[개인정보보호위원회] 에듀테크 개인정보 사전점검… 아동 동의·정보 파기·접근권한 개선

공교육을 지원하는 에듀테크 서비스의 개인정보 처리 실태를 점검한 결과 아동 정보 수집 동의, 탈퇴 회원 정보 파기, 접근권한 관리 등에서 미흡사항이 확인됐다. 개인정보보호위원회는 주요 사업자 5곳에 대한 사전 실태점검을 실시하고 시정권고 및 개선조치안을 11월 11일 전체회의에서 심의·의결했다고 밝혔다.

점검 대상은 비상교육·천재교육·미리디·소프트앤·리로소프트다. 개인정보위는 학생과 교직원의 정보 침해 위험을 예방하기 위해 교육부와 대상을 선정하고 합동점검을 진행했다. 사전 실태점검은 개인정보 보호법에 따라 취약요인을 미리 살피고 사업자의 개선을 유도하는 제도다.

아동 동의부터 탈퇴 후 파기까지 점검

• 동의·업무위탁 : A사는 만 14세 미만 아동 정보 수집 시 법정대리인 동의 절차를 점검 중 개선했다. B사는 개인정보 처리 수탁자 공개 누락을 조치했다.

• 탈퇴 회원 정보 : B사는 탈퇴 후 파기해야 할 개인정보를 운영 데이터베이스에 계속 보관한 사실이 확인돼 시정권고를 받았다.

• 접근권한 : 전 직원에게 관리자 권한을 부여하는 등 관리가 미흡한 사례가 확인됐다. 사업자들은 불필요한 권한을 회수하고 권한별 접근 범위를 제한하는 조치를 완료했다.

취약점·외부 침입 차단 등 미조치 사항 보완

B사에서는 2025년 보안점검에서 발견한 취약점 일부를 조치하지 않은 사실과 외부 비인가 접근·침입 탐지 및 차단 미흡이 확인됐다. 사용하지 않는 개발·테스트 페이지가 인터넷에 노출된 사항도 있었다. 일부는 점검 중 개선됐으며, 완료되지 않은 사항은 시정권고를 통해 보완하도록 했다. A·B사는 접속기록을 보관하지 않았으나 점검 과정에서 관련 조치를 했다.

개인정보위는 구체적인 미흡사항을 설명하면서 해당 업체를 A사·B사로 표기했으며, 각각의 실명은 공개하지 않았다. 이번 발표는 침해 위험을 예방하기 위한 사전점검 결과로, 점검 대상 5개사 모두에서 정보 유출이 발생했다는 의미는 아니다.

개인정보위는 교육부 등과 협력해 학생·교직원이 안심하고 디지털 교육 서비스를 이용할 수 있는 환경을 조성할 계획이다. 관련 문의는 개인정보위 사전실태점검과(02-2100-2418)로 하면 된다.