실종아동·입양인 117만건 유출, 아동권리보장원 9억 과징금

아동권리보장원은 왜 역대 최대 과징금을 물게 됐나?

실종아동과 입양인의 개인정보 117만 건을 유출한 국가아동권리보장원에 과징금과 과태료 약 9억 원이 부과됐다. 단일 공공기관에 매겨진 개인정보 제재 가운데 역대 최대 규모다. 개인정보보호위원회가 지난 8월 26일 전체회의에서 의결한 이 결정은, 뉴스타파가 보장원의 입양기록 관리 부실을 처음 보도한 지 2년 만에 나온 것이다. 가장 보호받아야 할 아동의 민감정보가 어떻게 관리 사각지대에 방치됐는지, 그 전말을 짚어본다.

child-rights-agency-privacy-penalty-infographic

입양기록 전산화 사업은 어디서부터 어긋났나?

보장원은 2013년부터 2022년까지 10년에 걸쳐 민간에 흩어져 있던 입양기록물을 한데 모아 전산화하는 사업을 진행했다. 약 20억 원의 예산이 투입됐고 56만 건 안팎의 데이터가 구축됐다. 입양인의 정보 접근권을 높이고 기록을 영구 보존하겠다는 취지였다.

그러나 뉴스타파가 2024년 처음 보도한 실상은 취지와 거리가 멀었다. 아무 내용도 없는 백지가 다량으로 스캔되는 이른바 '백지 스캔'이 발생했고, 수량을 허위로 맞추는 등 전산화 작업 자체가 부실했다는 의혹이 제기됐다. 원래대로라면 내부에 보관돼 있어야 할 외장하드와 CD 등이 유실된 사실도 뒤이은 보건복지부 감사 과정에서 드러났다.

The Child Rights Protection Agency spent roughly 2 billion won over a decade digitizing adoption records, but Newstapa's 2024 reporting exposed blank scans, falsified counts, and lost storage devices.

유출된 정보는 얼마나 민감한 것이었나?

문제의 핵심은 유출된 정보의 성격이다. 2025년 뉴스타파는 보장원이 실종아동 입소카드를 담은 외장하드 1개를 분실해 개인정보 약 3만 건이 유출된 사실을 추가로 보도했다. 여기에는 실종아동의 주민등록번호 약 1만 5,000건이 포함돼 있었다. 입소카드에는 성명, 성별, 주민등록번호는 물론 발생 일시와 장소, 신체적 특징 등 재식별 위험이 큰 민감정보가 고스란히 담겨 있었다.

올해 상반기에도 사고는 반복됐다. 보장원이 3월부터 운영한 입양정보공개시스템에서 입양인이 신청한 입양사실확인서와 예비 입양부모가 제출한 서류에 같은 일련번호가 부여되는 오류가 발생했다. 그 결과 서로 무관한 입양인과 예비 입양부모의 정보가 상대방에게 그대로 공개됐다. 안전성과 정합성 테스트를 누락한 탓이었다. 이 사고로 입양인 37명과 예비 입양부모 10명 등 47명의 정보가 노출됐다.

Beyond a lost hard drive exposing 15,000 resident registration numbers of missing children, a 2026 system error assigned identical serial numbers to unrelated applicants, cross-exposing the records of 47 adoptees and prospective parents.

9억 원 과징금은 어떤 기준으로 매겨졌나?

개인정보위는 보장원에서 발생한 개인정보 유출 사고 3건과 관련해 과징금과 과태료 총 8억 8,520만 원을 부과하기로 의결했다. 조사 과정에서는 보장원이 유출 사실을 인지하고도 72시간 이내에 정보주체 통지와 당국 신고를 하지 않은 문제도 드러났다. 개인정보보호법상 유출을 안 날로부터 72시간 이내에 신고하지 않으면 3천만 원 이하의 과태료 대상이 된다.

이 금액이 '역대 최대'인 이유는 종전 기록과 비교하면 뚜렷하다. 그간 공공기관에 부과된 최대 과징금은 올해 1월 한국연구재단의 7억 300만 원이었고, 전북대 6억 2,300만 원, 한국공무원연금공단 5억 3,200만 원, 한국사회복지협의회 4억 8,300만 원이 뒤를 이었다. 보장원 제재는 이 기록을 모두 넘어섰다. 다만 매출이 없는 공공기관은 과징금 상한이 20억 원으로 정해져 있어, 쿠팡 6,247억 원이나 SK텔레콤 1,347억 원처럼 매출액 기반으로 산정되는 기업 제재와는 체급 자체가 다르다.

The regulator imposed a combined 885 million won in fines for three breach cases, surpassing prior public-sector records like the National Research Foundation's 703 million won — though public bodies face a 2-billion-won ceiling, far below the revenue-based penalties levied on firms like Coupang.

이 제재는 무엇을 바꿀 수 있을까?

이번 결정은 공공기관의 개인정보 관리 책임을 다시 환기시킨다. 2026년 들어 공공기관 개인정보 보호수준 평가 기준이 강화되는 흐름과 맞물려, '매출이 없으니 제재도 약하다'는 오랜 지적에 대한 대응이 시작된 셈이다. 그러나 상한 20억 원이라는 구조적 한계가 그대로인 한, 아동의 주민등록번호가 담긴 기록조차 반복적으로 분실되는 관행이 과징금 몇억 원으로 실질적으로 억제될지는 미지수다.

더 근본적인 물음은 '기록의 주인'이 누구냐는 것이다. 입양인에게 전산화된 기록은 자신의 뿌리를 확인할 유일한 통로다. 그 자료가 백지로 스캔되거나 외장하드째 사라졌다는 사실은, 단순한 보안 사고를 넘어 당사자의 알 권리가 훼손됐다는 의미이기도 하다. 제재의 실효성만큼이나 기록 복원과 관리 체계 재설계가 뒤따라야 하는 이유다.

As public-sector data-protection standards tighten in 2026, the penalty signals accountability — yet with a fixed ceiling and repeated losses of children's records, the deeper question is whether adoptees can ever fully recover access to the roots these files were meant to preserve.

반복되는 유출, 왜 '사고'가 아니라 '구조'인가?

이번 제재를 한 기관의 실수로만 읽으면 본질을 놓치게 된다. 백지 스캔, 외장하드 분실, 일련번호 중복은 각각 다른 시점에 다른 담당자 손에서 벌어졌지만, 관통하는 문제는 하나다. 아동의 민감정보를 다루는 최소한의 관리 체계가 처음부터 설계되지 않았다는 점이다. 반출입 기록도, 관리 책임자 지정도 없이 캐비닛과 서랍에 저장매체를 두는 방식은 개인 부주의가 아니라 조직의 기본값이었다. 그렇기에 10년에 걸쳐 유형만 바꿔가며 사고가 되풀이된 것이다.

주목할 대목은 이 문제가 감사나 내부 점검이 아니라 언론 보도를 통해 세상에 드러났다는 사실이다. 2024년 첫 보도, 2025년 외장하드 분실 보도, 그리고 2년 만의 과징금까지, 제재의 출발점은 매번 외부의 추적이었다. 이는 공공기관 개인정보 관리가 자정 기능보다 외부 감시에 의존해왔다는 방증이기도 하다. 과징금 액수가 '역대 최대'라는 헤드라인에 가려지기 쉽지만, 진짜 물어야 할 것은 왜 당사자인 입양인과 실종아동 가족이 자신의 정보가 새어나간 사실조차 뒤늦게 알아야 했는가다.

결국 이 사안의 무게중심은 금액이 아니라 신뢰에 있다. 입양인에게 기록은 잃어버린 뿌리를 되찾는 마지막 실마리이고, 실종아동 가족에게 정보는 재회의 단서다. 그 자료를 국가가 부실하게 다뤄 오히려 위험에 노출시켰다면, 과징금 9억 원은 잃어버린 신뢰의 최소 청구서일 뿐이다. 제도가 진짜 바뀌었는지는 다음 보도가 나오지 않을 때 비로소 증명될 것이다.

Reading this as a one-off blunder misses the point: the absence of any basic control system — no access logs, no designated custodians — made repeated breaches the organizational default rather than an accident, and each was surfaced by journalism, not internal audit.

자주 묻는 질문

Q. 이번에 유출된 정보는 정확히 무엇인가요?

실종아동과 입양인 등의 개인정보 총 117만 건입니다. 여기에는 실종아동의 성명, 성별, 주민등록번호, 발생 일시·장소, 신체적 특징 등 민감정보가 포함됐고, 주민등록번호만 약 1만 5,000건에 달했습니다.

Q. 과징금 규모가 왜 '역대 최대'로 불리나요?

과징금과 과태료를 합쳐 약 8억 8,520만 원이 부과됐는데, 이는 단일 공공기관에 매겨진 개인정보 제재로는 가장 큰 액수입니다. 종전 최대였던 한국연구재단의 7억 300만 원을 넘어섰습니다.

Q. 72시간 통지·신고 의무란 무엇인가요?

개인정보보호법상 개인정보처리자는 유출 사실을 안 날로부터 72시간 이내에 정보주체에게 알리고 개인정보위 등에 신고해야 합니다. 이를 어기면 3천만 원 이하의 과태료가 부과되는데, 보장원은 이 의무도 지키지 않은 것으로 조사됐습니다.

Q. 공공기관 과징금이 기업보다 적은 이유는 무엇인가요?

과징금은 원칙적으로 매출액을 기준으로 산정되지만, 매출이 없거나 산정하기 어려운 공공기관은 상한이 20억 원으로 정해져 있습니다. 그래서 매출 기반으로 수천억 원이 부과되는 대기업 제재와는 규모 차이가 큽니다.