침해사고일까, 개인정보 유출일까? 24시간과 72시간 사이

최근 SK텔레콤에서 유심(USIM) 정보 유출 사고가 발생했다는 소식이 전해졌다.

유심 정보는 평소 우리가 크게 의식하지 않던 데이터였지만, 이번 사건을 들여다보니 단순한 실수나 사고로만 볼 수 없다는 생각이 들었다. 전체적인 개요는 위키나 유튜브를 통해 쉽게 접할 수 있었지만, 정보통신망법에서 '침해사고를 인지한 시점으로부터 24시간 이내에 신고해야 한다'는 부분은 이번에 처음 알게 되었다.

이 글에서는 사고 대응 과정에서 중요한 의미를 갖는 '신고 기한'에 대해, 유관 법령을 중심으로 정리해보려고 한다.

 

목차

1. 유심 정보 유출은 개인정보 유출이자 침해사고이다

먼저, 이번에 유출된 정보는 유심 고유 식별번호(IMSI, ICCID)와 인증키(KI) 등이었다. 이 정보들은 이름이나 주민등록번호처럼 직접적인 개인정보는 아니지만, 특정 개인을 식별할 수 있다는 점에서 법적 의미상 '개인정보'에 해당할 수 있다.

한편, 이 유출은 단순한 정보 노출을 넘어서 악성코드 공격으로 시스템에 침입하여 발생했다. 그래서 기술적 관점에서는 '침해사고'로도 분류된다.

정리하면, 이번 SK텔레콤 사고는 개인정보 유출이자 동시에 정보통신망 침해사고인 것이다.

2. SK텔레콤은 통신사업자이므로 정보통신망법 적용을 받는다

여기서 중요한 점은 SK텔레콤의 '법적 지위'다. SK텔레콤은 전기통신사업법상 전기통신사업자이고, 정보통신망법 제2조에 따라 '정보통신서비스 제공자'에 해당한다. 따라서 개인정보보호법 일반 규정이 아니라, 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)을 직접 적용받는다.

이는 단순한 해석이 아니라, 정보통신망법이 통신사업자에 대해 특별히 별도 규정을 두고 있기 때문이다.

3. 특별법인 정보통신망법이 개인정보 보호법보다 우선 적용된다

법에는 기본법과 특별법이 있다. 개인정보 보호법은 개인정보 전반을 포괄하는 기본법이고, 정보통신망법은 통신사업자라는 특정 업종을 대상으로 더 엄격한 기준을 정한 특별법이다.

법 해석의 원칙에 따라, 기본법과 특별법이 충돌할 때는 특별법이 우선 적용된다. 여기서 주의할 점은, 특별법이 반드시 더 강화된 규정을 두는 경우에만 특별법이 되는 것은 아니라는 것이다. 특별법은 기본법에 비해 규정의 내용이 완화되거나, 특수한 상황을 다루는 경우에도 여전히 특별법으로 인정되고, 기본법보다 우선 적용된다.

실제 판례에서도 특별법이 존재할 경우 그 적용 우선 순위는 특별법에 있다는 점을 반복해서 확인하고 있다.

결국 SK텔레콤은 개인정보 보호법상의 72시간 신고 규정을 따르는 것이 아니라, 정보통신망법상의 24시간 이내 침해사고 신고 의무를 따라야 했다.

4. 24시간 내에 신고했어야 했고, 지키지 못했다

SK텔레콤은 유심 정보 유출 사고를 4월 18일 오후 6시 9분에 인지했다. 하지만 한국인터넷진흥원(KISA)에 사고를 공식 신고한 시점은 4월 20일 오후 4시 46분. 약 45시간이 지나서야 신고한 것이다.

정보통신망법 제48조는 "침해사고를 알게 된 때부터 24시간 이내에 신고"하도록 규정하고 있다. SK텔레콤은 이 의무를 명백히 지키지 못했다.

물론 SK텔레콤은 "사고 내용을 정확히 파악하느라 시간이 걸렸다"고 해명했지만, 법률적으로는 신고 의무 위반이 성립할 가능성이 크다.

5. 마치며

이번 SK텔레콤 유심 정보 유출 사건은 단순한 실수나 방심의 문제가 아니었다. 통신사업자로서 져야 할 법적 책임, 그리고 사고 대응 프로세스의 미비가 모두 드러났다.

특히 유심 정보라는, 일반 소비자들이 잘 알지 못하는 영역의 데이터가 가진 위험성을 사회적으로 다시 돌아보게 만든 사건이었다.

그리고 무엇보다, 위기 상황에서는 '신속함'이 법적, 윤리적 책임을 나누는 경계가 된다는 점을 SK텔레콤은 뼈아프게 경험했을 것이다.

필자의 아버지가 SKT 통신사를 사용 중이신데, 월요일에 유심 교체를 하실 수 있도록 도와드릴 예정이다. 디지털 취약계층을 겨냥한 스미싱이나 금융사기 시도가 이어질 수 있는 만큼, 빠른 대응이 무엇보다 중요하다.