'%3e%3crect%20x='70'%20y='80'%20width='230'%20height='290'%20rx='12'%20fill='%23DCE4EE'/%3e%3crect%20x='94'%20y='108'%20width='120'%20height='12'%20rx='6'%20fill='%2394A3B8'/%3e%3crect%20x='94'%20y='134'%20width='180'%20height='7'%20rx='3.5'%20fill='%23B8C4D3'/%3e%3crect%20x='94'%20y='150'%20width='160'%20height='7'%20rx='3.5'%20fill='%23B8C4D3'/%3e%3crect%20x='94'%20y='180'%20width='180'%20height='22'%20rx='5'%20fill='%23FFFFFF'/%3e%3crect%20x='94'%20y='212'%20width='180'%20height='22'%20rx='5'%20fill='%23FFFFFF'/%3e%3crect%20x='94'%20y='244'%20width='180'%20height='22'%20rx='5'%20fill='%23FFFFFF'/%3e%3crect%20x='94'%20y='276'%20width='180'%20height='22'%20rx='5'%20fill='%23FFFFFF'/%3e%3c/g%3e%3c!--%20main%20chart%20card%20--%3e%3crect%20x='190'%20y='110'%20width='290'%20height='220'%20rx='14'%20fill='%23FFFFFF'/%3e%3crect%20x='214'%20y='132'%20width='110'%20height='11'%20rx='5.5'%20fill='%230B3A6E'/%3e%3crect%20x='214'%20y='150'%20width='70'%20height='7'%20rx='3.5'%20fill='%23CBD5E1'/%3e%3c!--%20horizontal%20bars%20(90/47/11/1%20proportion)%20--%3e%3crect%20x='214'%20y='180'%20width='232'%20height='18'%20rx='4'%20fill='%23E8EEF6'/%3e%3crect%20x='214'%20y='180'%20width='232'%20height='18'%20rx='4'%20fill='%230B3A6E'/%3e%3crect%20x='214'%20y='210'%20width='232'%20height='18'%20rx='4'%20fill='%23E8EEF6'/%3e%3crect%20x='214'%20y='210'%20width='121'%20height='18'%20rx='4'%20fill='%230F766E'/%3e%3crect%20x='214'%20y='240'%20width='232'%20height='18'%20rx='4'%20fill='%23E8EEF6'/%3e%3crect%20x='214'%20y='240'%20width='30'%20height='18'%20rx='4'%20fill='%235EC4B6'/%3e%3crect%20x='214'%20y='270'%20width='232'%20height='18'%20rx='4'%20fill='%23E8EEF6'/%3e%3crect%20x='214'%20y='270'%20width='6'%20height='18'%20rx='3'%20fill='%2394A3B8'/%3e%3crect%20x='214'%20y='302'%20width='150'%20height='7'%20rx='3.5'%20fill='%23CBD5E1'/%3e%3c!--%20donut%20card%20--%3e%3crect%20x='366'%20y='40'%20width='150'%20height='120'%20rx='14'%20fill='%230F766E'/%3e%3ccircle%20cx='412'%20cy='100'%20r='28'%20fill='none'%20stroke='%23FFFFFF'%20stroke-opacity='0.25'%20stroke-width='12'/%3e%3ccircle%20cx='412'%20cy='100'%20r='28'%20fill='none'%20stroke='%23FFFFFF'%20stroke-width='12'%20stroke-dasharray='173%203'%20transform='rotate(-90%20412%20100)'/%3e%3crect%20x='452'%20y='84'%20width='46'%20height='12'%20rx='6'%20fill='%23FFFFFF'/%3e%3crect%20x='452'%20y='104'%20width='34'%20height='7'%20rx='3.5'%20fill='%23FFFFFF'%20fill-opacity='0.6'/%3e%3c!--%20magnifier%20--%3e%3ccircle%20cx='150'%20cy='330'%20r='50'%20fill='%23FFFFFF'%20fill-opacity='0.15'%20stroke='%23FFFFFF'%20stroke-width='10'/%3e%3ccircle%20cx='150'%20cy='330'%20r='50'%20fill='none'%20stroke='%235EC4B6'%20stroke-width='3'/%3e%3cpath%20d='M186%20366%20l44%2044'%20stroke='%23FFFFFF'%20stroke-width='16'%20stroke-linecap='round'/%3e%3cpath%20d='M130%20320%20h40%20M130%20336%20h28'%20stroke='%23FFFFFF'%20stroke-width='7'%20stroke-linecap='round'/%3e%3c!--%20warning%20tag%20--%3e%3crect%20x='402'%20y='300'%20width='110'%20height='40'%20rx='20'%20fill='%23FFFFFF'/%3e%3ccircle%20cx='424'%20cy='320'%20r='10'%20fill='%23C2410C'/%3e%3crect%20x='423'%20y='313'%20width='2'%20height='9'%20rx='1'%20fill='%23FFFFFF'/%3e%3ccircle%20cx='424'%20cy='325.5'%20r='1.3'%20fill='%23FFFFFF'/%3e%3crect%20x='442'%20y='316'%20width='56'%20height='8'%20rx='4'%20fill='%230B3A6E'/%3e%3ccircle%20cx='60'%20cy='110'%20r='5'%20fill='%23C9A24A'/%3e%3ccircle%20cx='528'%20cy='210'%20r='4'%20fill='%23FFFFFF'%20fill-opacity='0.6'/%3e%3c/svg%3e)
149건
개인정보 수집 설문 모두 보안인증 없는 서비스
실태조사·분석
국민이 실제로 마주하는 온라인 신청·설문 화면을 SURE-CHECK로 같은 기준에서 진단하고, 결과를 기관에 알려 개선으로 이어 갑니다.
핵심 결과
공공기관 홈페이지 1,347곳 전수조사 — 개인정보 수집 설문 149건, 모두 보안인증 없는 서비스 사용
98.7%
안전조치 안내 미흡, 147건
87.5%
회신 40곳 중 35곳
수용·개선
10건 (6.7%)
주민등록번호·건강·장애 정보 입력 요구
조사 개요
| 항목 | 내용 |
|---|---|
| 조사 목적 | 국가·공공기관이 공개 운영하는 온라인 설문·신청서의 개인정보 수집 실태 진단과 개선과제 도출 |
| 조사 주체 | (재)한국컨설팅산업재단 부설 개인정보보호진흥원 (박상혁 의원실 공동) |
| 조사 범위 | 개인정보 보호수준 진단 대상 1,464개 기관 중 홈페이지가 있는 1,347개 기관의 공개 설문 링크 |
| 조사 기간 | 2026. 8. 21. ~ 10. 5. |
| 조사 방법 | 자동진단도구 SURE-CHECK로 공개 링크를 진단한 뒤 전문가가 재확인 |
| 분석 대상 | 진단한 설문 중 결과 통보 공문을 발송한 137개 기관의 개인정보 수집 설문 149건 |
| 평가 기준 | ① 수집 도구의 클라우드 보안인증(CSAP) 여부 ② 수집 항목(민감정보·고유식별정보 포함 여부) ③ 처리 안내 게시 여부(목적·항목·보유기간·파기·위탁·국외이전·동의 거부권 등) — 「개인정보 보호법」 제15·21·23·24조의2·26·28조의8·29조, 클라우드컴퓨팅법, 국가정보원 보안 기준 |
| 조사의 한계 | 공개 화면만 분석했으며 기관 내부·비공개·로그인 영역은 제외. 응답 자료를 열람하거나 개인정보를 수집하지 않음. 실제 응답자 수가 아닌 입력 요구 문항과 안내 내용 기준 |
- 항목조사 목적내용국가·공공기관이 공개 운영하는 온라인 설문·신청서의 개인정보 수집 실태 진단과 개선과제 도출
- 항목조사 주체내용(재)한국컨설팅산업재단 부설 개인정보보호진흥원 (박상혁 의원실 공동)
- 항목조사 범위내용개인정보 보호수준 진단 대상 1,464개 기관 중 홈페이지가 있는 1,347개 기관의 공개 설문 링크
- 항목조사 기간내용2026. 8. 21. ~ 10. 5.
- 항목조사 방법내용자동진단도구 SURE-CHECK로 공개 링크를 진단한 뒤 전문가가 재확인
- 항목분석 대상내용진단한 설문 중 결과 통보 공문을 발송한 137개 기관의 개인정보 수집 설문 149건
- 항목평가 기준내용① 수집 도구의 클라우드 보안인증(CSAP) 여부 ② 수집 항목(민감정보·고유식별정보 포함 여부) ③ 처리 안내 게시 여부(목적·항목·보유기간·파기·위탁·국외이전·동의 거부권 등) — 「개인정보 보호법」 제15·21·23·24조의2·26·28조의8·29조, 클라우드컴퓨팅법, 국가정보원 보안 기준
- 항목조사의 한계내용공개 화면만 분석했으며 기관 내부·비공개·로그인 영역은 제외. 응답 자료를 열람하거나 개인정보를 수집하지 않음. 실제 응답자 수가 아닌 입력 요구 문항과 안내 내용 기준
1,464
진단 대상 기관
1,347
홈페이지 운영 기관(전수)
137개 기관 · 149건
결과 통보·분석 대상
주요 결과
① 기관 유형별 현황
| 항목 | 건수 |
|---|---|
| 출연·출자기관 | 58건 (38.9%) |
| 지방자치단체 | 56건 (37.6%) |
| 그 밖의 공공기관 | 18건 (12.1%) |
| 중앙행정기관 | 6건 (4.0%) |
| 지방공기업 | 6건 (4.0%) |
| 교육기관 | 3건 (2.0%) |
| 중앙행정기관 소속기관 | 2건 (1.3%) |
출연·출자기관과 지방자치단체가 전체의 76.5%(114건)를 차지했습니다. 중앙부처에 대한 조치가 소속기관·산하 법인과 지방 공공기관까지 전달되도록 주무부처·지자체별 이행체계가 필요합니다.
② 수집 도구와 보안인증
| 항목 | 건수 |
|---|---|
| 구글폼 | 90건 (60.4%) 해당 서비스 CSAP 인증 없음 |
| 네이버폼 | 47건 (31.5%) 해당 서비스 CSAP 인증 없음 |
| 모아폼 | 11건 (7.4%) 해당 서비스 CSAP 인증 없음 |
| SurveyMonkey | 1건 (0.7%) 해당 서비스 CSAP 인증 없음 |
구글폼·네이버폼·모아폼 등은 한국인터넷진흥원(KISA)이 공개한 인증 현황에서 해당 서비스의 클라우드 보안인증(CSAP)이 확인되지 않았습니다. 구글 클라우드 플랫폼이나 네이버의 다른 공공용 상품이 받은 인증은 이들 설문 서비스에 적용되지 않습니다.
'%3e%3crect%20x='360'%20y='262'%20width='54'%20height='64'%20rx='5'%20fill='%23FFFFFF'%20stroke='%2394A3B8'%20stroke-width='2'/%3e%3crect%20x='368'%20y='274'%20width='38'%20height='5'%20rx='2.5'%20fill='%230F766E'/%3e%3crect%20x='368'%20y='286'%20width='38'%20height='4'%20rx='2'%20fill='%23CBD5E1'/%3e%3crect%20x='368'%20y='296'%20width='38'%20height='4'%20rx='2'%20fill='%23CBD5E1'/%3e%3crect%20x='368'%20y='306'%20width='26'%20height='4'%20rx='2'%20fill='%23CBD5E1'/%3e%3c/g%3e%3crect%20x='372'%20y='250'%20width='54'%20height='64'%20rx='5'%20fill='%23FFFFFF'%20stroke='%2394A3B8'%20stroke-width='2'/%3e%3crect%20x='380'%20y='262'%20width='38'%20height='5'%20rx='2.5'%20fill='%230F766E'/%3e%3crect%20x='380'%20y='274'%20width='38'%20height='4'%20rx='2'%20fill='%23CBD5E1'/%3e%3crect%20x='380'%20y='284'%20width='38'%20height='4'%20rx='2'%20fill='%23CBD5E1'/%3e%3c!--%20warning%20badge%20--%3e%3cpath%20d='M240%2046%20l24%2042%20h-48%20z'%20fill='%23E07A2F'%20stroke='%23E07A2F'%20stroke-width='6'%20stroke-linejoin='round'/%3e%3crect%20x='238'%20y='58'%20width='4'%20height='16'%20rx='2'%20fill='%23FFFFFF'/%3e%3ccircle%20cx='240'%20cy='80'%20r='2.6'%20fill='%23FFFFFF'/%3e%3c/svg%3e)
서비스 운영사는 자체적으로 높은 보안 체계를 갖추고 있습니다. 문제의 초점은 서비스의 보안이 아니라 이용 방식에 있습니다. 공공기관이 기관의 관리·통제 밖에서 담당자 개인 계정과 내려받은 사본으로 국민의 개인정보를 처리하면, 계정 관리·접근 권한·보관 위치·파기를 기관이 확인할 수 없게 됩니다.
③ 개인정보 처리 안내 미흡률
| 항목 | 건수 |
|---|---|
| 안전조치 | 147건 (98.7%) |
| 위탁 | 143건 (96.0%) |
| 국외이전 | 99건 (66.4%) |
| 동의 거부권 | 91건 (61.1%) |
미흡: 안내가 없거나 일부만 게시된 경우. 한 설문이 여러 항목에 중복 집계될 수 있음
④ 민감·고위험 정보 입력 문항(10건)
주민등록번호 3건, 건강·장애 정보 8건(1건은 둘 다 해당) · 구글폼 5건, 네이버폼 5건
| 번호 | 기관 유형 | 도구 | 설문 성격 | 입력 요구 정보 |
|---|---|---|---|---|
| 1 | 재단(출연·출자) | 네이버폼 | 어린이 체험 프로그램 참여자 모집 | 참여 어린이 주민등록번호 |
| 2 | 진흥원(출연·출자) | 구글폼 | 학생 대상 행사 참가 신청 | 학생의 과거·현재 질병 |
| 3 | 지자체 | 네이버폼 | 주민 보건의료 요구도 조사 | 현재 앓고 있는 질병 |
| 4 | 재단(출연·출자) | 구글폼 | 체험교육 프로그램 신청 | 장애 여부 |
| 5 | 지자체 | 구글폼 | 시민 인식조사 | 장애 유형 (경품용 휴대전화번호와 함께 수집) |
| 6 | 재단(출연·출자) | 구글폼 | 청년 지원사업 참여 설문 | 주민등록번호 13자리, 구직 관련 초조·불안 경험 |
| 7 | 지자체 | 구글폼 | 청년 일자리 프로그램 참여 신청 | 주민등록번호 |
| 8 | 공공기관 | 네이버폼 | 주민 실태조사 | 의사가 진단한 만성질환 |
| 9 | 지자체 | 네이버폼 | 평생교육 요구 조사 | 장애인 등록 여부 |
| 10 | 중앙행정기관 | 네이버폼 | 유가족 지원 실태 조사 | 자녀의 치료·재활 필요 건강 상태 |
- 번호1기관 유형재단(출연·출자)도구네이버폼설문 성격어린이 체험 프로그램 참여자 모집입력 요구 정보참여 어린이 주민등록번호
- 번호2기관 유형진흥원(출연·출자)도구구글폼설문 성격학생 대상 행사 참가 신청입력 요구 정보학생의 과거·현재 질병
- 번호3기관 유형지자체도구네이버폼설문 성격주민 보건의료 요구도 조사입력 요구 정보현재 앓고 있는 질병
- 번호4기관 유형재단(출연·출자)도구구글폼설문 성격체험교육 프로그램 신청입력 요구 정보장애 여부
- 번호5기관 유형지자체도구구글폼설문 성격시민 인식조사입력 요구 정보장애 유형 (경품용 휴대전화번호와 함께 수집)
- 번호6기관 유형재단(출연·출자)도구구글폼설문 성격청년 지원사업 참여 설문입력 요구 정보주민등록번호 13자리, 구직 관련 초조·불안 경험
- 번호7기관 유형지자체도구구글폼설문 성격청년 일자리 프로그램 참여 신청입력 요구 정보주민등록번호
- 번호8기관 유형공공기관도구네이버폼설문 성격주민 실태조사입력 요구 정보의사가 진단한 만성질환
- 번호9기관 유형지자체도구네이버폼설문 성격평생교육 요구 조사입력 요구 정보장애인 등록 여부
- 번호10기관 유형중앙행정기관도구네이버폼설문 성격유가족 지원 실태 조사입력 요구 정보자녀의 치료·재활 필요 건강 상태
기관 실명과 설문명은 공개하지 않습니다. 「개인정보 보호법」 제24조의2는 주민등록번호 처리를 법령상 근거가 있는 경우 등으로 제한하고, 제23조는 민감정보 처리에 별도 동의 또는 법령상 근거를 요구합니다.
장애 유형과 휴대전화번호가 함께 수집되는 경우
한 지자체의 시민 인식조사에는 장애 유형 문항과 경품용 휴대전화번호 문항이 함께 있습니다. 두 항목이 같은 응답 행에 연결되면, 연락처만으로 특정인의 장애 상태를 알 수 있는 명부가 됩니다. 이 자료가 유출되면 복지서비스 사칭, 맞춤형 사기, 사생활 공개 협박에 악용될 수 있습니다. 전화번호는 바꿀 수 있지만 알려진 장애·질환 정보는 되돌릴 수 없습니다.
아동·가족의 건강정보가 수집되는 경우
한 중앙행정기관의 유가족 지원 실태 조사는 자녀의 치료·재활 필요 여부를 물었고, 한 재단의 어린이 프로그램은 참여 어린이의 주민등록번호를 받았습니다. 지원이나 행사 운영에 필요한 범위를 넘어 건강정보와 고유식별정보가 쌓이지 않도록 항목별 필요성, 열람 대상, 보유기간과 파기 책임자를 문서로 정해야 합니다.
구글폼·네이버폼 사용 시 관련 법령·지침
공개 화면 기준 진단 결과로서 위반 여부를 판정한 것이 아니며, 최종 판단은 권한 있는 기관의 절차에 따릅니다.
| 구분 | 관련 조항 | 이용 방식의 문제점 | 149건 중 확인 결과 |
|---|---|---|---|
| ① 처리위탁 공개 | 개인정보 보호법 제26조제2항, 제30조제1항 | 응답 저장·처리를 서비스 운영사에 맡기면서 수탁자를 공개하지 않음 | 위탁 안내 미흡 143건 (96.0%) |
| ② 국외이전 | 같은 법 제28조의8제1항 | 해외 서버에 저장될 수 있으나 이전 국가·보관 장소를 안내하지 않음 | 국외이전 안내 미흡 99건 (66.4%), 구글폼 90건 |
| ③ 안전성 확보조치 | 같은 법 제29조, 시행령 제30조 | 담당자 개인 계정 관리, 응답 시트 링크 공유, 내려받은 사본의 PC 보관으로 접근통제·접속기록 관리 곤란 | 안전조치 안내 미흡 147건 (98.7%) |
| ④ 최소수집·동의 거부권 | 같은 법 제15조제2항제4호, 제16조제1항·제3항 | "필수 응답" 설정으로 불필요한 항목까지 받거나 동의하지 않으면 제출할 수 없게 설정 | 동의 거부권 안내 미흡 91건 (61.1%) |
| ⑤ 주민등록번호 | 같은 법 제24조의2제1항 | 자유 입력 칸으로 주민등록번호를 받음 | 3건 |
| ⑥ 민감정보 | 같은 법 제23조제1항 | 건강·장애 정보를 일반 동의만으로 이름·연락처와 함께 수집 | 8건 |
| ⑦ 파기 | 같은 법 제21조제1항 | 설문 종료 뒤에도 응답 원본·연동 시트·내려받은 파일이 남아 파기 여부 확인 곤란 | 공개 화면으로 확인 불가, 기관 확인 필요 |
| ⑧ 클라우드 보안인증 | 클라우드컴퓨팅법 제20조제2항, 국가 사이버보안 기본지침 제24조의4제1항 | CSAP 미확인, 국정원 도입 가능 목록에도 없음 | 149건 전부 |
| ⑨ 민감등급 업무정보 | 국가 사이버보안 기본지침 제2조제17호, 제66조제4항 | 국민의 개인정보(민감등급)를 상용 서비스에 직접 저장 | 149건 전부 |
| ⑩ 위탁사업 관리·감독 | 개인정보 보호법 제26조제4항, 국가 사이버보안 기본지침 제13조 | 용역으로 운영한 설문도 발주기관의 관리 책임이 남지만 수탁자의 도구 사용을 확인하지 않음 | 예: 중앙부처 사업 수탁사가 운영한 진단 조사 |
- 구분① 처리위탁 공개관련 조항개인정보 보호법 제26조제2항, 제30조제1항이용 방식의 문제점응답 저장·처리를 서비스 운영사에 맡기면서 수탁자를 공개하지 않음149건 중 확인 결과위탁 안내 미흡 143건 (96.0%)
- 구분② 국외이전관련 조항같은 법 제28조의8제1항이용 방식의 문제점해외 서버에 저장될 수 있으나 이전 국가·보관 장소를 안내하지 않음149건 중 확인 결과국외이전 안내 미흡 99건 (66.4%), 구글폼 90건
- 구분③ 안전성 확보조치관련 조항같은 법 제29조, 시행령 제30조이용 방식의 문제점담당자 개인 계정 관리, 응답 시트 링크 공유, 내려받은 사본의 PC 보관으로 접근통제·접속기록 관리 곤란149건 중 확인 결과안전조치 안내 미흡 147건 (98.7%)
- 구분④ 최소수집·동의 거부권관련 조항같은 법 제15조제2항제4호, 제16조제1항·제3항이용 방식의 문제점"필수 응답" 설정으로 불필요한 항목까지 받거나 동의하지 않으면 제출할 수 없게 설정149건 중 확인 결과동의 거부권 안내 미흡 91건 (61.1%)
- 구분⑤ 주민등록번호관련 조항같은 법 제24조의2제1항이용 방식의 문제점자유 입력 칸으로 주민등록번호를 받음149건 중 확인 결과3건
- 구분⑥ 민감정보관련 조항같은 법 제23조제1항이용 방식의 문제점건강·장애 정보를 일반 동의만으로 이름·연락처와 함께 수집149건 중 확인 결과8건
- 구분⑦ 파기관련 조항같은 법 제21조제1항이용 방식의 문제점설문 종료 뒤에도 응답 원본·연동 시트·내려받은 파일이 남아 파기 여부 확인 곤란149건 중 확인 결과공개 화면으로 확인 불가, 기관 확인 필요
- 구분⑧ 클라우드 보안인증관련 조항클라우드컴퓨팅법 제20조제2항, 국가 사이버보안 기본지침 제24조의4제1항이용 방식의 문제점CSAP 미확인, 국정원 도입 가능 목록에도 없음149건 중 확인 결과149건 전부
- 구분⑨ 민감등급 업무정보관련 조항국가 사이버보안 기본지침 제2조제17호, 제66조제4항이용 방식의 문제점국민의 개인정보(민감등급)를 상용 서비스에 직접 저장149건 중 확인 결과149건 전부
- 구분⑩ 위탁사업 관리·감독관련 조항개인정보 보호법 제26조제4항, 국가 사이버보안 기본지침 제13조이용 방식의 문제점용역으로 운영한 설문도 발주기관의 관리 책임이 남지만 수탁자의 도구 사용을 확인하지 않음149건 중 확인 결과예: 중앙부처 사업 수탁사가 운영한 진단 조사
결과 통보와 기관 회신
공문 발송 2026. 9. 9. ~ 10. 8. · 설문 1건당 1건씩 분석보고서와 회신서 서식 첨부
수용·개선 35곳(87.5%) / 회신 40곳 / 통보 149건(137개 기관)
회신 방법: 회신서 37 · 전자우편 2 · 전화 1
한 공기업은 해당 설문을 즉시 종료하고, 전 부서에 외부 설문 플랫폼 이용 유의사항과 CSAP 인증 플랫폼 사용을 공지했습니다. 보유기간 종료 뒤 파기 시점·방법 명시, 설문 첫 화면의 담당부서·연락처 표시, 응답 데이터 접근권한 최소화도 약속했습니다.
진흥원은 개선권고 공문만으로 주의 환기 목적을 달성했다고 보고 기관 실명은 공개하지 않기로 했습니다. 실태조사 결과는 개인정보보호위원회에 제출하고 제도 개선을 건의할 예정입니다.
국정감사 질의·답변
국회 정무위원회 국정감사 (2026. 10. 13.)
| 쟁점 | 질의·지적 | 답변 |
|---|---|---|
| 외부 설문도구 | 건강정보·주민등록번호·계좌정보 등 고위험 개인정보를 외부 설문도구로 받는 공공기관 관행 지적 | 심각한 사안은 정식 조사 전 사전 실태점검을 진행 중이라고 설명하고, 구글폼 등 수집 방식도 주의 깊게 살펴야 한다고 답변 |
| 자료 관리·위탁기관 책임 | 설문 종료 뒤 사본이 남고 담당자 인사이동 뒤 관리·사고 대응에 공백 발생. 용역사에 맡긴 기관의 감독 책임 문제 제기 | 수탁업체와 함께 위탁한 기관 자체에도 엄격하게 책임을 묻겠다는 취지로 답변 |
| 권고와 평가 | 가이드·권고 중심 대응만으로는 현장 관행을 바꾸기 어렵다는 문제 제기 | 평가에 반영하는 방안을 검토하고 관계부처와 협의하겠다고 답변 |
| 새로운 보안 위험 | 민간 서비스의 API 인증 취약점과 AI 활용 개발 확산에 따른 공공 보안 문제 지적 | AI로 인한 보안 취약점 가능성을 인정하고, 개발·설계 단계 가이드의 현장 활용을 독려하겠다고 답변 |
- 쟁점외부 설문도구질의·지적건강정보·주민등록번호·계좌정보 등 고위험 개인정보를 외부 설문도구로 받는 공공기관 관행 지적답변심각한 사안은 정식 조사 전 사전 실태점검을 진행 중이라고 설명하고, 구글폼 등 수집 방식도 주의 깊게 살펴야 한다고 답변
- 쟁점자료 관리·위탁기관 책임질의·지적설문 종료 뒤 사본이 남고 담당자 인사이동 뒤 관리·사고 대응에 공백 발생. 용역사에 맡긴 기관의 감독 책임 문제 제기답변수탁업체와 함께 위탁한 기관 자체에도 엄격하게 책임을 묻겠다는 취지로 답변
- 쟁점권고와 평가질의·지적가이드·권고 중심 대응만으로는 현장 관행을 바꾸기 어렵다는 문제 제기답변평가에 반영하는 방안을 검토하고 관계부처와 협의하겠다고 답변
- 쟁점새로운 보안 위험질의·지적민간 서비스의 API 인증 취약점과 AI 활용 개발 확산에 따른 공공 보안 문제 지적답변AI로 인한 보안 취약점 가능성을 인정하고, 개발·설계 단계 가이드의 현장 활용을 독려하겠다고 답변
답변은 언론에 보도된 발언을 요약한 것입니다. 개인정보보호위원회는 10. 16. 외부 설문도구 이용 시 안전조치 준수와 안내서 보완 계획을 발표했습니다.
'%3e%3crect%20x='344'%20y='190'%20width='80'%20height='100'%20rx='6'%20fill='%23FFFFFF'%20stroke='%23CBD5E1'%20stroke-width='2'/%3e%3c/g%3e%3crect%20x='350'%20y='186'%20width='80'%20height='100'%20rx='6'%20fill='%23FFFFFF'%20stroke='%2394A3B8'%20stroke-width='2'/%3e%3crect%20x='362'%20y='200'%20width='44'%20height='7'%20rx='3.5'%20fill='%230B3A6E'/%3e%3crect%20x='362'%20y='216'%20width='56'%20height='5'%20rx='2.5'%20fill='%23CBD5E1'/%3e%3crect%20x='362'%20y='228'%20width='56'%20height='5'%20rx='2.5'%20fill='%23CBD5E1'/%3e%3crect%20x='362'%20y='240'%20width='40'%20height='5'%20rx='2.5'%20fill='%23CBD5E1'/%3e%3crect%20x='362'%20y='258'%20width='30'%20height='14'%20rx='7'%20fill='%230F766E'/%3e%3c!--%20speech%20bubble%20(Q&A)%20--%3e%3cpath%20d='M70%2092%20h76%20a12%2012%200%200%201%2012%2012%20v30%20a12%2012%200%200%201%20-12%2012%20h-46%20l-14%2012%20v-12%20h-16%20a12%2012%200%200%201%20-12%20-12%20v-30%20a12%2012%200%200%201%2012%20-12%20z'%20fill='%23FFFFFF'%20stroke='%230B3A6E'%20stroke-width='2.5'/%3e%3crect%20x='80'%20y='108'%20width='56'%20height='6'%20rx='3'%20fill='%230B3A6E'/%3e%3crect%20x='80'%20y='122'%20width='40'%20height='6'%20rx='3'%20fill='%23CBD5E1'/%3e%3ccircle%20cx='420'%20cy='100'%20r='6'%20fill='%23C9A24A'/%3e%3ccircle%20cx='80'%20cy='280'%20r='5'%20fill='%235EC4B6'/%3e%3c/svg%3e)
개선 과제
같은 문제가 기관 유형과 관계없이 반복되는 것은 공공기관의 온라인 개인정보 수집 도구에 관한 기준이 여러 법령·지침에 흩어져 있고, 일부는 권고 수준에 그쳐 현장에서 구체적인 기준으로 작동하지 않기 때문입니다. 공공기관이 국민의 개인정보를 수집할 때 쓸 수 있는 도구와 절차에 대한 명확한 기준이 필요합니다.
관련법과 지침의 준수
| 조치 | 적용 근거 | 실행 내용 |
|---|---|---|
| 도구 점검·전환 | 국가 사이버보안 기본지침 제24조의3·제24조의4 | 인증·목록 등재·보안요건 증빙 확보, 미충족 도구의 신규 수집 중단, 적합 서비스로 전환 |
| 수집 항목 정비 | 개인정보 보호법 제15·16·23·24조의2 | 목적별 필요성과 처리 근거 확인, 불필요 항목 삭제, 주민등록번호·민감정보 우선 시정 |
| 수탁자 통제 | 같은 법 제26조, 시행령 제28조 | 수탁자 도구·재위탁 사전 승인, 처리 현황 점검, 계약 종료 때 반환·파기 검수 |
| 자료·계정 관리 | 같은 법 제21·29·30조 | 기관 소유 관리 계정, 공유 권한 최소화, 접속·반출 기록 관리, 보유기간 종료 자료 파기 |
- 조치도구 점검·전환적용 근거국가 사이버보안 기본지침 제24조의3·제24조의4실행 내용인증·목록 등재·보안요건 증빙 확보, 미충족 도구의 신규 수집 중단, 적합 서비스로 전환
- 조치수집 항목 정비적용 근거개인정보 보호법 제15·16·23·24조의2실행 내용목적별 필요성과 처리 근거 확인, 불필요 항목 삭제, 주민등록번호·민감정보 우선 시정
- 조치수탁자 통제적용 근거같은 법 제26조, 시행령 제28조실행 내용수탁자 도구·재위탁 사전 승인, 처리 현황 점검, 계약 종료 때 반환·파기 검수
- 조치자료·계정 관리적용 근거같은 법 제21·29·30조실행 내용기관 소유 관리 계정, 공유 권한 최소화, 접속·반출 기록 관리, 보유기간 종료 자료 파기
관계부처 공동 조치
| 과제 | 내용 |
|---|---|
| 현황 전수 등록 | 개인정보위·행안부와 주무부처·지자체가 설문 링크, 운영 기관·수탁자, 도구, 수집 항목, 관리 계정·보관 위치를 관리대장에 등록. 소속·산하기관 누락 확인 |
| 도입 기준 공동 시달 | 개인정보위·국정원·행안부가 「국가 사이버보안 기본지침」 도입 가능 목록 의무와 개인정보 보호법상 수집·위탁·보관·파기 의무를 한 번에 확인하는 공동 점검기준 마련 |
| 기존 자료 정리 | 수집 중단일, 서비스 전환일, 기존 자료의 이관·권한 회수·사본 파기 완료일을 구분해 기관장이 책임자 지정. 내려받은 파일·공유본·수탁업체 보관본까지 처리 결과 제출 |
| 평가 반영 | 관리대장 등록, 도입요건 확인, 수탁업체 점검, 시정기한 준수, 파기 증빙을 개인정보 보호수준 평가와 기관장 평가에 연계. 반복 위반·불이행 감점 기준 마련 |
| 국회 보고 | 본부·소속·산하기관과 지방 공공기관까지 기관별 시정 완료일과 담당 조직을 확정해 국회에 보고 |
- 과제현황 전수 등록내용개인정보위·행안부와 주무부처·지자체가 설문 링크, 운영 기관·수탁자, 도구, 수집 항목, 관리 계정·보관 위치를 관리대장에 등록. 소속·산하기관 누락 확인
- 과제도입 기준 공동 시달내용개인정보위·국정원·행안부가 「국가 사이버보안 기본지침」 도입 가능 목록 의무와 개인정보 보호법상 수집·위탁·보관·파기 의무를 한 번에 확인하는 공동 점검기준 마련
- 과제기존 자료 정리내용수집 중단일, 서비스 전환일, 기존 자료의 이관·권한 회수·사본 파기 완료일을 구분해 기관장이 책임자 지정. 내려받은 파일·공유본·수탁업체 보관본까지 처리 결과 제출
- 과제평가 반영내용관리대장 등록, 도입요건 확인, 수탁업체 점검, 시정기한 준수, 파기 증빙을 개인정보 보호수준 평가와 기관장 평가에 연계. 반복 위반·불이행 감점 기준 마련
- 과제국회 보고내용본부·소속·산하기관과 지방 공공기관까지 기관별 시정 완료일과 담당 조직을 확정해 국회에 보고
세부 제언
보고서의 성격
- 이 보고서와 기관별 분석보고서는 법적 판단이 아닌 자율진단 결과이며, 위반 여부의 최종 확정은 개인정보보호위원회 등 권한 있는 기관의 절차로만 이루어집니다.
- 진단 시점에 공개된 화면만 기준으로 하였고, 화면에서 확인되지 않은 사항은 "확인되지 않음"으로 표시했을 뿐 위반으로 단정하지 않습니다.
- 개인정보보호진흥원은 (재)한국컨설팅산업재단 부설 민간 공익기구로 정부기관이 아니며, 개선 권고는 법적 강제력이 없습니다. 기관의 이의·소명은 사실관계를 확인해 처리하고 있습니다.
2026년 4월 전자신문은 박상혁 의원실이 와이즈인컴퍼니에 의뢰한 표본조사(117개 기관)를 보도했습니다. 그 표본 수치와 이 페이지의 1,347개 기관 전수조사는 다른 조사입니다.
국민 누구나 SURE-CHECK
설문 링크만 넣으면 개인정보법 준수 여부를 자동으로 진단한 보고서를 받을 수 있습니다. 잘못된 개인정보를 요구하는 설문은 바로 알릴 수 있습니다.
자료
국정감사 공동 보도자료 (최종 통계)
press-2026-public-survey-final.pdf내려받기
관련 보도
전자신문 · 2026. 10. 15.
보안인증 없는 구글폼…개보위 사업에 쓰였다 (새 탭)개인정보보호위원회 · 2026. 10. 16.
외부 설문도구 이용 시 개인정보 처리 준수 사항 안내
이데일리 · 2026. 10. 12.
공공기관 개인정보 유출 772만건…담당자 징계 권고 단 2건