학생·교직원의 개인정보를 다루는 에듀테크 업체에서 전 직원에게 개인정보처리시스템 관리자 권한을 주거나 탈퇴 회원 정보를 계속 보관한 사례가 확인됐다. 만 14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의를 받는 절차가 미흡한 곳도 있었다.
개인정보보호위원회는 교육부와 함께 비상교육·천재교육·미리디·소프트앤·리로소프트 등 공교육을 지원하는 에듀테크 업체 5곳을 점검하고, 미흡한 사항에 대한 시정권고와 개선조치를 의결했다고 12일 밝혔다.
주요 점검 항목은 △개인정보 수집·이용 시 동의 △수집목적이 달성된 개인정보 파기 △아동 정보 수집 절차 △개인정보 안전조치의무 등이다.
한 업체는 탈퇴 회원의 개인정보를 운영 데이터베이스(DB)에 그대로 보관하고, 지난해 보안 점검에서 발견한 취약점 일부도 방치했다. 사용하지 않는 개발·테스트 페이지가 인터넷에 노출돼 있었고, 외부 침입을 탐지·차단하는 조치도 미흡했다.
또 다른 업체는 만 14세 미만 아동의 개인정보를 수집할 때 법정대리인의 동의를 받는 절차가 미흡했다. 전 직원에게 관리자 권한을 주거나 개인정보처리시스템 접속기록을 보관하지 않은 사례도 확인됐다.
개인정보위와 교육부의 합동점검 과정에서 업체들은 불필요한 관리자 권한을 회수하고 법정대리인 동의 절차와 접속기록 관리를 개선했다.
개인정보위는 점검 후에도 조치가 필요한 사업자에 탈퇴 회원의 개인정보를 파기하고, 보안 취약점과 침입 탐지·차단 체계를 보완하라고 권고했다.
박진형 기자 jin@etnews.com
