실종아동·입양인 정보 117만 건, 서랍 속에 방치됐다 주민등록번호가 암호화되지 않은 채로 USB에 담겼습니다. 그 USB는 서랍에 놓여 있었습니다. 누가 가져갔는지, 언제 없어졌는지 아무도 모릅니다. 국가아동권리보장원 이야기입니다. 이번이 처음 있는 일이 아닙니다.
개인정보보호위원회는 2025년 4월 27일 국가아동권리보장원에 과징금 8억1050만 원과 과태료 2220만 원을 부과하기로 의결했습니다. 유출된 정보는 크게 두 묶음입니다. 입양인의 성명·주소·연락처 등 약 114만 건, 실종아동의 주민등록번호·성명·실종 정보 등 약 3만 건으로, 합산하면 117만 건을 넘습니다. 여기에 입양정보공개청구시스템 오류로 입양인과 예비양부모 47명의 정보가 추가로 유출됐습니다. 실명과 주민등록번호가 포함된 고유식별정보가 외부로 나간 것입니다.
보장원은 2013년부터 2022년까지 입양기록물과 실종아동 입소카드를 전산화하는 사업을 진행했습니다. 종이 기록을 디지털 파일로 바꾸는 작업이었습니다. 이 과정에서 수탁업체가 전산화된 파일을 외장하드·USB·CD에 담아 납품했고, 보장원은 이를 넘겨받았습니다. 9년에 걸쳐 수십만 건의 기록이 디지털화됐지만, 그 저장매체를 어디에 어떻게 보관했는지에 대한 관리 체계는 끝내 만들어지지 않았습니다.
저장매체는 일반 캐비닛이나 서랍에 방치됐습니다. 관리자 지정도 없었고, 반출입 대장도 작성되지 않았습니다. 저장된 주민등록번호는 암호화조차 되지 않은 상태였습니다. 개인정보보호법은 주민등록번호 등 고유식별정보를 처리할 때 암호화를 의무로 규정합니다. 이 의무가 지켜지지 않은 결과, 매체가 분실·유출된 시점과 경로를 보장원 스스로도 파악하지 못했습니다. 개인정보위 조사에서 드러난 위반 항목은 고유식별정보 안전조치의무 위반, 처리업무 위탁 위반, 유출 통지·신고 의무 위반 세 가지입니다.
개인정보 유출 사실을 알게 된 기관은 72시간 이내에 정보 당사자에게 통지하고 관계기관에 신고해야 합니다. 보장원은 CD와 외장하드의 분실·유출 사실을 인지하고도 이 의무를 이행하지 않았습니다. 법이 존재했고, 기한도 정해져 있었습니다. 그럼에도 절차는 지켜지지 않았습니다. 개인정보위는 "기본적인 기술적·물리적 보호조치를 다하지 않아 중대한 유출 사고가 연달아 발생했다"고 밝혔습니다.
개인정보위는 보장원에 과징금·과태료 부과와 함께 개인정보보호책임자(CPO)의 역할·책임 재정립과 재발방지 대책 마련을 권고했습니다. 주무 부처인 보건복지부에는 지도·감독 강화를 요구했습니다. 개인정보위는 "공공기관은 법령에 따라 국민의 민감한 정보를 다루는 만큼 접근 통제와 암호화 등 안전조치의무를 더욱 철저히 준수해야 한다"고 강조했습니다. 보장원은 실종아동과 입양인 정보처럼 당사자에게 유독 민감한 기록을 보관하는 기관입니다. 일반 기업보다 높은 수준의 보호가 요구되는 이유가 여기 있습니다.
입양인이거나 실종아동 관련 정보를 보장원에 제공한 적 있다면, 내 정보가 이번 유출 대상에 포함됐는지 확인할 수 있습니다. 개인정보 유출 여부 조회와 피해 상담은 개인정보보호위원회 민원 창구(privacy.go.kr 또는 국번 없이 182)를 통해 가능합니다. 서랍 속에 방치된 USB 한 장이 수십만 명의 이름과 주민등록번호를 담고 있었습니다. 그것이 어디로 갔는지는 아직 아무도 모릅니다.
다 읽었어요
약 3분 분량의 오늘 레터
끝까지 읽어주셔서 고마워요.
AI LENS 편집팀
친구에게 공유하기
웹툰 대사 전문
실종아동과 입양인. 세상에서 가장 찾기 어려운 사람들의 기록.
B: 국가아동권리보장원이 8억 원 넘는 과징금 받았어요. A: 그게 왜 새어나갔는지가 더 문제예요.
A: 10년간 입양기록이랑 실종아동 카드를 전산화했거든요. B: 그 파일을 어디에 보관했는데요?
A: 외장하드, USB, CD… 그냥 캐비닛 서랍에 넣어뒀대요. B: 관리자도 없이요?!
A: 언제, 어떻게 빠져나갔는지조차 몰라요. 주민번호 암호화도 안 돼 있었고요. B: 그러면 피해자들은 지금도 모르는 거잖아요.
A: 유출 알고도 72시간 내 신고 안 했어요. 법정 의무인데. B: 숨기려 한 건지, 몰랐던 건지.
B: 시스템 오류로 입양인·예비양부모 47명 정보까지 더 나갔어요. A: 한 번도 아니에요. 구조 자체가 문제였던 거예요.
서랍 안에 있었습니다.
자물쇠도 없고, 관리 대장도 없는 서랍.
그 안에 USB, 외장하드, CD가 담겨 있었고 — 거기엔 실종아동의 이름과 주민등록번호, 입양인의 주소와 연락처가 고스란히 들어 있었습니다.
누가 가져갔는지, 언제 사라졌는지, 지금도 모릅니다.
한 입양인이 있다고 상상해 보시겠어요.
자신이 어디서 태어났는지, 원래 가족이 누구인지 알고 싶어서 정보공개를 청구했을 수 있어요. 그 기록이 국가아동권리보장원이라는 곳에 있다는 걸 알았을 거고요.
그런데 그 정보가 — 자신에 관한 기록이 — 서랍 어딘가에 들어있는 USB 안에 암호화도 안 된 채로 잠들어 있었던 겁니다.
그리고 그게 사라졌어요.
보장원이 진행한 사업은 꽤 오래된 일입니다.
이천십삼 년부터 이천이십이 년까지, 십 년에 걸쳐 입양기록물과 실종아동 카드를 전산화했어요.
종이로 쌓여 있던 기록을 디지털 파일로 옮기는 작업이었는데, 외부 업체가 그 일을 맡았습니다.
작업이 끝나면 파일이 담긴 저장매체를 납품받았고, 보장원은 그걸 일반 캐비닛에 뒀습니다.
관리자도 없고, 반출입 기록도 없고, 암호화도 없이요.
누군가 실수로 들고 갔을 수도 있고, 의도적으로 빼갔을 수도 있는데 — 그 경로를 지금도 특정하지 못하고 있습니다.
저는 이 대목이 좀 걸렸어요.
유출된 정보가 백십칠만 건이라는 숫자 자체보다, 이게 아무도 몰랐다는 게 더 마음에 걸렸거든요.
아이를 잃은 부모의 기록, 입양인의 생년월일과 거주지, 이런 정보들은 — 이걸 갖고 싶어 하는 사람이 없지 않아요. 사기에도 쓸 수 있고, 추적에도 쓸 수 있고, 협박에도 쓸 수 있는 정보입니다.
그런데 언제 나갔는지도 모르니까, 지금 어디서 어떻게 쓰이고 있는지 확인할 방법이 없어요.
그리고 하나 더.
분실 사실을 알고도 칠십이 시간 안에 신고하지 않았습니다.
법에 정해진 기한이 있는데도요.
피해 당사자들은 자신의 정보가 유출됐다는 사실을 제때 듣지 못했고, 그동안 어떤 대비도 할 수 없었습니다.
개인정보보호위원회는 이번에 보장원에 과징금 팔억 원이 넘는 제재를 부과했습니다.
그리고 주무 부처인 보건복지부에도 지도·감독을 강화하라고 요구했어요.
이 제재가 당사자들에게 어떤 의미가 있을지는 잘 모르겠습니다.
정보는 이미 나갔고, 돌아오지 않아요.
과징금이 부과됐다고 해서 유출된 주민등록번호가 다시 안전해지는 건 아니거든요.
기억하실 게 있다면 이겁니다.
공공기관이 보관하는 민감한 정보일수록 — 입양 기록, 실종 기록, 이런 것들은 당사자에게 삶 전체와 연결된 정보입니다.
그 정보를 어떻게 다루는지가, 단순한 보안 문제가 아니라는 거예요.
