공무원, 개인정보 1회 유출해도 파면…'제2이석준 사건' 막는다

공공부문 개인정보 유출 방지대책 발표
5년새 개인정보 유출, 3만6천건→21만3천건

이른바 'n번방' 사건, 신변보호 여성 가족 살해 사건 등에 공공기관 직원이 유출한 개인정보가 악용되는 일이 발생하자 정부가 공공부문 개인정보 관리 강화에 나섰다.

국민의 개인정보를 고의로 유출하거나 부정 이용하는 공무원은 단 한번만 적발돼도 파면 혹은 해임된다.

민감한 개인정보를 다루는 공공부문 시스템에는 접속기록 관리 시스템을 의무적으로 도입하도록 한다.

개인정보보호위원회는 14일 한덕수 국무총리 주재 제3회 국정현안점검조정회의에서 이런 내용의 '공공부문 개인정보 유출 방지대책'을 보고했다.

◇ 고의유출·부정이용에 무관용 '원스트라이크 아웃' 적용
개인정보위는 국민의 개인정보를 고의로 유출하거나 부정이용하면 무관용 원칙에 따라 파면·해임하는 '원스트라이크 아웃' 제도를 적용한다.

비위 정도가 심각하면 1회 위반에도 파면·해임해 공직에서 퇴출하는 것이다.

개인정보 취급자가 개인정보를 부정 이용하면 5년 이하의 징역이나 5천만원 이하의 벌금을 부과하며, 공공기관 대상 과태료·과징금도 적극적으로 부과한다.

지난해 기준 공공부문은 개인정보 669억건을 처리하고 있으며, 공공기관의 16.4％는 100만명 이상의 개인정보를 보유하고 있다.

공공기관 개인정보 유출 규모는 2017년 2개 기관 3만6천건에서 2021년 22개 기관 21만3천건으로 대폭 증가했으나, 이에 대한 중징계는 같은 기간 9건에서 2건으로 줄어드는 등 징계 수위는 낮아지고 있다.

매년 이뤄지는 개인정보 관리 실태조사에서 공공부문은 민간부문보다 개인정보 보호 수준이 떨어진다는 결과가 나왔다.

최영진 부위원장은 전날 브리핑에서 "사회의 디지털화가 급속히 전개되면서 해킹 시도가 늘었다"고 풀이하면서도 "내부로부터의 유출이 외부에서의 해킹보다 6:4의 비율로 더 많다"고 부연했다.

◇ 개인정보 접속기록 관리 의무화…정보 활용 시 국민 고지
정부는 이와 함께 개인정보 보유량이 많고 민감한 개인정보를 취급하는 공공부문 시스템 1만6천199개의 약 10％를 집중관리대상으로 선정해 접속기록 관리 시스템 의무 도입을 포함한 3단계 안전조치 의무를 부과하기로 했다.

주민등록관리시스템, 자동차관리시스템, 코로나19 대응 시스템 등이 그 대상이다.

개인정보위 조사 결과 공공부문 중 개인정보 접속기록 관리 시스템을 구축한 비율은 56％에 그쳤으며, 인사이동 후 15일이 지나도록 접근권한이 유지되는 시스템은 43％에 달했다.

집중관리 대상으로 선정되면 우선 개인정보 취급자 계정 발급을 엄격화해서 인사 정보와 연동해야 하며, 미등록된 직원에게는 계정 발급을 못하게 된다.

이와 함께 비정상적 접근 시도를 탐지해 차단하는 '접속기록 관리 시스템'을 의무적으로 도입해 개인정보 이용 기관이 취급자의 접속기록을 조회할 수 있도록 해야 한다.

마지막으로 대규모 개인정보나 민감한 정보를 처리하는 경우 사전 승인을 받거나 사후 소명하도록 하고, 개인정보 활용시 정보주체인 국민에게도 처리 사실을 알려야 한다.

정부는 2024년까지 집중관리대상에 이 3단계 조치 의무화를 도입하고, 2024∼2025년 단계적으로 의무화해 전체 공공부문이 이를 갖추도록 할 방침이다.

◇ 지자체도 개인정보 처리 책임진다…접속기록 점검해야
개인정보 처리에 대한 책임과 역할도 명확하게 한다.

현재 지자체 등 개인정보 처리시스템 이용기관에서 소속 취급자에 대한 접속기록을 직접 점검하는 비율은 1％에 불과하다.

개인정보 처리시스템을 개발하는 주체와 이용하는 주체가 달라 발생한 문제다.

예컨대 신변보호 여성의 가족을 살해한 이석준에게 정보를 팔아넘긴 수원시 권선구청 전직 공무원이 접근한 자동차관리시스템의 경우, 접속 기록 점검 책임이 운영 주체인 국토부에 있는지 수원시에 있는지 불분명해 사각지대가 생겼다.

정부는 이런 점을 고려해 개인정보 이용기관도 시스템에서 개인정보 파일을 운영하는 경우 개인정보 처리자로 처분하고 취급자 교육 및 관리·감독 책임을 강화하기로 했다.

개인정보 이용기관은 아울러 시스템 운영 부처와 이용 기관이 모두 참여하는 개인정보 보호 협의회를 설치해 운영해야 한다.

개인정보 보호를 위한 인력과 예산도 확충한다.

개인정보 보호 예산이 1천만원 미만인 곳은 공공기관 10곳 중 6곳이다.

개인정보 전담 부서가 있는 기관은 3.8％, 전담 인원은 평균 0.5명에 그쳤다.

개인정보 보호 법령에 인력 배치 근거를 마련해 집중관리 시스템 운영기관에 적정 인력 배치를 권고한다.

정보화 예산 낙찰 차액을 개인정보 보호 강화에도 활용할 수 있게 하는 방안을 검토한다.

정부의 내년 정보화 예산은 약 7조원이며, 낙찰률을 고려하면 1천700억원∼4천500억원 규모의 재원이 있다는 것이 개인정보위 설명이다.

이번 대책과 관련해 개인정보위는 부처간 협의체를 구성해 대책의 실효성을 확보할 예정이다.

또 시스템별 특성, 개인정보보호 조치 수준에 대해 상세한 현황조사를 하고 기획점검도 할 계획이다.

/연합뉴스