실종아동·입양인 정보 117만 건, 서랍 속에 방치됐다 주민등록번호가 암호화되지 않은 채로 USB에 담겼습니다. 그 USB는 서랍에 놓여 있었습니다. 누가 가져갔는지, 언제 없어졌는지 아무도 모릅니다. 국가아동권리보장원 이야기입니다. 이번이 처음 있는 일이 아닙니다.
개인정보보호위원회는 2025년 4월 27일 국가아동권리보장원에 과징금 8억1050만 원과 과태료 2220만 원을 부과하기로 의결했습니다. 유출된 정보는 크게 두 묶음입니다. 입양인의 성명·주소·연락처 등 약 114만 건, 실종아동의 주민등록번호·성명·실종 정보 등 약 3만 건으로, 합산하면 117만 건을 넘습니다. 여기에 입양정보공개청구시스템 오류로 입양인과 예비양부모 47명의 정보가 추가로 유출됐습니다. 실명과 주민등록번호가 포함된 고유식별정보가 외부로 나간 것입니다.
보장원은 2013년부터 2022년까지 입양기록물과 실종아동 입소카드를 전산화하는 사업을 진행했습니다. 종이 기록을 디지털 파일로 바꾸는 작업이었습니다. 이 과정에서 수탁업체가 전산화된 파일을 외장하드·USB·CD에 담아 납품했고, 보장원은 이를 넘겨받았습니다. 9년에 걸쳐 수십만 건의 기록이 디지털화됐지만, 그 저장매체를 어디에 어떻게 보관했는지에 대한 관리 체계는 끝내 만들어지지 않았습니다.
저장매체는 일반 캐비닛이나 서랍에 방치됐습니다. 관리자 지정도 없었고, 반출입 대장도 작성되지 않았습니다. 저장된 주민등록번호는 암호화조차 되지 않은 상태였습니다. 개인정보보호법은 주민등록번호 등 고유식별정보를 처리할 때 암호화를 의무로 규정합니다. 이 의무가 지켜지지 않은 결과, 매체가 분실·유출된 시점과 경로를 보장원 스스로도 파악하지 못했습니다. 개인정보위 조사에서 드러난 위반 항목은 고유식별정보 안전조치의무 위반, 처리업무 위탁 위반, 유출 통지·신고 의무 위반 세 가지입니다.
개인정보 유출 사실을 알게 된 기관은 72시간 이내에 정보 당사자에게 통지하고 관계기관에 신고해야 합니다. 보장원은 CD와 외장하드의 분실·유출 사실을 인지하고도 이 의무를 이행하지 않았습니다. 법이 존재했고, 기한도 정해져 있었습니다. 그럼에도 절차는 지켜지지 않았습니다. 개인정보위는 "기본적인 기술적·물리적 보호조치를 다하지 않아 중대한 유출 사고가 연달아 발생했다"고 밝혔습니다.
개인정보위는 보장원에 과징금·과태료 부과와 함께 개인정보보호책임자(CPO)의 역할·책임 재정립과 재발방지 대책 마련을 권고했습니다. 주무 부처인 보건복지부에는 지도·감독 강화를 요구했습니다. 개인정보위는 "공공기관은 법령에 따라 국민의 민감한 정보를 다루는 만큼 접근 통제와 암호화 등 안전조치의무를 더욱 철저히 준수해야 한다"고 강조했습니다. 보장원은 실종아동과 입양인 정보처럼 당사자에게 유독 민감한 기록을 보관하는 기관입니다. 일반 기업보다 높은 수준의 보호가 요구되는 이유가 여기 있습니다.
입양인이거나 실종아동 관련 정보를 보장원에 제공한 적 있다면, 내 정보가 이번 유출 대상에 포함됐는지 확인할 수 있습니다. 개인정보 유출 여부 조회와 피해 상담은 개인정보보호위원회 민원 창구(privacy.go.kr 또는 국번 없이 182)를 통해 가능합니다. 서랍 속에 방치된 USB 한 장이 수십만 명의 이름과 주민등록번호를 담고 있었습니다. 그것이 어디로 갔는지는 아직 아무도 모릅니다.
