“개인정보 유출 공무원 무관용…원 스트라이크 아웃”[전문]

[이데일리 최훈길 기자] 최영진 개인정보보호위원회 부위원장은 지난 13일 공공부문 개인정보 유출 방지대책 브리핑에서 “위반행위 제재를 강화하고 개인정보 보호 기반을 구축하겠다”며 “공무원이 국민의 개인정보를 고의 유출·부정 이용하였을 때 중대한 사생활 침해 등이 발생 시 무관용 원칙에 따라 바로 파면·해임하는 원스트라이크 아웃을 적용하는 등 제재를 강화하겠다”고 말했다. 다음은 브리핑 모두발언 전문이다.

최영진 개인정보보호위원회 부위원장은 지난 13일 정부서울청사에서 ‘공공부문 개인정보 유출 방지대책’ 관련해 “징계 처리 기준을 마련해 내년에 국가공무원 징계 편람에 반영하기로 했다”고 말했다. (사진=개인정보보호위원회)

안녕하십니까. 개인정보보호위원회 부위원장 최영진입니다. 2022년 7월14일 총리 주재 국정현안점검조정회의에서 범부처 대책으로 확정 예정인 「공공부문 개인정보 유출 방지대책」에 대해 사전브리핑을 하겠습니다.

작년 12월, 수원시 일선 공무원이 개인정보를 흥신소에 유출하여 발생한 송파 살인 사건이 국민에게 큰 충격을 안겨주었음을 엄중히 인식하고 있습니다. 또한 2019년에 있었던 N번방 사건도 주민센터 사회복무요원의 개인정보 유출이 계기가 되었습니다.

공공부문의 개인정보 유출 사고는 지속적으로 증가하고 있습니다. 특히, 불법 열람·유출된 개인정보가 범죄에 악용되는 2차 피해도 잇달아 국민의 우려도 커지고 있습니다. 정부는 이와 같이 반복되는 상황을 근본적으로 개선하기 위해 철저한 현황조사에 기초한 대책 마련에 착수했습니다.

Ⅱ. 현황 및 실태 파악

금년 1월부터 5월까지 수원시 유출사고 조사를 계기로 전체 공공부문 행정시스템에 대한 현황 파악과 전 부처와 산하기관 대상 서면조사를 실시하고, 주요 시스템 담당자 심층면담 등 면밀한 종합점검을 진행했습니다.

그 결과 공공부문 전체의 행정시스템 현황과 규모, 특성을 파악하고 공공부문의 기술적 안전조치 이행과 관리체계에 대하여 여러 문제점을 확인하였습니다.

Ⅲ. 확인된 문제점

첫째, 현장에서의 개인정보 보호 점검과 관리가 형식화 되어 있는 경우가 많았습니다. 개인정보 유출은 증가하고 있으나 징계는 약화되고 있어 개인정보 보호의 중요성에 대한 인식이 많이 부족한 상황입니다.

둘째, 기술적인 측면에서는 수원시 사례에서 보듯이 접근권한을 과다 부여하거나 인사이동에 따른 접근권한 현행화가 지연되고, 심지어 본래 목적 외로 시스템을 사용하는 사례도 존재합니다.

개인정보에 접속한 기록을 남기는 개인정보 접속기록 관리 시스템 도입률이 56%에 불과하고 접속기록 보관 시 필수항목을 누락하는 경우도 30%에 달합니다.

대부분의 행정시스템은 중앙부처에서 개발·운영하는 많은 시스템을 전국 지자체에서 공동으로 이용하고 있으나 지자체가 소속 직원의 시스템 접속기록을 직접 점검하는 경우는 거의 없는 등 지자체가 책임있게 점검하는 관리체계가 미비했습니다.

특히, 주민등록시스템과 연계된 시스템의 경우 철저한 관리·감독이 필요합니다. 마지막으로 개인정보 보호 전담인력과 예산 등 인프라도 여전히 취약한 상황입니다.

Ⅳ. 주요대책 내용

이런 문제점에 대응하여 범부처 합동으로 「공공부문 개인정보 유출 방지대책」을 마련하였습니다.

[1] 우선, 공공부문 주요 개인정보처리시스템에 대한 보호대책을 강화하겠습니다. 공공부문 정보시스템을 본격적으로 개인정보 보호 관리 대상으로 편입하여, 공공부문의 총 1만 6천여개 시스템 중 개인정보 보유량, 민감성 및 유출시 파급효과, 취급자수 등을 기준으로 약 10%의 시스템을 「집중관리 시스템」으로 선정하겠습니다. 이들 「집중관리 시스템」에 대해서는 올해부터 2024년까지 강화된 안전조치를 의무화하겠습니다.

그리고 2023년 말「공공부문 개인정보 안전조치 기준」 고시를 제정하여 2024년부터 2025년까지 공공부문 전체 시스템에 확대 적용할 계획입니다.

3단계 안전조치의 구체적인 내용은 첫째, 취급자 계정 발급을 엄격화 하여 인사정보와 불일치 시에는 권한을 자동 말소하고, 인사 정보 미등록 인원은 계정 발급을 원칙적으로 금지하며 필요 최소한의 개인정보에만 접근할 수 있도록 하겠습니다.

둘째, 「접속기록 관리시스템」 도입을 의무화하여, 개인정보 보호의 기본이 되는 로그기록 관리를 실효성 있게 하고, 비정상적 접근 시도를 탐지·차단 기능을 단계적으로 구현토록 하겠습니다.

셋째, 대규모 또는 민감한 정보 처리 시 상급자 등의 사전 승인 또는 사후 소명 절차를 마련하고, 개별 국민의 개인정보 활용 시 당사자에게 통지하는 절차를 단계적으로 마련하겠습니다.

[2] 다음으로 사각지대 없는 통합적 개인정보 관리체계를 구축하겠습니다. 이를 위해 소관 부처, 운영기관, 이용기관을 모두 포괄하는 통합적 개인정보 관리체계를 구축하고자 합니다.

우선, 소관 부처, 운영기관, 이용기관 등이 참여하는 개인정보 보호 협의회를 설치·운영토록 하겠습니다. 이어, 개별 시스템별 보호 책임자를 지정하여 해당 시스템의 개인정보를 관리·감독하도록 하고, 시스템 단위 안전조치 방안을 수립·시행하겠습니다.

아울러, 자치사무 목적으로 개인정보 파일을 운영하는 지자체에 대하여 개인정보처리자로서의 지위를 분명히 하고, 주 이용기관인 지자체가 소관 취급자에 대한 접속기록을 점검하도록 하는 등 이용기관의 책임과 역할을 구체화하겠습니다.

[3] 다음으로 위반행위 제재를 강화하고 개인정보 보호 기반을 구축하겠습니다. 공무원이 국민의 개인정보를 고의 유출·부정 이용하였을 때 중대한 사생활 침해 등이 발생 시 무관용 원칙에 따라 바로 파면·해임하는 원스트라이크 아웃을 적용하는 등 제재를 강화하겠습니다.

개인정보 보호 법령에 인력 배치 근거를 마련하여 집중관리 개인정보처리시스템 운영기관에 적정 인력 배치를 권고하고, 접속기록 관리 시스템 등 기관별 필수 시스템을 단계적으로 확충하겠습니다.

또한 정보화 예산 낙찰차액을 개인정보 보호 강화에도 활용하는 방안을 검토하겠습니다.

Ⅴ. 향후 계획

동 대책이 확정되면 금년 하반기에 관계부처와 긴밀히 협력하에 집중관리 대상이 되는 「집중관리 시스템」을 최종 확정하고, 시스템별 현황과 특성, 개인정보보호 조치수준에 대한 더욱 상세한 조사를 시행하고 기획점검도 실시할 계획입니다.

아울러 2022년 <징계권고 기준>과 2023년 <공공부문 개인정보보호 안전조치 기준> 제정 등 필요한 입법과제도 차질없이 추진하겠습니다.

Ⅵ. 마무리 말씀

동 대책은 공공부문 전체 행정시스템을 개인정보 보호 강화를 위한 주요 대상으로 본격 편입하여 범 정부 차원의 정책틀을 만들었다는 점에서 의의가 있습니다.

개인정보보호위원회는 대책이 현장에서 제대로 정착되어 개인정보 유출이 근절되고 공공부문의 개인정보 보호에 대한 국민의 신뢰를 확고히 하기 위해 최선의 노력을 다할 것임을 약속드리겠습니다. 감사합니다.