“홈페이지에 내 주민번호가?” 숫자로 보는 ‘2024 개인정보 유출 사고’

지난해 2월 말, 한 공공기관 홈페이지에 접속한 A 씨. 자신의 개인정보가 버젓이 홈페이지 게시판에 올라와 있는 걸 보고 깜짝 놀랐습니다.

홈페이지에 개인정보가 공개(?)된 건 A 씨뿐만이 아니었습니다. 이 공공기관은 담당 직원 실수로 A 씨를 비롯한 50명의 개인정보를 홈페이지에 게시했습니다.

개인정보보호위원회는 해당 공공기관에 개인정보보호법 위반 책임을 물어 과태료 180만 원을 부과했습니다.

이런 일, 지난해에 얼마나 있었을까요?

개인정보위가 지난해 개인정보 유출 사고를 분석한 이 보고서에 잘 담겨있습니다.

■ ① 307건 : 개인정보 유출 신고 건수

2024년 개인정보위에 신고된 개인정보 유출 사고는 307건입니다.

그중 해킹으로 인한 유출이 반 이상(171건, 56%)입니다. 그다음 업무 과실이 91건(30%), 시스템 오류 23건(7%) 등 순이고요.

여기서 이런 생각이 들 법 합니다. '에이, 해커가 작정하고 개인정보 노리고 들어오는 건데 어떻게 해?'
일리가 있습니다. 해킹 공격을 당했다 하더라도 관리 책임이 따르지만, 억울한 측면이 분명히 있습니다.

그래서 오늘은 해킹 다음으로 많은 개인정보 유출 사유, '업무 과실'에 대해 집중적으로 얘기해 보려고 합니다.

■ ② 49% vs 20% : 공공과 민간의 '업무 과실' 비율

지난해 개인정보 유출 신고 307건 가운데 행정기관이나 지자체, 학교 등 공공기관이 104건(34%), 민간기업이 203건(66%)을 차지했습니다.

이렇게만 보면, 공공기관에서 일어난 개인정보 유출 사고가 확실히 더 적습니다. 하지만 유출 원인을 살펴보면 얘기가 달라집니다.

민간기업이 신고한 개인정보 유출 사고 셋 중 두 건은 해킹 때문에 발생했습니다(135건, 67%). 업무 과실은 40건, 20% 수준이고요.

하지만 공공기관에서 가장 많이 발생한 유출 사고 유형은 업무과실(51건, 49%)입니다. 쉽게 말해 지난해 공공기관에서 신고된 개인정보 유출 사고의 반은 과실이란 뜻입니다.

더 쉽게 말하면 외부 공격으로 인한 사고가 아니란 얘기고, 공공기관에서 조금만 더 주의를 기울였다면 개인정보 유출을 막을 수 있었다는 의미입니다.

강대현 개인정보위 조사총괄과장은 기자에게 "밖에서 공격해 들어온 게 아니라 얼마든지 막을 수 있었던, 교육을 잘하거나 공개될 때 한 번만 점검했어도 막을 수 있었던 사고"라고 설명했습니다.

■ ③ 104건 중 71건 : 개인정보 1,000건 미만 유출 건수

재작년, 그러니까 2023년 공공기관에선 41건의 개인정보 유출 신고가 있었습니다. 앞에서 제가 지난해, 2024년엔 104건 신고가 있었다고 했으니 1년 새 배 넘게 증가한 거죠.

2023년과 2024년 사이엔 개인정보 보호법 개정이 있었습니다. 23년 9월 법 개정 시행 전에 공공기관은 개인정보가 유출 사고가 벌어져도 천 명 이상 규모일 때만 신고하면 됐습니다.

하지만 법이 바뀌고 나서는 민감·고유 식별정보 단 1건만 유출돼도 신고해야 했죠. 실제로 지난해 공공기관 유출 104건 중의 71건이 (예전 같았으면 신고하지 않아도 되는) 개인정보 1000건 미만 유출 사고였습니다.

그러니 공공기관 입장에선 억울할 수 있습니다. 왜 나만 가지고 그러냐, 할 수 있죠. 하지만 공공기관에 개인정보 관리 책임을 더 엄하게 묻는 이유가 있습니다.

■ 개인정보, 그까이거 대충?

2025년 현재, 개인정보에 대한 대중 인식은 확실히 과거와 달라졌습니다.

주민등록번호, 휴대전화 번호, 주소 등 이런 모든 정보를 가볍게 취급하면 안 된다는 인식이 분명 존재합니다. 그건 공공기관도 마찬가지일 겁니다.

하지만 그럼에도 공공기관에 더 막중한 책임감을 부과하는 이유, 국민 개인정보를 대량으로 처리하는 특성을 가지기 때문입니다.

또 업무가 세분화된 민간기업과 다르게, 공공기관에선 많은 공무원들이 직접 민원인들의 개인정보를 다뤄야 합니다.

그 중요도와 특성을 생각해 볼 때, 지난해 공공기관에서 발생한 유출 신고의 절반이 내부 업무 과실이라는 점은 뼈아픕니다.

강대현 조사총괄과장은 "공공기관에서 홈페이지에 정보를 게시해야 하는데 급하니까 자료를 집어넣고, 올려놓고 보니 개인정보가 들어가 있어서 다시 내리는 업무 과실이 너무 많다"고 전했습니다.

예방책은 조심, 또 조심입니다.

다수에게 문자나 메일을 발송할 때 개별 확인이 가능하도록 개인별 발송 기능을 꼭 챙기고, 평소 개인정보를 기재할 때도 꼭 필요한 정보만 남기고 나머지는 가리거나 지워두는 거죠.

하지만 무엇보다 중요한 건 우리 모두가 개인정보를 '그까이거'가 아닌 정말 소중하게 다뤄야 할 민감한 정보로 여기는 자세일 겁니다.