[단독] 정보공개포털 개인정보 유출 7개월 전 신고 있었다…정부는 ‘늑장 대응’

권익위에 4월 공익신고 접수…신분증·학생의 장애 여부까지 88건 노출
반복된 필터링 결함에도 부분 점검만…뒤늦게 전면 차단·전수조사 나서

(시사저널=정윤성 기자)

정부가 운영하는 정보공개포털에서 주민등록번호와 암 진단서 등 민감한 개인정보가 무더기로 유출된 가운데, 이미 수개월 전 관련 당국에 유사한 개인정보 유출 신고가 접수된 것으로 나타났다. 신고에는 일부 교육청 산하 기관이 공개한 문서에서 신분증 사본, 학생의 장애 여부, 학교 보안 시스템의 계정 정보와 비밀번호 등이 노출된 구체적인 사례와 필터링 시스템의 한계에 대한 상세한 설명까지 담겼다.

그러나 당국의 대응은 개별 문서에 대한 비공개 조치와 일부 기관에 대한 개인정보 유출 실태 점검에 그쳤다. 수 천만 건의 데이터가 누적된 이 포털에 다른 기관이 노출시킨 개인정보는 신고 이후에도 무방비 상태에 놓여 있었고, 시사저널 보도를 통해 유출 사실이 추가로 공론화된 뒤에야 다운로드 전면 차단과 전수점검이 시작된 것이다.

정보공개포털은 국민의 알권리를 보장하고 행정의 투명성을 높이기 위해 행정안전부가 운영하는 온라인 정보공개 시스템이다. 특히 2014년부터 시행된 '원문정보 공개' 제도를 통해 국민이 별도로 정보공개를 청구하지 않아도 공개·부분공개 대상으로 분류되는 내부 결재문서를 직접 검색·열람하고 내려받을 수 있도록 하고 있다. 다만 정보공개법은 사생활의 비밀이나 자유를 침해할 우려가 있는 개인정보는 비공개하도록 규정하고 있다.

정보공개포털 메인 ⓒ정보공개포털 캡쳐

9일 시사저널 취재에 따르면, 정보공개포털에 공개된 일부 교육청 산하 기관의 문서에서 개인정보가 노출되고 있다는 공익침해 신고가 지난 4월 국민권익위원회에 접수됐다. 지난해 10월부터 올해 3월까지 원문이 공개된 문서 가운데 개인정보가 가려지지 않은 문서 88건이 발견됐고, 여기엔 신분증 사본 등 각종 개인정보부터 학교 내부 보안 시스템의 계정 정보와 비밀번호, 학생의 장애·다문화·한부모가정·저소득층 여부 등 사회·경제적 민감정보까지 포함된 것으로 알려졌다. 이처럼 민감한 개인정보가 담긴 문서를 검색만으로도 쉽게 찾아낼 수 있어 2차 피해가 우려된다는 것이 신고의 요지였다.

신고에는 또 PDF나 이미지 형태로 첨부된 개인정보가 포털 내부의 개인정보 필터링 시스템을 거쳐도 그대로 노출되고 있다는 지적이 담겼다. 이에 개별 문서를 비공개하는 것에 그칠 것이 아니라 포털 전체에 대한 전수점검과 필터링 시스템의 근본적인 개선을 요청하는 내용도 포함됐다. 관련 신고는 한국인터넷진흥원(KISA) 개인정보침해신고센터에도 접수, 정보공개포털 고객센터와 개인정보보호위원회에도 유선으로 전달된 것으로 전해졌다.

정보공개포털을 관리하는 행안부는 해당 신고 내용을 전달받은 뒤 유출이 확인된 문서에 대해선 즉시 비공개 조치했고, 관련 점검 등 대응에 나섰다. 실제 지난 9월 하순부터 10월까지 전국 시·도교육청은 산하 기관에 원문정보 공개문서의 개인정보 노출 점검을 실시한다는 공문을 잇따라 보낸 것으로 확인됐다. 공익 신고 내용에 따라 관계 당국 차원에서 유출 실태에 대한 점검과 대응에 나선 것이다.

한 시도교육청에서 하달된 개인정보 노출 점검 관련 공문 정보 ⓒ정보공개포털

7개월 전 유출 인지했는데…전수 점검은?

문제는 이런 조치가 임시방편에 불과했다는 점이다. 일부 기관을 중심으로 부분적인 조치만 이뤄진 탓에 다른 기관에서는 개인정보가 유출되고 있는지 실태조차 제대로 파악되지 않았다. 앞서 시사저널은 지난 4일 정보공개포털에 공개된 최소 22개 기관의 결재문서 35건에서 주민등록번호와 여권번호, 항공권 예약정보, 암 진단서 등 민감한 개인정보가 가려지지 않은 채 노출된 사실을 확인했다(11월4일자 보도 「[단독] '정부 공식 포털'에서 주민번호·암 진단서까지 줄줄 샜다」).

행안부는 보도 직후에야 원문정보 다운로드 기능을 전면 일시 중단하고, 정보공개포털의 원문공개 문서 전수점검 및 개인정보 필터링 시스템 개선 방침을 밝혔다. 7개월 전부터 개인정보 노출 위험과 필터링 시스템의 문제점이 똑같이 제기됐지만, 전면적인 점검과 차단 조치는 뒤늦게 이뤄진 셈이다. 해당 포털이 5100만 건 이상의 공공 문서가 누적된 초대형 포털인 만큼 공익 신고로 구체적인 유출 사실이 확인됐다면, 타 기관에서의 추가적인 유출 가능성을 고려해 전수 점검에 나섰어야 한다는 게 전문가들의 지적이다.

정보공개포털의 개인정보 관리가 허술하게 이뤄짐에 따라 개인정보 노출은 훨씬 오래전부터 나타났던 것으로 보인다. 2024년에는 정보공개포털에서 경찰관의 정신질환 진단서와 사망진단서, 주민등록번호 등이 수개월간 노출된 사실이 드러났다. 당시 원문 정보를 공개한 경찰청은 이미 2023년 개인정보 관리방안과 비공개정보 관리 지침을 마련했지만 현장에서 제대로 지켜지지 않은 것으로 드러났다. 특히 정보공개포털의 필터링 시스템이 이미지 형태로 첨부된 개인정보 등 '비정형 패턴'을 제대로 걸러내지 못한다는 문제도 이미 당시에 지적됐다.

한편 행안부는 이번 개인정보 노출 사태와 관련해 각 공공기관에 노출 사실을 안내하고, 소관 공개문서에 개인정보가 포함돼 있는지와 그 범위를 확인하도록 요청하고 있다. 개인정보 유출이 확인된 경우에는 해당 공공기관이 관련 법에 따라 유출 신고와 정보주체 통지 등 필요한 후속 조치를 이행한다는 입장이다.