[단독] 5개월 걸린 외교부 1만건 정보유출 해킹 피해 신고…다른 기관은 ‘3일’

자체 개인정보 보호지침도 어겨

서울 서초구 국립외교원. 연합뉴스

외교부가 국립외교원 해킹을 당한 사실을 인지하고도 다섯 달이 지나서야 관련 기관 신고 및 피해자 통지를 해 ‘늑장 대응’ 비판이 나온 가운데, 다른 정부 기관들은 유출 사고 뒤 신고까지 걸린 시간은 평균 이틀에 그친 것으로 나타났다. 외교부는 안보상의 이유로 대응이 늦었다는 입장이지만, 구체적인 설명은 내놓지 않고 있다.

김준환 더불어민주당 의원이 2일 개인정보보호위원회(개보위)에서 받은 2021∼2026년 5월 기준 ‘중앙행정기관 개인정보 유출 처분’ 현황을 보면, 5년여간 정보 유출로 과징금 등 개보위 처분을 받은 사례는 모두 7건이었다. 개보위 조사 결과 이들의 개인정보 유출 이후 개보위 신고까지 소요된 기간은 평균 약 2일, 최대 4일에 그친 것으로 확인됐다. 또 기관이 유출 피해를 본 정보 주체에게 피해 사실을 통지하기까지 걸린 기간은 평균 약 3일, 최대 10일이었다.

반면 외교부는 지난 2월 국립외교원 온라인교육시스템 해킹으로 최대 1만명의 공직자 신상 정보가 유출된 것을 확인한 뒤 5개월이 지난 지난달에야 개보위에 이를 신고하고, 당사자에게 통지했다. 유출 피해 대상엔 전·현직 외교관을 비롯해 국정원 직원과 경찰 등 재외공관 파견 공무원 등이 포함됐으며, 이름과 아이디(ID), 이메일 주소 등의 정보가 유출된 것으로 조사됐다.

늑장 신고와 통지는 과태료 부과 대상도 될 수 있다. 개보위는 지난 2024년 4월 해킹을 당한 행정안전부가 정보 유출을 인지하고 약 열흘이 지나 당사자에게 통지한 것은 개인정보보호법 위반으로 판단하고 지난 5월 과태료 180만원 부과 처분을 한 바 있다.

개인정보보호법과 시행령 등을 보면, 개인정보처리자는 72시간 이내에 개보위 또는 전문기관(한국인터넷진흥원에)에 이를 신고하고, 해당 유출 피해를 본 대상자에게 알려야 한다. 외교부도 같은 내용으로 자체 개인정보 보호지침을 시행하고 있지만 이를 지키지 않은 것이다.

정부는 유출 신고와 당사자 통지가 늦어진 데엔 국가안보상 사유가 있어, 예외 조항이 적용될 수 있다는 입장이다.

개인정보보호법 시행령상 ‘천재지변’이나 ‘그 밖의 부득이한 사유’로 신고가 곤란하면 해당 사유가 해소된 뒤 지체 없이 신고할 수 있다. 지난달 22일 위성락 청와대 안보실장은 “해킹된 정보 중 안보 차원에서 시급하게 대처해야 할 사안들이 있어 대처해야 했다”며 여기에 수개월이 걸려 외부 공표를 바로 하지 못했다고 말한 바 있다. 그러나 청와대와 외교부 모두 해당 사안이 무엇이었는지는 구체적으로 밝히지 않고 있다.

최호웅 변호사(법무법인 덕수)는 “유출 사실을 신고하고, 피해자에게 알리는 건 정보주체의 권리를 보호하기 위함”이라며 “국가안보를 이유로 일률적으로 (당사자) 통지를 하지 않은 것을 정당화할 수 있는지에 대한 추가 판단이 필요하다”고 말했다. 개보위는 김 의원실에 “현재 외교부의 유출 통지·신고의 경과 및 개인정보 보호법 위반인지 여부 등에 대해 사실관계를 확인하고 있다”고 밝혔다.

김 의원은 “개보위에 유출 신고와 정보주체에 대한 유출 통지가 지연된 사유를 확인하고, 필수 조치사항들이 이행되었는지도 점검이 필요하다”고 말했다.

장예지 기자 penj@hani.co.kr