정부24 개인정보 유출, 공공기관이 내 개인정보를 유출했다면 어떻게 대응해야 할까요?
안녕하세요, 에토스 행정사사무소의 행정사 Jean입니다.
여러분은 티빙 쓰시나요?
저 역시 티빙을 이전에 썼다가 지웠는데, 일주일쯤 전에 제 계정 정보가 해킹되었다는 문자를 받았습니다.
그런데 이러한 정보 유출은 단순히 민간기업에서만 일어나는 것이 아닙니다.
정부기관에서도 일어났는데요. 바로 정부24가 그 주인공입니다.
2024년 4월, 전 국민이 사용하는 행정 포털 정부24에서 1,233명의 개인정보가 엉뚱한 사람에게 노출되는 사고가 발생했습니다.
생활기록부, 졸업증명서, 주민등록번호, 납세 내역까지.
내 민감한 정보가 나도 모르는 사람의 화면에 뜬 겁니다.
더 황당한 것은 행정안전부가 이 사실을 2024년 4월 1일 이미 알았으면서 피해자에게 알린 것은 11일에서 22일이 지난 뒤였다는 점입니다.
개인정보보호법 제34조 제1항과 같은 법 시행령 제39조 제1항은 개인정보 유출 사실을 알게 된 경우 원칙적으로 72시간 이내 정보주체에게 통지하도록 규정하고 있습니다.
개인정보보호위원회는 이후 행정안전부에 과징금 2억 7,300만 원과 과태료 750만 원의 제재를 의결했습니다.
공공기관의 개인정보 보호 책임 역시 민간기업과 다르지 않다는 점을 보여준 사례입니다.
그런데 여기서 멈추면 안 됩니다.
과징금은 행정기관에 대한 제재입니다.
피해자인 나는 별도로 내 권리를 행사해야 합니다.
오늘은 공공기관이 내 개인정보를 유출했을 때 피해자가 행정적으로 검토할 수 있는 대응 방법을 정리해보겠습니다.
민간기업 유출과 공공기관 유출은 무엇이 다를까요?
티빙과 같은 민간기업에서 개인정보가 유출된 경우와 정부24처럼 공공기관이 개인정보를 유출한 경우에는 대응 과정에서 차이가 생길 수 있습니다.
| 구분 | 민간기업 유출 | 공공기관 유출 | |---|---|---| | 직접적인 권리 행사 | 기업에 열람·삭제 등 요구 | 해당 공공기관에 열람·삭제 등 요구 | | 불복·구제 수단 | 분쟁조정·민사소송 등 | 처분에 따라 행정심판 검토 가능 | | 행정심판 비용 | 해당 없음 | 무료 | | 주요 특징 | 사업자와 정보주체의 관계 | 행정기관의 처분·부작위가 문제될 수 있음 |
공공기관이 상대라면 개인정보보호법상 권리행사뿐 아니라, 그에 대한 거부처분 등이 있는 경우 행정심판이라는 행정적 권리구제 절차를 검토할 수 있다는 점이 중요합니다.
1단계 — 내 정보가 어떻게 처리됐는지 열람을 요구할 수 있습니다
먼저 개인정보보호법 제35조에 따라 해당 기관에 자신의 개인정보에 대한 열람을 요구할 수 있습니다.
정부24 사고를 예로 들면 행정안전부 등을 상대로 자신의 개인정보가 어떤 방식으로 처리되고 있는지를 확인하는 절차를 생각해볼 수 있습니다.
직접 해당 공공기관에 열람 요구를 하는 것이 어렵다면 개인정보 포털을 통한 개인정보 열람 요구 절차도 활용할 수 있습니다.
중요한 것은 말로만 문의하고 끝내지 않는 것입니다.
어떤 정보를 요구했고, 기관이 어떤 내용으로 답변했는지를 문서로 남겨놓아야 이후 대응에서도 활용할 수 있습니다.
행정사는 의뢰인의 위임을 받아 관계 법령이 허용하는 범위에서 이러한 행정기관 제출 서류의 작성과 제출 절차를 지원할 수 있습니다.
2단계 — 삭제 또는 처리정지를 요구할 수 있습니다
열람 결과를 확인한 뒤에는 상황에 따라 개인정보의 삭제나 처리정지를 검토할 수 있습니다.
개인정보보호법 제36조는 개인정보의 정정·삭제에 관한 권리를, 제37조는 개인정보 처리정지 요구에 관한 권리를 규정하고 있습니다.
다만 여기에는 중요한 예외가 있습니다.
공공기관이 법령에 따라 반드시 해당 정보를 보존하거나 처리해야 하는 경우까지 정보주체가 언제나 삭제를 요구할 수 있는 것은 아닙니다.
즉,
개인정보가 유출됐으니 정부가 가지고 있는 내 정보를 모두 지워달라
고 요구한다고 해서 반드시 모든 정보가 삭제되는 구조는 아닙니다.
어떤 개인정보인지, 어떤 법적 근거로 기관이 보유하고 있는지, 삭제나 처리정지가 가능한 정보인지를 따져봐야 합니다.
이 과정에서도 필요한 경우 정정·삭제·처리정지 요구서 등의 작성 지원을 검토할 수 있습니다.
3단계 — 공공기관이 거부했다면 행정심판을 검토할 수 있습니다
공공기관에 개인정보 열람·정정·삭제·처리정지 등을 요구했는데 기관이 이를 거부했다면, 그 거부가 행정심판의 대상이 되는 처분에 해당하는지를 검토할 필요가 있습니다.
행정심판은 행정소송과 달리 별도의 인지대가 들지 않고, 절차도 상대적으로 간소합니다.
행정기관의 처분으로 권리나 이익을 침해받았다고 판단된다면 중요한 권리구제 수단이 될 수 있습니다.
다만 모든 개인정보 관련 분쟁이 곧바로 행정심판 대상이 되는 것은 아닙니다.
핵심은 기관의 답변이 단순한 안내인지, 법적으로 국민의 권리·의무에 직접 영향을 미치는 처분 또는 부작위에 해당하는지를 먼저 판단하는 것입니다.
그리고 행정심판에는 청구기간도 있습니다.
행정심판법상 원칙적으로 처분이 있음을 안 날부터 90일 이내, 처분이 있었던 날부터 180일 이내에 청구해야 합니다.
따라서 거부 통지를 받은 경우에는 내용뿐 아니라 통지받은 날짜도 함께 확인해두는 것이 좋습니다.
행정사는 행정심판 사건에서 청구서 작성, 사실관계 정리, 증거자료 구성, 청구기간 검토 등을 지원할 수 있습니다.
4단계 — 개인정보 침해신고도 함께 검토할 수 있습니다
개인정보 침해가 발생했다면 개인정보 침해신고 절차도 검토할 수 있습니다.
온라인으로 개인정보 포털을 이용하거나 국번 없이 118을 통해 개인정보 침해 관련 상담·신고 절차를 확인할 수 있습니다.
여기서 중요한 것은 행정심판과 개인정보 침해신고의 목적이 서로 다르다는 점입니다.
침해신고는 개인정보 보호법 위반 여부에 대한 조사와 시정·제재를 요청하는 성격이 강하고, 행정심판은 공공기관이 나에게 한 구체적인 처분의 위법·부당성을 다투는 절차입니다.
따라서 사안에 따라 어느 한 절차만 선택해야 하는 것이 아니라, 서로 다른 목적의 절차를 함께 검토할 수도 있습니다.
정보가 유출됐다면 무엇부터 확인해야 할까요?
공공기관에서 개인정보 유출 통지를 받았다면 최소한 다음 사항은 확인해두는 것이 좋습니다.
- 어떤 개인정보가 유출됐는가?
- 유출 사실을 언제 알게 됐는가?
- 기관은 언제 나에게 통지했는가?
- 현재 해당 개인정보는 어떤 상태로 처리되고 있는가?
- 정정·삭제·처리정지를 요구할 필요가 있는가?
- 이미 기관에 요구했다면 어떤 답변을 받았는가?
- 거부 통지를 받았다면 수령일이 언제인가?
- 행정심판 대상이 되는 처분인지 검토했는가?
특히 행정심판을 검토해야 하는 상황이라면 처분서를 받은 날짜와 실제 내용을 먼저 보관하는 것이 중요합니다.
과징금을 냈다고 해서 피해자의 문제가 끝나는 것은 아닙니다
정부24 개인정보 유출 사건에서 행정기관에 과징금이나 과태료가 부과되었다고 해도, 이것이 곧 피해자 개개인의 권리가 회복됐다는 의미는 아닙니다.
기관에 대한 제재와 개인의 권리구제는 서로 다른 문제이기 때문입니다.
내 개인정보가 어떤 범위에서 유출됐는지 확인하고 싶다면 열람 요구가 필요할 수 있습니다.
잘못된 정보가 처리되고 있다면 정정이나 삭제를 검토할 수 있습니다.
개인정보 처리를 멈출 필요가 있다면 처리정지를 요구할 수 있습니다.
그리고 공공기관이 이러한 요구를 위법·부당하게 거부했다면 그때는 행정심판 가능성까지 검토할 수 있습니다.
행정절차에서 중요한 것은 결국 기록입니다.
언제 통지받았는지, 무엇을 요구했는지, 기관이 어떤 이유로 거절했는지가 이후 판단을 좌우합니다.
마치며
정부24 사건은 단순한 시스템 오류로만 볼 문제는 아닙니다.
공공기관은 주민등록번호를 비롯해 국민의 생활과 직결되는 매우 민감한 정보를 대규모로 보유하고 있습니다.
따라서 개인정보가 유출됐을 때 중요한 것은 뉴스에서 과징금 액수를 확인하고 끝내는 것이 아닙니다.
내 정보가 무엇인지 확인하고, 필요한 권리를 행사하고, 기관이 이를 거부한다면 어떤 구제절차를 이용할 수 있는지까지 살펴봐야 합니다.
특히 공공기관으로부터 개인정보 열람·정정·삭제·처리정지 요구를 거부당했다면, 그 답변이 행정심판 대상이 되는 처분인지부터 확인해볼 필요가 있습니다.
개인정보 관련 행정기관의 처분이나 거부 통지를 받았는데 어디서부터 검토해야 할지 모르겠다면, 현재 가지고 있는 통지서와 기관 답변부터 정리해보시는 것이 첫 단계입니다.
정부24개인정보유출, 공공기관개인정보, 행정심판, 개인정보보호법, 개인정보열람청구, 개인정보삭제청구, 개인정보처리정지, 개인정보침해신고, 개인정보보호위원회, 행정안전부, 개인정보피해대응, 행정사, 에토스행정사, 정보주체권리, 공공기관행정심판, 개인정보권리행사, 행정사Jean
※ 본 글은 일반적 정보 제공을 목적으로 하며, 개별 사안에 대한 법률·행정 자문이 아닙니다. 실제 사안은 사실관계와 관련 법령·행정 처분에 따라 결과가 달라질 수 있으므로, 구체적인 판단은 반드시 담당 행정사 또는 전문가와 개별 상담하시기 바랍니다.