フェムトセル（小型基地局）管理の杜撰さにより顧客の個人情報流出と不正少額決済被害を招いたKTに対し、個人情報保護委員会が過料5,397億9,000万ウォンを科した。昨年のSKテレコムのSIMカード情報流出事故に科した過料1,347億9,100万ウォンの約40%水準である。個人情報流出が実際の金銭被害にまでつながったにもかかわらず過料が相対的に低く算定されたことで、算定の背景にも関心が集まる。
個人情報委は29日、全体会議を開き、個人情報保護法上の安全措置義務に違反したKTに対し、過料とともに是正命令、改善勧告、処分事実の公表・公表命令などを議決したと30日に明らかにした。KTの個人情報流出規模は格安スマホ利用者を含めて1万6,647人と把握された。あわせて368人に対して約2億4,000万ウォンの不正少額決済被害が発生した。
現行個人情報保護法は、個人情報流出事故で安全措置義務違反が確認されれば、直前3年平均売上高の3%を超えない範囲で、違反行為と関連のない売上を除外して過料を算定する。KTの直近3年の無線サービス年平均売上である約6兆6,689億ウォンを単純適用すれば、過料が最大約2,000億ウォンに達し得るとの見方も出ていた。
しかし実際の過料は当該売上の約0.8%水準で決まった。個人情報委は、違反行為の被害規模、回復努力などを総合的に反映して最終過料を算定したと説明した。
個人情報委は、調査着手前に行われた証拠の隠匿・廃棄を直接制裁しにくい点を補完するため、関連事業者に対して全体売上高の最大3%を別途過料として賦課する制度の導入も推進すると明らかにした。
KTとLG U+が個人情報流出の可能性がある事故に関連する資料を削除または廃棄し、調査を困難にした事実が確認されたことを受けた措置である。KTは2024年3月、マルウェア感染の事実を政府に申告せず、一部サーバーのログを削除した。LG U+は個人情報流出の事実を認識していながら、個人情報委が調査に着手する前に関連サーバーのオペレーティングシステム（OS）を再インストールするか、サーバーを廃棄した。
以下は30日に政府ソウル庁舎で開かれたブリーフィングで出た主な質疑応答。
—過料算定の基準となった売上は何か。
「KTの5GとLTE移動通信の売上をすべて含めた。フェムトセルは基本的にLTEで用いられる装置だが、5G通信設備が十分に構築されていない地域では5GサービスもLTE網を併用するためだ。IPTVやインターネットなど、今回の事故と関連のない独立した売上は除外した。」
—金銭被害が発生したのにSKテレコムより過料を低く算定した理由は。
「二次被害が発生した点について委員らは非常に深刻に見た。ただしSKテレコムの事故と比べると、流出した個人情報の規模と類型に差があった。SKテレコムは被害規模が2,300万人に達し、SIMカード認証キーなどの認証情報が流出した。一方、KTは流出規模が1万6,647人で、流出情報も携帯電話番号と加入者識別番号（IMSI）、端末識別番号（IMEI）の3種だった。被害補償と是正措置に迅速に協力した点も総合的に考慮した。」
—調査着手前に証拠を隠匿・廃棄した事業者に科す過料はどのように算定するのか。
「現行法上、調査過程で証拠を隠匿または廃棄すれば刑事処罰や過料賦課が可能だが、調査着手前に行われた行為は制裁が難しい。そこで調査着手前の証拠隠匿・廃棄の程度と違法性などを考慮し、全体売上高の3%以内で別途過料を賦課する案を推進している。違反行為に関連する売上高のみを基準とする現行の個人情報流出過料とは算定方式が異なる。具体的な基準は立法と施行令の策定過程で定める予定だ。」
—証拠隠匿・廃棄過料が新設されれば、今回のKTとLG U+の事件にも適用できるのか。
「事業者に不利益を与える規定は、原則として遡及適用できない。証拠隠匿・廃棄に対する罰則と別途過料、通報報奨金制度は、法律が施行された後に発生する行為から適用される予定だ。ただし、その後の調査過程で新たな事実が確認されれば、それに応じて追加処分を行うことができる。」