개인정보위 징계 권고에도 관련자 11명 경고 10명·주의 1명…처분 수위 도마

재단 ‘기관 신뢰 직결 중요 현안’ 인정?…2026년 국감 업무보고에도 누락

한국연구재단에서 12만명이 넘는 개인정보가 유출돼 7억원이 넘는 과징금이 부과됐지만, 사고 책임으로 중징계나 경징계를 받은 임직원은 한 명도 없는 것으로 나타났다. 개인정보보호위원회가 책임자 징계를 권고했지만 실제 처분은 경고와 주의에 그쳤다.

국회 교육위원회 소속 더불어민주당 김문수 의원(순천갑)이 한국연구재단으로부터 제출받은 「JAMS 개인정보 유출사고 관련 책임자 처분 현황」에 따르면 사고 관련자 11명에 대한 처분은 경고 10명, 주의 1명이었다. 파면·해임·강등·정직 등 중징계와 감봉·견책 등 경징계는 없었다.

처분 대상에는 JAMS 시스템 운영 담당자뿐 아니라 운영 팀장·실장·본부장, 정보보안팀장, 정보화 관리실장, 정보보안 책임자인 사무총장까지 포함됐다. 처분 사유는 모두 ‘JAMS 시스템 개인정보 유출사고 발생에 따른 정보보안규칙 위반’이었다.

지난해 6월 발생한 사고로 유출된 개인정보는 총 12만533건이다. 개인정보보호위원회 조사 결과 연구재단에는 과징금 7억300만원과 과태료 480만원이 부과됐고, 사고 관련 책임자에 대한 징계도 권고됐다.

한국연구재단은 과징금 7억300만원을 기관 경상운영비 등을 활용해 납부했다고 의원실에 답변했다. 업무추진비 및 에너지 절감 예산 등이 사용됐으며 보험 등을 통해 보전받은 금액은 없었다.

이번 사고와 후속조치가 재단의 「2026년 국회교육위원회 국정감사 주요업무 보고자료」에서 빠진 사실도 확인됐다. 한국연구재단은 “포함되지 않은 점에 대해 송구하게 생각한다”며 “기관 신뢰와 직결되는 중요 현안임을 엄중히 인식하고 있다”고 밝혔다.

김문수 의원은 “기관은 7억원이 넘는 과징금을 부담했는데 사고 관련자 11명은 모두 경고나 주의에 그쳤다”며 “개인정보위의 징계 권고에 비춰 적정한 책임이 물어졌는지 국정감사에서 확인하겠다”고 말했다.

이어 “한국연구재단 스스로 기관 신뢰와 직결되는 중요 현안이라고 인정하면서 국정감사 주요업무 보고자료에서는 빠졌다”며 “사고 재발 방지뿐 아니라 책임을 제대로 묻는 내부통제 체계도 점검해야 한다”고 밝혔다.

① JAMS 개인정보 유출사고 관련 처분 종류별 현황

② JAMS 개인정보 유출사고 관련 처분 종류별 현황

5. 한국연구재단의 2026년 국정감사 업무보고 자료를 열람한 결과 당해 연도에 7억원이 넘는 제재와 책임자 징계 권고까지 받은 JAMS 개인정보 유출사고 및 후속조치에 관한 내용은 업무보고에서 확인되지 않습니다. 해당 사안을 국회에 보고해야 할 주요 현안으로 판단하지 않은 것인지 답변해 주시기 바랍니다.

ㅇ 2026년 국정감사 업무보고에 JAMS 개인정보 유출사고 및 후속조치 내용이 포함되지 않은 점에 대해 송구하게 생각합니다.

- 주요업무 보고자료 구성 시, ’25~’26년 주요 정책 추진현황 및 실적에 초점을 맞추어 구성하는 과정에서 반영되지 못한 것이며, 해당 사안을 보고 대상이 아닌 것으로 판단한 것은 아닙니다. 재단은 이 사안이 기관 신뢰와 직결되는 중요 현안임을 엄중히 인식하고 있습니다.

ㅇ 앞서 답변자료에서 설명드린 바와 같이, 재단은 사고 발생(’25.6.6.) 직후 개인정보 침해사고 대응 TF를 구성하고, 과학기술정보통신부 등 관계기관과 협조 체계를 가동하여 2차 피해 방지 및 보안 시스템 강화 조치를 시행하였습니다. 또한 개인정보보호위원회 처분 및 시정조치로 충실히 이행하였습니다.

ㅇ 재단은 금번 사고를 계기로 정보보안 체계 전반을 혁신하기 위해 기관 중장기 경영목표의 전략·추진과제로 「제로 트러스트(Zero Trust) 정보보안 체계 확립」을 제시하고, NRF 인공지능위원회를 운영하는 등 보안 중심의 디지털 혁신을 위한 전사적 추진체계를 구축하여 추진하고 있습니다.

ㅇ 향후 국회 업무보고 및 보고자료 구성 시 기관의 주요 현안을 포함하여 보고하도록 하겠습니다.