"호기심에 봤다" 건보공단·심평원 개인정보 무단열람 반복

[프라임경제] #."호기심에 봤다." 가족과 전 여자친구, 아파트 매매계약 상대방의 개인정보를 전산시스템에서 62차례나 조회한 국민건강보험공단 직원의 징계 사유다. 또 다른 직원은 배우자의 취업 준비를 돕겠다며 동료들의 개인정보를 들여다보고, 여동생의 부탁을 받고 개인정보를 전달하기도 했다.

국민의 건강·보험·의료정보를 다루는 국민건강보험공단과 건강보험심사평가원에서 업무 목적을 벗어난 개인정보 무단열람과 외부반출 사례가 잇따르고 있다. 단순한 호기심부터 가족의 취업 준비, 업무 편의까지 사유도 다양해 공공기관의 개인정보 접근권한 관리와 내부통제에 허점이 있다는 지적이다.

◆가족·전 연인 정보까지…'호기심'에 무너진 개인정보 접근권한

14일 허종식 더불어민주당 의원(인천 동구·미추홀구갑)이 건보공단과 심평원으로부터 제출받은 징계사유설명서에 직원이 업무와 무관한 개인정보를 반복적으로 조회한 사례가 확인됐다.

5급 직원 A씨는 2020년 12월부터 2023년 11월까지 가족과 전 여자친구, 아파트 매매계약 상대방 등의 개인정보를 62차례 무단열람해 정직 3개월 처분을 받았다.

4급 과장 B씨는 2023년 12월부터 2025년 6월까지 직원들의 성명·주민등록번호·보수월액 등을 업무 목적 외로 조회했다. 일부는 배우자의 취업 준비를 위한 것이었으며, 여동생의 부탁으로 동료 개인정보를 조회해 전달한 사실도 확인돼 해임됐다.

또 다른 4급 과장 C씨는 가족·친인척 6명의 개인정보를 16차례 조회해 견책 처분을 받았으며, 5급 직원 D씨도 상대방의 개인정보를 수십 차례 조회하고 변경된 주소까지 확인해 정직 3개월 처분을 받았다.

◆"업무 편의 때문에"…민감정보 외부반출도

개인정보를 외부로 반출한 사례도 확인됐다. 3급 팀장 E씨는 2025년 초 건강검진 미수검자 독려업무 과정에서 개인정보·민감정보가 담긴 파일을 접근권한이 없는 직원의 PC에 내려받아 복호화한 뒤 개인 이메일로 보내 자택에서 업무에 활용했다. 공단은 감봉 2개월 처분을 내렸다.

5급 대리 F씨는 지난해 4월 등기우편료를 줄이기 위해 발송 대상자 명단을 우체국 이메일로 보내면서 주민등록번호 76건, 외국인등록번호 5건, 휴대전화번호 150건, 일반전화번호 20건이 담긴 파일을 함께 전송해 견책 처분을 받았다.

건보공단과 심평원이 건강·진료정보 등 민감도가 높은 정보를 다루는 기관이라는 점에서 내부 직원의 접근권한 관리가 더욱 중요하다는 지적이다. 단순한 외부 해킹뿐 아니라 내부자의 사적 열람과 부주의한 반출 역시 개인정보 유출로 이어질 수 있어서다.

◆"공적 권한, 개인 것처럼 사용해서는 안 돼"

이번 사례들은 개인정보 보호가 외부 해킹이나 시스템 침해에만 국한된 문제가 아니라는 점도 보여준다. 기관 내부에서 정상적인 업무 수행을 위해 부여받은 접근권한이 가족이나 지인의 정보를 확인하거나 개인적인 편의를 위해 사용될 경우, 외부 공격이 없어도 개인정보가 유출될 수 있기 때문이다.

허종식 의원은 "개인정보 접근·조회·반출 권한 관리와 내부통제 체계를 전면 점검해야 한다"며 "업무 목적을 벗어난 정보 이용을 철저히 차단해 국민이 맡긴 정보를 보호해야 한다"고 강조했다.

결국 관건은 개인정보를 누가, 언제, 어떤 목적으로 조회하고 반출했는지를 실시간으로 통제할 수 있는 내부관리 체계를 갖추는 데 있다. 특히 건강·진료정보처럼 민감도가 높은 정보에 대해서는 단순 징계를 넘어 접근권한 부여부터 조회 이력 관리, 외부 전송 차단까지 전반적인 관리체계를 재점검할 필요가 있다는 지적이다.