KT 개인정보 1만6천명 유출, 과징금 539억원 부과…AI 전환 시대 정보보호 과제

핵심 요약

- 개인정보보호위원회가 KT의 개인정보 유출 사고에 대해 539억 7,900만 원의 과징금 부과 - 1만 6,000여 명의 고객 개인정보가 유출된 것으로 확인 - KT 노조는 AI 전환 대응 및 주4.5일제를 포함한 임금 10% 인상 등을 요구하며 협상 중

주요 내용

개인정보보호위원회가 2026년 7월, 통신 대기업 KT에 대규모 과징금을 부과하며 정보보호 관리체계의 중요성이 다시 한번 부각되고 있다. 이번 조치는 KT가 고객 1만 6,000여 명의 개인정보를 유출한 혐의에 따른 것으로, 과징금 규모는 539억 7,900만 원에 달한다.

이번 사건은 개인정보보호법 제34조의2(과징금)에 따라 처리된 것으로 보이며, 유출 규모와 피해자 수를 고려한 산정으로 추정된다. KT와 같은 정보통신서비스 제공자는 개인정보의 안전성 확보조치 의무(개인정보보호법 제29조)를 엄격히 준수해야 하며, ISMS-P 인증 의무 대상자로서 더욱 강화된 관리체계를 운영해야 한다.

한편 KT 노조는 임금 총액 10% 정액 인상, 주4.5일제 즉시 시행, KT그룹 공동 복지 기금 신설과 함께 'AI 전환을 위한' 대책 마련을 요구하고 있다. 이는 통신 산업의 AI 전환이 가속화되는 가운데, 근로자의 권익 보호와 함께 기술 변화에 따른 조직 재편 과제가 동시에 제기되고 있음을 보여준다.

통신사는 대량의 개인정보를 보유·처리하는 만큼, AI 기반 서비스 확대 과정에서도 개인정보 보호 원칙을 견지해야 한다. 특히 AI 시스템 학습 데이터로 고객 정보를 활용할 경우 적법한 동의 절차와 비식별화 조치가 필수적이며, AI 모델의 개인정보 재식별 위험에 대한 기술적·관리적 보호조치를 강구해야 한다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이번 사건은 조직의 기술적 보호조치뿐만 아니라 관리적·물리적 통제의 중요성을 재확인시킨다. 1만 6천 명 규모의 개인정보 유출은 접근 권한 관리, 내부자 통제, 로그 모니터링 등 ISMS-P의 핵심 통제 항목에서 미흡함이 있었을 가능성을 시사한다. 특히 통신사는 주민등록번호, 통신 이용 내역 등 민감정보를 다루므로 일반 기업보다 높은 수준의 보안 통제가 요구된다.

AI 전환을 추진하는 기업들은 기술 혁신과 함께 정보보호 거버넌스를 동시에 강화해야 한다. AI 시스템 개발 과정에서 Privacy by Design 원칙을 적용하고, AI 모델 학습·운영 단계별 개인정보 영향평가를 실시해야 한다. 또한 AI 기반 자동화가 확대될수록 인적 보안 관리의 중요성은 더욱 커지므로, 내부 교육·인식 제고 프로그램을 지속적으로 운영하고 조직 문화 차원에서 정보보호를 내재화하는 노력이 필요하다.

CPPG·ISMS-P 연계 포인트

과징금 산정 기준 (개인정보보호법 제34조의2): 개인정보보호위원회는 위반행위의 내용·정도, 위반행위로 인한 피해 규모, 위반행위로 인해 취득한 이익의 규모 등을 고려하여 매출액의 100분의 3 이하 범위에서 과징금을 부과할 수 있다. 고의·중과실, 재발 여부, 사후 조치 적정성도 중요한 고려 요소다.

정보통신서비스 제공자의 안전성 확보조치 (ISMS-P 인증 의무): 정보통신서비스 부문 전년도 매출액 100억 원 이상 또는 3개월간 일일평균 이용자 수 100만 명 이상인 사업자는 ISMS-P 인증을 의무적으로 취득해야 한다. 인증 심사 시 접근통제, 암호화, 로그 관리, 내부자 보안 등 64개 통제 항목의 이행 여부를 종합적으로 평가받는다.