핵심 요약 개인정보보호위원회는 2026년 7월 30일 KT에 과징금 539억 7,900만 원을 부과하면서, 이용자의 집과 사무실에 설치된 펨토셀에 대해 실질 운영주체와 관리통제권이 KT에 있다고 판단했습니다. 근거는 소유권이 아니라 망 접속 승인·인증체계 관리·내부망 접속 허용·보안통제를 누가 수행하는가였습니다. 고객사에 키오스크·단말·온프레미스 제품을 두고 그 장비가 우리 시스템에 접속하게 하는 회사라면, 같은 기준이 그대로 적용됩니다.
고객사 매장에 키오스크를 설치합니다. 병원에 단말을 넣습니다. 고객사 서버실에 우리 제품을 온프레미스로 올립니다.
세 경우 모두 장비는 남의 자리에 있고, 전원과 네트워크는 그쪽이 댑니다. 그래서 사고가 나면 그 회사 사고라고 생각하기 쉽습니다.
2026년 7월 30일 개인정보위 결정은 그 생각이 어디서 어긋나는지 보여줍니다.
개인정보위는 무엇으로 갈랐나
펨토셀은 통신 음영지역을 해소하는 소형 기지국입니다. KT가 2016년부터 도입해 KT 인터넷 고객에게 설치기사가 직접 설치해 주고, 이용자에게 판매하지 않는 KT 자산입니다.
개인정보위가 관리통제권 판단에 든 근거는 세 갈래였습니다. 망 접속 승인과 인증체계 관리, 내부망 접속 허용, 그리고 보안통제와 운영을 KT가 수행한다는 것입니다.
이용자에 대해서는 한 줄로 정리했습니다. 설치 장소 등 운영환경을 제공하는 역할만 수행한다.
그래서 결론은 펨토셀의 실질 운영주체는 KT이고, 이동통신망 접속과 서비스 제공을 위한 이용자 인증 과정, 그 과정에서의 개인정보 전송에 대한 관리통제권도 KT에 속한다는 것이었습니다.
기준은 소유가 아니라 통제입니다
이 사건에서는 소유권도 KT에 있었으니 결론이 같은 방향이었습니다. 다만 개인정보위가 실제로 든 근거는 소유가 아니라 인증과 접속통제를 누가 하는가였습니다.
법 제2조 제5호도 개인정보처리자를 “업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는” 자로 정의할 뿐, 장비를 누가 소유하고 어디에 두는지를 요건으로 삼지 않습니다.
바꿔 말하면 고객사가 장비를 사서 자기 자산으로 갖고 있어도, 그 장비가 우리 인증서로 우리 서버에 접속하고 접속 권한을 우리가 부여·회수한다면 그 구간의 관리통제권은 우리 쪽에 남습니다.
위탁계약을 맺어 두면 정리되나
정리되지 않습니다.
법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제29조, 제30조, 제34조, 제64조의2 등을 준용하면서 ‘개인정보처리자’를 ‘수탁자’로 본다고 정합니다. 위탁으로 구성하면 준용으로 걸리고, 위탁이 아니면 자기 자격으로 걸립니다.
구성 방식을 정하는 일과 의무를 지는지를 정하는 일은 별개입니다. 같은 구조는 제휴 API로 개인정보를 넘겨받는 경우에도 나타나는데, 그쪽은 제휴 API 응답에 요청하지 않은 개인정보가 섞여 왔을 때에서 다뤘습니다.
그래서 무엇을 안 하면 걸리나
이 사건의 위반은 접근통제 소홀 하나였습니다. 개인정보위가 지적한 것을 그대로 옮기면 이렇습니다.
- 내부망 접속용 인증서 유효기간을 10년으로 길게 설정했습니다
- 접속 IP를 제한하지 않아 타사·해외 IP에서도 접속이 가능했습니다
- 관리서버를 우회하는 경로가 있었습니다
- 코어망 접속 식별자(Cell ID)를 관리하지 않아 비인가 식별자의 이상접속을 탐지·대응할 체계가 없었습니다
그 결과 해커는 유실된 펨토셀에서 인증서를 복사해 자체 제작 장비에 심고, 별도 인증 없이 약 11개월간(2024년 10월 8일 ~ 2025년 9월 5일) 내부망에 접속했습니다. KT는 그동안 탐지하지 못했고, 소액결제 민원이 쌓인 뒤에야 비정상 접속을 식별했습니다.
이 항목들은 특별한 기술 요구가 아닙니다. 시행령 제30조 제1항이 정한 안전성 확보 조치의 기본 항목입니다. 제2호 나목이 정당한 권한을 가진 자에 의한 접근인지 확인하기 위한 인증수단 기준의 설정과 운영을, 제3호 가목이 침입을 탐지하고 차단하기 위한 조치를 요구합니다.
사고가 나면 누가 신고하나
관리통제권이 우리에게 있다는 판단이 서면 그다음은 자동으로 따라옵니다.
통지·신고 의무자는 우리입니다. 법 제34조 제1항은 개인정보처리자가 유출등을 알게 된 때를 기준으로 의무를 지우고, 장비가 어디에 놓여 있었는지를 요건으로 삼지 않습니다. 절차와 기한은 개인정보 유출 인지 후 72시간 안에 해야 할 일과 하면 안 되는 일에 정리해 두었습니다.
과징금도 같습니다. 법 제64조의2 제1항 제9호는 개인정보가 유출된 경우를 사유로 들고, 단서에서 제29조에 따른 안전성 확보 조치를 다한 경우에만 부과를 면합니다. 이번 처분에서 KT에 부과된 금액은 539억 7,900만 원입니다.
유출 규모는 16,647명이었습니다. 금액을 키운 것은 인원 수가 아니라, 유출된 정보로 SMS·ARS가 탈취되어 368명에게 약 2억 4천만 원의 무단 소액결제가 발생한 실제 피해와 11개월간의 미탐지였습니다.
지금 확인할 것
고객사에 놓인 장비가 있다면 세 가지를 나란히 놓아 보면 됩니다.
첫째, 그 장비가 우리 시스템에 접속할 때 무엇으로 인증하는가. 인증서라면 유효기간이 얼마이고, 회수 절차가 있는지. 장비를 분실하거나 회수하지 못했을 때 그 인증서를 무효화할 수 있는지.
둘째, 접속 지점을 제한하고 있는가. IP·네트워크 범위 제한이 없으면 그 장비의 인증정보를 가진 누구든 어디서든 들어옵니다. 이번 사건에서 해커가 한 일이 정확히 그것입니다.
셋째, 비정상 접속을 탐지할 수 있는가. 장비마다 식별자를 부여하고 관리하지 않으면 인가되지 않은 장비가 들어와도 구분되지 않습니다.
계약서에 “설치 및 운영 책임은 고객사에 있다"고 적혀 있어도 이 세 가지를 우리가 하고 있다면, 규제 판단에서 관리통제권은 우리 쪽에 남습니다. 계약 문언이 아니라 실제로 누가 인증을 쥐고 있는지가 기준입니다.
자주 묻는 질문
Q. 장비 소유권이 우리에게 있으면 우리가 개인정보처리자인가요?
소유권만으로 정해지지 않습니다. 법 제2조 제5호는 개인정보처리자를 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자로 정의할 뿐 소유 관계를 요건으로 하지 않습니다. 개인정보위가 펨토셀 사건에서 실제로 든 근거는 소유가 아니라 망 접속 승인, 인증체계 관리, 내부망 접속 허용, 보안통제와 운영을 누가 수행하는가였습니다.
Q. 고객사 건물 안에 있으니 그 회사가 관리하는 것 아닌가요?
물리적 설치 장소는 결정적이지 않았습니다. 개인정보위는 펨토셀 사건에서 이용자가 설치 장소 등 운영환경을 제공하는 역할만 수행한다고 보았습니다. 반대로 인증 과정과 그 과정에서의 개인정보 전송에 대한 관리통제권은 설치 장소와 무관하게 사업자에게 있다고 판단했습니다.
Q. 고객사와 위탁계약을 맺어 두면 정리되나요?
위탁으로 구성한다고 의무가 사라지지는 않습니다. 법 제26조 제8항은 수탁자에 관하여 제15조부터 제18조까지, 제21조, 제29조, 제30조, 제34조, 제64조의2 등을 준용하면서 ‘개인정보처리자’를 ‘수탁자’로 본다고 정합니다. 위탁이면 준용으로, 아니면 자기 자격으로 걸리므로 구성 방식과 무관하게 같은 조문의 수범자가 됩니다.
참고자료
- 개인정보보호위원회, 「개인정보위, ㈜KT의 개인정보 유출사고 제재처분 의결」 (2026년 7월 30일 보도자료, 제15회 전체회의, 원문)
- 개인정보 보호법(법률 제20897호, 2025년 10월 2일 시행) 제2조 제5호, 제26조 제8항, 제29조, 제34조, 제64조의2
- 개인정보 보호법 시행령(대통령령 제36340호) 제30조 제1항