개인정보보호위원회가 전체회의를 열고 실종아동 및 입양인 등의 개인정보 유출 사고 3건과 관련해 개인정보보호법을 위반한 국가아동권리보장원에 과징금 8억6300만원, 과태료 2220만원 부과 등을 의결했다고 27일 밝혔다.
보장원은 입양기록물 전산화와 관련해 CD 1장에 저장된 주민등록번호 약 30만건을 포함한 입양인 등의 성명, 주소, 연락처 등 약 114만건과 실종아동 입소 카드 전산화와 관련해 외장하드 1개에 저장된 주민등록번호 약 1만5000건을 포함한 실종아동 등의 성명, 발생일시 및 장소 등 약 3만건 등 총 117만건 이상의 개인정보가 유출됐다.
보장원은 2013~2018년도 입양기록물 전산화 관련 엑셀 자료를 저장한 CD 1장과 2020년도 실종아동 입소 카드 전산화 결과물을 보관한 외장하드 1개의 유출 사실을 인지하고도 72시간 이내에 통지 및 신고를 하지 않았다. 게다가 입양기록물 스캔 파일 DB 업로드 과정에서 소속 직원의 시스템 접근계정을 수탁업체에 공유했다.
이에 개인정보위는 보장원에 과징금 8억1050만원과 과태료 2220만원을 부과하고 시정명령, 징계 권고 및 처분 결과의 공표를 의결했다.
또 보장원은 입양인을 위한 입양사실확인서 신청과 예비 양부모를 위한 입양 관련 신청 메뉴를 탑재하면서 신청 시 제출하는 서류 파일을 동일한 DB 테이블에 저장했다. 두 메뉴의 신청번호를 '1'부터 순차적으로 부여하는 방식으로 설계하면서도 안전성 및 정합성 테스트를 누락하는 등 오류 가능성을 선제적으로 탐지·개선하지 못했다. 결과적으로 해당 서비스 신청자 중 일련번호가 동일한 입양인 및 예비 양부모 상호 간에 제출한 서류 전부가 열람되는 사고가 발생했다. 이를 통해 입양인 37명과 예비 양부모 10명 등 총 47명의 성명, 생년월일, 성별 등 개인정보가 유출됐다.
개인정보위는 보장원이 개인정보처리시스템에 새로운 프로그램을 추가하면서 정당한 권한이 없는 자에게 개인정보가 공개·유출되지 않도록 입양인과 예비 양부모 신청 프로그램 간 상호 영향 및 개인정보의 정상적 처리 여부 등 시스템의 안정성 등을 미리 점검하지 않은 행위를 보호법상 안전성 확보 조치 의무 위반으로 판단했다.
이에 개인정보위는 보장원에 과징금 5250만원 부과와 공표를 의결했다.
개인정보위는 "앞으로도 공공기관의 개인정보 유출 사고를 엄정히 처리하는 한편 유출 통지를 지연하거나 미이행하여 정보 주체에게 2차 피해 예방을 위한 가능성을 줄이는 기관에 대해서는 징계 권고 등 엄정 대처하겠다"고 말했다.