개인정보보호위원회(개인정보위)는 학생·교직원 등의 개인정보를 처리하는 공교육 지원 에듀테크 분야 주요 사업자 5곳을 대상으로 사전 실태점검을 하고, 확인된 미흡사항에 대한 시정권고 및 개선조치(안)을 2026년 11월 11일 제22회 전체회의에서 심의·의결했다고 12일 밝혔다. 점검 대상은 ㈜비상교육, ㈜천재교육, ㈜미리디, ㈜소프트앤, ㈜리로소프트다.
이번 점검은 에듀테크 서비스의 교육현장 활용이 확대되는 가운데, 최근 발생한 에듀테크 기업의 개인정보 유출 사고에 따른 우려를 해소하고 학생·교직원 등의 개인정보 침해 위험을 예방하기 위해 추진됐다.
개인정보위는 교육부와 협의해 점검 대상을 선정하고 합동점검을 추진했다. 개인정보 보호법 제63조의2에 따른 사전 실태점검은 개인정보 보호 취약요인을 미리 살펴 침해 위험을 예방하고, 미흡사항이 발견되면 시정 또는 개선을 권고하는 제도다.
점검 항목은 개인정보 수집·이용 동의, 수집 목적이 달성된 개인정보의 파기, 아동 정보 수집 절차와 개인정보 안전조치 의무 등이다.
안전조치 항목에는 취약점 점검, 접근권한 및 관리자 계정 관리, 접근통제, 접속기록 보관·관리 등이 포함됐다.
개인정보 수집·이용과 파기, 업무위탁 과정에서 미흡사항이 확인됐다. A사는 만 14세 미만 아동의 개인정보를 수집할 때 법정대리인의 동의를 받는 절차가 일부 미흡했으나 점검 과정에서 개선했다.
B사는 개인정보 처리업무를 위탁하면서 수탁자를 공개하지 않았으나 조치했다. 또 탈퇴 후 파기해야 할 개인정보를 운영 데이터베이스(DB)에 계속 보관한 사항은 시정권고 대상이 됐다.
접근권한 관리와 보안취약점 조치 등 안전조치 의무에서도 미흡사항이 나왔다.
담당 업무에 따라 직원의 접근권한을 차등 부여하면서도 전 직원에게 관리자 권한을 부여하는 등 관리가 미흡한 점이 확인됐다. 사업자들은 점검 과정에서 불필요한 권한을 회수하고 권한별 접근 가능 범위를 제한하는 조치를 완료했다.
B사는 2025년 보안취약점 점검에서 발견된 취약점 일부를 조치하지 않아 시정권고를 받았다.
B사는 외부의 비인가 접근과 침입 행위를 탐지·차단하는 조치가 미흡했고, 현재 사용하지 않는 개발·테스트 페이지 등이 인터넷에 노출된 것으로 확인됐다. 관련 사업자들은 점검 과정에서 일부를 개선했으며, 조치가 완료되지 않은 사항은 시정권고를 통해 보완하도록 했다.
A사와 B사는 개인정보처리시스템의 접속기록을 보관하지 않았으나 점검 과정에서 관련 조치를 했다.
개인정보위는 앞으로도 교육부 등 관계기관과 협력해 교육현장의 개인정보 보호와 안전한 에듀테크 서비스 이용을 위한 정책적 노력을 이어갈 계획이라고 밝혔다.
