통일부가 ‘2026년 민간 통일운동 활성화 지원사업’ 보조사업자를 선정하면서 개인정보 보호 역량과 관련 사고 이력을 심사하지 않은 것으로 확인됐다. 북한이탈주민 131명의 개인정보가 담긴 저장장치를 대북풍선에 실어 보낸 비영리 민간단체가 통일기반 조성을 위한 정부 지원사업 대상자로 선정된 배경이다. 해당 단체는 경찰로부터 개인정보 유출 사실을 통보받고도 2년 넘게 후속 통지·신고를 미뤘고, 지난 8월 개인정보보호위원회(개보위)로부터 과태료 720만원을 부과받았다.

정부서울청사 통일부. 연합뉴스

20일 세계일보 취재를 종합하면 비영리단체 북한발전연구원은 지난 3월 통일부가 공모한 ‘2026년 민간 통일운동 활성화 지원사업’ 보조사업자 9곳 중 하나로 선정됐다. 총 5억원 규모인 이 사업은 민간 주도의 통일 관련 활동을 지원해 평화와 공존에 대한 국민적 공감대를 확산하고 평화·통일의 사회적 합의 기반을 강화하는 것을 목적으로 한다. 연구원은 통일 연극 ‘어쩌다 사랑’을 사업으로 신청해 공모에 선정됐다.

문제는 이 연구원이 북한이탈주민 개인정보 유출 사실을 인지하고도 통지·신고를 장기간 지연한 이력이 있다는 점이다. 개보위에 따르면 경찰은 2023년 9월 15일 연구원 대표에게 북한이탈주민의 개인정보가 담긴 SD카드가 유출됐다고 통보한 후, 같은 해 10월 개보위에 사건을 이첩했다. SD카드에는 탈북민 131명의 성명·주민등록번호·주소·연락처·탈북년도·탈북 전 거주지 및 직업 등의 개인정보가 담겨 있었다. 북한 당국에 전달될 경우 당사자는 물론 북한에 남아 있는 가족의 신변에도 위협이 될 수 있는 민감한 정보다. 

현행 개인정보보호법에 따르면 개인정보가 유출됐음을 알게 된 개인정보처리자는 72시간 이내에 유출 항목, 유출 시점과 경위, 구제 절차 등을 알려야 한다. 그러나 연구원은 경찰 통보 이후 약 2년 10개월이 지난 올해 7월 8일에야 개인정보 유출 사실을 통지하고 신고했다. 개보위는 8월 연구원의 개인정보 보호 의무 위반과 유출 사실 통지·신고 지연을 법 위반행위로 판단하고 과태료를 부과했다.  

개인정보 보호 역량이나 과거 보안 사고 대응 이력은 민간 통일운동 활성화 지원사업 보조사업자 선정 평가 항목은 아니다. 그러나 사업 공고문에는 “보조사업자가 사업 수행 과정에서 주요 정보와 수행 결과 등이 무단으로 유출되지 않도록 참여 인력의 개인정보와 사업 수행 내용·결과에 대한 보안 조치가 포함된 대책을 수립하고 시행해야 한다”고 명시돼 있다. 사업 수행 과정에서의 보안 의무는 규정하면서도 정작 사업자 선정 단계에서는 이를 이행할 역량과 책임성을 검증할 기준이 없었던 셈이다. 특히 민감한 개인정보를 유출한 전력이 있는 단체조차 선정될 수 있다는 점에서 보조사업자 선정·심사 체계의 허점이 드러났다는 비판이 나온다.

통일부 관계자는 “해당 단체가 제출한 사업 내용은 연극에 관한 것이고, 사회통합적 의미가 있어 선정한 것”이라며 “선정은 3월, 과태료 결정은 8월에 이뤄져 현실적으로 심사에 고려되지 못했다”고 해명했다. 언제 해당 사실을 인지했는지는 답변하지 않았다. 탈북민 개인정보유출은 2023년에 확인된 사안이란 지적에 대해서는 “개인정보 절차에 대한 부분을 더 엄중하게 보고 향후 문제가 없도록 제도 개선에 힘쓰겠다”고 말했다. 

조채원 기자 [e-mail]