국민 대다수가 이용하는 정부 통합 민원 포털에서 시스템 개발 부실과 보안 취약점 방치로 개인정보가 흘러나왔다. 누적 피해 인원은 5000명을 넘는다. 이를 운영하는 행정안전부는 2억원대 과징금을 물게 됐다.
개인정보보호위원회는 5월 27일 제10회 전체회의를 열고 개인정보 보호법을 위반한 행정안전부에 과징금 2억7300만원과 과태료 750만원을 부과했다. 시정권고와 처분 결과 공표명령도 함께 의결했다.
사고는 세 차례다. 2024년 4월 정부24를 통해 발급되는 교육부 NEIS 연계 민원서류와 국세청 납세증명서의 소스코드 개발 오류로 1233명의 개인정보가 타인에게 노출됐다. 유출된 정보에는 생활기록부, 졸업증명서, 성명, 생년월일, 주민등록번호, 학교 정보, 법인 대표자 정보 등이 포함됐다.
2025년 5월에는 주민등록증 발급상황 조회 서비스의 본인인증 모듈 취약점으로 타인의 발급상황이 조회되는 사고가 4건 발생했다. 같은 기간 행안부가 운영하는 공유누리 홈페이지 업무 게시판에 올린 공공주차장 담당자 파일이 구글 검색에 노출되면서 3800여 명의 개인정보가 추가로 공개됐다.
개인정보위 조사 결과 행안부의 관리 소홀이 구체적으로 드러났다. 납세증명서 서식 변경을 위해 소스코드를 개발하면서 '개인 발급' 테스트만 진행하고 '법인 발급' 테스트는 빠뜨렸다. 주민등록증 조회 서비스에 쓰인 인증 모듈의 취약점은 발견하고도 조치하지 않았다.
NEIS 연계 민원 유출 사실을 2024년 4월 1일 인지했음에도 개인정보 보호법상 72시간 이내 신고 의무를 어기고 4월 11일부터 22일 사이에야 통지했다. 개인정보 처리 방침에 수탁업체 메타빌드를 기재하지 않은 사실도 확인됐다.
한편 이번 처분은 그간 솜방망이로 끝나던 공공기관 제재 관행에서 벗어났다는 점에서 주목된다.
공공기관은 매출액이 없어 실질적인 과징금 부과가 어렵다는 이유로 소액 과태료 처분에 머무르는 경우가 많았다. 개보위 측은 "소스코드 개발 오류나 보안 취약점 미조치 등 시스템 문제로 유출이 발생한 경우, 최종 책임 주체는 해당 공공기관"이라고 밝혔다.
정부24는 주민등록등본 발급부터 각종 민원 서류 신청까지 국민 대다수가 일상적으로 이용하는 서비스다. 민감한 행정 정보가 집중된 플랫폼을 운영하는 기관이 기초적인 개발 점검과 취약점 관리를 소홀히 했다는 점에서 비판을 피하기 어렵다.
