실종아동·입양인 정보 117만건 유출하고 신고도 늑장…국가아동권리보장원 제재

주민번호 약 31만5000건 포함…외장하드·USB·CD 관리 부실

개인정보보호위, 제재금 8억8520만원 부과

송경희 개인정보보호위원회 위원장이 26일 정부서울청사에서 개최된 제17회 전체회의에서 의사봉을 두드리고 있다.ⓒ개인정보보호위원회

국가아동권리보장원이 실종아동과 입양인 등의 개인정보 117만건 이상을 유출하고도 뒤늦게 사고를 인지한 뒤 적법한 신고와 통지까지 하지 않은 사실이 드러났다. 주민등록번호 약 31만5000건이 포함된 민감한 자료를 외장하드와 USB, CD 등에 보관하면서 반출입 관리와 암호화 등 기본적인 안전조치도 제대로 갖추지 않은 것으로 조사됐다.

개인정보보호위원회는 지난 26일 제17회 전체회의를 열고 개인정보 보호법을 위반한 국가아동권리보장원에 과징금 8억6300만원과 과태료 2220만원 등 총 8억8520만원을 부과하고 시정명령, 징계권고, 개선권고 및 처분 결과 공표를 의결했다고 27일 밝혔다.

보장원은 2013년부터 2022년까지 입양기록물과 실종아동 입소카드를 엑셀자료와 스캔파일로 전산화했다. 수탁업체는 작업 결과물을 외장하드와 USB메모리, CD 등에 담아 보장원에 납품했다.

문제는 이후 관리였다. 보장원은 개인정보가 담긴 보조저장매체를 업무용 캐비닛이나 서랍에 보관하면서 담당 관리자를 지정하거나 반출입 대장을 작성하지 않았다. 주민등록번호가 저장된 매체에도 암호화를 적용하지 않았다.

이 과정에서 입양기록물 전산화 자료를 담은 CD 1장과 실종아동 입소카드 자료가 저장된 외장하드 1개가 사라졌다.

CD에는 주민등록번호 약 30만건을 포함해 입양인 등의 성명과 주소, 연락처 등 약 114만건의 개인정보가 저장돼 있었다. 외장하드에는 주민등록번호 약 1만5000건과 실종아동의 성명, 발생 일시·장소 등을 포함한 약 3만건의 정보가 담겼다. 유출된 개인정보는 총 117만건을 웃돈다.

보장원은 매체가 언제, 어떤 경로로 사라졌는지도 확인하지 못했다. 실종아동 관련 외장하드 유출은 2024년 8월, 입양기록물 CD 유출은 올해 4월에야 각각 인지했다. 사고 사실을 파악한 뒤에도 법에서 정한 72시간 이내 유출 통지와 신고를 제대로 하지 않았다.

전산화 사업 과정의 관리 부실도 확인됐다. 보장원은 2021년 입양기록물 스캔파일을 데이터베이스에 올리는 과정에서 내부 직원의 시스템 접근계정을 수탁업체와 공유했고, 수탁업체에 대한 관리·감독 의무도 소홀히 했다.

별도의 입양정보공개청구시스템에서도 개인정보 유출 사고가 발생했다. 보장원은 올해 3~4월 입양인과 예비양부모용 신청 메뉴를 개설하면서 서로 다른 신청서류를 동일한 데이터베이스 테이블에 저장하고 신청번호도 각각 '1'부터 부여했다.

프로그램 간 충돌 가능성에 대한 안전성·정합성 테스트까지 누락하면서 동일한 신청번호를 받은 입양인과 예비양부모가 상대방이 제출한 서류를 열람하는 사고가 발생했다. 이 사고로 입양인 37명과 예비양부모 10명 등 47명의 성명, 생년월일, 성별 등이 유출됐다.

개인정보위는 입양기록물과 실종아동 입소카드 유출에 과징금 8억1050만원과 과태료 2220만원을 부과하고 시정명령과 징계권고, 공표를 결정했다. 입양정보공개청구시스템 사고에는 과징금 5250만원과 개선권고, 공표 처분을 내렸다.

주무부처인 보건복지부에도 보장원의 개인정보 관리체계와 내부통제시스템 전반에 대한 지도·감독을 강화하도록 권고했다.

개인정보위는 "공공기관은 정보주체의 동의를 구하지 않고 법령 등에 따라 국민의 개인정보를 수집·이용하는 만큼 접근통제나 암호화 등 안전조치 의무를 더욱 철저히 준수해야 한다"고 밝혔다.