개인정보위도 '구글폼' 개인정보 수집…위·수탁 관리 도마

개인정보위가 한국정보통신진흥협회(KAIT)에 위탁한 '2026 개인정보 처리방침 작성 1차 교육' 참가 신청 과정에서 구글폼을 통해 개인정보가 수집됐다. 공공기관이 보안인증을 받지 않은 구글폼·네이버폼 등으로 개인정보를 수집해 문제가 된 가운데 개인정보보호위원회(개인정보위) 위탁사업에서도 구글폼이 사용된 것으로 나타났다. 개인정보위가 약속한 외부 설문도구 관련 위수탁 지침 마련이 지연되면서 주무부처조차 개인정보 관리·감독에 허점을 드러냈다는 지적이 나온다. 15일 업계에 따르면 개인정보위가 한국정보통신진흥협회(KAIT)에 위탁한 '2026 개인정보 처리방침 작성 1차 교육' 참가 신청 과정에서 구글폼을 활용한 개인정보 수집이 이뤄진 것으로 확인됐다. 수집 항목은 소속·부서명·성명·직위·휴대전화번호·이메일 주소 등 6개다. 당초 신청자는 6개 항목을 모두 기입하고 개인정보 수집·이용에 일괄 동의해야 교육을 신청할 수 있었다. 신청정보 보유기간은 1년으로 안내됐다. 핵심 쟁점은 구글이 개인정보 처리에 관여하는지와 KAIT와의 재위탁 관계가 성립하는지다. 개인정보위 위탁 교육에서 구글폼을 활용, 개인정보를 수집하는 과정에 법률 위반과 절차적 부적정이 있다는 지적이 나온다. 구글폼이 신청자 개인정보를 수집·저장하는 만큼 '개인정보위→KAIT→구글'로 이어지는 재위탁 관계가 성립한다는 것이다. 법무법인 오른하늘은 개인정보 보호법 제2조가 저장·보유를 개인정보의 '처리'에 포함하는 점을 근거로 “KAIT가 구글에 개인정보 처리위탁 사실을 공개하지 않고, 국외이전에 관한 법정 고지사항도 누락한 것은 법 위반 소지가 있다”는 의견을 내놨다. 또 정부 위탁사업에서 클라우드 보안인증(CSAP)을 받지 않은 구글폼을 사용한 것도 공공기관에 적용되는 보안 규정 위반에 해당한다고 지적했다. 개인정보 보호법은 수집·저장·보유를 '처리'로 규정하지만, 개인정보위는 자체 발간한 안내서를 근거로 KAIT와 구글 간 개인정보 처리 재위탁관계가 성립하지 않는다고 주장했다. 반면 개인정보위는 지난해 발간한 '개인정보 처리 통합 안내서'를 들어 플랫폼 사업자(구글)가 개인정보 처리에 관여하지 않고 이용자(KAIT)가 보호 의무를 부담하면 수탁자로 보기 어렵다고 설명했다. KAIT와 구글 간 위·수탁 관계가 성립되지 않기에 법률 위반에 해당하지 않는다는 입장이다. 다만 개인정보위는 자체 안내서보다 상위 법령인 개인정보 보호법 제2조가 저장·보유를 '...