실종아동과 입양인 개인정보 유출한 국가아동권리보장원 제재

– 과징금·과태료 8억 8,520만 원 부과, 징계권고, 시정명령, 개선권고 및 공표 의결- 보조저장매체에 대한 총체적 관리 부실로 개인정보 약 117만 건 이상 유출- 뒤늦게 유출사실을 알고도 통지·신고 미이행으로 2차 피해 우려 확산- 보건복지부에도 보장원의 개인정보 관리체계 전반에 대한 지도·감독 등 권고 개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 8월 26일(수) 제17회 전체회의를 열고, 실종아동 및 입양인 등의 개인정보 유출 사고 3건과 관련하여 ｢개인정보 보호법｣(이하 ‘보호법’)을 위반한 국가아동권리보장원(이하 ‘보장원’)에 대한 시정조치와 보건복지부에 대한 개선권고를 의결하였다. 1. 입양기록물 및 실종아동 입소카드 전산화 사업 결과물 유출 등 :과징금 8억 1,050만 원, 과태료 2,220만 원, 시정명령, 징계권고, 공표《사실관계 및 위반내용》 보장원은 2013년부터 2022년까지 공공기록물로 보관·관리중인 입양기록물과 실종아동 입소카드를 엑셀자료와 스캔파일로 변환하는 전산화 작업을 거쳐 입양정보통합관리시스템과 실종아동업무시스템의 데이터베이스에 각각 등록하였다. 이 과정에서 전산화 사업을 담당한 수탁업체는 변환한 엑셀자료와 스캔파일을 외장하드, USB메모리 및 CD 등 보조저장매체에 연도별로 담아 보장원에 납품하였다. 보장원은 입양기록물 전산화 사업 관리 부실 등에 대한 의혹과 관련하여 내부적으로 점검하는 과정에서 입양인이나 실종아동 등의 개인정보가 저장된 보조저장매체가 사라진 사실을 뒤늦게 인지하였다. 개인정보위 사실조사 결과, 보장원은 납품 받은 보조저장매체를 업무용 캐비닛 또는 서랍에 보관하여 사용하면서 담당 관리자 지정, 반출·입 대장 작성 관리 등 보호법 상 필요한 물리적 안전조치를 소홀히 하였고, 이로 인해 구체적인 유출 등 시점과 경로도 답변하지 못하였다. 이와 같은 기관 차원의 개인정보 관리체계 부재 뿐만 아니라 보조저장매체에 주민등록번호를 저장하면서 암호화 조치도 하지 않아, 누구라도 이를 습득한 경우 쉽게 개인정보를 열람할 수 있는 가능성이 존재하였다. 입양기록물 전산화와 관련하여 CD 1장에 저장된 주민등록번호 약 30만 건을 포함한 입양인 등의 성명, 주소, 연락처 등 약 114만 건과 실종아동 입소카드 전산화와 관련하여 외장하드 1개에 저장된 주민등록번호 약 1.5만 건을 포함한 실종아동 등의 성명, 발생일시 및 장소 등 약 3만 건 등 총 117만 건 이상의 개인정보가 유출되었다. 또한, 보장원은 2013년도~ 2018년도 입양기록물 전산화 관련 엑셀자료를 저장한 CD 1장과 2020년도 실종아동 입소카드 전산화 결과물을 보관한 외장하드 1개의 유출 등 사실을 인지하고도 72시간 이내에 통지 및 신고를 적법하게 하지 않았다. 아울러 개인정보위는 입양기록물 스캔파일 DB 업로드 과정(2021.7.~9.)에서 소속 직원의 시스템 접근계정을 수탁업체에 공유한 보호법 제29조(안전조치의무)와 전산화 사업에 참여한 수탁업체에 대한 관리·감독 소홀 등 보호법 제26조에 대한 위반도 확인하였다.《처분결과》 이에 따라 개인정보위는 고유식별정보 등에 대한 안전조치의무 위반, 개인정보 처리업무 위탁 위반, 유출 통지·신고 의무를 위반한 보장원에 과징금 8억 1,050만 원 및 과태료 2,220만 원 부과와 더불어 시정명령, 징계권고 및 처분결과의 공표를 의결하였다.