SK텔레콤 유심 정보 유출 사고: 어디까지 책임질까?

• SK텔레콤의 법적 책임 범위
• 처벌 가능성
• 추가 고려사항
• 결론

2025년 4월 19일, SK텔레콤(SKT)의 홈 가입자 서버(HSS)가 해킹되어 유심(USIM) 관련 정보(이동가입자식별번호(IMSI), 단말기 고유식별번호(IMEI), 유심 인증키 등)가 유출된 정황이 확인되었다. 이는 약 2300만 명의 가입자 및 알뜰폰 이용자에게 영향을 미칠 수 있는 중대한 보안 사고로, 복제폰(심 스와핑), 금융 사기, 보이스피싱 등 2차 피해 우려가 제기되고 있다. SK텔레콤은 유심 무료 교체와 유심보호서비스를 제공하며 대응 중이나, 가입자들의 불안과 집단소송 움직임, 정치권의 위약금 면제 요구로 논란이 확산되고 있다. 본 글은 SK텔레콤의 법적 책임 범위와 처벌 가능성을 법률적 관점에서 분석한다.

 

SK텔레콤의 법적 책임 범위

개인정보보호법 위반

SK텔레콤의 유심 정보 유출은 개인정보보호법 제29조(안전조치 의무) 위반에 해당할 가능성이 크다. 유심 정보는 가입자 인증에 핵심적인 역할을 하며, 디지털 신분증으로 간주될 수 있어 민감한 개인정보로 분류된다. 개인정보보호법은 사업자가 개인정보의 안전성을 확보하기 위해 기술적·관리적 보호 조치를 이행할 것을 요구하며, 이를 위반할 경우 엄중한 처벌을 규정한다. SK텔레콤의 중앙집중식 데이터 관리 체계가 해킹에 취약했다는 점은 안전조치 의무 위반으로 해석될 수 있다.

또한, 개인정보보호법 제34조는 개인정보 유출 시 피해자에게 지체 없이 고지할 의무를 부과한다. SK텔레콤은 4월 19일 사고를 인지하고 20일 한국인터넷진흥원(KISA)에 신고했으나, 개별 문자 고지 없이 홈페이지 공지만으로 대응해 고지 의무를 충분히 이행하지 않았다는 비판을 받고 있다. 이는 법 위반으로 간주될 수 있으며, 추가적인 법적 책임을 초래할 가능성이 있다.

이용약관에 따른 책임

SK텔레콤 이동전화 이용약관에 따르면, 회사의 귀책 사유로 인한 해지 시 가입자의 위약금 납부 의무가 면제된다. 이번 유심 정보 유출은 SK텔레콤의 서버 해킹과 유심 교체 물량 부족으로 인한 관리 소홀로 간주될 수 있어, 위약금 면제 사유에 해당될 가능성이 제기되고 있다. 국회 과학기술정보방송통신위원회는 이를 근거로 SK텔레콤에 위약금 면제를 압박하고 있으며, 과학기술정보통신부는 법률 자문을 통해 검토 중이다. 그러나 SK텔레콤은 직접적인 피해가 입증되지 않았다는 점과 약관의 귀책 사유가 주로 불완전판매 등을 염두에 둔 것이라는 업계 의견을 들어 즉각적인 결정을 내리지 못하고 있다.

민사상 책임

유심 정보 유출로 인해 가입자가 실제 피해(예: 금융 사기, 신원 도용)를 입을 경우, SK텔레콤은 민법상 불법행위 책임(제750조) 또는 계약상 책임(제390조)을 질 수 있다. 특히, 2차 피해가 발생하면 가입자들은 정신적·물질적 손해에 대한 배상을 청구할 수 있으며, 현재 약 2만 명 이상이 집단소송을 준비 중이다. 법무법인 대건은 무료 소송을 통해 피해자 권익 보호와 기업의 개인정보 관리 책임을 강조하고 있다. 그러나 SK텔레콤은 유심보호서비스 가입 시 피해 발생에 대해 100% 책임지겠다고 밝혔으므로, 이 서비스의 효과와 적용 범위가 소송에서 쟁점이 될 수 있다.

 

처벌 가능성

과징금

개인정보보호법 제64조의2에 따르면, 안전조치 의무 위반 시 관련 매출액의 최대 3%까지 과징금이 부과될 수 있다. 2024년 개인정보보호법 개정으로 과징금 산정 기준이 사고 직전 3년간 평균 매출로 변경되면서, SK텔레콤의 경우 과징금 규모가 수백억 원에서 최대 5천억 원에 이를 수 있다는 관측이 나온다. 예를 들어, 2023년 LG유플러스의 30만 건 개인정보 유출 사고에 70억 원의 과징금이 부과된 점을 고려하면, SK텔레콤의 2300만 가입자 규모를 감안했을 때 과징금이 상당할 것으로 예상된다. 개인정보보호위원회는 현재 SK텔레콤의 유출 경위와 안전조치 준수 여부를 조사 중이며, 위반이 확인되면 엄중한 처분을 내릴 방침이다.

과태료

개인정보보호법 제75조 제2항에 따라, 유출 고지 의무를 이행하지 않을 경우 최대 3천만 원의 과태료가 부과될 수 있다. SK텔레콤이 개별 고지를 하지 않은 점이 법 위반으로 판단되면 과태료 부과가 불가피하다. 또한, 통신망법 또는 전기통신사업법상 보안 의무 위반이 확인될 경우 추가적인 과태료가 부과될 가능성도 있다.

영업 정지 및 기타 제재

개인정보보호위원회 또는 과학기술정보통신부는 조사 결과에 따라 SK텔레콤에 시정명령, 보안 개선 조치, 또는 일시적 영업 정지와 같은 행정 처분을 내릴 수 있다. 특히, 유심 정보의 민감성과 피해 규모를 고려할 때, 정부는 재발 방지를 위해 강력한 제재를 검토할 가능성이 크다. 민관합동조사단이 구성될 경우, SK텔레콤의 보안 체계 전반에 대한 심층 분석이 이뤄질 수 있다.

형사 처벌 가능성

현재 자료로는 SK텔레콤 내부자의 공모나 고의적 방치가 확인되지 않았으므로, 경영진이나 직원에 대한 형사 처벌 가능성은 낮다. 그러나 해킹이 국가 배후 조직(예: APT 공격)과 연관되거나, SK텔레콤의 명백한 보안 태만이 드러날 경우, 개인정보보호법 제73조(개인정보의 안전성 확보 조치 위반)에 따라 7년 이하 징역 또는 7천만 원 이하 벌금이 부과될 수 있다. 이는 조사 결과에 따라 달라질 수 있다.

 

추가 고려사항

위약금 면제의 법적·산업적 파급효과

SK텔레콤이 위약금 면제를 결정할 경우, 약 2300만 가입자의 대규모 이탈 가능성과 이에 따른 수백억 원 이상의 손실이 예상된다. 이는 SK텔레콤의 시장 지배적 지위(40.4%)에 영향을 미칠 수 있으며, KT와 LG유플러스도 유사 사고 시 동일한 기준이 적용될 수 있다는 점에서 업계 전반에 부담이 된다. 업계는 위약금 면제가 단순히 SK텔레콤의 문제가 아니라 통신산업의 안정적 운영과 소비자 보호 간 균형을 요구하는 사안으로 보고, 공론화를 통해 가이드라인을 마련해야 한다는 입장이다.

집단소송과 사회적 영향

가입자들의 집단소송은 단순한 금전적 보상을 넘어 기업의 개인정보 관리 책임을 강조하는 계기가 될 수 있다. SK텔레콤의 대응(유심 무료 교체, 유심보호서비스 등)이 피해 보상으로 충분하지 않다고 판단될 경우, 소송 규모는 더욱 확대될 수 있다. 또한, SK그룹에 대한 불매운동과 국회 국민동의 청원(5만 명 목표)은 사회적 압박을 가중시키며, 정부의 강력한 규제를 유도할 가능성이 있다.

결론

SK텔레콤의 유심 정보 유출 사고는 개인정보보호법 위반, 이용약관에 따른 위약금 면제 논란, 민사상 손해배상 책임 등 다층적인 법적 책임을 동반한다. 처벌 가능성으로는 수백억 원 규모의 과징금, 과태료, 행정 제재가 유력하며, 조사 결과에 따라 형사 처벌 가능성도 배제할 수 없다. 위약금 면제는 통신산업 전반에 파급효과를 미칠 수 있는 중대한 사안으로, 법적 검토와 업계 공론화가 필요하다. SK텔레콤은 유심보호서비스와 무료 교체를 통해 피해 최소화에 나서고 있으나, 가입자 불안과 집단소송으로 이어지는 후폭풍은 디지털 시대 개인정보 보호의 중요성을 다시금 부각시킨다. 정부와 SK텔레콤의 신속하고 투명한 대응이 향후 신뢰 회복과 재발 방지의 핵심이 될 것이다.