공무상비밀 유출 사건으로 본 공공부문 개인정보보호법 위반 쟁점과 대응 방안

핵심 요약

- 2026년 9월 공무상비밀누설죄, 개인정보보호법위반죄, 공공기록물관리위반죄가 복합적으로 적용되는 사안 발생 - 공공부문에서 녹취록 등 민감정보의 불법 유출이 개인정보보호 및 공공기록 관리의 동시 위반으로 이어지는 사례 확인 - 한·일 정상회담에서 AI·우주·원자력 등 첨단기술 분야 협력이 논의되면서 AI 거버넌스 중요성 대두

주요 내용

2026년 9월, 공무상 비밀에 해당하는 녹취록이 외부로 유출되면서 공무상비밀누설죄, 개인정보보호법위반죄, 공공기록물관리위반죄가 동시에 적용되는 복합 위반 사안이 발생했다. 이번 사건은 공공부문에서 생성·관리되는 정보자산이 얼마나 다층적인 법적 보호를 받고 있는지를 보여주는 사례로, 특히 개인정보보호법 제59조(벌칙)와 공공기록물법 제64조(비밀누설금지의무 위반)가 경합적으로 적용될 수 있음을 확인시켰다.

공무상 녹취록은 통상 ① 대화 참여자의 음성정보(생체정보), ② 직무상 취득한 개인정보, ③ 공공기록물법상 보존 대상 기록물이라는 삼중 성격을 가진다. 따라서 이러한 정보의 무단 유출은 개인정보보호법 제71조(금지행위)의 '업무상 알게 된 개인정보 누설·제공·도용 금지' 규정 위반에 해당하며, 공공기관의 정보 관리체계(ISMS-P) 관점에서도 접근통제·암호화·기록관리 전 영역의 통제 실패로 평가될 수 있다.

한편 같은 기간 한·일 정상회담에서는 인공지능(AI), 우주, 원자력, 바이오 등 첨단기술 분야 협력 방안이 논의되었다. 특히 AI 분야 협력은 2024년 AI기본법 제정 이후 국가 간 AI 거버넌스 조율이 중요한 외교 의제로 부상했음을 보여준다. 청년·과학기술 분야 교류 확대도 함께 논의되면서, AI 교육 및 인력 양성 정책의 국제 협력 기반이 마련될 것으로 전망된다.

공공부문의 정보 유출 사건과 AI 협력 의제는 언뜻 별개로 보이지만, 모두 '디지털 정보자산의 안전한 관리와 활용'이라는 공통 주제를 다룬다. 특히 AI 기술이 고도화될수록 학습 데이터로 활용되는 개인정보와 공공정보의 보호 중요성은 더욱 커질 수밖에 없다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 사건은 공공기관의 정보보호 관리체계가 단순히 기술적 통제만으로는 불충분함을 재확인시킨다. 공무상비밀과 개인정보가 중첩되는 녹취록 같은 정보자산은 ① 생성 단계부터 민감정보로 분류, ② 접근권한 최소화(Need-to-Know 원칙), ③ 암호화 및 워터마킹, ④ 접근·열람 이력 실시간 모니터링, ⑤ 외부반출 금지 또는 승인 프로세스 강화 등 5단계 통제가 필수적이다. 특히 모바일 기기를 통한 녹음 파일 유출 위험을 고려할 때, MDM(Mobile Device Management) 기반 컨테이너 방식 접근과 DLP(Data Loss Prevention) 솔루션 연계가 실무적으로 중요하다.

한·일 정상회담에서 논의된 AI 협력 방안은 AI 거버넌스 측면에서 국제 정합성 확보가 핵심 과제임을 시사한다. 2026년 현재 EU AI Act, 미국 AI 행정명령, 한국 AI기본법이 각각 다른 규제 체계를 운영 중이므로, 국가 간 AI 시스템 상호운용성과 데이터 이동, 특히 개인정보 국외이전 시 적정성 평가 기준 조율이 필수적이다. 청년·과학기술 교류 확대 시에도 공동연구 과정에서 생성되는 개인정보와 연구데이터의 거버넌스 프레임워크를 사전 합의해야 한다.

CPPG·ISMS-P 연계 포인트

1. 공공기관 개인정보 보호조치(개인정보보호법 제29조)
공공기관은 개인정보의 분실·도난·유출·위조·변조·훼손 방지를 위해 내부 관리계획 수립, 접근통제, 접속기록 보관 등 안전조치를 이행해야 하며, 특히 민감정보·고유식별정보 처리 시 암호화 의무(시행령 제48조의2)가 적용된다. 녹취록처럼 음성정보(생체정보)가 포함된 경우 별도 동의 및 강화된 보호조치가 필요하다.

2. ISMS-P 인증기준 2.9.1 개인정보 수집·이용·제공(공공 특례)
공공기관은 개인정보 수집 시 법령 근거를 명확히 하고, 목적 외 이용·제공 제한 원칙을 준수해야 한다. 특히 공무상 생성되는 녹취록 등은 공공기록물법상 보존의무와 개인정보보호법상 보유기간 제한이 충돌할 수 있으므로, 기록물 분류 시 개인정보 영향평가(PIA)를 통해 보유·파기 정책을 명확히 설정해야 한다.