핵심 요약 개인정보보호위원회는 2026년 7월 29일 KT에 과징금 539억 7,900만 원을 부과하기로 의결하면서(제2026-015-093호, 보도자료 공개는 7월 30일), 이용자의 집과 사무실에 설치된 펨토셀의 내부망 접속과 이용자 인증 과정 전반에 대해 관리통제권이 KT에 있다고 판단했습니다. 근거는 둘이었습니다. 펨토셀의 망 접속 승인·인증 체계 관리·보안통제와 운영을 KT가 수행한다는 점, 그리고 탈취된 IMSI·IMEI·전화번호가 KT가 직접 부여·등록·보유하던 KT 자신의 정보라는 점입니다. 고객사에 키오스크·단말·온프레미스 제품을 두고 그 장비가 우리 시스템에 접속하게 하는 회사에도 같은 기준이 적용될 가능성이 높다고 봅니다.

목차

고객사 매장에 키오스크를 설치합니다. 병원에 단말을 넣습니다. 고객사 서버실에 우리 제품을 온프레미스로 올립니다.

세 경우 모두 장비는 고객사의 장소에 설치돼 있고, 전원과 네트워크는 고객사가 공급합니다. 그래서 사고가 나면 그 회사 사고라고 생각하기 쉽습니다. 2026년 7월 29일 개인정보위 의결은 그 생각이 어디서 어긋나는지 보여줍니다.

개인정보위는 무엇으로 갈랐나

펨토셀은 KT의 이동통신망을 구성하는 초소형 기지국입니다. 결정문에 따르면 KT는 2016년 11월부터 가정·사무실·지하처럼 무선 신호가 약한 음영지역에 펨토셀을 도입해 운영했고, 이용자에게 판매하거나 이용료를 받지 않았습니다. 음영지역 민원이 고객센터로 접수되면 KT 설치기사가 방문해 설치하는 방식입니다. 펨토셀의 이동통신망 접속 승인, 인증 체계 관리, 보안통제와 운영은 KT가 수행하고, 이용자는 장비의 설치 장소와 인터넷 회선 등 운영환경을 제공합니다.

위원회는 이 운영 현황과 개인정보 처리 흐름에 비추어 KT가 「펨토셀 기기의 내부망 접속 및 이동통신 서비스 제공을 위한 이용자 인증 과정 전반에 대해 관리통제권을 갖고 있다」고 보았습니다. 여기서 관리통제권은 결정문의 용어입니다. 이용자 휴대폰이 펨토셀에 접속하면 단말기와 KT 서버 사이에 IMSI·IMEI·전화번호가 오가며 사용자 인증과 기기 인증이 이루어지는데, 그 인증 절차 전체를 KT가 설계하고 운영한다는 뜻입니다.

기준은 장비의 소유가 아니라 정보의 소유와 관리통제권입니다

이 사건에서 위원회는 소유를 근거로 들었습니다. 다만 그 소유는 장비의 소유가 아니라 정보의 소유였습니다. 결정문은 해커가 탈취한 IMSI·IMEI·휴대전화번호가 이용자 단말기에서 처음 생성돼 KT에 전달되는 제3자 정보가 아니라, KT가 유심 발급과 단말기 개통 때 직접 부여·등록·보유하던 KT 자신의 관리 정보라고 보았습니다. IMSI는 KT가 유심 발급 시 가입자 식별을 위해 부여하는 번호이고, IMEI는 개통 절차에서 KT가 가입자 데이터베이스에 등록·저장하는 정보이며, 전화번호는 KT가 할당·관리하는 번호자원이라는 것입니다. 인증 과정에서 단말기가 이 정보를 전송하는 것은 「피심인이 사전에 보유·관리하던 자신의 정보를 인증 목적으로 다시 조회·대조받는 절차」에 불과하다고 결정문은 적었습니다.

그래서 결론은 두 갈래로 정리됐습니다. 탈취된 정보의 원 소유·관리 주체가 KT라는 점, 그리고 그 정보가 이동하는 경로(펨토셀에서 코어망까지)를 KT가 구축·인증·통제한다는 점에서 이 정보는 KT의 관리통제권에 속한다는 것입니다. 장비가 이용자의 집에 있다는 사정은 이 두 근거 어디에도 들어가지 않았습니다. 법 제2조 제5호도 개인정보처리자를 "업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는" 자로 정의할 뿐, 장비를 누가 소유하고 어디에 두는지를 요건으로 삼지 않습니다.

바꿔 말하면 고객사가 장비를 사서 자기 자산으로 갖고 있어도, 그 장비가 우리가 발급한 인증서로 우리 서버에 접속하고 접속 권한을 우리가 부여·회수하며, 그 장비가 주고받는 정보가 우리가 부여·등록·보유하는 정보라면 그 구간의 관리통제권은 우리 쪽에 남을 가능성이 높습니다. 반대로 장비 안에서 처리되는 정보가 고객사가 생성하고 보유하는 정보라면 판단은 달라질 수 있습니다. 장비 소유권과 설치 장소만으로는 어느 쪽도 정해지지 않습니다.

위탁계약을 맺어 두면 정리되나

정리되지 않습니다. 법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제29조, 제30조, 제34조, 제64조의2 등을 준용하면서 '개인정보처리자'를 '수탁자'로 본다고 정합니다. 위탁으로 구성하면 우리는 수탁자로서 준용 규정에 따라 같은 의무를 지고, 위탁이 아니면 개인정보처리자로서 직접 의무를 집니다.

구성 방식을 정하는 일과 의무를 지는지를 정하는 일은 별개입니다. 같은 구조는 제휴 API로 개인정보를 넘겨받는 경우에도 나타나는데, 그 사안은 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔을 때에서 다뤘습니다.

그래서 무엇을 안 하면 걸리나

이 사건의 위반은 안전조치의무 위반(제29조) 하나였습니다. 결정문이 지적한 사실을 정리하면 이렇습니다.

  • 모든 펨토셀에 동일한 제조사 인증서를 쓰고, 내부망 접속용 펨토셀 인증서의 유효기간을 10년으로 길게 설정했습니다
  • 내부망으로 접속하는 펨토셀 IP를 자사 IP 대역 등으로 제한하지 않아, 해외·타사 IP 접속을 검증 없이 허용했습니다
  • 펨토셀 관리서버에 등록되지 않은 미등록 펨토셀의 내부망 연동을 위한 인증·접속을 허용했습니다
  • 정상 펨토셀의 Cell ID를 관리하지 않아, 비인가 Cell ID로 접속한 미등록 펨토셀을 장기간 탐지·식별하지 못했습니다

그 결과 해커는 유실된 펨토셀에서 인증서와 서버 IP 등 형상 정보를 추출해 자체 제작 장비에 복사하고, 별도 검증 없이 약 11개월간(2024년 10월 8일부터 2025년 9월 5일까지) 내부망에 접속했습니다. 결정문에 기록된 비인가 Cell ID는 20개입니다. KT가 침해 사실을 인지한 것은 2025년 9월 8일이고, 개인정보위는 KT의 소액결제 서비스를 통한 피해사례가 접수되면서 조사에 착수했습니다.

이 항목들은 특별한 기술 요구가 아닙니다. 결정문이 인용한 조문은 시행령 제30조 제1항 제3호와 개인정보의 안전성 확보조치 기준 제6조 제1항입니다. 시행령 제3호 가목은 개인정보처리시스템에 대한 침입을 탐지하고 차단하기 위한 조치를, 다목은 그 밖에 개인정보에 대한 접근을 통제하기 위하여 필요한 조치를 요구합니다. 고시 제6조 제1항은 접속 권한을 IP 주소 등으로 제한해 인가받지 않은 접근을 제한하고(제1호), 접속한 IP 주소 등을 분석해 유출 시도를 탐지·대응할 것(제2호)을 요구합니다.

사고가 나면 누가 신고하나

관리통제권이 우리에게 있다는 판단이 서면 통지·신고 의무자도 우리가 됩니다. 법 제34조 제1항은 개인정보처리자가 유출등을 알게 된 때를 기준으로 의무를 지우고, 장비가 어디에 놓여 있었는지를 요건으로 삼지 않습니다. 절차와 기한은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리해 두었습니다.

과징금도 같습니다. 법 제64조의2 제1항 제9호는 개인정보가 유출등이 된 경우를 사유로 들고, 단서에서 제29조에 따른 안전성 확보 조치를 다한 경우에만 부과를 면합니다. 이번 처분에서 KT에 부과된 금액은 539억 7,900만 원입니다.

유출 규모는 법인·다중회선 등 중복을 제거한 16,647명이고, KT가 세 차례에 걸쳐 신고·통지한 누적 인원은 22,227명이었습니다. 위원회는 이 위반을 중대한 위반행위로 판단했는데, 피해규모 요소는 「중」이었습니다. 유출된 정보로 SMS·ARS가 탈취되어 368명에게 2.42억 원의 무단 소액결제 피해가 발생한 점과 사생활 침해 가능성을 들면서도, 유출된 정보주체가 16,647명 규모라는 점을 함께 고려했다고 적었습니다. 11개월간 해커의 펨토셀 접속을 허용한 사실은 고의·과실 요소에서 중대한 과실의 근거로 쓰였습니다. 금액을 만든 것은 조정 단계였습니다. 결정문은 펨토셀 접근통제 등 안전조치의무 위반기간을 약 10년(2016년 8월부터 2025년 10월까지)으로 보아 2년 초과로 기준금액의 50%를 가중하고, 위반으로 이득을 취하지 않은 점으로 30%를 감경한 뒤, 2차 조정에서 조사 협력·시정 완료·피해 회복·자율적 보호 활동을 들어 50%를 감경했습니다. 관련 없는 매출액으로는 법인 회선·공공회선·3G 서비스 매출과 유선통신(초고속인터넷·IPTV)·기업서비스·부동산 등이 제외됐고, 관련 매출액과 부과기준율 자체는 결정문에서 가려져 있습니다.

지금 확인할 것

고객사에 놓인 장비가 있다면 세 가지를 나란히 놓아 보면 됩니다.

첫째, 그 장비가 우리 시스템에 접속할 때 무엇으로 인증하는가. 인증서라면 유효기간이 얼마이고, 회수 절차가 있는지. 장비를 분실하거나 회수하지 못했을 때 그 인증서를 무효화할 수 있는지. 이번 사건에서 해커가 쓴 인증서의 유효기간은 2019년 7월부터 2029년 6월까지 10년이었습니다.

둘째, 접속 지점을 제한하고 있는가. IP·네트워크 범위 제한이 없으면 그 장비의 인증정보를 가진 사람은 누구든 어디서든 접속할 수 있습니다. 관리서버에 등록되지 않은 장비의 접속을 막는 절차가 있는지도 같은 질문입니다.

셋째, 비정상 접속을 탐지할 수 있는가. 장비마다 식별자를 부여하고 관리하지 않으면 인가되지 않은 장비가 접속해도 구분되지 않습니다. 이번 사건에서 20개의 비인가 Cell ID가 11개월간 접속했지만 KT는 탐지하지 못했습니다.

계약서에 "설치 및 운영 책임은 고객사에 있다"고 적혀 있어도 이 세 가지를 우리가 하고 있고 그 장비가 주고받는 정보가 우리가 부여·보유하는 정보라면, 규제 판단에서 관리통제권은 우리 쪽에 남을 가능성이 높습니다. 계약 문언이 아니라 실제로 누가 인증을 통제하고 그 정보가 누구의 것인지가 기준입니다.

자주 묻는 질문

Q. 장비 소유권이 우리에게 있으면 우리가 개인정보처리자인가요?

장비 소유권만으로 정해지지 않는 것으로 보입니다. 법 제2조 제5호는 개인정보처리자를 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자로 정의하고, 장비의 소유 관계를 요건으로 두지 않습니다. 개인정보위는 펨토셀 사건 결정문(제2026-015-093호)에서 두 가지를 근거로 들었습니다. 하나는 내부망 접속과 이용자 인증 과정 전반의 관리통제권이 KT에 있다는 점이고, 다른 하나는 탈취된 IMSI·IMEI·전화번호의 원 소유·관리 주체가 KT이고 그 정보의 이동 경로를 KT가 구축·인증·통제한다는 점입니다. 따라서 결론은 누가 정보의 흐름을 통제하는지에 따라 갈릴 수 있습니다. 제2조 해석 자료는 86건이고 절반 이상이 2023년 전면 개정 전 날짜이므로, 옛 답을 참고할 때에는 그 답이 전제한 정의 문언이 현행과 같은지 먼저 확인해야 합니다(2026년 9월 28일 기준).

Q. 고객사 건물 안에 있으니 그 회사가 관리하는 것 아닌가요?

물리적 설치 장소는 결정적이지 않았습니다. 개인정보위는 펨토셀 사건에서 이용자가 펨토셀 장비의 설치 장소와 인터넷 회선 등 운영환경을 제공한다고 적었습니다. 반대로 펨토셀의 이동통신망 접속 승인, 인증 체계 관리, 보안통제와 운영은 KT가 수행하므로, 인증 과정 전반에 대한 관리통제권은 설치 장소와 무관하게 KT에 있다고 판단했습니다.

Q. 고객사와 위탁계약을 맺어 두면 정리되나요?

위탁으로 구성한다고 의무가 사라지지는 않습니다. 법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제29조, 제30조, 제34조, 제64조의2 등을 준용하면서 '개인정보처리자'를 '수탁자'로 본다고 정합니다. 위탁이면 준용으로, 아니면 자기 자격으로 걸리므로 구성 방식과 무관하게 같은 조문의 수범자가 됩니다.

장비·설비를 낀 구조에서 누가 어느 지위에 서는지는 위탁·수탁 개인정보 책임 지도 — 우리는 어느 자리에 있나의 지위 판별 기준과 함께 보면 정리됩니다.

참고 자료

  • 개인정보보호위원회 의결 제2026-015-093호(2026. 7. 29., 주식회사 케이티, 과징금 539억 7,900만 원·시정명령·결과공표·공표명령·개선권고) — 개인정보위 결정문 게시판 2026년 9월 공개본 기준. 관련 매출액·부과기준율·기준금액은 결정문에서 가려져 있습니다
  • 개인정보보호위원회, 「개인정보위, ㈜KT의 개인정보 유출사고 제재처분 의결」 (2026년 7월 30일 보도자료, 원문)
  • 개인정보 보호법 제2조 제5호, 제26조 제8항, 제29조, 제34조, 제64조의2 — 결정문이 적용한 판은 법률 제19234호(2024. 3. 15. 시행)입니다
  • 개인정보 보호법 시행령 제30조 제1항 제3호(결정문 적용 판 대통령령 제33723호, 2023. 9. 15. 시행), 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호) 제6조 제1항

본 글은 일반적인 정보 제공을 위한 것으로 법률자문이 아닙니다. 구체적 사안은 개별 검토가 필요합니다.