과징금·과태료 8억 8,520만 원 부과, 징계권고, 시정명령, 개선권고 및 공표 의결

▲ 개인정보보호위원회

개인정보보호위원회는 8월 26일 제17회 전체회의를 열고, 실종아동 및 입양인 등의 개인정보 유출 사고 3건과 관련하여 '개인정보 보호법'을 위반한 국가아동권리보장원에 대한 시정조치와 보건복지부에 대한 개선권고를 의결했다.

보장원은 2013년부터 2022년까지 공공기록물로 보관·관리중인 입양기록물과 실종아동 입소카드를 엑셀자료와 스캔파일로 변환하는 전산화 작업을 거쳐 입양정보통합관리시스템과 실종아동업무시스템의 데이터베이스에 각각 등록했다. 이 과정에서 전산화 사업을 담당한 수탁업체는 변환한 엑셀자료와 스캔파일을 외장하드, USB메모리 및 CD 등 보조저장매체에 연도별로 담아 보장원에 납품했다.

보장원은 입양기록물 전산화 사업 관리 부실 등에 대한 의혹과 관련하여 내부적으로 점검하는 과정에서 입양인이나 실종아동 등의 개인정보가 저장된 보조저장매체가 사라진 사실을 뒤늦게 인지했다. 개인정보위 사실조사 결과, 보장원은 납품 받은 보조저장매체를 업무용 캐비닛 또는 서랍에 보관하여 사용하면서 담당 관리자 지정, 반출·입 대장 작성 관리 등 보호법 상 필요한 물리적 안전조치를 소홀히 했고, 이로 인해 구체적인 유출 등 시점과 경로도 답변하지 못했다.

이와 같은 기관 차원의 개인정보 관리체계 부재 뿐만 아니라 보조저장매체에 주민등록번호를 저장하면서 암호화 조치도 하지 않아, 누구라도 이를 습득한 경우 쉽게 개인정보를 열람할 수 있는 가능성이 존재했다. 입양기록물 전산화와 관련하여 CD 1장에 저장된 주민등록번호 약 30만 건을 포함한 입양인 등의 성명, 주소, 연락처 등 약 114만 건과 실종아동 입소카드 전산화와 관련하여 외장하드 1개에 저장된 주민등록번호 약 1.5만 건을 포함한 실종아동 등의 성명, 발생일시 및 장소 등 약 3만 건 등 총 117만 건 이상의 개인정보가 유출됐다.

또한, 보장원은 2013년도 ~ 2018년도 입양기록물 전산화 관련 엑셀자료를 저장한 CD 1장과 2020년도 실종아동 입소카드 전산화 결과물을 보관한 외장하드 1개의 유출 등 사실을 인지하고도 72시간 이내에 통지 및 신고를 적법하게 하지 않았다.

아울러 개인정보위는 입양기록물 스캔파일 DB 업로드 과정에서 소속 직원의 시스템 접근계정을 수탁업체에 공유한 보호법 제29조(안전조치의무)와 전산화 사업에 참여한 수탁업체에 대한 관리·감독 소홀 등 보호법 제26조에 대한 위반도 확인했다.

이에 따라 개인정보위는 고유식별정보 등에 대한 안전조치의무 위반, 개인정보 처리업무 위탁 위반, 유출 통지·신고 의무를 위반한 보장원에 과징금 8억 1,050만 원 및 과태료 2,220만 원 부과와 더불어 시정명령, 징계권고 및 처분결과의 공표를 의결했다.

보장원은 입양인 및 예비입양인을 위한 입양정보공개청구시스템을 구축하고 2026년 3월 16일과 4월 30일 신청 메뉴 4종을 순차적으로 개시했다.

조사 결과, 보장원은 입양인을 위한 입양사실확인서 신청과 예비양부모를 위한 입양관련 신청 메뉴를 탑재하면서, 신청시 제출하는 서류 파일을 동일한 DB 테이블에 저장했다. 또한, 두 메뉴의 신청번호를 ‘1’부터 순차적으로 부여하는 방식으로 설계하면서도 안전성 및 정합성 테스트를 누락하는 등 오류 가능성을 선제적으로 탐지·개선하지 못했다. 결과적으로 해당 서비스 신청자 중 일련번호가 동일한 입양인 및 예비양부모 상호간에 제출한 서류 전부가 열람되는 사고가 발생했다. 이를 통해 입양인 37명과 예비양부모 10명 등 총 47명의 성명, 생년월일, 성별 등 개인정보가 유출됐다.

개인정보위는 보장원이 개인정보처리시스템에 새로운 프로그램을 추가하면서 정당한 권한이 없는 자에게 개인정보가 공개·유출되지 않도록 입양인과 예비양부모 신청 프로그램간 상호 영향 및 개인정보의 정상적 처리 여부 등 시스템의 안정성 등을 미리 점검하지 않은 행위를 보호법 제29조에 따른 안전성 확보조치 의무 위반으로 판단했다.

이에 따라 개인정보위는 안전조치의무(접근통제)를 위반한 보장원에 과징금 5,250만 원 부과와 공표를 의결했다.

아울러, 개인정보위는 아동복지 및 정책 관련 민감한 개인정보를 대량으로 처리하는 보장원이 비교적 가까운 시기(2026년 2월 ~ 3월)에 유출 사고가 연속적으로 신고된 이후임에도 또다시 유출이 발생한 것에 대해 개인정보보호책임자의 역할 및 책임의 재정립과 사고 이후 보호 체계의 점검·정비 등 재발방지 대책의 마련·시행을 권고하면서,

주무기관인 보건복지부에도 보장원의 개인정보 관리체계 개선 및 내부통제시스템 구축을 위해 지도·감독을 강화할 것을 권고했다.

보장원은 실종아동과 입양인 등의 개인정보에 대해 문서고 보관이나 반출·입 대장 작성 등과 프로그램 개발시 안정성 테스트 등 기본적인 기술적·물리적 보호조치를 다하지 않아 개인정보 유출사고가 연달아 3건이 발생했다.

공공기관은 정보주체의 동의를 구하지 않고 법령 등에 따라 소관 업무 수행을 위해 국민의 개인정보를 수집·이용하는 만큼 접근통제나 암호화 등 안전조치의무를 더욱 철저히 준수할 것이 요구된다.

개인정보위는 “공공기관의 경우 개인정보 보호에 대한 국민적 관심과 기대가 더욱 높고, 처리하는 개인정보의 의미와 가치가 더욱 크므로 개인정보 보호에 최선을 다해야할 것”이라면서, “앞으로도 공공기관의 개인정보 유출 사고를 엄정히 처리하는 한편, 유출 통지를 지연하거나 미이행하여 정보주체에게 2차 피해 예방을 위한 가능성을 줄이는 기관에 대해서는 징계권고 등 엄정 대처하겠다.”라고 밝혔다.

[저작권자ⓒ 프레스뉴스. 무단전재-재배포 금지]