SBS Biz

[29일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의에서 송경희 위원장이 발언하고 있다. 2026.7.29 (사진=연합뉴스)]

국가아동권리보장원이 입양인과 실종아동 등 개인정보를 대규모 보유하고도 기본적인 안전조치를 소홀히 하는 등 개인정보 관리 전반에 허점을 드러냈습니다.

입양인 등의 개인정보 114만건이 담긴 CD와 실종아동 개인정보 3만건이 저장된 외장하드가 사라진 사실을 장기간 파악하지 못한 데다 유출 사실을 인지한 뒤에도 통지·신고를 제대로 하지 않았습니다.

27일 개인정보보호위원회에 따르면 보장원은 2013년부터 2022년까지 공공기록물로 보관·관리 중인 입양기록물과 실종아동 입소카드를 엑셀자료와 스캔파일로 변환하는 전산화 작업을 진행했습니다.

전산화 사업을 맡은 수탁업체는 변환한 자료를 외장하드와 USB메모리, CD 등 보조저장매체에 연도별로 담아 보장원에 납품했습니다.

하지만 보장원은 이들 보조저장매체를 업무용 캐비닛이나 서랍에 보관하면서 담당 관리자를 지정하거나 반출·입 대장을 작성하는 등 필요한 물리적 안전조치를 제대로 하지 않았습니다.

이 과정에서 2013∼2018년 입양기록물 전산화 자료가 담긴 CD 1장과 2020년 실종아동 입소카드 전산화 결과물이 저장된 외장하드 1개가 사라졌습니다.

CD에는 주민등록번호 약 30만건을 포함해 입양인 등의 성명, 주소, 연락처 등 개인정보 약 114만건이 담겨 있었습니다.

외장하드에는 주민등록번호 약 1만5천건을 비롯해 실종아동 등의 성명과 발생 일시·장소 등 개인정보 약 3만건이 저장돼 있었습니다.

개인정보위 조사 결과 CD는 2019년 1∼7월, 외장하드는 2021년 12월∼2022년 6월 사이 사라진 것으로 추정됩니다.

그러나 보장원이 이를 인지한 것은 각각 올해 4월과 2024년 8월이었습니다.

보조저장매체를 제대로 관리하지 않은 탓에 정확한 유출 시점과 경로조차 확인하지 못한 것입니다.

보장원은 저장매체에 주민등록번호를 저장하면서 암호화 조치도 하지 않아 이를 습득한 사람이 개인정보를 쉽게 열람할 수 있는 상태였던 것으로 조사됐습니다.

특히 CD의 경우 2019년 하반기 보장원이 출범하기 전 중앙입양원 등 기존 기관이 통폐합되는 과정에서 인수인계가 제대로 이뤄지지 않았을 가능성이 있는 것으로 개인정보위는 보고 있습니다.

보장원은 CD와 외장하드 유출 사실을 인지하고도 72시간 이내에 정보주체에게 통지하고 개인정보위에 신고해야 하는 의무를 제대로 이행하지 않았습니다.

2021년 입양기록물 스캔파일을 데이터베이스에 올리는 과정에서도 보장원 직원의 시스템 접근계정을 수탁업체와 공유했고, 수탁업체에 대한 관리·감독도 소홀했던 것으로 조사됐습니다.

개인정보위 관계자는 "공공기관에 해당하고 특히 입양 기록과 실종아동과 같은 중요하고 민감한 정보를 소홀하게 관리한 부분에 대해 위원들 모두 심각한 사안으로 봤다"며 "조금 더 강한 시정조치가 필요하다는 의견이 많았다"고 설명했습니다.

이와 별도로 보장원이 운영하는 입양정보공개청구시스템에서도 설계·점검 부실로 입양인과 예비양부모가 서로 제출한 서류를 열람할 수 있게 되면서 총 47명의 개인정보가 유출됐습니다.

개인정보위는 입양기록물 CD 유출에 대해 구 개인정보보호법상 과징금 상한인 5억원을 부과했습니다.

실종아동 입소카드 외장하드 유출 등에 대해서는 3억1천50만원, 입양정보공개청구시스템 유출에는 5천250만원의 과징금을 각각 부과했습니다.

이에 따라 보장원에 부과된 과징금은 총 8억6천300만원으로 단일 공공기관에 부과된 과징금 가운데 역대 최대 규모 입니다.

부과된 과태료는 총 2천220만원으로, 이 역시 공공기관에 부과된 과태료 가운데 역대 최대 수준입니다.