침해사고AI 초안

공공기관·금융권 개인정보 관리 '총체적 부실'…무단수집부터 9개월 유출까지

국가아동권리보장원은 법적 근거 없이 민감정보를 수집·제공하고, 우리은행은 고객 CI가 9개월간 외부에 노출되는 사고가 발생했다. 공공과 민간을 가리지 않는 개인정보 관리 부실이 도마 위에 올랐다. --- 국가아동권리보장원, 개보위 제재 처분 개인정보보호위원회는

백남정 기자

입력 2026년 8월 31일

단축URLhttps://privacynews.kr/s/8daad128

국가아동권리보장원은 법적 근거 없이 민감정보를 수집·제공하고, 우리은행은 고객 CI가 9개월간 외부에 노출되는 사고가 발생했다. 공공과 민간을 가리지 않는 개인정보 관리 부실이 도마 위에 올랐다.

국가아동권리보장원, 개보위 제재 처분

개인정보보호위원회는 최근 국가아동권리보장원에 대해 제재 조치를 단행했다. 적발된 위반사항은 △법적 근거 없는 개인정보 수집 △정보주체 동의 없는 제3자 제공 △수집 목적 외 이용 등 총 3건이다.

해당 기관은 실종아동 및 입양인 관련 업무를 수행하면서 개인정보보호법 제15조(개인정보의 수집·이용)와 제17조(개인정보의 제공)를 위반한 것으로 확인됐다. 특히 아동·입양인 정보는 민감정보에 해당할 가능성이 높아 더욱 엄격한 보호가 요구되는 영역이다.

개보위 관계자는 "공공기관이라 하더라도 법률에 명시된 근거 없이는 개인정보를 수집할 수 없다"며 "금융권 주민등록번호 사용 실태점검도 병행 추진할 예정"이라고 밝혔다.

우리은행·블로코, CI 정보 9개월간 외부 노출

민간 금융권에서도 심각한 유출 사고가 발생했다. 블로코에서 관리하던 우리은행 고객 CI(Connecting Information)가 약 9개월간 외부에서 접근 가능한 상태로 방치된 것이다.

CI는 주민등록번호를 대체하는 본인확인 연계정보로, 유출 시 명의도용 등 2차 피해로 이어질 수 있는 핵심 식별정보다. 2026년 6월 30일 유출 정황이 확인된 후 개보위 신고 및 접근 차단 조치가 이뤄졌으나, 이미 상당 기간 노출된 상태였다.

특히 우리은행은 금융권 내에서 내부통제위원회를 가장 많이 개최한 기관으로 알려져 있어, 형식적 컴플라이언스와 실질적 보안 관리 사이의 괴리가 지적되고 있다.

공통 패턴: 수탁자 관리·모니터링 체계 미흡

두 사례에서 공통적으로 드러나는 문제는 내부 통제 시스템의 실효성 부재다.

국가아동권리보장원은 법적 검토 없이 정보를 처리했고, 우리은행은 수탁업체(블로코)에 대한 상시 모니터링이 작동하지 않았다. 개인정보보호법 제26조에 따르면 위탁자는 수탁자의 개인정보 처리 업무를 관리·감독할 의무가 있으나, 9개월간 유출을 인지하지 못한 점은 명백한 관리 소홀이다.