입양·실종아동 정보 117만건 유출…공공기관 최고 과징금
입양인과 실종아동 등의 개인정보 117만건 이상이 담긴 CD와 외장하드가 국가아동권리보장원의 관리 소홀로 분실된 사실이 뒤늦게 드러났다. 주민등록번호까지 암호화하지 않은 채 저장매체에 보관했고, 분실 사실을 파악하고도 제때 통지·신고하지 않아 단일 공공기관 기준 역대 최대 규모의 과징금이 부과됐다. 개인정보보호위원회는 전날 전체회의를 열고 국가아동권리보장원에 과징금 8억6300만원과 과태료 2220만원을 부과하기로 의결했다고 27일 밝혔다. 개인정보위에 따르면 보장원은 2013~2022년 입양 관련 기록물과 실종아동 입소카드 전산화 사업을 진행하면서 수탁업체로부터 관련 자료가 담긴 CD와 외장하드 등을 납품받았다. 이 가운데 2013~2018년 입양기록물 자료가 담긴 CD 한 장이 사라지면서 주민등록번호 약 30만건을 포함해 입양인과 친생부모 등의 이름·주소·연락처 등 개인정보 약 114만건이 유출됐다. 보장원이 CD 분실 사실을 파악한 것은 올해 4월이다. 개인정보위는 2019년 중앙입양원 등 8개 기관이 통합돼 보장원이 출범하는 과정에서 해당 CD가 인수인계에서 누락됐을 가능성이 있는 것으로 추정했다. 아울러 2020년 실종아동 입소카드 전산화 자료가 담긴 외장하드 한 개도 분실됐다. 이로 인해 주민등록번호 약 1만5천건을 포함한 실종아동 등의 개인정보 약 3만건이 유출됐다. 외장하드는 2021년 12월부터 2022년 6월 사이 분실된 것으로 추정되지만, 보장원이 이를 인지한 것은 2024년 8월이었다. 조사 결과 보장원은 이들 저장매체를 업무용 캐비닛이나 서랍에 보관하면서 담당 관리자를 지정하거나 반출입 대장을 작성하지 않았다. 주민등록번호도 암호화하지 않은 채 저장했다. 관리 기록 자체가 없어 정확한 분실 시점과 경로도 파악하지 못했다. 다만 현재까지 유출된 개인정보가 실제 악용된 정황은 확인되지 않았다. 조사 과정에서는 입양정보공개청구시스템을 통한 별도의 개인정보 유출 사실도 확인됐다. 입양인 37명과 예비양부모 10명 등 47명의 개인정보가 다른 이용자에게 노출됐다. 입양인과 예비양부모에게 각각 1번부터 신청번호를 부여하면서 같은 번호가 중복된 것이 원인이었다. 제출 서류까지 한데 저장한 데다 사전 점검도 제대로 하지 않아 같은 신청번호를 받은 이용자끼리 서로의 서류를 열람할 수 있었다. 개인정보위는 입양기록물 CD 분실에 당시 법정 상한인 과징금 5억원을 부과했다. 실종아동 자료 외장하드 분실에는 3억1050만원, 입양정보공개청구시스템 유출에는 5250만원을 각각 부과했다. 분실 사고 책임 관계자에 대해서는 법 위반 행위에 상응하는 징계를 하도록 권고하고, 보건복지부에도 국가아동권리보장원에 대한 지도·감독을 강화하도록 권고했다. 한편 개인정보위는 임직원과 협력사 직원 9503명의 개인정보가 유출된 HD건설기계에도 과징금 7350만원을 부과했다. 해커는 HD한국조선해양의 모바일기기관리 서버에 웹셸 파일을 올린 뒤 업무상 연계가 필요하지 않은 HD건설기계 내부 시스템까지 침입해 임직원 등의 성명과 사번 등을 빼냈다. 개인정보위는 서버 취약점 관리가 미흡해 침입 경로로 이용된 HD한국조선해양에도 과태료 480만원을 부과했다.
