국가아동권리보장원 개인정보 무단 수집·제공 제재…개보위, 금융권 주민번호 점검 강화

핵심 요약

- 개인정보보호위원회가 국가아동권리보장원의 개인정보 무단 수집·제공 등 위법행위에 대해 제재 조치 - 실종아동 및 입양인 정보 처리 과정에서 개인정보보호법 위반 사항 다수 적발 - 개보위는 금융권 주민번호 사용 실태점검을 포함, 국민 생활 밀접 분야 중심으로 선제적 위험요인 발굴 계획 발표

주요 내용

개인정보보호위원회(이하 개보위)가 2026년 8월, 국가아동권리보장원에 대한 제재 조치를 단행했다. 이번 조치는 실종아동 찾기 및 입양인 정보 관리 업무를 수행하는 과정에서 개인정보 수집·이용·제공 등 전반에 걸친 위법행위가 확인됨에 따른 것이다.

국가아동권리보장원은 「실종아동등의 보호 및 지원에 관한 법률」과 「입양특례법」에 근거해 민감한 아동 개인정보를 대량으로 처리하는 공공기관이다. 그러나 법적 근거 없는 개인정보 수집, 동의 없는 제3자 제공, 목적 외 이용 등이 적발되면서 공공기관의 개인정보 관리 실태에 대한 우려가 제기되고 있다.

개보위는 이번 제재와 함께 금융권의 주민등록번호 처리 실태에 대한 점검도 강화할 방침이다. 2026년 현재까지도 일부 금융기관에서는 법적 근거 없이 주민번호를 과도하게 수집·보관하는 사례가 지속되고 있어, 사전 실태점검을 통한 선제적 개선이 필요하다는 판단이다.

개보위는 향후에도 국민 생활과 밀접한 분야를 중심으로 사전 실태점검을 실시하고, 개인정보 침해 위험요인을 선제적으로 발굴·개선해 나갈 계획이라고 밝혔다. 특히 공공기관과 금융권 등 대량의 민감정보를 처리하는 기관에 대한 감독을 더욱 강화할 예정이다.

전문가 시각

이번 국가아동권리보장원 제재 사례는 공공기관이라 할지라도 개인정보보호법의 예외가 될 수 없음을 명확히 보여준다. 특히 실종아동, 입양인과 같은 취약계층의 민감정보를 다루는 기관일수록 법적 근거 확보, 목적 명확화, 최소수집 원칙 준수가 더욱 엄격히 요구된다. ISMS-P 심사 현장에서도 공공기관의 경우 법령상 처리 근거를 형식적으로만 갖추고, 실제 운영에서는 목적 외 이용이나 과도한 정보 수집이 이루어지는 경우를 자주 목격한다.

금융권 주민번호 점검 강화는 2026년 현재까지도 해결되지 않은 고질적 문제다. 금융실명제, 자금세탁방지 등을 이유로 주민번호 수집의 불가피성을 주장하지만, 대체수단(CI, 생체인증 등) 활용 가능성을 충분히 검토하지 않는 기관이 많다. 기업은 개보위의 실태점검에 대비해 ▲주민번호 처리 목록 전수조사 ▲법적 근거 재확인 ▲대체수단 도입 타당성 검토 ▲암호화·접근통제 강화 등을 즉시 실행해야 한다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집 시 법적 근거 및 최소수집 원칙 (ISMS-P 3.1.1, 3.1.2)
- 개인정보보호법 제15조(수집·이용), 제17조(제공), 제23조(민감정보) 위반 여부 확인
- 심사 시 각 개인정보 항목별 수집 근거(법령/동의), 수집 목적, 보유기간이 명시된 개인정보 처리 대장(또는 파일대장) 확보 여부 점검
- 특히 공공기관의 경우 개별 법령상 처리 근거 조항을 구체적으로 명시했는지, 법령 해석이 자의적이지 않은지 검토 필수

2. 주민등록번호 처리 제한 (ISMS-P 3.1.7)
- 개인정보보호법 제24조의2(주민등록번호 처리 제한) 준수 여부
- 법령상 처리 근거가 있는 경우에도 ▲암호화(안전성 확보조치 고시 준수) ▲접근권한 최소화 ▲대체수단 검토 이력 확보 여부 심사
- 금융권의 경우 「신용정보법」 등 개별법상 근거를 제시하더라도, 업무 프로세스상 실제 필요성 여부를 인터뷰 및 시스템 점검으로 교차 확인

3. 목적 외 이용·제3자 제공 통제 (ISMS-P 3.1.4, 3.1.5)
- 개인정보보호법 제18조(목적 외 이용 제공 제한), 제19조(제공 시 고지) 위반 여부
- 심사 시 개인정보 제공 대장, 제공 동의서, 시스템 연계 현황을 통해 법적 근거 없는 제공이 발생하지 않는지 확인
- 특히 공공기관 간 정보 공유 시 「개인정보보호법」 제18조 제2항 각 호 요건 충족 여부 엄격 심사

CPPG·ISMS-P 연계 포인트

개인정보 수집 시 법적 근거 3가지 (개인정보보호법 제15조)
정보주체 동의, 법령상 의무 이행, 계약 체결·이행 필요 등 6가지 법적 근거 중 하나 이상 확보 필수. 공공기관은 주로 '법령상 의무' 근거를 활용하나, 개별 법령 조항을 명시하지 않으면 위법. 민감정보(제23조)는 별도 동의 필요.

주민등록번호 처리 제한 원칙 (개인정보보호법 제24조의2)
법령상 구체적 처리 근거가 있거나, 정보주체 또는 제3자의 급박한 생명·신체·재산상 이익을 위해 명백히 필요한 경우에만 처리 가능. 2026년 현재도 금융권·통신사 등에서 과도한 수집 지속 → 개보위 점검 강화 중. 대체수단(CI, 생체인증) 적극 검토 필요.