[국립암센터] 연구자 과실로 2009년 구강암 임상연구 참여자 67명 개인정보 깃허브 유출…질병청 제보로 인지

[국립암센터] 연구자 과실로 2009년 구강암 임상연구 참여자 67명 개인정보 깃허브 유출…질병청 제보로 인지_2026년 10월

경험한사람 2026. 10. 20. 20:33

국립암센터 소속 연구자가 개인정보가 포함된 연구자료를 깃허브(GitHub)에 업로드해 2009년 구강암 임상연구 참여자 67명의 등록번호·성명·생년월일·키·몸무게·나이·발생 부위가 유출됐습니다. 국립암센터는 이를 자체적으로 발견하지 못하고 질병관리청의 제보로 알게 됐으며, 10월 17일 개인정보보호위원회에 신고했습니다.

□ 개요

국립암센터는 홈페이지에 '개인정보 유출에 대한 안내'를 게시하고, 연구자의 과실로 개인정보가 포함된 연구자료가 깃허브에 업로드돼 구강암 임상연구 참여자 67명의 개인정보가 유출됐다고 밝혔습니다.
유출된 정보는 2009년 임상연구 참여자의 개별 동의서를 바탕으로 연구자가 수기로 수집해 별도 파일로 보관하던 구강암 연구정보입니다. 국립암센터는 이 정보가 부속병원의 진료기록 등 의료정보시스템과는 무관하다고 설명했습니다. 유출 항목은 등록번호, 성명, 생년월일, 키, 몸무게, 나이, 발생 부위 등 7개입니다.
허종식 의원(더불어민주당, 국회 보건복지위원회)이 10월 19일 개인정보보호위원회 제출 자료를 공개하면서 사고가 알려졌습니다. 이 자료에 따르면 연구자는 10월 14일 13시 45분경 자료를 깃허브에 올렸고, 국립암센터는 질병관리청의 제보로 유출 사실을 알게 돼 10월 17일 개인정보보호위원회에 신고했습니다. 암 발생 부위는 건강에 관한 민감정보에 해당하고, 17년 전 수집한 자료가 연구자 개인 파일로 남아 있었다는 점에서 연구자료 보관·파기 관리의 허점이 지적됐습니다. 개인정보보호위원회는 개인정보 보호법 위반 여부를 확인하고 있습니다.

□ 사고내용 요약

1. 회사명 : 국립암센터
2. 사고유형
- 내부 연구자 과실로 개인정보 포함 연구자료를 깃허브(GitHub)에 업로드(외부 공개 저장소 유출)
3. 유출규모
- 2009년 구강암 임상연구 참여자 67명(67건)
4. 유출항목
- 등록번호, 성명, 생년월일, 키, 몸무게, 나이, 발생 부위(총 7개 항목)

5. 특이사항
- 국립암센터가 자체적으로 발견하지 못하고 질병관리청 제보로 유출 사실을 인지
- 공지에는 10월 14일 13시 45분경을 '인지' 시점으로 적었지만, 개인정보보호위원회 제출 자료를 인용한 보도에서는 같은 시각을 '깃허브 업로드' 시점으로 적음
- 유출 항목 중 암 발생 부위는 개인정보 보호법상 건강에 관한 민감정보에 해당
- 17년 전(2009년) 수기로 수집한 자료가 파기되지 않고 연구자 개인 파일로 보관돼 옴. 국립암센터는 연구계획서상 최종 연구 종료 후 10년 보관 규정에 따라 2028년까지 활용할 수 있는 자료라고 설명
- 이동식 저장매체 통제 솔루션이 있었지만, 이번 자료는 승인 절차를 거쳐 매체로 반출된 것으로 확인됨
- 외부인이 자료를 열람했는지는 확인되지 않음
- 수기로 수집한 자료라 연락처가 없어 개별 통지 대신 홈페이지 30일 이상 게시로 통지를 갈음함(개인정보 보호법 시행령 제39조 제3항)
- 국립암센터는 "연구원이 보관원칙을 위반해 사전에 인지하기 어려웠다"는 입장

□ 사고대응 타임라인

- 2009년
. 기관생명윤리위원회(IRB) 승인을 받아 구강암 임상연구 참여자 정보 수기 수집(개별 동의서)
- 2018년
. 후속연구 IRB 승인, 기존 자료를 2차 활용한 연구 진행
- 2026년 10월 14일(수) 13시 45분경
. 소속 연구자가 개인정보가 포함된 연구자료를 깃허브에 업로드(보도 기준)
※ 국립암센터 공지는 이 시각을 '유출 사실 인지' 시점으로 적음
- 시점 미공개
. 질병관리청 제보로 국립암센터가 유출 사실 인지
. 인지 직후 연구자가 깃허브의 해당 자료 삭제
- 2026년 10월 17일(토)
. 국립암센터, 개인정보보호위원회에 유출 신고
- 공지 게시일 미공개
. 홈페이지에 '개인정보 유출에 대한 안내' 게시(30일 이상 게시로 개별 통지 갈음)
- 2026년 10월 19일(월)
. 허종식 의원, 개인정보보호위원회 제출 자료로 유출 사실 공개
. 개인정보보호위원회, 유출 경위·통지·신고 경과 등 개인정보 보호법 위반 여부 확인 착수
- 진행 중
. 국립암센터, 연구 파일 보관 실태 전수조사 등 후속 조치 추진

□ 개인정보 유출 관련 홈페이지 안내

개인정보 유출에 대한 안내

안녕하세요, 국립암센터입니다.

우리 기관에서는 내원객 여러분의 개인정보 보호를 위해 최우선으로 노력하여 왔으나 불의의 사고로 내원객 여러분의 소중한 개인정보 일부가 유출되었음을 알려 드리며, 이에 대하여 진심으로 사과를 드립니다.

우리 기관에서는 2026년 10월 14일 13:45분경 깃허브에 개인정보가 포함된 연구자료가 업로드 되어 있으며, 해당 연구자의 과실로 인해 개인정보 유출이 발생하였다는 사실을 인지하였습니다.

유출된 개인정보는 2009년 임상연구에 참여한 내원객별 개별 동의서를 통해 연구자가 수기로 수집 후 별도 파일로 보관하던 67명의 구강암 연구정보로, 부속병원의 진료기록등의 의료정보시스템과는 무관한 별도의 정보입니다.

유출건수는 총 67건이며 유출항목은 등록번호, 성명, 생년월일, 키, 몸무게, 나이, 발생 부위입니다.(총 7개 항목)

유출 사실을 인지한 후 추가적인 피해가 발생하지 않도록 해당 자료는 즉시 삭제 조치하였으며, 피해가 발생하였거나 의심되는 피해를 구제받고자 하실 경우에는 아래 안내된 피해 접수 담당부서로 연락주시면 절차 안내와 필요한 제반 지원을 아끼지 않도록 하겠습니다.

그동안 우리 기관은 개인정보 보호를 위한 노력을 지속적으로 강화하며 개인정보 보호수준 평가도 우수한 등급을 유지해 왔으나, 이번의 일부 유출 사례가 발생하여 송구스럽습니다.

금번 일을 계기로, 우리 기관은 개인정보 보호조치 강화 등 내부 개인정보 보호 관리체계 및 관계 직원 교육을 통해 인식을 개선토록 노력할 것이며, 항상 믿고 사랑해주시는 내원객 여러분들께 심려와 불편을 끼쳐 드리게 되어 거듭 진심으로 고개 숙여 사과드립니다.

피해 신고 접수 부서 : 정보보호팀
피해 신고 접수 전화번호 : 031-920-0642
피해 신고 접수 이메일 주소 : inverse76@ncc.re.kr

국립암센터 임직원 일동

□ 대응내역

- (국립암센터) 유출 인지 후 깃허브 업로드 자료 즉시 삭제
- (국립암센터) 개인정보보호위원회에 유출 신고(10월 17일)
- (국립암센터) 홈페이지 유출 안내 30일 이상 게시(연락처가 없어 개별 통지 대신)
- (국립암센터) 정보보호팀 피해 신고 창구 운영(전화·이메일)
- (국립암센터) 전체 연구자 대상 사례 공유, 연구 파일 보관 실태 전수조사, 웹사이트 스캔, 이동식 저장매체 개인정보 검출 정책 강화 추진
- (개인정보보호위원회) 유출 경위, 정보주체 통지·신고 경과, 후속 대응 등 개인정보 보호법 위반 여부 확인
※ 질병관리청 제보 시점, 깃허브 노출 기간, 외부 열람 여부, 연구자 징계 여부는 미공개

□ 재발방지대책(권고사항)

1. 기술적 조치
- 깃허브 등 외부 코드 저장소에 기관 데이터·개인정보가 올라갔는지 상시 탐지(공개 저장소 모니터링, 시크릿·개인정보 스캐닝)
- 연구 데이터는 가명·익명 처리 후에만 반출하고, 원본 식별정보는 암호화해 분리 보관
- 승인된 이동식 저장매체 반출 건도 개인정보 포함 여부를 자동 검사하고 반출 이력 관리
- 연구자 PC와 개인 보관 파일에 대한 개인정보 검출 점검 강화

2. 관리적 조치
- 연구자 개인이 보관하는 연구자료까지 포함해 보관·파기 실태 전수 점검, 보유기간이 지난 자료 파기
- 외부 공개 저장소(깃허브 등)에 업무·연구 데이터 업로드를 금지하는 지침 마련과 교육
- 연구 데이터 반출 승인 시 가명처리 여부를 확인하는 절차 추가
- 외부 제보에 의존하지 않도록 자체 유출 탐지 체계 마련

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)