공공부문 개인정보 유출 방지 대책 발표
5년새 개인정보 유출 건수 7배 증가

앞으로 개인정보를 고의로 유출하거나 부정하게 이용한 공무원은 즉시 파면이나 해임된다.

최근 신변보호 여성 가족 살해사건 등에 구청 직원이 유출한 개인정보가 악용되는 일이 잇따르자 정부가 공공부문 개인정보 관리 강화에 나섰다. 이에 따라 개인정보를 다루는 공무원이 고의로 정보를 유출하거나 부정 이용한 사실이 단 한 번만 적발돼도 즉각 파면 혹은 해임된다.

또 민감한 개인정보를 다루는 공공부문 시스템에는 접속기록 관리 시스템을 의무적으로 도입하기로 했다.

◇ ‘원스트라이크 아웃’ 제도 도입

개인정보보호위원회(개인정보위)는 지난 7월 14일 한덕수 국무총리 주재로 열린 제3회 국정현안점검조정회의에서 이런 내용의 ‘공공부문 개인정보 유출 방지대책’을 내놨다.

개인정보위는 국민의 개인정보를 고의로 유출하거나 부정 이용하면 무관용 원칙에 따라 파면·해임하는 ‘원스트라이크 아웃’ 제도를 적용한다고 밝혔다. 비위 정도가 심각하면 1회 위반에도 파면·해임해 공직에서 퇴출한다. 개인정보 취급자가 개인정보를 부정 이용하면 5년 이하의 징역이나 5000만원 이하의 벌금을 부과하며, 공공기관 대상 과태료·과징금도 적극적으로 부과한다.

2021년 기준 공공부문은 개인정보 처리 건수는 669억건으로, 공공기관의 16.4％는 100만명 이상의 개인정보를 보유하고 있다. 그런데 이를 처리하는 공공기관에서 발생하는 개인 정보 유출 건수는 지속적으로 늘고 있다.

2017년 2개 기관 3만6000건에서 2021년 22개 기관 21만3000건으로 5년새 기관은 10배, 유출 건수는 7배나  증가했다. 반면 이에 대한 중징계는 같은 기간 9건에서 2건으로 줄어드는 등 징계 수위는 낮아지고 있다.

더욱이 개인정보 유출이 단순 사고에 그치지 않고 범죄에 악용되는 2차 피해가 잇따르면서 국민의 우려가 커지자 정부가 특단의 대책을 내놓은 것이다.

정부는 이와 함께 개인정보 보유량이 많고 민감한 개인정보를 취급하는 공공부문 시스템 1만6199개의 약 10％를 집중관리대상으로 선정해 접속기록 관리 시스템 의무 도입을 포함한 3단계 안전조치 의무를 부과하기로 했다.

집중관리 대상으로 선정되면 우선 개인정보 취급자 계정 발급을 엄격화해서 인사 정보와 연동해야 하며, 미등록된 직원에게는 계정 발급을 못하게 된다.

이와 함께 비정상적 접근 시도를 탐지해 차단하는 ‘접속기록 관리 시스템’을 의무 도입해 개인정보 이용 기관이 취급자의 접속기록을 조회할 수 있도록 한다. 또 대규모 개인정보나 민감한 정보를 처리하는 경우 사전 승인을 받거나 사후 소명하도록 하고, 개인정보 활용시 정보주체인 국민에게도 처리 사실을 알려야 한다.

정부는 2024년까지 집중관리대상에 이 3단계 조치를 의무화하고, 2024∼2025년 단계적으로 의무화해 전체 공공부문이 이를 갖추도록 할 방침이다.

◇개인정보 유출이 강력 범죄로 이어져

공무원의 개인 정보 유출로 일어난 강력 범죄는 한두건이 아니다. 2021년 12월, 성폭행 혐의로 경찰 조사를 받던 피의자가 경찰 신변 보호를 받던 여성 집에 찾아가, 여성의 어머니를 흉기로 살해하고 13살 남동생에게 중상을 입힌 이석준 사건이 대표적이다.

피의자 이석준은 범행 나흘 전, 대구에서 피해 여성을 감금하고 성폭행한 혐의로 경찰 조사를 받았다. 이 여성이 경찰에 신변 보호를 요청하자 앙심을 품고 끔찍한 범행을 저지른 것이다. 이석준은 흥신소에서 주소를 알아냈고, 택배기사로 속여 이 여성의 집에 들어갔다.

피해 여성의 주소를 흥신소에 넘긴 건 다름 아닌 공무원이었다. 경기 수원 권선구청 소속 공무원 박모 씨는 2020년 1월부터 2021년 10월까지 주소와 차량정보 등 개인정보 1101건을 조회해 흥신소 업자에게 제공했다.

박모 씨가 유출한 정보 가운데 한 여성의 집 주소는 흥신소 세 곳을 거쳐 이석준에게 전달됐다. 이 주소를 넘기는 대가로 박씨가 받은 돈은 고작 2만원 정도였다. 개인정보를 불법으로 유출한 공무원 박씨는 파면됐고, 1심 재판에서 징역 5년을 선고받았다.

공공기관 관계자가 넘긴 개인정보가 강력범죄에 악용된 사례로는 성 착취 동영상을 제작, 유포해 공분을 산 ‘텔레그램 n번방 사건’도 있다.

서울 송파구 주민센터와 수원의 한 구청에서 일하던 사회복무요원 2명은 2019년 ‘박사방’ 운영자인 조주빈의 요청을 받고 근무지에서 개인정보를 불법 조회해 넘겼다. 이들이 넘긴 정보는 조주빈이 박사방 피해자들을 협박해 성착취를 이어가는 데 쓰였다. 이후 병무청은 사회복무요원의 개인정보 취급업무를 금지했다.

◇적발돼도 ‘솜방망이’ 처벌, 개선 나서

공무원은 업무 특성상 개인정보를 다루게 되는 경우가 많다. 이 때문에 자격을 가진 사람만 개인정보에 접근할 수 있고 무단으로 열람하거나 유출할 경우 징계와 처벌이 뒤따른다. 그러나 무단으로 개인정보에 접근하는 것을 적발하기가 쉽지 않고 적발되더라도 ‘솜방망이’ 처벌로 끝나는 경우가 많아 공무원의 경각심이 크지 않다는 지적이 많았다.

개인정보보호위원회에 따르면 2017~2019년 정부 부처와 지방자치단체에서 개인정보 유출로 징계받은 사례는 총 153건으로 형사 고발한 사건은 2건에 불과하다. 일탈 행위가 적발돼도 대부분 내부 징계에 그쳤다.

공공기관의 이런 처분은 개인정보 유출에 대한 법적 처벌 수위와도 형평에 맞지 않는다. 개인정보보호법은 정보 주체의 동의를 받지 않고 개인정보를 제3자에게 제공하면 5년 이하 징역 또는 5000만원 이하 벌금을 받게 된다. ‘n번방 사건’ 이후엔 공무원이 사회복무요원에게 정보시스템 접근 권한을 양도 또는 대여하면 3년 이하 징역 또는 3000만원 이하 벌금에 처하도록 하는 규정이 신설됐다.

공직사회 안팎에선 징계조차 받지 않는 개인정보 유출 행위가 적지 않을 거란 관측도 있다. 정보 열람 권한을 가진 공무원을 감시하는 체계가 허술하기 때문이다.

법적 처벌 외에도 개인정보 보호를 위한 인력과 예산도 부족한 게 현실이다. 공공기관 중 개인정보 보호 예산이 1000만원 미만인 곳은 10곳 중 6곳에 달한다. 개인정보 전담 부서가 있는 기관은 3.8％, 전담 인원은 평균 0.5명에 불과하다.

정부는 개인정보 유출 방지 대책과 함께 개인정보 보호 법령에 인력 배치 근거를 마련해 집중관리 시스템 운영기관에 적정 인력 배치를 권고하고, 정보화 예산 낙찰 차액을 개인정보 보호 강화에 활용할 수 있게 한다는 방침이다.

글 시시비비 키코에루
시시비비랩