[금요저널] 개인정보보호위원회는 학생·교직원 등의 개인정보를 처리하는 에듀테크 분야 주요 사업자에 대한 사전 실태점검을 실시하고 확인된 미흡사항에 대한 시정권고 및 개선조치을 11월 11일 제22회 전체회의에서 심의·의결했다.
이번 점검은 에듀테크 서비스의 교육현장 활용이 확대되는 가운데, 최근 발생한 에듀테크 기업의 개인정보 유출 사고에 따른 우려를 해소하고 학생·교직원 등의 개인정보 침해 위험을 예방하기 위해 교육부와 협의해 점검 대상을 선정하고 합동점검을 추진했다.
주요 점검 항목은 △개인정보 수집·이용 시 동의, △수집목적이 달성된 개인정보 파기, △아동 정보 수집 절차, △개인정보 안전조치의무 등이다.
점검 결과, 일부 사업자에서 아동 정보 수집 시 법정대리인 동의 절차, 탈퇴 회원의 개인정보 미파기 및 업무위탁 공개 누락 등 개인정보 보호법 상 미흡사항이 확인됐다.
개인정보처리시스템의 접근권한 관리, 침입 탐지·차단 및 접속기록 관리 등 안전조치 의무와 관련한 미흡사항도 확인됐다.
구체적인 점검결과는 다음과 같다.
첫째, 개인정보 수집·이용 및 파기, 업무위탁 등 개인정보 처리 과정에서 일부 미흡사항이 확인됐다.
A사는만 14세 미만 아동의 개인정보 수집 과정에서 법정대리인의 동의를 받는 절차가 일부 미흡했으나, 점검 과정에서 개선했다. B사는 개인정보 처리업무를 위탁하면서 수탁자를 공개하지 않은 사실이 확인되었으나 조치했고 탈퇴 후 파기해야 할 개인정보를 운영 데이터베이스에 계속 보관하고 있어 이에 대해 시정권고 했다.
둘째, 개인정보처리시스템의 접근권한 관리 및 보안취약점 조치 등 안전조치 의무와 관련된 미흡사항이 확인됐다.
점검대상 사업자는 담당 업무에 따라 직원의 접근권한을 차등 부여하고 있었으나, 전 직원에게 관리자 권한을 부여하는 등 접근권한 관리가 미흡했다.
사업자들은 점검 과정에서 불필요한 접근권한을 회수하고 권한별 접근 가능 범위를 제한하는 등 조치를 완료했다.
또한 B사는 2025년 보안취약점 점검으로 발견된 취약점 일부를 조치하지 않은 사실이 확인되어 시정권고 했다.
셋째, 외부 침입 탐지·차단 및 접속기록 관리에서도 일부 미흡사항이 확인됐다.
B사는 외부의 비인가 접근 및 침입 행위에 대한 탐지·차단 조치가 미흡하고 현재 사용하지 않는 개발·테스트 페이지 등이 인터넷에 노출되어 있는 것으로 확인됐다.
해당 사업자들은 점검 과정에서 일부 개선했으며 조치가 완료되지 않은 사항은 시정권고를 통해 보완하도록 했다.
아울러 A,B사는 개인정보처리시스템의 접속기록을 보관하지 않고 있었으나, 점검과정에서 관련 조치했다.
이번 점검은 에듀테크 서비스의 개인정보 처리 과정에서 발생할 수 있는 침해 위험을 선제적으로 확인하고 미흡사항을 사업자가 자율적으로 개선하도록 유도했다는 데 큰 의의가 있다.
특히 다수 사업자에서 공통적으로 나타난 접근권한 관리 미흡사항을 개선하고 개인정보 파기 및 불법 침입 탐지·차단 등 미조치 사항에 대해서는 시정권고함으로써 교육현장의 개인정보 보호 수준을 높이는 계기를 마련했다.
앞으로도 개인정보위는 교육부 등 관계기관과 긴밀히 협력해 교육현장의 개인정보 보호와 안전한 에듀테크 서비스 이용을 위한 다양한 정책적 노력을 이어갈 계획이다.
이를 통해 학생·교직원 등이 안심하고 디지털 교육 서비스를 활용할 수 있는 신뢰받는 교육환경을 조성해 나갈 방침이다.
저작권자 © 금요저널 무단전재 및 재배포 금지
이승섭 연합취재본부
