[Hinews 하이뉴스] 정부가 국민의 알권리를 위해 운영하는 정보공개포털에서 주민등록번호와 여권번호는 물론 암 진단서 등 민감한 개인정보까지 노출된 것으로 확인됐다. 공공기관이 공개한 내부 결재문서와 첨부파일에 개인정보가 제대로 가려지지 않은 채 포함되면서 공무원뿐 아니라 민간인과 미성년자의 정보까지 외부에 드러났다. 행정안전부는 원문정보 다운로드를 중단하고 전 공공기관을 대상으로 전수점검에 착수했지만, 공개 문서의 검수 과정과 개인정보 필터링 시스템이 제대로 작동했는지를 둘러싸고 관리 책임 논란이 커지고 있다.

5일 행정안전부와 관련 보도를 종합하면 정부가 운영하는 정보공개포털에서 2024년 이후 공개된 문서를 대상으로 확인한 결과 최소 22개 기관의 문서 35건에서 개인정보 노출 사례가 발견됐다. 이번 사례는 정부 시스템이 해킹당해 개인정보가 빠져나간 사건이 아니라, 공공기관이 직접 공개한 문서에 개인정보가 포함된 채 일반에 제공됐다는 점에서 문제가 되고 있다.

노출된 정보도 다양했다. 한 공공기관의 병가 관련 결재문서에는 직원의 진단서 원본이 첨부돼 주민등록번호와 주소, 휴대전화번호뿐 아니라 구체적인 암 진단명과 질병분류코드, 의사 소견까지 포함됐다. 해당 문서에는 이름과 병명이 문서 제목과 첨부파일명에 표시돼 있어 파일을 열어보지 않더라도 당사자의 신원과 건강 상태를 추정할 수 있는 상황이었다. 진단서와 소견서 원본이 노출된 사례는 4개 기관 9건으로 확인됐다.

민간인의 개인정보도 공개 문서에서 발견됐다. 한 기관이 공개한 철거 보상 관련 결재문서에는 두 가구의 주민등록등본 원본이 첨부돼 세대원과 세입자의 이름, 주민등록번호, 주소 등이 드러났다. 미성년자의 개인정보도 포함된 것으로 전해졌다. 토지 매매계약 관련 문서에 첨부된 등기부등본에서도 토지 공유자와 근저당권자의 주민등록번호가 가려지지 않은 사례가 확인됐다.

공무원들의 해외 출장 관련 문서에서도 문제가 나타났다. 전자항공권과 탑승권에 기재된 이름, 예약번호, 항공권번호, 바코드 등이 공개됐으며 일부 문서에는 비자와 전자여행허가 관련 정보까지 포함됐다. 시사저널이 확인한 관련 항공권 문서 22건 가운데 예약번호를 가린 사례는 한 건도 없었다. 항공권 예약정보는 이름 등 다른 정보와 결합할 경우 외부인이 예약 내용을 조회할 가능성이 있어 추가적인 피해 우려도 제기된다.

문서 공개 과정에서 개인정보 필터링 시스템이 제 역할을 하지 못했다는 점도 문제다. 정보공개포털은 공공기관이 생산한 결재문서 가운데 공개 대상으로 설정한 원문을 국민이 별도 정보공개 청구 없이 확인할 수 있도록 운영되는 시스템이다. 각 기관이 문서와 첨부파일의 공개 여부를 설정하면 해당 정보가 포털을 통해 제공되는 구조다. 그러나 이번에 확인된 문서 상당수는 종이문서를 스캔하거나 촬영한 이미지 형태였으며, 기존 필터링 시스템이 이러한 비정형 자료에 포함된 개인정보를 제대로 걸러내지 못한 것으로 알려졌다.

공개 문서의 규모를 고려하면 문제의 범위도 가볍지 않다. 지난해 정보공개포털을 통해 공개된 원문정보는 약 5150만건에 달한다. 이번에 확인된 35건은 일부 문서를 대상으로 한 조사 결과로, 전체 공개 문서 가운데 개인정보가 포함된 사례가 얼마나 되는지는 아직 파악되지 않았다. 행안부 역시 현재까지 확인된 전체 노출 규모를 별도로 공개하지 않은 상태다.

현행 '공공기관의 정보공개에 관한 법률' 제9조는 성명과 주민등록번호 등 개인정보 가운데 공개될 경우 사생활의 비밀이나 자유를 침해할 우려가 있는 정보를 비공개 대상 정보로 규정하고 있다. 개인정보보호법 역시 건강정보를 민감정보로 분류해 엄격한 보호 의무를 부과하고 있다. 국민의 알권리를 위해 행정정보를 공개하더라도 개인의 사생활과 민감한 신상정보까지 공개할 수 있는 것은 아니라는 의미다.

행정안전부는 5일 설명자료를 통해 정보공개포털 일부 문서에서 개인정보가 노출된 데 대해 사과하고 원문정보 다운로드를 일시 중단했다고 밝혔다. 아울러 전 공공기관에 공개 문서의 개인정보 노출 여부를 전수점검하도록 했다. 개인정보 필터링 시스템을 정비하고 신규 소프트웨어를 도입하는 한편, 각 기관의 문서 생산 담당자를 대상으로 개인정보 노출 방지 교육과 모니터링도 강화하겠다는 방침이다.

행안부 관계자는 개인정보가 포함된 문서는 각 기관에서 공개 설정 단계에서 가림 처리하거나 비공개로 분류해야 한다며, 문서 설정 과정에서 조치가 제대로 이뤄지지 않아 노출된 것으로 보고 있다고 설명했다. 현재까지 2차 피해는 확인되지 않았다는 입장도 밝혔다. 다만 전체 노출 문서와 피해 대상자 규모, 당사자 통지 여부 등 구체적인 조치 계획은 추가 확인이 필요한 상황이다.

염흥열 순천향대 정보보호학과 교수는 이번 사안과 관련해 "기관과 포털 간 정보를 전송·처리하는 과정에서 업로드 전에 개인정보를 필터링하고 마스킹하는 시스템과 규정이 미흡했던 것으로 보인다"고 지적했다.