중소벤처기업부의 '모두의 창업' 프로젝트가 개인정보 유출 사태 수습 과정에서도 실무 현장의 개인정보 관리가 여전히 허술한 것으로 나타났다. 참여 기업과 담당자 정보가 노출되고, 보안이 검증되지 않은 외부 설문 도구 사용이 확인된 것이다.
15일 전자신문이 입수한 자료에 따르면 경기창조경제혁신센터와 강원창조경제혁신센터는 최근 '모두의 창업' 사업의 AI 솔루션 공급업체를 대상으로 대금 정산 안내 메일을 발송하면서 수신자 정보를 비공개 처리하지 않은 것으로 확인됐다.
수신자를 숨김참조가 아닌 받는 사람 항목에 넣어 보내면서 참여 기업명, 담당자 성명, 이메일 주소 등이 메일 수신자들에게 그대로 노출됐다.
이는 법적으로 개인정보 유출에 해당한다. 유출 72시간 내 해당 정보 주체에 통지하고, 유출 정보가 1000건 이상이라면 소관부처와 한국인터넷진흥원(KISA)에 신고해야 한다.
이에 더해 창업진흥원에서는 자체 시스템이 아니라 외부 설문 플랫폼을 활용하는 것으로 확인됐다. 접수를 대행한 외부 업체가 구글폼을 통해 '모두의 창업 프로젝트 AI 솔루션 공개 시연회' 참가 신청을 받으면서 기업명, 솔루션 가격, 고객수, 연락처, 이메일 등을 수집했다.
외부 설문 플랫폼 사용은 위법은 아니지만 보안이 입증되지 않아 개인정보보호 법규의 안전조치의무 등을 위반할 우려가 있다. 공공기관은 관련 법에 따라 개인정보 수집 도구를 통해 수집된 정보의 저장 위치, 접근권한, 삭제 방식, 로그 관리, 보관기간, 국외 이전 여부 등을 입증할 책임이 있기 때문이다.
특히 담당자가 개인 계정을 사용한다면 더 큰 문제다. 수집한 개인정보에 대한 접근 권한, 보관, 파기, 사후 감사 관리가 기관 내부 통제 밖에 놓일 수 있어서다.
모두의 창업은 중기부와 창업진흥원이 예비창업자와 초기 창업기업을 지원하기 위해 추진한 사업이다.
앞서 해당 사업에서는 1차 합격자 5000명의 이메일 주소와 아이디어 요약본, 심사평 등이 외부에서 접근 가능한 상태였던 사실이 드러났다. 이에 중기부는 지난달 대응 태스크포스(TF)를 구축하고 명확한 원인 규명과 사고 재발 방지를 약속했다.
그러나 사고 수습 과정에서도 메일 발송과 신청 접수 등 기본 행정 절차에서 개인정보 관리 부실이 반복되면서 사업 운영 전반에 대한 재점검이 불가피하다.
중기부 관계자는 “지난달에 이어 개인정보가 유출되지 않도록 각별히 주의를 당부했다”고 말했다.
박진형 기자 jin@etnews.com
