[PEDIEN] 학생과 교직원의 개인정보를 다루는 에듀테크 분야 주요 사업자들이 개인정보 보호법상 미흡 사항을 다수 보인 것으로 나타났다. 개인정보보호위원회는 11월 11일 제22회 전체회의에서 이러한 실태점검 결과를 심의·의결하고, 확인된 문제점에 대해 시정 권고 및 개선 조치를 내렸다.
이번 점검은 에듀테크 서비스의 교육 현장 활용이 늘어나는 가운데, 최근 발생한 에듀테크 기업의 개인정보 유출 사고에 대한 우려를 해소하고 학생·교직원의 개인정보 침해 위험을 예방하기 위해 추진됐다. 개인정보위는 교육부와 협의해 점검 대상을 선정하고 합동 점검을 진행했다.
주요 점검 항목에는 개인정보 수집·이용 시 동의 절차, 수집 목적 달성 후 개인정보 파기, 아동 정보 수집 시 법정대리인 동의, 개인정보 안전조치 의무 준수 여부 등이 포함됐다.
점검 결과, 일부 사업자에게서는 법정대리인 동의 절차 미흡, 탈퇴 회원의 개인정보 미파기, 업무위탁 공개 누락 등 개인정보 보호법 상 명백한 미흡 사항이 확인됐다. 또한, 개인정보처리시스템의 접근권한 관리, 침입 탐지·차단, 접속기록 관리 등 안전조치 의무와 관련된 문제점도 드러났다.
구체적으로 A사는 만 14세 미만 아동의 개인정보 수집 시 법정대리인 동의 절차가 일부 미흡했으나, 점검 과정에서 이를 개선했다. B사는 개인정보 처리 업무 위탁 사실을 공개하지 않았고, 탈퇴 후 파기해야 할 개인정보를 운영 데이터베이스에 계속 보관하고 있어 시정 권고를 받았다.
안전조치 의무와 관련해서는 담당 업무에 따라 직원의 접근권한을 차등 부여해야 함에도 불구하고, 전 직원에게 관리자 권한을 부여하는 등 접근권한 관리가 미흡한 사례가 적발됐다. 사업자들은 점검 과정에서 불필요한 접근권한을 회수하고 권한별 접근 가능 범위를 제한하는 조치를 완료했다. B사는 2025년에 발견된 보안 취약점 일부를 조치하지 않은 사실이 확인되어 시정 권고를 받았다.
외부 침입 탐지·차단 및 접속기록 관리에서도 미흡 사항이 확인됐다. B사는 외부의 비인가 접근 및 침입 행위에 대한 탐지·차단 조치가 미흡했고, 사용하지 않는 개발·테스트 페이지가 인터넷에 노출된 사실도 드러났다. 해당 사업자들은 점검 과정에서 일부 개선했으며, 조치가 완료되지 않은 사항은 시정 권고를 통해 보완하도록 했다. 아울러 A, B사는 개인정보처리시스템의 접속기록을 보관하지 않고 있었으나, 점검 과정에서 관련 조치를 취했다.
이번 점검은 에듀테크 서비스의 개인정보 처리 과정에서 발생할 수 있는 침해 위험을 선제적으로 확인하고, 사업자가 자율적으로 개선하도록 유도했다는 점에서 중요한 의미를 갖는다. 특히 다수 사업자에게서 공통적으로 나타난 접근권한 관리 미흡 사항과 개인정보 파기, 불법 침입 탐지·차단 등 미조치 사항에 대한 시정 권고는 교육 현장의 개인정보 보호 수준을 한 단계 높이는 계기가 될 것으로 기대된다.
개인정보위는 앞으로도 교육부 등 관계기관과 긴밀히 협력하여 교육 현장의 개인정보 보호와 안전한 에듀테크 서비스 이용을 위한 정책적 노력을 지속할 계획이다. 이를 통해 학생·교직원이 안심하고 디지털 교육 서비스를 활용할 수 있는 신뢰받는 교육 환경을 조성해 나갈 방침이다.
저작권자 © PEDIEN 무단전재 및 재배포 금지
