국민은 정부를 믿고 개인정보를 제출한다. 개인정보보호위원회와 국가정보원, 행정안전부의 소관을 구분해 제출하는 것이 아니다. 공공기관이 보낸 설문과 행사 신청 링크에 이름과 연락처를 입력하는 순간, 안전하게 관리될 것이라 기대한다. 그 신뢰에 답할 책임은 정부 전체에 있다.
현실은 어떠한가. 서울시의회에 공개된 예산안 심사자료에는 구글 설문에서 일반 응답자가 다른 사람의 응답 결과를 확인할 수 있어 419명의 휴대폰 번호가 노출된 사례가 기록돼 있다. 원인은 '담당자 부주의'로 기재됐다. 그러나 어떤 도구를 사용하고 공개 설정을 어떻게 확인할지 조직이 통제했는지 따져보지 않은 채 개인의 실수로만 정리해서는 재발을 막을 수 없다.
올해 4월 전자신문이 보도한 박상혁 의원실과 와이즈인컴퍼니의 공공기관 온라인 개인정보 수집 실태조사에서도 설문도구 선택과 데이터 보관·삭제, 접근권한 통제에 관한 운영 기준의 공백이 드러났다. 설문 하나의 문제가 아니다. 교육 신청, 행사 접수, 복지 수요조사 등 국민과 행정이 만나는 수많은 접점의 문제다.
공공부문에는 이미 클라우드 보안인증과 정보보안 기준이 존재한다. 한국인터넷진흥원은 공공기관에 클라우드서비스를 제공할 때 CSAP 인증이 도입요건의 하나라고 안내한다. 그런데 현장에서 외부 설문도구를 선택할 때 이 기준의 적용 여부조차 확인하지 않는다면 제도는 무엇을 보호하는가. 무료 서비스라는 이유로, 용역업체가 대신 운영한다는 이유로 안전성 확인이 생략돼서는 안 된다.
핵심은 규정의 존재가 아니라 실행이다. 정보보안 부서가 알고 있는 기준을 실제 개인정보를 수집하는 사업부서가 모른다면 전달체계부터 점검해야 한다. 기관 내부 시스템에는 엄격한 보안을 요구하면서 외부 링크로 수집하는 정보는 관리 밖에 둔다면, 국민의 개인정보는 가장 느슨한 통로로 빠져나가게 된다.
부처별 소관 구분이 이 공백을 방치하는 명분이 돼서는 안 된다. 개인정보위는 보안인증이 다른 부처 소관이더라도 개인정보의 수집·위탁·국외이전·파기 과정에 위험이 있는지 살펴야 한다. 국정원은 보안지침의 적용 범위와 준수 절차를 일선 기관이 이해하고 실행할 수 있도록 해야 한다. 행안부는 행정 편의와 서비스 선택권을 고려하되 보안요건을 충족할 구체적인 방법까지 제시해야 한다.
보안은 강화하라면서 사용할 수 있는 서비스와 절차는 분명히 알려주지 않는다면 책임만 현장에 떠넘기는 셈이다. 부처마다 설명이 다르거나 답변이 소관의 경계에서 멈춘다면 실무자는 무엇을 따라야 하는가. 해석의 혼선은 정부가 해결해야 한다. 그 부담과 위험을 담당자와 국민에게 넘겨서는 안 된다.
첫째, 개인정보위·국정원·행안부와 보안인증을 담당하는 과학기술정보통신부가 공동 기준을 제시해야 한다. 온라인 개인정보 수집 업무에 적용되는 보안요건, 이용 가능한 서비스의 확인 방법, 예외 인정 조건과 절차를 명확히 해야 한다. 법령과 지침을 나열하는 수준을 넘어 실제 업무별 판단 기준을 제공해야 한다.
둘째, 공동 지침을 공식적으로 시달하고 이행을 확인해야 한다. 수신처는 정보보안 부서에 한정돼서는 안 된다. 홍보·교육·복지·행사 담당부서와 산하기관, 업무를 수행하는 수탁업체까지 전달돼야 한다. 부처 간 해석이 다른 사안은 공동으로 조정해 어느 기관에 문의해도 일치하는 답을 받을 수 있어야 한다.
셋째, 사고 이후의 책임 추궁에 앞서 적극적인 행정지도가 필요하다. 운영 중인 설문과 신청 페이지를 점검하고 위험한 수집 관행의 시정을 지원해야 한다. 용역 과업내용에도 서비스의 보안요건, 접근권한, 보유기간, 반환·파기 확인을 명시해야 한다. 인증 확인과 실제 개인정보 처리 점검이 함께 이뤄져야 한다.
국민에게 동의서를 받는 것만으로 정부의 책임이 끝나지 않는다. 필요한 것은 또 하나의 보호 선언이 아니라 서로 모순되지 않는 기준과 현장을 바꾸는 행동이다. 정부가 만든 기준이 정부 업무에서 작동하도록 만드는 것, 그것이 디지털 행정의 최소한의 책무다. 국민의 개인정보 앞에 '우리 소관이 아니다'라는 답은 없어야 한다.
김원표 와이즈인컴퍼니 대표 wise@wiseinc.co.kr
