농촌진흥청이 개인정보보호위원회의 1억6800만원 과징금에 대해 행정심판 청구 계획을 세웠다. 이미 종료된 위탁계약에 개정법을 소급 적용한 처분이 부당하다는 취지다. 국가기관이 다른 국가기관을 상대로 행정심판을 청구하는 게 이례적인 일이라는 평가가 나온다.
개인정보위 "농진청, 관리·감독 의무 미비"
26일 관계부처에 따르면 농진청은 이달 중순 이같은 내용의 계획을 수립했다. 개인정보위는 지난 5월 농진청을 대상으로 과징금과 시정권고를 의결하고 지난 8월 12일 처분을 송달했다. 농진청은 처분이 있음을 안 날로부터 90일 내 행정심판을 청구할 수 있다.
지난해 4월 농진청과 위탁계약을 맺은 SI 기업 미소테크는 신원 미상의 해커에게 네트워크 저장장치(NAS)에 저장한 개인정보를 탈취당했다. 농진청은 이 과정에서 홈페이지 회원 정보 등 6종의 개인정보 파일에 포함된 이름, 연락처, 주소 등 개인정보 약 57만1000건이 유출됐다.
개인정보위는 농진청이 미소테크의 개인정보 처리 현황을 관리·감독할 의무를 실효적으로 이행하지 않았다고 봤다. 개인정보위는 의결서를 통해 "행정·공공기관은 수탁업체를 보다 면밀히 관리·감독할 의무가 있다"고 강조했다.
우선 개인정보위는 농진청이 미소테크가 NAS를 구축·운영한다는 사실을 유출 사고 발생 시까지 인지하지 못했다고 판단했다. 개인정보위는 "농진청이 현장 보안 점검을 실시했지만, 정보보안 중심으로 실시됐고 일평균 3.6개의 사업을 점검했다 보니 실효적인 점검이라고 보긴 어렵다"고 밝혔다.
또 농진청은 용역사업 종료 시마다 미소테크로부터 '자료미보유확약서'만 받았을 뿐, 노트북·외장하드 등에서 개인정보가 파기됐는지 여부는 점검·확인하지 않았다. 홈페이지 통합을 검토하면서 미소테크에 전달한 회원 정보를 회수·파기하지 않은 점도 지적됐다.
농진청 "위탁계약 2022년 종료…2023년 개정법 적용 부당"
농진청은 개인정보 유출의 원인이 된 시스템 유지·보수 업체 미소테크와의 위탁계약은 2022년 12월 21일 종료됐다고 주장한다. 이에 2023년 9월 15일부터 시행된 개정 개인정보보호법이 적용된 것이 부당하다는 취지다.
개정된 개인정보보호법은 위탁자가 관리·감독·교육을 소홀히 해 수탁자가 개인정보보호법을 위반하는 경우 위탁자에게도 과징금을 부과할 수 있다고 규정한다. 위탁자의 관리·감독 의무는 개정 전에도 있었지만 과징금 부과 근거는 2023년 9월 개정법이 시행되면서 추가됐다.
하지만 개인정보위는 △농진청이 미소테크와 다른 정보화 사업 위탁 계약을 올해까지 매년 체결해 관리·감독이 가능한 상태라는 점 △작위의무를 이행하지 않은 위법은 이행할 때까지 계속되는 것이 대법원판결 법리인바, 농진청은 보안 강화 계획을 수립한 지난해 5월까지 관리·감독 의무 위반이 지속됐다는 점 △다른 위탁업체인 새한제이소프트와의 '자료미보유확약서'는 관리·감독 의무가 종료됐다는 걸 입증하지 못한다는 점 등을 근거로 농진청의 주장을 수용하지 않았다.
농진청 관계자는 "같은 미소테크 해킹 건으로 소속기관인 국립농업과학원과 국립축산과학원은 각기 다른 처분을 받았다"며 "농진청과 소속기관의 행정심판 청구 여부를 다각도로 검토 중이며 행정소송은 고려하지 않고 있다"고 밝혔다.
