국가아동권리보장원, 관리자·반출입 대장 없이 저장매체 보관…개인정보위 “구체적 유출 시점·경로 답변 못해”
입양인·실종아동 정보 담긴 CD·외장하드 유출…2019년 기관 통합과의 직접 연관성은 확인 안 돼, 당시 인수인계 기록은 후속 확인 필요
개인정보 117만건 이상이 유출됐다.
그런데 더 큰 문제는 숫자 뒤에 있었다.
국가아동권리보장원은 입양인과 실종아동 등의 개인정보가 담긴 CD와 외장하드가 정확히 언제, 어떤 경로로 유출됐는지 설명하지 못했다.
개인정보보호위원회 조사 결과 이유도 확인됐다.
저장매체를 업무용 캐비닛이나 서랍에 보관하면서 담당 관리자를 지정하지 않았고 반출·입 대장도 제대로 관리하지 않았기 때문이다.
리본라인이 주목하는 지점은 117만이라는 숫자 자체가 아니다.
국가는 자신이 가지고 있던 개인정보 저장매체의 마지막 행방을 왜 추적할 수 없게 됐을까.
먼저 핵심만 보면
| 핵심 | 확인된 사실 |
|---|---|
| 개인정보 유출 규모 | 약 117만건 이상 |
| 문제가 된 저장매체 | 입양기록 CD 1장·실종아동 외장하드 1개 |
| 주민등록번호 | 약 31만5천건 포함 |
| 관리상 문제 | 관리자 지정·반출입 대장 관리 미흡 |
| 가장 큰 공백 | 정확한 유출 시점과 경로 특정 불가 |
| 제재 | 과징금·과태료 총 8억8,520만원 등 |
개인정보위는 지난 8월 26일 국가아동권리보장원의 개인정보 유출 사고 3건과 관련해 과징금과 과태료 총 8억8,520만원, 징계권고와 시정명령·개선권고 등을 의결했다.
117만은 ‘117만명’이 아니다
숫자부터 정확히 구분할 필요가 있다.
개인정보위가 발표한 117만은 사람 수가 아니라 개인정보 건수다.
보장원은 입양기록물과 실종아동 입소카드를 전산화하면서 자료를 외장하드·USB·CD 등에 저장했다.
입양기록물 전산화 결과물은 모두 52개 저장매체, 실종아동 입소카드 전산화 결과물은 외장하드 4개였다.
이 가운데 문제가 된 저장매체는 CD 1장과 외장하드 1개다.
| 구분 | 입양기록물 | 실종아동 입소카드 |
|---|---|---|
| 문제가 된 매체 | CD 1장 | 외장하드 1개 |
| 개인정보 | 약 114만건 | 약 3만건 |
| 주민등록번호 | 약 30만건 | 약 1만5천건 |
| 유출 등 인지 | 2026년 4월 | 2024년 8월 |
입양기록물 CD에는 이름·주소·연락처 등이, 실종아동 외장하드에는 이름과 실종 발생 일시·장소 등이 포함돼 있었다.
현재 공개된 조사결과만으로 누군가 이 정보를 실제 열람하거나 판매·악용했다는 사실까지 확인된 것은 아니다.
그러나 주민등록번호가 암호화되지 않은 상태로 저장돼 있어 매체를 습득하면 개인정보를 쉽게 열람할 가능성이 있었다고 개인정보위는 판단했다.
문제는 ‘분실’보다 기록이 없었다는 데 있다
이 사건에서 가장 눈여겨볼 대목은 저장매체 관리 방식이다.
개인정보위 조사에 따르면 보장원은 개인정보가 담긴 저장매체를 업무용 캐비닛 또는 서랍에 보관했다.
그런데 담당 관리자를 지정하지 않았다.
누가 언제 저장매체를 가져가고 돌려줬는지 확인할 반출·입 기록도 제대로 관리하지 않았다.
결국 개인정보위 조사에서도 구체적인 유출 시점과 경로를 답하지 못했다.
여기서 사건의 성격이 달라진다.
일반적인 해킹이라면 접속기록을 따라 침입 시점과 경로를 추적한다.
이번 사건은 그 이전 단계다.
누가 관리했고, 누가 사용했고, 언제까지 실제로 존재했는지를 확인할 기록 자체가 충분하지 않았다.
그러므로 질문은 “누가 가져갔나”보다 먼저 시작돼야 한다.
누가 마지막으로 확인했나.
사라진 사실을 알고도 신고는 늦었다
문제는 저장매체의 행방만이 아니었다.
개인정보위는 보장원이 입양기록물 CD와 실종아동 외장하드의 유출 등을 인지하고도 72시간 이내 통지·신고를 적법하게 하지 않았다고 확인했다.
유출 통지가 늦어지면 정보주체는 자신의 정보가 노출됐다는 사실조차 모른 채 명의도용 등 2차 피해 가능성에 대비해야 한다.
개인정보위도 유출 통지를 지연하거나 이행하지 않아 정보주체의 2차 피해 예방 가능성을 줄이는 기관에 엄정 대응하겠다고 밝혔다.
2019년 기관 통합…확인해야 할 것은 ‘인수인계 기록’
여기서 한 가지 후속취재 지점이 생긴다.
국가아동권리보장원은 2019년 7월 16일 출범하면서 중앙입양원, 아동자립지원단, 드림스타트사업지원단, 실종아동전문기관을 1차로 통합했다. 이는 보장원의 공식 연혁에서도 확인된다.
국회예산정책처는 이후 결산분석에서 당시 아동권리보장원의 출범 준비가 미흡했다는 문제를 별도로 지적하기도 했다.
하지만 이 부분에서는 분명하게 선을 그어야 한다.
2019년 기관 통합 과정에서 문제의 CD나 외장하드가 사라졌다는 사실은 확인되지 않았다.
개인정보위도 그렇게 발표하지 않았다.
따라서 기관 통합을 이번 유출의 원인으로 연결해서는 안 된다.
다만 중앙입양원과 실종아동 관련 업무가 새로운 기관 체계로 넘어갔다면 당시 개인정보 저장매체를 어떤 방식으로 관리·인계했는지 확인할 필요는 있다.
추측할 필요도 없다.
문서가 있다면 문서로 확인하면 된다.
리본라인이 확인해야 할 기록은 다섯 가지다
| 확인할 기록 | 확인해야 하는 이유 |
|---|---|
| 저장매체 납품·검수 자료 | CD·외장하드를 언제 몇 개 인수했는지 |
| 마지막 보관·사용 기록 | 저장매체를 마지막으로 확인한 시점과 담당자 |
| 기관 통합 당시 관련 인수인계 자료 | 관리의 연속성이 유지됐는지 |
| 유출 인지 후 내부보고 | 72시간 신고·통지가 왜 이뤄지지 않았는지 |
| 징계·개선조치 자료 | 실제 책임규명과 재발방지가 이뤄지는지 |
중요한 것은 어느 시점에 저장매체가 사라졌다고 미리 결론 내리는 것이 아니다.
납품 → 검수 → 보관 → 사용 → 이동·인수인계
이 과정 가운데 어디에서 기록이 끊겼는지를 확인하는 것이다.
‘옛날 CD 관리’ 문제로 끝낼 수도 없다
이번 사건을 과거의 낡은 저장매체 관리 문제로만 보기 어려운 이유도 있다.
2026년 새로 운영을 시작한 입양정보공개청구시스템에서도 또 다른 개인정보 유출이 발생했다.
보장원은 입양인과 예비양부모가 제출한 서류를 동일한 DB 테이블에 저장하고 두 신청 메뉴에 각각 1번부터 신청번호를 부여하면서도 프로그램 간 영향을 확인하는 안전성·정합성 테스트를 누락했다.
그 결과 같은 신청번호를 가진 이용자가 상대방이 제출한 서류를 열람할 수 있었고, 입양인 37명과 예비양부모 10명 등 47명의 개인정보가 유출됐다.
앞선 사건은 캐비닛과 저장매체 관리 문제였다.
이번에는 새 온라인 시스템의 설계·검증 문제였다.
방식은 달랐지만 개인정보위가 요구한 개선 대상은 기관의 개인정보 관리체계였다.
개인정보위는 개인정보보호책임자의 역할과 책임을 다시 정립하도록 보장원에 권고했고, 주무기관인 보건복지부에도 관리체계와 내부통제시스템에 대한 지도·감독 강화를 요구했다.
8억8,520만원보다 중요한 질문
개인정보위는 입양기록물과 실종아동 자료 유출에 시정명령과 징계권고까지 내렸다.
새 입양정보공개청구시스템 사고에도 별도의 과징금과 개선권고가 내려졌고, 보건복지부 역시 개선권고 대상이 됐다.
이제 필요한 것은 과징금 액수를 다시 설명하는 기사가 아니다.
누가 관리했는가.
마지막으로 언제 확인했는가.
어느 단계에서 기록이 끊겼는가.
누가 책임을 지는가.
그리고 이번에는 무엇이 실제로 바뀌었는가.
이 다섯 질문에 대한 답이다.
국가가 가지고 있다면 ‘어디 있는지’는 알아야 한다
입양기록과 실종아동 정보는 일반적인 쇼핑몰 회원정보와 성격이 다르다.
공공기관이 공적 업무를 수행하며 보유한 개인정보다.
개인정보위도 공공기관은 법령 등에 따라 정보주체의 동의를 구하지 않고 개인정보를 수집·이용하는 경우가 있는 만큼 접근통제와 암호화 등 안전조치를 더욱 철저히 해야 한다고 강조했다.
국가가 개인의 민감한 정보를 가지고 있다면 적어도 네 가지는 설명할 수 있어야 한다.
무엇을 가지고 있는가.
어디에 있는가.
누가 관리하는가.
언제 이동했는가.
117만건 이상의 개인정보가 유출됐다는 사실은 이미 알려졌다.
리본라인이 확인해야 할 것은 그 다음이다.
그 CD와 외장하드를 마지막으로 확인한 사람은 누구였고, 관리 책임은 어느 단계에서 끊겼는가.
답은 추측이 아니라 기록 속에 있어야 한다.
그리고 그 기록조차 없다면 이번 사건에서 드러난 문제는 더 분명해진다.
개인정보만 사라진 것이 아니라, 국가가 그 정보를 제대로 관리했다는 사실을 증명할 기록까지 사라진 것은 아닌지 확인해야 한다.
자료: 개인정보보호위원회 「실종아동과 입양인 개인정보 유출한 국가아동권리보장원 제재」(2026.8.27), 국가아동권리보장원 공식 연혁, 국회예산정책처 2019회계연도 결산 분석. 개인정보위는 국가아동권리보장원이 저장매체의 구체적인 유출 시점과 경로를 답변하지 못했다고 밝혔다.
이어서 볼 뉴스
지금 읽은 기사의 지역과 분야를 기준으로 골랐습니다.
댓글 0개