중기부 '모두의 창업' 개인정보 관리 논란…이해충돌 소지 지적

합격자 수천 명의 개인정보와 창업 아이디어 유출 사고가 발생한 중소벤처기업부의 '모두의 창업' 프로젝트를 두고 개인정보 관리 정책의 적절성 문제가 제기되고 있다.

특히 개인정보 보관 기한이 관련 법이나 통상 기준보다 긴 데다, 개인정보 위탁 관리 업체가 해당 프로젝트의 인공지능(AI) 솔루션 제공 기업으로 참여함에 따라 이해 충돌의 소지도 있다는 지적이 나온다.

◇ 통상 기준보다 긴 보관 기간과 수집 항목 확대

19일 중소벤처기업부와 창업진흥원(창진원)이 공개한 '개인정보 처리방침'을 보면 모두의 창업과 관련해 수집 및 처리하는 개인정보 항목은 프로젝트 신청자와 멘토, 운영기관에 대한 실명, 프로필 사진, 이메일, 주소, 휴대폰 번호, 기업이미지(CI) 등이다.

이들 기관이 앞서 처리해 온 '메이크올 메이커'와 '창조경제혁신센터' 등과 관련한 개인정보 수집 항목과 비교하면 종류가 더 다양하다.

이렇게 수집한 개인정보는 신청자가 회원 탈퇴 후 5년간 보관된다. 창진원에서 수집한 다른 개인정보의 보유 기간이 '회원 탈퇴 시' 또는 '삭제 요청 시'인 것을 감안하면, 통상적인 수준보다 긴 셈이다.

개인정보의 처리 목적을 달성했다면 지체 없이 파기해야 한다고 규정한 개인정보보호법과도 어긋난다고 볼 수 있는 지점이다.

이 때문에 프로젝트 참가자들 사이에서는 모두의 창업 개인정보 정책을 두고 불만의 기류가 감지된다.

한 참가자는 전날 모두의 창업 사이트에 "본 서비스가 필요 이상의 개인정보를 수집한다고 느꼈으며 제삼자 제공(위탁 업무)에 있어서는 너무나도 과한 정보 제공이라고 생각된다"며 "심지어 회원 탈퇴 후 즉시 파기도 아니고 5년이나 들고 있는 것이 이해되지 않는다. 개인정보 수집 수정을 검토해달라"고 글을 남겼다.

◇ AI 참여 업체의 개인정보 위탁 관리…이해충돌 소지

수집한 개인정보는 인공지능(AI) 서비스 스타트업인 '트리플오스'가 위탁받아 관리한다고 명시했다.

해당 업체가 모두의 창업 선발자에게 AI 솔루션을 지원하는 기업에 이름을 올린 점을 두고서도 이해충돌의 소지가 있다는 지적이 나온다.

또 다른 참가자는 "이번 유출 건처럼 모두의 창업의 AI 솔루션 업체들이 털리면 어떻게 되는 것이냐"며 "모두의 창업 참여자가 본인의 데이터 이외에 고객 데이터를 활용하면 상황은 더 복잡해진다"고 말했다.

이 참가자는 "이들 업체는 철저한 보안과 안전성을 마련해 둔 상태인가"라고 의문을 제기했다.

염흥열 순천향대 정보보호학과 교수는 "회원 탈퇴 및 이용 목적 달성 시 개인정보를 지체 없이 파기하는 게 원칙"이라며 "다른 법이나 규정에 따라 보관을 연장할 수 있지만, 시스템이 해킹됐을 때 정보 유출이 발생하지 않도록, 개인정보의 별도 보관 조치를 반드시 이뤄져야 한다"고 진단했다.

그는 "특히 사생활 침해 위험이 큰 민감정보와 고유식별정보에 대해서는 암호화 조치를 반드시 취해야 한다"고 강조했다.

◇ 창진원·중기부 "증빙 규정 따른 조치…미흡 상황 조사"

이에 창진원 관계자는 "정부 사업비 집행이 걸려있으면 최대 서류 증빙을 5년 이상 보유하게 돼 있다"며 "모두의 창업 참가자들의 개인정보도 그 기간에 보유해야 해서 정한 것"이라고 해명했다.

중기부도 이날 대변인실 공지를 통해 "오는 21일 회의를 시작으로 개인정보 유출 관련 조치 상황과 플랫폼 운영, 주요 현안 및 향후 개선방안을 지속해 점검하겠다"며 "사고 수습과 프로젝트의 안정적인 운영을 위해 최선을 다하겠다"고 전했다.