공공기관 담당자님, 개인정보 보호법을 알고 계시나요?
개인정보 보호법, 누가 읽으면 좋을까요?
- 공공기관·공무원 입사를 앞뒀거나 막 업무를 시작하는 담당자
- 공공기관 혹은 공직에서 개인정보 업무를 담당하고 있는 분
- 공공기관·공직에서 리더를 맡고 있는 분
안녕하세요. 캐치시큐입니다. 개정 개인정보 보호법이 시행될 예정인 가운데, 최근 공공기관 개인정보 유출 사고가 화두가 되고 있습니다. 외부 해킹 공격으로 정보주체의 데이터가 유출되고 있는데요. 하지만 내부 담당자 실수로 어처구니 없게 개인정보가 유출되는 사건도 있습니다. 대표적으로 구글폼을 이용하다가 개인정보가 유출된 사고인데요. 개인정보보호위원회(이하 개보위)에 따르면 A 기업은 멤버십 이용 대금의 환급을 진행하는 과정에서 고객 데이터를 실수로 유출 시킨 바 있습니다. 담당자는 당시 설문지 결과를 ‘공개 보기’로 잘못 설정했는데, 이 결과 열람 권한이 없는 22명의 고객이 다른 이의 정보를 확인할 수 있었습니다.
A 기업은 개보위로부터 시정 명령과 함께 과태료 납부 처분을 받았어요. 담당자 개인 실수로 고객의 소중한 정보가 유출된 어처구니없는 사례였습니다. 하지만 이 문제가 단순히 담당자의 실수였을까요? 개보위가 발표한 개인정보보호위원회 3년 미만 경력자는 공공기관 62.5% 민간기업 71.3%였습니다. 이는 개인정보 관련 업무에 능숙한 담당자가 없다는 것을 의미합니다.
A 기업의 담당자는 민간기업에 재직했기에 과태료 처분을 받았는데요. 만약 A기업이 공공기관이었다면 어떻게 됐을까요?
개보위, “공공부문은 법령에 따라 개인 데이터 처리···”
개보위는 지난해 7월 공공부문 개인정보 유출 방지대책을 공개한 바 있습니다. 해당 자료에 따르면 공공부문은 국민의 개별적 동의가 아니라 법령에 따라 처리해야 합니다. 심지어 공공부문은 사기업에 비해 엄중한 보호조치가 요구됩니다. 그런데 공공부문의 사건·사고는 여전히 증가하고 있습니다. 이와 관련해 개보위는 공공부문 개인정보 유출 방지대책을 발표, 공공부문에게 3대 안전 조치 의무에 대한 정책을 공개한 바 있습니다.
- 개인정보 취급자의 계정 발급 엄격화 및 접근 권한 최소화
- 접근 기록 점검
- 개인정보 접근 권한 승인 및 소명 통지
앞으로 공공부문 담당자는 개인정보 업무를 할 시에는 ‘3대 안전조치 의무’를 필수로 지켜야 하는데요. 그러나 여전히 이를 지키지 않는 공공기업이 많습니다.
왜냐하면 공공기관의 구글폼 사용 의존도가 매우 높기 때문입니다. 캐치시큐가 지난해 6~7월 한달간 온라인에서 공개된 설문조사 폼을 무작위로 조사한 결과, 총 163건(약 14%)이 공공기관에서 제작된 것으로 밝혀졌습니다. 사용 용도는 ‘참가·신청 접수(58.9%)’, ‘설문조사(10.4%)’, ‘이벤트(2.5%)’ 순으로 나타났습니다. 구글폼은 사용자 편의성이 뛰어난 설문조사 폼이지만, 개보위에서 공개한 3단계 안전조치 의무를 지키지 못하고 있는데요. 이런 결과 보안에 취약하다는 단점이 있습니다.
공공기관 담당자님, 구글폼 사용하시려면 ‘3단계 안전 조치 의무’를 꼭 기억하세요.
1단계 : 취급자의 계정 발급 엄격화 및 접근 권한 최소화
공공부문은 취급자의 계정 발급을 엄격히 제한해야 합니다. 접근 권한도 최소화 하세요. 관리자 계정을 인사정보시스템에 연동하여, 담당자 계정과 인사시스템(담당 부서 등)이 불일치하며 접근 권한을 즉시 변경하거나 말소해야 합니다. 다만 긴급·예외적인 상황에서는 계정 발급이 가능합니다. 기관별로 절차를 따로 구축해야 한다는 특징이 있습니다. 특히 필요·최소한의 권한을 어기지 않아 범죄로 이어진 사례가 있습니다. 바로 송파 살* 사건입니다.
△ 송파 살* 사건의 개요
가해자 B 씨는 수원시 공무원으로 자동차(건설·기계) 관리 시스템에서 취득한 피해자 주소를 흥신소에 유출·범죄 피해자의 가족을 살* 한 바 있습니다. 이후 B씨의 소속 부서를 조사한 결과, 해당 구는 행정 편의를 위해서 업무상 필요 범위 이상으로 B씨에게 개인정보 접근 권한을 부여했습니다. 또한 수원시(권선구)는 직원의 접속 기록을 점검하지 않았습니다. 이 사건을 통해 개인정보 취급자에게 적절한 접근 권한을 부여하는 것이 얼마나 중요한지를 알게 된 계기였습니다.
△ 구글폼은 개인정보 접근 권한을 부여할 수 있을까?
구글폼은 개인정보 취급자의 권한 발급을 세분화 할 수 없습니다. 여기서 세분화란 권한에 맞춰서 기능별로 권한을 부여하는 것을 의미합니다. 구글폼은 수정 및 보기 권한만 부여할 수 있습니다. 이는 최소 권한만 있을 때도 쉽게 유출이 가능하다는 단점이 있습니다. 그래서 유출 사고가 발생한 후에도 누가 해당 데이터를 언제 접근하고 열람했는지 확인할 방도가 없습니다. 구글폼에서는 계정별 접근 권한을 통제하고, 계정별 접속 기록을 남기는 등의 안전성 확보 조치에 관한 규제 약속을 지키기가 어렵습니다.
2단계 : 취급자의 접속 기록 보관 및 비정상적인 접근 시도를 탐지·차단하는 접속 기록 관리 시스템 도입
공공부문 개인정보 담당자는 취급자의 접속기록을 보관하고 분석해야 합니다. 비정상적 접근 시도를 탐지하고 차단하는 <접속기록 관리 시스템>을 도입해야 합니다.
최근 서울대학교병원은 안전 조치 의무를 위반해 사망자 포함 총 81만 38명의 정보를 유출당한 바 있습니다. 당시 북한 국적 해커가 서울대학교병원 인트라넷 망에 침투해 환자 정보가 담긴 내용을 탈취한 바 있습니다. 이에 개보위는 안전조치 의무 위반을 근거로 서울대학교병원 측에 과징금을 부과한 바 있습니다. 지난해 9월에는 비슷한 이유로 서울교통공사도 과태료 처분을 받았는데요. 서울교통공사에 재직 중인 B씨는 보직해임 중에도 다른 직원의 주소지를 검색한 바 있습니다.
△ 신당역 살* 사건 개요
서울교통공사에 재직했던 B씨는 회사로부터 보직해임을 당했습니다. B씨는 관련 업무를 맡고 있지 않았는데도, 다른 직원의 주소지를 검색한 바 있습니다. 개보위는 서울교통공사에 대해 개인정보 관리 보유 시스템 전반을 점검 및 강화 대책을 수립도록 개선 조치를 명령했습니다. 이에 서울교통공사는 개선 조치 명령 이후 2개월 이내에 대규모 개인정보와 민감·사생활 정보 접근에 대한 절차를 마련해야 합니다.
3단계 : 개인정보 활용 시 통지
국민의 개인정보를 활용할 시에는 상급자 등의 승인과 소명이 있어야 합니다. 아울러 정보주체에게 통지해야 하는 절차를 단계적으로 마련해야 합니다. 그동안 공공부문은 개인정보처리 업무를 할 시에는 형식적으로만 업무를 진행해 왔는데요. 이에 유출 규모가 증가하고 있는데 중징계는 줄어드는 아이러니한 양상을 보여왔는데요. 이런 상황 속, 개보위의 움직임을 변화한 것이 송파 살* 사건이라고 보입니다. 수사 과정에서 수원시 공무원의 개인정보 유출 사건이 수면 위로 드러났기 때문입니다.
개보위는 원스트라이크 아웃 제도를 발표하며, 앞으로 공공부문 및 공공기관 재직자가 개인정보를 고의로 유출한 사실에 대해 ‘원스트라이크 아웃’을 도입하기로 했습니다.
△ 원스트라이크 아웃 제도
원스트라이크 아웃제도는 공공부문 재직자가 개인정보를 고의로 유출한 사실이 밝혀지면, 공직에서 바로 퇴출당합니다. 중대한 사생활 침해와 각종 범죄 악용 등 비위 정도가 심각한 경우에는 파면과 해임 처분이 결정됩니다. 개인정보보호법 제65조 2항에 따른 징계 권고 기준을 마련, 개보법 위반 시에는 징계 권고를 병행하게 됩니다.
형사 처벌도 강화됩니다. 개인정보 취급자가 데이터를 부정 이용하면 5년 이하의 징역 또는 5천만원 이하의 벌금에 처합니다. 공공부문에서 사적 이용 사례가 지속되고 있으나, 형사 처벌 근거가 없어 입법에 공백을 메꾸려는 조치입니다. 아울러 개인정보를 고의로 유출하거나 부정 이용 시에는 고발 조치를 의무화 하기로 했습니다.
