국가아동권리보장원, 실종아동·입양인 개인정보 유출로 과징금 1천만원 제재

핵심 요약

- 개인정보보호위원회는 국가아동권리보장원에 과징금 1천만원과 시정명령 부과(2026.8.27) - 실종아동 및 입양인 등 민감정보를 포함한 개인정보 유출 사고 발생 - 내부망 접근통제 미흡, 개인정보 암호화 부재 등 기술적·관리적 보호조치 결함이 주요 원인

주요 내용

개인정보보호위원회(위원장 고학수)는 2026년 8월 27일, 국가아동권리보장원이 실종아동과 입양인의 개인정보를 유출한 사실을 확인하고 과징금 1천만원 및 시정명령을 부과했다고 밝혔다.

국가아동권리보장원은 보건복지부 산하 공공기관으로, 아동권리 증진과 실종아동 찾기, 입양 지원 등의 업무를 수행한다. 이번 사고는 실종아동 찾기 시스템 및 입양정보통합관리시스템에서 발생했으며, 이들 시스템에는 아동의 성명, 주민등록번호, 가족관계, 실종 경위 등 고도의 민감한 개인정보가 저장되어 있다.

개보위 조사 결과, 국가아동권리보장원은 개인정보처리시스템에 대한 접근권한 관리가 부실했으며, 개인정보를 암호화하지 않은 평문 상태로 저장·전송한 것으로 드러났다. 특히 내부망과 외부망 간 네트워크 분리가 제대로 이루어지지 않아 외부 공격에 취약한 상태였으며, 개인정보 접근 이력에 대한 모니터링 체계도 미흡했던 것으로 확인됐다.

개보위는 "아동의 민감정보를 다루는 공공기관이 기본적인 보호조치조차 이행하지 않은 것은 중대한 과실"이라며, "특히 실종아동과 입양인은 사회적 보호가 필요한 취약계층으로, 이들의 개인정보 유출은 2차 피해로 이어질 수 있어 더욱 엄중히 다뤄야 한다"고 강조했다. 개보위는 국가아동권리보장원에 암호화 조치 이행, 접근권한 재정비, 개인정보 안전성 확보조치 전반에 대한 개선을 명령했다.

전문가 시각

ISMS-P 심사원 관점에서 볼 때, 이번 사례는 공공기관이 인증 취득 여부와 관계없이 개인정보보호법상 기술적·관리적 보호조치 의무를 반드시 이행해야 함을 보여주는 전형적 사례다. 특히 아동 관련 민감정보를 처리하는 기관이 암호화 미적용, 접근통제 미흡이라는 기본적 보안조치조차 누락한 것은 정보보호 거버넌스의 부재를 드러낸다. 공공기관은 민간기업보다 더 높은 수준의 개인정보 보호 책임이 있으며, 특히 사회적 약자의 정보를 다루는 경우 위험도 평가와 그에 상응하는 강화된 보호조치가 필수적이다.

기업 및 기관 실무자들은 이번 사례를 통해 세 가지를 명심해야 한다. 첫째, 개인정보의 민감도와 정보주체의 취약성을 고려한 차등적 보호조치를 설계해야 한다. 둘째, 암호화는 선택이 아닌 법적 의무이며, 저장·전송 시 모두 적용되어야 한다. 셋째, 접근권한은 최소권한 원칙에 따라 부여하고, 주기적 검토와 접근 이력 모니터링이 반드시 수반되어야 한다. 특히 ISMS-P 인증기관은 이러한 통제항목이 형식적 문서화에 그치지 않고 실제 운영되는지 지속적으로 점검해야 한다.

ISMS-P 심사원 체크포인트

1. ISMS-P 인증기준 2.8.2 (접근권한 관리)
- 개인정보처리시스템에 대한 접근권한은 업무 역할 기반으로 최소권한 원칙에 따라 부여되어야 함
- 권한 부여·변경·말소 절차가 문서화되어 있고, 주기적(최소 연 1회) 접근권한 검토가 이루어지는지 확인
- 특히 이번 사례처럼 민감정보 처리 시스템은 2차 승인 프로세스, 접근 이력 실시간 모니터링 등 강화된 통제 필요
- 관련 법조항: 개인정보보호법 제29조(안전조치의무), 시행령 제30조 제1항 제2호(접근통제)

2. ISMS-P 인증기준 2.8.6 (개인정보 암호화)
- 주민등록번호, 생체정보 등 고유식별정보는 암호화 저장 필수(개인정보보호법 시행령 제21조 제1항)
- 정보통신망을 통한 개인정보 전송 시 안전한 암호화 통신(TLS 1.2 이상 등) 적용 여부 확인
- DB 암호화(TDE, 컬럼 암호화 등) 적용 현황 및 암호키 관리 체계 점검
- 관련 법조항: 개인정보보호법 제24조의2(고유식별정보의 암호화), 시행령 제21조, 제30조 제1항 제4호

3. ISMS-P 인증기준 2.9.1 (개인정보 처리 현황 관리)
- 실종아동, 입양인 등 민감정보 및 아동 개인정보 처리 시 영향평가 수행 여부
- 개인정보 흐름도(DFD) 작성 및 처리 단계별 보호조치 적용 현황 문서화
- 아동 개인정보는 법정대리인 동의 등 특별한 법적 요건 준수 여부 확인
- 관련 법조항: 개인정보보호법 제33조(개인정보 영향평가), 제22조(동의를 받는 방법)

위반 조항

개인정보보호법 제29조(안전조치의무)
개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관, 개인정보의 암호화, 접근통제 장치 설치 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 하여야 한다.

개인정보보호법 시행령 제30조(개인정보의 안전성 확보 조치)
- 제1항 제2호: 개인정보처리시스템에 대한 접근권한의 관리
- 제1항 제4호: 개인정보의 안전한 저장·전송을 위한 암호화
- 제1항 제3호: 접속기록의 위조·변조 방지를 위한 조치

개인정보보호법 제24조의2(고유식별정보의 안전성 확보 조치)
주민등록번호 등 고유식별정보를 처리하는 경우 암호화 등 안전성 확보 조치 의무

과징금 부과 근거: 개인정보보호법 제64조의2(과징금의 부과)
안전조치의무 위반 시 매출액의 100분의 3 이하 또는 5억원 이하의 과징금 부과 가능

CPPG·ISMS-P 연계 포인트

1. 민감정보 처리 시 강화된 보호조치 (CPPG 핵심개념)
개인정보보호법 제23조는 사상·신념, 건강, 성생활 등에 관한 정보를 민감정보로 정의하며 처리를 원칙적으로 금지한다. 실종아동·입양인 정보는 가족관계, 건강상태 등을 포함하므로 민감정보에 해당할 가능성이 높다. 민감정보 처리 시에는 ①별도 동의 취득 ②암호화 등 강화된 안전조치 ③영향평가 수행 ④접근권한 최소화가 필수적이다. 또한 아동 개인정보는 정보통신망법 제31조에 따라 만 14세 미만의 경우 법정대리인 동의가 필요하며, 아동권리협약에 따라 최선의 이익 원칙이 적용된다.

2. 접근통제와 암호화의 기술적 구현 (ISMS-P 핵심개념)
접근통제는 식별(Identification) → 인증(Authentication) → 인가(Authorization) → 책임추적성(Accountability) 4단계로 구현된다. 실무적으로는 ①역할기반 접근통제(RBAC) 설계 ②2-Factor 인증 적용 ③최소권한 원칙 ④접근 로그 실시간 모니터링 및 6개월 이상 보관이 요구된다. 암호화는 저장 시(at-rest) DB 암호화(TDE, 애플리케이션 레벨 암호화), 전송 시(in-transit) TLS/SSL 적용, 암호키 관리는 HSM 또는 KMS 활용이 권장된다. 국가정보원 암호모듈 검증(KCMVP) 필 통과 알고리즘 사용이 바람직하다.