개인정보보호법 공공기관 실태점검 대상과 확인할 점
주민센터나 공단 사이트에 주민등록번호를 넣다 보면, 내가 쓰는 서비스가 안전하게 관리되는지 궁금하실 거예요.
올해 공공기관 시스템을 대상으로 큰 규모의 긴급 점검이 진행됐는데요.
어떤 곳이 대상이었고 이용자인 우리는 무엇을 확인할 수 있는지 차근차근 짚어 드릴게요.
내가 쓰는 공공 서비스가 이번 점검을 받았는지 보려면 두 가지 기준만 확인하면 돼요.
올해 2월 개인정보보호위원회가 발표한 공공기관 관리 강화 방안에 따라, 집중관리시스템 387개와 주민등록번호를 1만 명 이상 처리하는 시스템이 긴급 실태점검을 받았거든요.
점검 기간은 2026년 3월까지였습니다.
그러니까 집중관리시스템으로 지정됐거나 주민등록번호를 1만 명 이상 다루는 시스템이라면 이번 점검 대상이었다고 보시면 돼요.
이렇게 서두른 데는 분명한 이유가 있어요.
공공부문 개인정보 유출 신고가 2022년 23건에서 2023년 41건, 2024년 104건, 2025년 128건으로 해마다 부쩍 늘었기 때문이에요.
2025년에는 전체 신고의 28.6%를 차지했는데, 유출 원인을 보면 업무과실이 64%이고 해킹이 32%였어요.
바깥의 공격보다 안에서 일하다 생긴 실수가 두 배나 많았던 거라, 내부 관리 방식을 꼼꼼히 들여다볼 필요가 컸던 거죠.
긴급 실태점검은 어떤 시스템이 받았나요?
점검 대상은 크게 두 묶음으로 나뉩니다.
하나는 개인정보위가 따로 지정해 관리하는 집중관리시스템 387개이고, 이를 운영하는 기관은 58곳이에요.
다른 하나는 집중관리시스템이 아니더라도 주민등록번호를 1만 명 이상 처리하는 공공 시스템이에요.
두 조건 중 하나만 맞아도 점검을 받기 때문에, 지정 목록에 이름이 없다고 해서 바로 대상 밖이라고 단정하시면 안 돼요.
왜 이렇게 넓게 잡았을까요?
공공기관은 법령에 따라 국민 개인정보를 본인 동의 없이도 대량으로 다루거든요. 이용자가 원치 않는다고 가입을 해지하거나 빠질 수 있는 구조가 아니라서, 한 번 관리가 허술해지면 피해 범위도 그만큼 넓어질 수밖에 없어요.
그래서 사고가 터진 뒤에 과징금을 물리는 방식만으로는 한계가 있다고 보고, 사고 전에 미리 점검하는 쪽으로 방향을 잡은 거예요.
이번 점검은 최근 대형 유출사고에서 드러난 약점을 중심으로 짜였어요.
그러다 보니 실제 사고와 바로 이어지는 보안패치, 접속 인증, 로그 기록, 암호화 같은 항목을 집중적으로 살폈습니다.
집중관리시스템은 어떤 기준으로 정해지나요?
집중관리시스템은 개인정보를 많이 다루거나 민감하게 다루는 공공 시스템을 따로 묶어 챙기는 제도예요.
지정되면 일반 시스템보다 강한 안전조치를 해야 해요.
예를 들어 담당자에게 접근 권한을 줄 때 인사정보와 바로 연계하고, 누가 언제 접속했는지 기록을 자동으로 분석하는 식이에요.
인사정보와 묶어 두면 직원이 부서를 옮기거나 퇴사했을 때 예전 권한이 그대로 남아서 생기는 사고를 막을 수 있거든요.
이 목록은 고정돼 있지 않아요.
2026년에는 대한적십자사의 혈액정보관리시스템 등 8개가 새로 들어왔고, 감염병 시기에 한시적으로 썼던 질병관리청의 역학조사지원시스템은 빠졌어요.
또 워크넷 등 3개 시스템이 고용24로 합쳐지면서 고용24가 새로 이름을 올렸습니다.
이렇게 조정되면서 전체 숫자는 2024년 382개에서 387개로 늘었어요.
해마다 새로 들어오고 빠지거나 합쳐지면서 목록이 바뀌니까, 예전에 봤던 기억만으로 판단하지 않는 게 안전해요.
구체적인 전체 시스템 목록은 개인정보위 홈페이지에 공개돼 있습니다.
내가 자주 쓰는 공공 서비스가 해당되는지 궁금하신 분은 복잡한 지정 요건을 하나씩 따져 보기보다, 홈페이지에 올라온 목록에서 서비스 이름을 바로 검색해 보시는 쪽이 훨씬 빨라요.
- ✔개인정보 보유량 100만 명 이상
- ✔개인정보 취급자 수 200명 이상
- ✔사업비 100억 원 기준
- ✔주민등록정보 연계
- ✔민감정보 처리
주민등록번호 1만 명 기준은 무슨 뜻인가요?
쉽게 말하면 주민등록번호를 1만 명분 이상 처리하는 시스템이에요.
안내 자료를 보면 '1만 명 이상'과 '1만 건 이상'이라는 표현이 섞여 나오는데, 둘 다 똑같은 점검 대상을 가리키는 말이에요. 단어 때문에 기준이 두 개라고 오해하지 않으셔도 됩니다.
여기서 많이 헷갈려요.
이번 긴급 실태점검과 별개로 '고유식별정보 실태조사'라는 정기 조사가 따로 있거든요.
그 조사는 고유식별정보를 공공기관이 1만 명 이상, 민간 기업이 5만 명 이상 처리할 때 대상이 됩니다.
하필 공공기관 기준 숫자가 똑같이 1만 명이라서 두 점검을 같은 걸로 섞어 읽기 쉬워요.
그래서 관련 공지나 뉴스를 보실 때는 인원수만 보지 마시고, 앞에 붙은 점검 이름이 무엇인지부터 먼저 확인하시는 게 좋아요.
이해하기 쉽게 공공기관 시스템 세 곳이 있다고 예를 들어 볼게요.
'가'는 집중관리시스템으로 지정된 곳이고, '나'는 지정되진 않았지만 주민등록번호를 1만 5천 명분 다루는 곳, '다'는 지정되지 않았고 8천 명분만 다루는 곳이에요.
이 경우 '가'는 집중관리시스템이라 대상이고, '나'는 1만 명을 넘겼으니 대상에 들어갑니다.
반면 '다'는 두 기준에 모두 해당하지 않아 이번 긴급점검에서는 빠지게 돼요.
그렇다고 해서 '다' 시스템이 보안을 느슨하게 해도 된다는 뜻은 전혀 아니에요.
개인정보를 다루는 모든 기관이 기본적으로 지켜야 할 안전조치 의무는 그대로 남아 있거든요.
| 가정한 시스템 | 조건 | 긴급점검에서 보는 것 |
|---|---|---|
| 가 시스템 | 집중관리시스템 지정 | 보안패치·인증수단·로그 비식별 |
| 나 시스템 | 미지정, 주민번호 1만 5천 명분 | 암호화 알고리즘·암호키 관리 |
| 다 시스템 | 미지정, 주민번호 8천 명분 | 이번 긴급점검 기준 밖 |
점검 대상 여부는 집중관리시스템 지정 목록과 주민등록번호 1만 명 처리 기준으로 나뉩니다.
시스템별로 무엇을 점검했나요?
대상 묶음에 따라 들여다본 항목도 조금씩 달랐어요.
우선 집중관리시스템은 최신 보안패치를 제때 깔았는지, 담당자가 접속할 때 인증서나 일회용 비밀번호처럼 안전한 인증수단을 쓰는지를 중점적으로 봤습니다.
여기에 더해 접속 로그기록에 주민등록번호 같은 중요 정보가 그대로 남지 않게 가리는 비식별 조치를 했는지도 챙겼어요.
앞서 유출 원인의 대부분이 업무과실과 해킹이었다고 말씀드렸는데, 바로 그 두 가지 구멍을 모두 막기 위해 짜인 항목들이에요.
1만 명 이상 주민등록번호를 처리하는 시스템은 암호화 쪽을 봤어요.
번호를 보관할 때 안전한 암호화 알고리즘을 썼는지, 그리고 그 암호를 푸는 열쇠인 암호키를 어떻게 관리하는지가 핵심입니다.
아무리 튼튼하게 암호화를 해 뒀어도 암호키 관리를 허술하게 하면, 현관문을 잠가 놓고 바로 옆에 열쇠를 걸어 둔 것과 다를 바가 없거든요.
그래서 암호화 기술과 열쇠 관리 상태를 세트로 묶어서 점검한 거예요.
비식별 조치도 마찬가지예요. 시스템 작업 기록인 로그에 주민등록번호가 가려지지 않은 채 남아 있으면, 나중에 로그 파일이 밖으로 새어 나갔을 때 개인정보까지 고스란히 노출될 수 있어요.
원래 보관된 데이터만 잘 지키면 끝이라고 생각하기 쉬운데, 작업 기록까지 따로 챙겨야 하는 이유가 바로 여기에 있습니다.
점검 뒤에는 어떻게 되고, 이용자는 무엇을 할 수 있나요?
점검에서 미흡한 점이 나온 기관은 스스로 먼저 고치고, 개인정보위가 위험도에 따라 컨설팅 같은 개선 지원을 붙여 주기로 했어요.
특히 위험성이 큰 시스템에는 취약점 개선을 돕고 불시 점검도 계속 이어 갈 계획이라, 3월 점검으로 끝나는 게 아니라 후속 관리가 계속 이어지는 구조예요.
다만 기관별 점검 결과가 따로 공개됐는지는 아직 알려진 내용이 없어요.
그래서 내가 이용하는 특정 기관이 이번 점검에서 몇 점을 받았는지, 어떤 지적을 받았는지 일반 이용자가 직접 찾아보기는 어렵습니다.
현재 이용자 입장에서 바로 해 볼 수 있는 건, 내가 쓰는 서비스가 집중관리시스템 목록에 들어가 있는지 확인하는 정도예요.
이 목록은 개인정보위 홈페이지에서 누구나 열람할 수 있습니다.
이와 별개로 내 개인정보의 주인인 우리는 어느 공공기관이든 내 정보의 열람이나 정정·삭제, 처리정지를 당당하게 요구할 권리가 있어요.
만약 기관의 고의나 중대한 과실로 내 정보가 유출됐다면 손해배상을 청구할 수도 있습니다.
물론 법적인 권리가 있더라도 실제로 열람을 요구하거나 배상을 청구할 때 필요한 서류와 절차는 기관이나 상황마다 조금씩 달라요.
실제로 신청하시기 전에는 해당 공공기관과 개인정보위 공식 안내를 먼저 확인해 보시는 게 안전합니다.
이번 긴급점검은 3월로 마무리됐지만, 집중관리시스템 지정 목록은 해마다 바뀔 수 있으니 개인정보위 홈페이지의 최신 공지를 기준으로 보시는 게 가장 정확해요.
판단할 때는 그 시스템이 집중관리시스템인지, 아니면 주민등록번호를 1만 명분 넘게 다루는지만 보시면 돼요.
평소 자주 들어가는 공공 사이트가 있다면 오늘 개인정보위 홈페이지에서 집중관리시스템 목록에 이름이 있는지 한 번 찾아보세요.
여러분이 자주 쓰시는 공공 서비스는 두 가지 기준 중 어느 쪽에 해당할 것 같으세요?
이 글과 함께 보면 좋은 상품
정보보호 점검 항목(패치·인증·암호화)을 공부하는 실무자가 관련 지식 체계를 잡고 싶을 때 선택할 수 있는 강의입니다.
개인정보 취급 실무자가 종이 서류의 주민등록번호 등을 폐기할 때 노출을 줄이는 데 쓸 수 있는 선택적 도구입니다.
참고 · 개인정보보호 포털
댓글
댓글 쓰기