[단독]10만명 공직자 정보 유출···“파기 완료” 위탁업체 1년 반 허위 보고, 권익위는 몰랐다

국민권익위원회와·국방부·한국교육시설안전원 등 고객사 회원의 개인정보 약 237만 건이 유출됐다고 신고한 온라인 교육사이트 운영업체 맑은소프트의 지난 13일 서울 구로구 사무실 모습. 연합뉴스

국민권익위원회의 온라인 교육 플랫폼을 위탁 운영한 업체가 개인정보를 제때 파기하지 않고도 1년 반 넘게 파기한 것처럼 허위 보고한 것으로 파악됐다. 권익위도 업체 자체 점검에만 의존에 이를 인지하지 못했다. 이들 개인정보는 지난달 유출됐다.

21일 국회 정무위원회 소속 손명수 더불어민주당 의원실이 권익위로부터 제출받은 자료 등을 보면, 지난달 20일 권익위가 개설·운영하는 ‘청렴권익배움터’ 회원 10만4139명의 개인정보가 유출됐다. 청렴권익배움터는 공직자·공직유관단체 임직원이 청렴교육을 이수하는 사이트다. 이름과 생년월일, 소속·직급과 연락처 등이 유출됐는데 공직자 정보라 범죄 악용 등 우려가 크다.

이 정보는 애초 유출 사고 전에 파기됐어야 했다. 권익위로부터 청렴권익배움터 사업을 수탁받아 운영한 ‘맑은소프트’는 지난해 2~3월 클라우드 서버를 교체하면서 새 서버에 기존 회원정보를 모두 옮겼다. 관련법에 따라 기존 서버의 개인정보는 모두 파기해야 한다. 그러나 맑은소프트는 이를 삭제하지 않았다. 기존 서버가 해킹당하면서 개인정보가 유출됐다.

맑은소프트는 또 개인정보를 정상 파기한 것처럼 권익위에 허위 보고한 것으로 파악됐다. 맑은소프트는 2024년 2월부터 최근까지 매달 개인정보 관리 점검 결과를 권익위에 보고했다. 점검항목에는 ‘개인정보 파기’도 포함됐다. 맑은소프트는 서버 이관 뒤인 지난해 4월 이후를 포함해 제출 기간 내내 ‘양호’했다고 보고한 것이다.

권익위도 허위 보고 사실을 파악하지 못했다. 서버 이관 뒤 지난해 4월 권익위가 작성한 ‘수탁자 관리·감독 결과’를 보면, 맑은소프트의 개인정보 파기 점검항목은 ‘양호’로 평가됐다. 평가는 맑은소프트의 자체 점검만으로 진행됐고, 권익위의 현장 방문 등 별도 검증은 없었다.

맑은소프트는 권익위에 서버 이관 과정의 장애상황 등을 대비해 기존 정보를 보관했다는 입장을 밝힌 것으로 전해졌지만, 이관 후 상당 시일 지나도록 정보를 삭제하지 않았다.

공공기관이 사업을 민간에 맡기는 경우 위탁업체의 개인정보 관리·파기 실태를 직접 검증하는 등 보안 강화가 필요하다는 지적이 나온다. 손명수 의원은 “외부에 위탁했다고 해서 공공기관의 개인정보 관리·감독 책임까지 사라지는 것은 아니다”라며 “형식적 서류 점검에 그칠 것이 아니라 수탁업체의 관리실태를 직접 확인하는 등 실효성 있는 관리·감독체계를 마련해야 한다”고 밝혔다.

권익위는 향후 담당자가 분기별로 수탁업체를 방문해 현황을 직접 확인·점검하고, 자체 특정감사 등을 통해 수탁업체를 점검하겠다고 밝혔다.