입력 : 2026년 8월 27일 (목) 14:18

실종아동·입양인 개인정보 117만건 유출… 국가아동권리보장원 8억 과징금

보조저장매체 관리 부실·주민번호 암호화 미흡… 입양정보 시스템에서도 47명 개인정보 유출

김유임 국가아동권리보장원장 ⓒ김유임 국가아동권리보장원 — 김유임 국가아동권리보장원장 ⓒ국가아동권리보장원

실종아동과 입양인의 개인정보를 유출한 국가아동권리보장원이 개인정보보호위원회로부터 과징금과 과태료 등의 제재를 받았다.

개인정보보호위원회(위원장 송경희, 이하 ‘개인정보위’)는 26일 제17회 전체회의를 열고, 실종아동 및 입양인 등의 개인정보 유출 사고 3건과 관련해 「개인정보 보호법」(이하 ‘보호법’)을 위반한 국가아동권리보장원(이하 ‘보장원’)에 대한 시정조치와 보건복지부에 대한 개선권고를 의결했다고 27일 밝혔다.

보장원은 2013년부터 2022년까지 공공기록물로 보관·관리 중인 입양기록물과 실종아동 입소카드를 엑셀자료와 스캔파일로 변환하는 전산화 작업을 진행한 뒤, 입양정보통합관리시스템과 실종아동업무시스템의 데이터베이스에 각각 등록했다. 이 과정에서 전산화 사업을 담당한 수탁업체는 변환한 엑셀자료와 스캔파일을 외장하드, USB메모리, CD 등 보조저장매체에 연도별로 담아 보장원에 납품했다.

보장원은 입양기록물 전산화 사업 관리 부실 등에 대한 의혹을 내부적으로 점검하는 과정에서 입양인과 실종아동 등의 개인정보가 저장된 보조저장매체가 사라진 사실을 뒤늦게 인지했다.

개인정보위의 사실조사 결과, 보장원은 납품받은 보조저장매체를 업무용 캐비닛이나 서랍에 보관·사용하면서 담당 관리자 지정, 반출·입 대장 작성·관리 등 보호법상 필요한 물리적 안전조치를 소홀히 했다. 이로 인해 구체적인 개인정보 유출 시점과 경로조차 확인하지 못한 것으로 나타났다.

기관 차원의 개인정보 관리체계가 제대로 마련되지 않은 데 더해, 보조저장매체에 주민등록번호를 저장하면서도 암호화 조치를 하지 않아 누구라도 해당 매체를 습득할 경우 개인정보를 쉽게 열람할 수 있는 가능성도 있었던 것으로 조사됐다.

입양기록물 전산화와 관련해서는 CD 1장에 주민등록번호 약 30만 건을 포함한 입양인 등의 성명, 주소, 연락처 등 약 114만 건의 개인정보가 저장돼 있었다. 실종아동 입소카드 전산화와 관련해서는 외장하드 1개에 주민등록번호 약 1만 5000건을 포함한 실종아동 등의 성명, 발생일시 및 장소 등 약 3만 건의 개인정보가 저장돼 있었다. 이에 따라 총 117만 건 이상의 개인정보가 유출된 것으로 확인됐다.

또한 보장원은 2013~2018년도 입양기록물 전산화 관련 엑셀자료를 저장한 CD 1장과 2020년도 실종아동 입소카드 전산화 결과물을 보관한 외장하드 1개의 유출 사실을 인지하고도 72시간 이내에 통지 및 신고를 적법하게 하지 않은 것으로 나타났다.

아울러 개인정보위는 입양기록물 스캔파일을 데이터베이스에 업로드하는 과정(2021년 7~9월)에서 소속 직원의 시스템 접근계정을 수탁업체와 공유한 행위에 대해서도 보호법 제29조(안전조치의무) 위반으로 판단했다. 전산화 사업에 참여한 수탁업체에 대한 관리·감독을 소홀히 한 점도 보호법 제26조 위반에 해당한다고 봤다.

이에 개인정보위는 고유식별정보 등에 대한 안전조치의무, 개인정보 처리업무 위탁, 유출 통지·신고 의무 등을 위반한 보장원에 과징금 8억 1050만원과 과태료 2220만원을 부과하고, 시정명령과 징계권고, 처분결과 공표를 의결했다.

이와 함께 보장원은 입양인과 예비입양인을 위한 입양정보공개청구시스템을 구축하고, 올해 3월 16일과 4월 30일 신청 메뉴 4종을 순차적으로 개시했다.

조사 결과, 보장원은 입양인을 위한 입양사실확인서 신청과 예비양부모를 위한 입양 관련 신청 메뉴를 탑재하면서 신청 과정에서 제출되는 서류 파일을 동일한 데이터베이스 테이블에 저장했다.

또 두 메뉴의 신청번호를 ‘1’부터 순차적으로 부여하는 방식으로 설계하면서도 안전성 및 정합성 테스트를 누락하는 등 오류 가능성을 사전에 탐지하고 개선하지 못했다.

그 결과 해당 서비스 신청자 가운데 일련번호가 동일한 입양인과 예비양부모 사이에서 서로 제출한 서류 전체가 열람되는 사고가 발생했다. 이로 인해 입양인 37명과 예비양부모 10명 등 총 47명의 성명, 생년월일, 성별 등의 개인정보가 유출됐다.

개인정보위는 보장원이 개인정보처리시스템에 새로운 프로그램을 추가하는 과정에서 정당한 권한이 없는 사람에게 개인정보가 공개·유출되지 않도록 입양인과 예비양부모 신청 프로그램 간 상호 영향과 개인정보의 정상적인 처리 여부 등 시스템 안정성을 사전에 점검하지 않은 행위가 보호법 제29조에 따른 안전성 확보조치 의무 위반에 해당한다고 판단했다.

이에 개인정보위는 안전조치의무 중 접근통제를 위반한 보장원에 과징금 5250만원을 부과하고 처분 결과를 공표하기로 의결했다.