'쿠팡 닮은꼴' 6만건 개인정보 유출, 반년간 침묵한 복지부

[이데일리 석지헌 방보경 기자] 보건복지부가 산하기관인 아동권리보장원(이하 보장원)의 개인정보 유출(분실) 정황에 대해 특정감사를 벌인 결과 관리 부실로 인한 사고가 실제 있었음을 확인한 것으로 나타났다. 특히 유출 사실을 인지하고도 안내 과정이 늦어져 비판을 받았던 ‘쿠팡 사태’ 사례처럼, 정부 역시 행정적 결론을 내린 뒤 상당 기간 공고를 미뤄왔다는 지적이 제기된다.

아동권리보장원이 지난 2월 13일부터 홈페이지에 띄운 개인정보유출 관련 공고.(사진= 아동권리보장원 누리집 갈무리)

감사결과 통보 후 191일 만에 공고

4일 이데일리 취재를 종합하면 보건복지부는 지난해 8월 보장원이 추진한 ‘2020년 아동카드 전산화 사업’ 과정에서의 외장하드 분실 및 유출 의혹에 대해 특정감사를 벌여 관리 부실이 실제 사고로 이어졌다는 결론을 내렸다.

하지만 복지부는 이 같은 감사 결론을 내리고도 산하기관인 보장원이 191일이 지난 지난달 13일 홈페이지에 안내문을 게시할 때까지 유출 사실을 구체적으로 공표하지 않았다. 복지부는 당시 감사 결과를 ‘비공개 대상 정보’로 분류해 보장원에 내부 통보하는 방식을 취했다.

아동카드 전산화 사업은 종이로 된 실종 및 시설 입소 아동의 기록을 디지털화해 체계적으로 관리하기 위해 시작된 국가 프로젝트다. 하지만 사업 종료 후 즉시 파기됐어야 할 민감 정보가 담긴 외장하드가 수년간 민간 용역업체에 무단 방치됐고 이 과정에서 보장원은 하드 분실 사실조차 인지하지 못하는 등 국가 기록물 관리에 허점을 드러냈다.

해당 외장하드에는 실종 및 시설 입소 아동과 보호자 등 약 3만 명의 성명, 주민등록번호, 사진 등 민감한 정보가 담긴 6만건 가량의 기록물이 포함된 것으로 알려졌다.

복지부 관계자는 이데일리와의 통화에서 “지난해 8월 내부 결재를 통해 감사 결과가 확정된 것은 맞다”면서도 “다만 감사 사항은 정보공개법상 비공개 대상 정보에 해당해 결과 보고서 전문은 보장원에만 따로 보고됐다”고 설명했다. 보장원의 공지가 6개월여간 지연된 경위에 대해서는 “구체적인 사유는 확인이 필요하다”고 답했다.

쿠팡 사태와 유사?…개인정보보호법 위반 가능성

이 같은 대응은 대규모 개인정보 유출 논란을 빚은 쿠팡 사태와 일부 유사하다는 평가가 나온다. 쿠팡은 지난해 11월 말 유출 사고 발생 이후 안내 메시지의 문구를 수차례 수정하고 후속 설명을 늦게 내놓는 등 대응으로 소비자들 불신을 키워 집단 분쟁 조정을 초래한 바 있다.

법적 논란도 피하기 어려울 전망이다. 현행 개인정보보호법 시행령 제39조에 따르면 개인정보처리자는 유출 사실을 알게 된 때로부터 72시간 이내에 이를 정보주체에게 통지해야 한다. 특히 유출의 구체적인 내용을 전부 확인하지 못했더라도 확인된 사실만이라도 ‘우선 통지’할 것을 강제하고 있다. 추가 확인 사항은 추후 보완하더라도 피해자에게 유출 사실 자체는 즉각 알려 피해를 최소화하라는 취지다.

현재 서울 종로경찰서 수사과 지능범죄수사팀은 시민단체의 고발과 국민권익위원회의 수사 의뢰를 바탕으로 해당 사건의 위법 여부를 검토 중이다. 앞서 아동권리연대 등은 지난해 12월 조규홍 전 보건복지부 장관과 이기일 전 1차관, 정익중 보장원장 등을 직무유기, 업무상 배임, 개인정보보호법 위반 혐의로 종로경찰서에 고소한 바 있다.

이와 별개로 국민권익위원회 역시 전산화 사업 관련 부패 신고를 접수해 지난해 5월 경찰청에 관련 사건을 이첩했으며 현재 종로경찰서에서 전산화 사업 전반과 행정적 관리 책임을 수사하고 있다.

조민호 아동권리연대 대표는 “사안이 얼마나 심각한데 책임자 처벌이나 선제적인 피해 방지 조치도 없이 비공개로 끝내려 하는 것은 공공기관으로서 공적 책임을 저버린 처사”라고 지적했다. 이어 “지난 2024년 국정감사 당시에는 데이터가 안전하다고 주장했다가 이후에야 업체로부터 다시 받아왔다고 말을 바꾼 것은 명백한 허위 증언이자 국민을 기만하는 행위”라며 “단순한 관리 부실을 넘어 국회 위증에 대한 엄중한 징계와 책임 소재를 반드시 규명해야 한다”고 말했다.