건보공단 개인정보 판매 직원 파면 후 3개월…피해자 통보는 '감감무소식'

핵심 요약

국민건강보험공단 직원이 2년 넘게 가입자 개인정보를 외부에 불법으로 유출·판매하다 2026년 7월 파면 조치됐지만, 정보유출 사실이 피해 당사자들에게 아직까지 통보되지 않은 것으로 드러났다. 개인정보보호법상 72시간 이내 통보 의무를 3개월 이상 위반한 셈이어서 국회 국정감사 현장에서 강도 높은 질타가 쏟아졌다.

주요 내용

2026년 10월 16일 강원도 원주시 국민건강보험공단 본부에서 열린 국회 보건복지위원회 국정감사에서 건보공단의 고질적인 개인정보 관리 실태가 도마에 올랐다.

국민의힘 김기웅 의원에 따르면, 건보공단 소속 직원 1명이 최근 2년 이상의 기간 동안 건강보험 가입자 및 피부양자의 개인정보를 외부에 불법으로 팔아넘기다 적발돼 올해 7월 파면됐다. 공단 총무상임이사 정재욱은 해당 직원이 대가로 수령한 금액이 억대 수준임을 인정했다.

그러나 파면 조치로부터 약 3개월이 지난 국정감사 시점까지도, 피해 당사자들에게는 개인정보 유출 사실이 공식 통보되지 않은 상태였다. 공단 측은 "비공개 수사 사안으로 수사 결과를 받지 못했다", "피해 당사자 특정이 어렵다"는 이유를 들었다.

김기웅 의원은 개인정보보호법 제34조에 따라 개인정보가 유출됐거나 유출이 의심되는 경우 72시간 이내에 정보주체에게 통보해야 하는 법적 의무가 있다고 지적하며, 이미 3개월이 경과한 현재 상황은 처벌 대상에 해당하며 2차 피해를 야기할 수 있다고 경고했다.

더불어민주당 서영석 의원도 "건보공단은 국내 최대 규모의 민감한 개인정보를 보유한 기관임에도 직원에 의한 무단 열람 및 유출 사고가 반복되고 있다"며 이상행위 탐지 시스템의 불균일한 운용 실태를 비판했다. 실제로 전년도에만 7건의 개인정보 유출 사고가 발생한 것으로 파악됐다.

강청희 건보공단 이사장은 "업무 시간 중 정상 업무로 위장해 정보를 빼돌리는 행위는 감지하기가 구조적으로 어렵다"고 인정하면서도, 다양한 기술적 보완책을 강구하고 관리를 강화하겠다는 입장을 밝혔다.

전문가 분석

이번 사안은 단순한 내부 비위를 넘어 세 가지 구조적 문제를 동시에 드러낸다.

첫째, 사후 대응 체계의 공백이다. 파면이라는 인사 조치는 신속히 이뤄졌음에도, 정작 피해자 보호를 위한 법정 통보 절차는 수사 비공개를 이유로 방치됐다. 처벌과 피해자 권리 구제는 별개 트랙으로 운용돼야 함에도, 공단은 이를 연계 사안으로 잘못 인식하고 있었던 것으로 보인다.

둘째, 내부 감시 시스템의 허점이다. 공단 이사장 스스로 인정했듯, 업무 시간 중 정상 접속으로 위장된 정보 탈취는 현행 이상행위 탐지 로직으로 포착하기 어렵다. 이는 접속 시간대 중심의 1차원적 모니터링에서 벗어나, 열람 패턴·데이터 유출량 분석 등 행동 기반 이상징후 탐지(UEBA) 체계로 전환할 필요성을 시사한다.

셋째, 반복성 문제다. 전년도에만 7건의 유출 사고가 발생했다는 점은, 개별 사건 처리에만 집중하고 근본적인 거버넌스 개선이 이루어지지 않았음을 방증한다.

시사점

이번 국정감사는 국내 최대 건강정보 보유 기관에서 개인정보보호법상 가장 기초적인 의무인 '정보주체 통보'조차 제대로 이행되지 않고 있음을 공론화했다는 점에서 의미가 크다.

개인정보보호위원회는 건보공단의 72시간 통보 의무 위반 여부에 대한 사실 조사 및 제재 여부를 검토해야 할 상황에 놓였다. 아울러 공공기관 특성상 수사 비공개를 이유로 피해자 통보를 무기한 유예하는 관행 자체를 제도적으로 차단할 필요가 있다. 수사 협조와 정보주체의 자기결정권 보호는 양립 가능한 가치이며, 이를 상충 관계로 보는 시각 자체가 시정돼야 한다.

건강정보는 금융정보보다 훨씬 민감하고 대체 불가능한 정보다. 건보공단이 보유한 수천만 명의 진료·처방 이력이 억대 금품에 거래되는 현실은, 공공 개인정보 보호 체계 전반에 대한 재점검을 요구하는 강력한 경고 신호다.

---
참고 출처: 연합뉴스, 「개인정보 판 건보공단 직원 파면…'피해자엔 정보유출 통보 안돼'」, 2026.10.16, https://www.yna.co.kr/view/AKR20261016151700530