교육현장에서 활용되는 에듀테크 서비스 일부에서 탈퇴 회원의 개인정보를 파기하지 않거나 직원들에게 불필요한 관리자 권한을 부여하는 등 개인정보 관리 부실이 확인됐다.

개인정보보호위원회는 학생·교직원 등의 개인정보를 처리하는 주요 에듀테크 사업자 5곳을 대상으로 사전 실태점검을 실시하고, 확인된 미흡사항에 대한 시정권고 및 개선조치안을 지난 11일 전체회의에서 의결했다고 12일 밝혔다.

점검 대상은 비상교육, 천재교육, 미리디, 소프트앤, 리로소프트 등 5개 사업자다.

이번 점검은 교육현장에서 에듀테크 서비스 활용이 확대되는 가운데 최근 관련 기업의 개인정보 유출 사고에 따른 우려를 해소하고, 학생과 교직원의 개인정보 침해 위험을 예방하기 위해 추진됐다. 개인정보위는 교육부와 협의해 점검 대상을 선정하고 합동점검을 진행했다.

점검 결과 일부 사업자에서 아동 개인정보 수집 절차와 개인정보 파기, 업무위탁 공개, 접근권한 관리 등 개인정보 보호법상 미흡사항이 확인됐다.

A사는 만 14세 미만 아동의 개인정보를 수집하면서 법정대리인 동의를 받는 절차가 일부 미흡했던 것으로 나타났다. 해당 사업자는 점검 과정에서 관련 절차를 개선했다.

B사는 개인정보 처리 업무를 외부에 위탁하면서 수탁자를 공개하지 않았다. 또한 회원 탈퇴 후 파기해야 할 개인정보를 운영 데이터베이스(DB)에 계속 보관한 사실도 확인됐다. 개인정보위는 수탁자 공개 누락에 대해서는 개선 조치가 이뤄졌다고 설명했으며, 개인정보 미파기 문제에 대해서는 시정권고했다.

개인정보처리시스템의 접근권한 관리에서도 문제점이 드러났다. 일부 사업자는 직원의 업무에 따라 접근권한을 구분하면서도 전 직원에게 관리자 권한을 부여하는 등 권한 관리가 미흡했다.

해당 사업자들은 점검 과정에서 불필요한 접근권한을 회수하고 권한별 접근 가능 범위를 제한하는 등 개선 조치를 완료했다.

보안취약점 관리와 외부 침입 대응에서도 미흡사항이 확인됐다.

B사는 2025년 보안취약점 점검에서 발견된 일부 취약점을 조치하지 않았다. 외부의 비인가 접근과 침입 행위를 탐지·차단하는 조치도 미흡했으며, 현재 사용하지 않는 개발·테스트 페이지 등이 인터넷에 노출된 상태였다.

개인정보위는 점검 과정에서 개선되지 않은 사항에 대해 시정권고했다. A사와 B사는 개인정보처리시스템의 접속기록을 보관하지 않았으나 점검 과정에서 관련 조치를 완료했다.

개인정보위는 이번 점검을 통해 개인정보 침해 위험을 사전에 확인하고 사업자들의 자율적인 개선을 유도했다고 평가했다.

개인정보위 관계자는 "앞으로도 교육부 등 관계기관과 협력해 교육현장의 개인정보 보호 수준을 높이고 학생과 교직원 등이 안심하고 에듀테크 서비스를 이용할 수 있는 환경을 조성하겠다"고 말했다.



yjra@news1.kr