개인정보위는 지난 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 국가아동권리보장원에 과징금 8억6300만원과 과태료 2220만원을 부과했다고 27일 밝혔다. 시정명령과 징계권고, 개선권고 및 처분결과 공표도 의결했다.
송경희 개인정보보호위원회 위원장이 8월 26일 수요일 정부서울청사에서 개최된 제17회 전체회의에서 모두발언을 하고 있다. (사진=개인정보보호위원회)
보장원은 2013년부터 2022년까지 입양기록물을, 2019년부터 2021년까지 실종아동 입소카드를 전산화했다. 수탁업체는 전산화 과정에서 만든 엑셀자료와 스캔파일을 외장하드와 USB메모리, CD 등 보조저장매체에 담아 보장원에 납품했다.
하지만 보장원은 납품받은 보조저장매체를 업무용 캐비닛이나 서랍에 보관하면서 담당 관리자를 지정하거나 반출·입 대장을 작성하지 않는 등 필요한 안전조치를 제대로 하지 않았다. 개인정보가 담긴 보조저장매체가 사라진 사실도 뒤늦게 파악해 구체적인 유출 시점과 경로조차 확인하지 못했다.
주민등록번호가 담긴 보조저장매체에 대한 암호화 조치도 하지 않았다. 이 과정에서 주민등록번호 약 30만건을 포함한 입양인 등의 성명, 주소, 연락처 등 약 114만건과 주민등록번호 약 1만5000건을 포함한 실종아동 등의 성명, 발생 일시·장소 등 약 3만건이 유출됐다. 유출된 개인정보는 총 117만건 이상이다.
보장원은 개인정보 유출 사실을 확인하고도 법에서 정한 72시간 이내에 정보주체에게 통지하거나 개인정보위에 신고하지 않았다. 2021년 입양기록물 스캔파일을 데이터베이스(DB)에 올리는 과정에서는 소속 직원의 시스템 접근계정을 수탁업체와 공유한 사실도 확인됐다. 개인정보위는 수탁업체에 대한 관리·감독 역시 소홀했다고 판단했다.
개인정보위는 이 같은 입양기록물과 실종아동 입소카드 유출 사고에 대해 과징금 8억1050만원과 과태료 2220만원을 부과했다.
보장원이 올해 새롭게 구축한 입양정보공개청구시스템에서는 입양인과 예비양부모의 신청 서류가 서로에게 노출됐다.
보장원은 입양사실확인서 신청과 예비양부모 신청 과정에서 제출된 서류를 동일한 DB 테이블에 저장하고 두 신청 메뉴의 신청번호를 각각 ‘1’부터 순차적으로 부여했다. 하지만 두 프로그램 간 상호 영향 등에 대한 안전성·정합성 테스트를 제대로 하지 않았다.
결국 신청번호가 같은 이용자끼리 상대방이 제출한 서류를 열람할 수 있는 사고가 발생했다. 이 사고로 입양인 37명과 예비양부모 10명 등 총 47명의 성명과 생년월일, 성별 등 개인정보가 유출됐다. 개인정보위는 이 사고에 대해서도 보장원에 과징금 5250만원을 부과했다.
개인정보위는 보장원에 개인정보보호책임자의 역할과 책임을 재정립하고 사고 이후 개인정보 보호체계를 점검·정비하는 등 재발방지 대책을 마련하도록 권고했다. 주무부처인 보건복지부에도 보장원의 개인정보 관리체계와 내부통제시스템 개선을 위한 지도·감독 강화를 권고했다.
개인정보위는 “공공기관은 정보주체의 동의를 구하지 않고 법령 등에 따라 소관 업무 수행을 위해 국민의 개인정보를 수집·이용하는 만큼 접근통제나 암호화 등 안전조치의무를 더욱 철저히 준수할 것이 요구된다”고 강조했다.
