개인정보보호위원회가 공공기관 정보시스템 운영 과정에서 발생한 개인정보 유출 사고와 관련해 행정안전부와 농촌진흥청 등 공공기관 및 수탁업체에 대규모 제재를 부과했다. 이번 조치는 공공기관이 위탁사업을 수행하더라도 개인정보 보호에 대한 최종 책임을 부담한다는 점과, 수탁업체 역시 자체 과실이 있을 경우 직접적인 제재 대상이 될 수 있다는 기준을 명확히 했다는 점에서 주목된다.

개인정보위는 최근 전체회의를 열고 개인정보 보호법 위반 사실이 확인된 행정안전부, 농촌진흥청, 국립농업과학원, 국립축산과학원과 수탁업체 미소테크에 대해 과징금과 과태료, 시정명령 및 공표 조치를 의결했다. 전체 제재 규모는 과징금 5억4660만원과 과태료 1200만원 수준이다.

<개인정보 보호법 위반 내용, 출처: 개인정보보호위원회>

행정안전부는 정부24 운영 과정에서 여러 건의 개인정보 유출 사고가 발생한 사실이 확인됐다. 정부24와 교육부 나이스(NEIS), 국세청 시스템을 연계하는 과정에서 소스코드 개발 오류가 발생했고, 이로 인해 민원서류와 납세증명서에 포함된 개인정보가 타인에게 노출됐다. 유출 정보에는 성명과 주민등록번호, 생년월일, 학교 정보, 법인 대표자 정보 등이 포함된 것으로 조사됐다.

또 주민등록증 발급상황 조회 서비스에서는 본인인증 취약점이 방치되면서 타인의 발급 진행 상태가 조회되는 문제가 발생했다. 공유누리 홈페이지에서는 업무게시판 파일이 외부 검색엔진에 노출돼 수천명의 이름과 연락처, 이메일 주소 등이 공개된 사실도 드러났다.

개인정보위는 행정안전부가 시스템 개발 단계에서 충분한 테스트를 하지 않았고, 인증 모듈 취약점 역시 사전에 발견하거나 차단하지 못했다고 판단했다. 특히 개인정보 유출 사실을 인지하고도 법정 기한인 72시간 내에 정보주체에게 통지하지 않은 점과, 개인정보처리방침상 위탁업체 공개 의무를 제대로 이행하지 않은 부분도 문제로 지적됐다.

수탁업체 관리 부실 문제도 함께 도마에 올랐다. 농촌진흥청 등의 시스템 유지·관리를 맡은 미소테크는 위탁받은 개인정보를 자체 네트워크 저장장치에 장기간 무단 보관했고, 해당 장비를 외부 인터넷망에 노출한 상태로 운영한 것으로 조사됐다. 관리자 계정 역시 단순 아이디·비밀번호 방식만 적용돼 접근통제가 미흡했던 것으로 나타났다.

이 과정에서 이름과 주소, 연락처, 이메일, 농장 정보 등 57만건이 넘는 개인정보가 해커에 의해 탈취돼 다크웹에 게시되는 사고가 발생했다. 개인정보위는 미소테크가 독자적인 관리 부실과 보안 소홀 책임이 있다고 판단해 별도 과징금과 과태료를 부과했다.

위탁기관인 농촌진흥청과 산하기관들 역시 개인정보 파기 여부를 실질적으로 점검하지 않고 형식적인 자료만 제출받는 등 수탁자 관리·감독 의무를 다하지 못한 것으로 확인됐다. 개인정보위는 공공기관이 정보화사업을 외부 업체에 맡기더라도 개인정보 처리와 보안에 대한 최종 책임은 면제되지 않는다는 점을 강조했다.

개인정보위는 앞으로 공공부문 정보화사업 전반에 대한 점검을 강화하고, 위탁·수탁 구조에서 발생하는 관리 공백을 줄이기 위한 현장 중심 감독 체계를 확대하겠다고 밝혔다.

감사·내부통제 전문지 BLACK EDGE / 강태훈 기자