공공기관이 보안인증을 받지 않은 구글폼·네이버폼 등으로 개인정보를 수집해 문제가 된 가운데 개인정보보호위원회(개인정보위) 위탁사업에서도 구글폼이 사용된 것으로 나타났다. 개인정보위가 약속한 외부 설문도구 관련 위수탁 지침 마련이 지연되면서 주무부처조차 개인정보 관리·감독에 허점을 드러냈다는 지적이 나온다.
15일 업계에 따르면 개인정보위가 한국정보통신진흥협회(KAIT)에 위탁한 '2026 개인정보 처리방침 작성 1차 교육' 참가 신청 과정에서 구글폼을 활용한 개인정보 수집이 이뤄진 것으로 확인됐다.
수집 항목은 소속·부서명·성명·직위·휴대전화번호·이메일 주소 등 6개다. 당초 신청자는 6개 항목을 모두 기입하고 개인정보 수집·이용에 일괄 동의해야 교육을 신청할 수 있었다. 신청정보 보유기간은 1년으로 안내됐다.
핵심 쟁점은 구글이 개인정보 처리에 관여하는지와 KAIT와의 재위탁 관계가 성립하는지다.
개인정보위 위탁 교육에서 구글폼을 활용, 개인정보를 수집하는 과정에 법률 위반과 절차적 부적정이 있다는 지적이 나온다. 구글폼이 신청자 개인정보를 수집·저장하는 만큼 '개인정보위→KAIT→구글'로 이어지는 재위탁 관계가 성립한다는 것이다.
법무법인 오른하늘은 개인정보 보호법 제2조가 저장·보유를 개인정보의 '처리'에 포함하는 점을 근거로 “KAIT가 구글에 개인정보 처리위탁 사실을 공개하지 않고, 국외이전에 관한 법정 고지사항도 누락한 것은 법 위반 소지가 있다”는 의견을 내놨다. 또 정부 위탁사업에서 클라우드 보안인증(CSAP)을 받지 않은 구글폼을 사용한 것도 공공기관에 적용되는 보안 규정 위반에 해당한다고 지적했다.
반면 개인정보위는 지난해 발간한 '개인정보 처리 통합 안내서'를 들어 플랫폼 사업자(구글)가 개인정보 처리에 관여하지 않고 이용자(KAIT)가 보호 의무를 부담하면 수탁자로 보기 어렵다고 설명했다. KAIT와 구글 간 위·수탁 관계가 성립되지 않기에 법률 위반에 해당하지 않는다는 입장이다.
다만 개인정보위는 자체 안내서보다 상위 법령인 개인정보 보호법 제2조가 저장·보유를 '처리'로 규정하고 있음에도 구글이 개인정보 처리에 관여하지 않는다고 판단한 근거는 제시하지 않았다.
이같은 혼선은 공공기관 위탁사업에서 외부 설문도구를 이용할 때 적용할 구체적인 관리 기준이 없어서 발생한 문제다. 이번 사업도 담당 부서가 직접 발주했지만 참고할 별도 지침이 없었다.
개인정보위는 지난 4월 국회 한 토론회에서 구글폼·네이버폼 등 외부 설문도구의 개인정보 보호 취약성을 고려해 공공기관 업무와 외부 위·수탁 사업의 제안요청서(RFP) 관련 지침을 마련하겠다고 밝힌 바 있다. 이후 제대로 이행되지 않았다.
송경희 개인정보보호위원장은 이달 13일 열린 국회 정무위원회 국정감사에서 박상혁 더불어민주당 의원의 관련 질의에 “공공부문 수탁기관의 관리·감독에 문제가 많다”며 “수탁기관 관리에 필요한 지침을 마련해 기관들이 준수하도록 하겠다”고 밝힌 바 있다.
업계 관계자는 “그동안 공공이 편의성에 기대 무분별하게 외부 설문 플랫폼을 사용하면서 관리의 사각지대에 놓였다”면서 “단순 안내서가 아닌 구체적 지침 배포와 인식개선이 동반돼야 실효성이 있을것”이라고 말했다.
박진형 기자 jin@etnews.com
