[미래포럼] 공공 개인정보보호, 분산된 소관과 공백의 책임

김원표 와이즈인컴퍼니 대표 국민은 정부를 믿고 개인정보를 제출한다. 개인정보보호위원회와 국가정보원, 행정안전부의 소관을 구분해 제출하는 것이 아니다. 공공기관이 보낸 설문과 행사 신청 링크에 이름과 연락처를 입력하는 순간, 안전하게 관리될 것이라 기대한다. 그 신뢰에 답할 책임은 정부 전체에 있다. 현실은 어떠한가. 서울시의회에 공개된 예산안 심사자료에는 구글 설문에서 일반 응답자가 다른 사람의 응답 결과를 확인할 수 있어 419명의 휴대폰 번호가 노출된 사례가 기록돼 있다. 원인은 '담당자 부주의'로 기재됐다. 그러나 어떤 도구를 사용하고 공개 설정을 어떻게 확인할지 조직이 통제했는지 따져보지 않은 채 개인의 실수로만 정리해서는 재발을 막을 수 없다. 올해 4월 전자신문이 보도한 박상혁 의원실과 와이즈인컴퍼니의 공공기관 온라인 개인정보 수집 실태조사에서도 설문도구 선택과 데이터 보관·삭제, 접근권한 통제에 관한 운영 기준의 공백이 드러났다. 설문 하나의 문제가 아니다. 교육 신청, 행사 접수, 복지 수요조사 등 국민과 행정이 만나는 수많은 접점의 문제다. 공공부문에는 이미 클라우드 보안인증과 정보보안 기준이 존재한다. 한국인터넷진흥원은 공공기관에 클라우드서비스를 제공할 때 CSAP 인증이 도입요건의 하나라고 안내한다. 그런데 현장에서 외부 설문도구를 선택할 때 이 기준의 적용 여부조차 확인하지 않는다면 제도는 무엇을 보호하는가. 무료 서비스라는 이유로, 용역업체가 대신 운영한다는 이유로 안전성 확인이 생략돼서는 안 된다. 핵심은 규정의 존재가 아니라 실행이다. 정보보안 부서가 알고 있는 기준을 실제 개인정보를 수집하는 사업부서가 모른다면 전달체계부터 점검해야 한다. 기관 내부 시스템에는 엄격한 보안을 요구하면서 외부 링크로 수집하는 정보는 관리 밖에 둔다면, 국민의 개인정보는 가장 느슨한 통로로 빠져나가게 된다. 부처별 소관 구분이 이 공백을 방치하는 명분이 돼서는 안 된다. 개인정보위는 보안인증이 다른 부처 소관이더라도 개인정보의 수집·위탁·국외이전·파기 과정에 위험이 있는지 살펴야 한다. 국정원은 보안지침의 적용 범위와 준수 절차를 일선 기관이 이해하고 실행할 수 있도록 해야 한다. 행안부는 행정 편의와 서비스 선택권을 고려하되 보안요건을 충족할 구체적인 방법까지 제시해야 한다. 보안은 강화하라면서 사용할 수 있는 서비스와 절차는 분명히 알려주지 않는다면 책임만 현장에 떠넘기는 셈이다. 부처마다 설명이 다...