	국회의원 김 용 익 보 도 자 료
2012. 10. 5(금)	서울특별시 영등포구 의사당대로 1 국회의원회관 614호 전화 : 784-2570 / FAX : 788-0145 / yikim614@na.go.kr

복지부 산하․소속 기관 개인정보보호 조치 미흡

- 29개 기관 중 14개 기관 개인정보 필수조치사항 미이행

- 국민연금공단, 한국보건복지정보개발원은 개인정보 암호화 안해

보건복지부 산하기관 및 소속기관의 개인정보보호 조치가 미흡한 것으로 드러났다.

5일 민주통합당 김용익 의원실이 복지부로부터 제출받은 ‘개인정보보호 필수조치사항 자체점검 결과’를 보면 올해 7월말 기준으로 복지부 본부를 포함한 29개 산하․소속기관 중 14개 기관이 필수조치사항을 완료하지 못한 것으로 확인됐다.

※ 국립중앙의료원이 필수조치사항을 완료하여 10월 현재 13개 기관이 미이행 상태

개인정보보호 필수조치사항이란, 지난해 9월 「개인정보보호법」이 시행된 이후 공공기관이 개인정보보호를 위해 꼭 지켜야할 45개 항목을 말한다. 공공기관 홈페이지 회원가입 시 주민번호 대체수단 적용, 보유하고 있는 개인정보의 파기, 데이터 암호화 등이 주요 항목이다.

개인정보보호 필수조치사항을 모두 이행하지 않은 것으로 적발된 기관에는 건강보험심사평가원, 국민연금공단, 한국보건복지정보개발원 등 대량의 개인정보를 보유하고 있는 기관들이 포함되어 있으며 한국보건복지인력개발원, 한국보육진흥원 등도 개인정보보호 조치가 미흡한 것으로 나타났다. (붙임자료1. 참조)

특히, 국민연금공단과 한국보건복지정보개발원은 민감한 개인정보를 대량으로 보유하고 있지만, ‘데이터 암호화’ 작업이 늦어지고 있어 개인정보가 유출될 경우 큰 피해가 예상된다.

복지부 산하․소속기관이 개인정보보호 조치를 소홀히 하는 동안, 공공기관 홈페이지를 통해 개인정보가 노출되는 사건이 빈번하게 발생했던 것으로 확인됐다.

2011년부터 2012년 8월까지 보건복지부 산하․소속기관 중, 총 17개 사이트(중복 포함)에서 108건의 개인정보가 노출된 것으로 확인됐고, 개인정보보호법이 시행된 2011년 9월 이후에도 11개 사이트(중복포함)에서 50건의 개인정보가 노출된 것으로 나타났다. (붙임자료2. 참조)

이번에 확인된 필수조치사항 미 이행 건은 대부분 현행법 위반에 해당하는 사안으로, 홈페이지 회원가입 시 주민번호 대체수단 미이행과 개인정보 파기 미이행 등의 경우 「개인정보보호법」 제75조제2항에 따라 3천만원 이하의 과태료를 물게 된다.

복지부 산하․소속기관의 개인정보보호 필수조치사항이 미흡한 것에 대해, 민주통합당 김용익 의원은 “복지부 산하기관 및 소속기관에는 개인의 건강상태나 질병이력을 알 수 있는 민감한 정보가 대량으로 축적되어 있기 때문에 다른 기관보다 특별한 관리가 필요하다”고 말했다.

<붙임자료1.>

<보건복지부 산하․소속기관 개인정보보호 필수조치사항 미이행 내역 (7월말 기준)>

기관명	미이행 내역	향후 조치 계획
국립공주병원	- 개인정보 파기 미이행	폐기 대상 파일 협의 후 폐기 예정(2012.10) 취급자 전체 보안서약서 제출 요청(2012.9)
국립목포병원	개인정보 파기 미이행 개인정보 암호화 미이행	결핵병원 의료정보시스템 개발중이며 완료시 적용(2012.11)
국민연금공단	개인정보 암호화 미이행	개인정보 암호화 계획 추진(2012.12)
건강보험심사평가원	영향평가 미실시, 결과를 행안부에 미제출 개인정보파일 등록시 영향평가 결과 미첨부	개인정보 영향평가 관련 내부 개인정보보호 분야 용역사업 후 진행 예정(2012.10)
한국보건복지정보개발원	개인정보 암호화 미이행	하반기 영향평가를 통해 2013년 암호화 단계적 추진 예정
국립암센터	홈페이지 회원가입시 주민번호 대체수단 도입 미이행 영향평가 미실시, 결과를 행안부에 미제출 개인정보파일 등록시 영향평가 결과 미첨부	홈페이지 가입시 주민번호 대체수단(GPIN) 적용 예정(2012.9) 중요시스템부터 단계별 영향평가 실시 예정(2012.10)
국립중앙의료원	내부관리계획 미비 동의서식 미비	개인정보파일 관리체계 구축 예정(2012 하반기) 의무기록열람 및 사본발급거절 통지서 서식이 부재하여 신규 제정 및 원내 비치 예정(2012.11)
한국보건산업진흥원	접속기록의 보관 및 위․변조 방지 조치 미이행	접속기록의 보관 및 위․변조 방지 조치 예정(2012.11)
한국보건복지인력개발원	홈페이지 회원가입시 주민번호 대체수단 도입 미이행 접속기록의 보관 및 위․변조 방지 조치 미이행 영향평가 미실시, 결과를 행안부에 미제출 개인정보파일 등록시 영향평가 결과 미첨부 시스템 접근권한 차등 미이행	홈페이지 가입시 주민번호 대체수단(GPIN) 적용 예정 접속기록 관리 및 영향평가에 필요한 2013년 예산 요구 개인정보 영향평가 수행 이후 개인정보 보유기간의 적정성 및 절차수립 예정(2013년) 접근권한 차등부여를 위한 프로그램 수정 및 시스템 확보 예정(2012 4분기)
한국국제보건의료재단	개인정보 암호화 미이행	암호화에 필요한 2013년 예산 요구
한국노인인력개발원	접속기록의 보관 및 위․변조 방지 조치 미이행	접속기록 관리 예정(2012.11)
한국장애인개발원	개인정보 암호화 미이행	개인정보 암호화 도입 예정(2012.11)
한국보육진흥원	홈페이지 회원가입시 주민번호 대체수단 도입 미이행 개인정보 암호화 미이행 접속기록의 보관 및 위․변조 방지 조치 미이행	주민등록번호 대체방안에 필요한 2013년 예산 요구 개인정보암호화 및 접속기록 관리프로그램 도입 예정(2012.11)
한국건강증진재단	개인정보 암호화 미이행 영향평가 미실시, 결과를 행안부에 미제출	개인정보암호화 솔루션 도입 예정(2013년) 금연사업 관련 개인정보 영향평가 실시 예정(2012.9)

※ 자료출처 : 보건복지부

<붙임자료2.>

<홈페이지를 통하여 개인정보가 노출된 사례 (2011~2012.8)>

일 시		대상 사이트(기관)	노출건수
2011년	3월	- 한국국제보건의료재단	1건
	5월	- 국민연금공단	25건
		- 질병관리본부(예방접종도우미)	19건
	6월	국립암센터	10건
	8월	국민건강보험공단	1건
		보건복지부(건강증진사업지원단)	2건
	10월	질병관리본부	13건
		한국보건산업진흥원	4건
	11월	한국장애인개발원	1건
2012년	3월	대한적십자사	6건
		한국건강증진재단	2건
	5월	대한적십자사	2건
	6월	국립암센터	10건
	7월	보건복지부(2011사회서비스박람회)	1건
	8월	국립암센터	11건
		한국사회복지협의회(복지넷)	3건
		한국보건산업진흥원	7건
소계	개인정보보호법 시행이후	11개	50건
총계		17개	108건

※ 자료출처 : 보건복지부