[단독]외교부, 외교관 등 개인정보 유출 알고도 3개월간 신고 미뤘다

개인정보 유출 4월 인지 후 7월 개보위 신고
72시간 신고 규정 예외 적용 여부 쟁점
최대 1만명 정보 유출…과태료 가능성

조현 외교부 장관이 지난 15일 서울 여의도 국회 의원회관에서 열린 더불어민주당 외교통일위원회 당정협의에서 인사말을 하고 있다. /사진=뉴스1

외교부가 산하 기관인 국립외교원 해킹으로 외교관 등의 개인정보가 유출된 사실을 알고도 약 3개월 동안 개인정보보호위원회(개보위)에 신고하지 않고 시간을 끈 것으로 확인됐다. 개인정보보호법은 정부 기관과 기업이 개인정보 유출 사실을 인지한 뒤 72시간 이내 개보위에 신고하도록 규정하고 있다.

22일 동행미디어 시대 취재를 종합하면 외교부는 지난 2월 관계기관으로부터 해킹 사실을 통보받은 뒤 조사를 거쳐 4월 개인정보 유출 정황을 파악했다. 그러나 개보위에는 약 3개월이 지난 이달 19일에야 신고했다.

외교부 관계자는 시대와의 통화에서 "지난 4월 개인정보 유출 정황을 인지했다"며 "국가 안보와 무관하지 않은 불가피한 사유가 있는 만큼 관계기관 협의와 관련 검토 등을 거쳐 개인정보보호위원회에 신고했다"고 밝혔다.

외교부는 지난해 4~5월 미상의 공격자가 국립외교원 온라인교육시스템 서버를 장악했지만 약 10개월이 지난 올해 2월 관계기관 통보를 받고서야 피해 사실을 인지했다. 미상의 공격자는 올해 2월까지 장기간 해당 서버에 접근한 것으로 알려졌다. 해당 시스템에는 외교부 직원 등을 포함해 약 1만명의 개인정보가 저장돼 있다.

외교부는 국가 안보와 관련된 사안이어서 신고가 늦어졌다는 입장이다. 개보위는 예외 규정 적용 여부를 조사할 필요가 있다고 보고 있다. 개보위 관계자는 "(개인정보 유출 사실을 인지한 뒤) 72시간 이내 신고해야 하지만 천재지변 등 부득이한 사유로 신고가 어려운 경우를 인정하는 (개인정보보호법) 조항이 있다"며 "이번 사안이 그 예외에 해당하는지는 조사해봐야 한다"고 말했다. 개인정보보호법 시행령 제40조는 천재지변이나 그 밖의 부득이한 사유로 72시간 이내 신고가 어려운 경우 해당 사유가 해소된 뒤 지체 없이 신고하도록 규정하고 있다.

송경희 개인정보보호위원회 위원장이 22일 오후 서울 종로구 정부서울청사에서 제14회 위원회 전체회의를 주재하고 있다. /사진=뉴시스

이번 사안이 72시간 내 신고 예외 조항에 해당하지 않는다고 판단될 경우 과태료가 부과될 가능성이 있다. 개인정보보호법 제75조는 개인정보 유출 사실을 신고하지 않은 경우 3000만원 이하 과태료를 부과할 수 있도록 규정하고 있다.

이와 별도로 개보위는 개인정보보호법에 따라 ▲과징금 부과 ▲책임자 처벌 및 내부 징계 요구 등의 조치를 할 수 있다. 개인정보보호법 제64조의2는 보안 조치 미비로 개인정보가 유출된 경우 유출 규모와 위반 행위 중대성, 과실 정도 등을 종합적으로 고려해 과징금을 부과하도록 규정하고 있다. 제65조는 기관에 대한 시정명령 등 행정처분과 함께 관련자 징계를 요구할 수 있도록 하고 있다.

한편 이번 국립외교원 해킹을 계기로 외교부의 사이버 보안 대응 역량도 도마에 올랐다. 외교부는 국립외교원이 미상의 공격자에게 해킹당한 사실을 약 10개월 동안 파악하지 못했고, 자체 점검이 아닌 관계기관 통보를 통해 뒤늦게 피해를 파악했다.

김호광 베타랩스 대표는 "이번 해킹으로 외교부 직원 1만명 이상 개인정보가 유출됐는데 그중에는 국정원 정보요원도 있다"고 말했다. 이어 "해킹 공격이 취약점을 제대로 파고들었다"며 "(다만) 외교부도 보안 점검을 더욱 엄격하게 했어야 했다"고 덧붙였다.

지선우 기자 sunwooda@sidae.com