徴金水準を引き上げたものとみられる」とし、「特に個人情報委はKTに調査妨害行為があると判断したため、減軽措置は取らなかったものとみられる」と語った。
専門家はKTが課徴金を引き下げるため行政訴訟に踏み切るとみる。チャン・ハンベ教授は「行政訴訟は課徴金の減免を巡り、企業が積極的に対応するプロセスになる」と述べた。キム・スンジュ高麗大情報保護大学院教授も「KTは二次被害が請求に至らず補償を行った点を掲げ、行政訴訟に臨むとみられる」とした。
一方、この日、個人情報委は昨年8月に個人情報流出が発生したLG U+に対しては、サーバー廃棄とオペレーティングシステム（OS）再インストールにより調査が不可能な状況を作ったとして、捜査機関に捜査を依頼することにしたと明らかにした。LG U+の関係者は「すでに同一の事項について警察の捜査が進行中だ」とし、「今後も警察の捜査に誠実に臨む」と述べた。