[공교육 플랫폼 시대] 기업이 쥐고 있는 학생 데이터⋯ 유출시 책임은 ...

advertisement

advertisement

교실 풍경을 빠르게 변했다. 칠판과 교과서 중심이던 수업에는 학습앱, 온라인 평가 시스템, 학부모 알림앱 같은 에듀테크 플랫폼이 자리 잡았다.학생들의 학습기록과 접속 정보, 과제와 평가 데이터까지 학교 안에서 만들어지는 수많은 정보 역시 플랫폼과 클라우드를 따라 움직이고 있다. 공교육 현장이 거대한 디지털 공간으로 바뀌고 있는 셈이다.

문제는 이러한 플랫폼의 보안 관련 책임이다. 공교육 플랫폼 상당 부분을 민간기업이 운영하는 현실 속에서 사고가 발생했을 때 누가 책임을 져야 하는지, 학생 데이터에 대한 통제 권한은 어디까지 공공이 가져야 하는지를 둘러싼 논의도 함께 커지고 있다. '공교육 플랫폼 시대' 기획을 통해 학교 현장에 깊숙이 들어온 민간 에듀테크 구조와 교육 데이터 거버넌스, 보안 책임 체계의 공백 문제를 짚어본다.

고3 전국연합학력평가가 실시된 지난 7일 대구 수성구 대구여자고등학교에서 고3 수험생들이 시험 준비를 하고 있다. (사진=연합뉴스)

[아시아타임즈=양혜랑 기자] #.지난 3월에는 에듀테크 기업 아이스크림미디어에서 교사 개인정보 유출 사고가 발생했다. 이 회사의 디지털 교육 플랫폼 ‘아이스크림S’는 전국 초등학교 교실의 약 93%에서 사용되는 핵심 수업 도구다. 당시 교사들의 이름과 생년월일, 휴대전화번호, 학교 정보 등이 외부에 노출됐다. 올해 초 교원그룹이 랜섬웨어 공격을 받은 사실까지 알려지면서 교육기술 업계 전반의 보안 불안도 커지고 있다.

민간 에듀테크 플랫폼이 교육 현장에 들어오면서 사실상 공교육 데이터 생태계의 일부가 됐다. 그러나 학생 데이터 관리와 사고 책임 체계는 여전히 불분명하다는 지적이 나온다.

학생 데이터는 어디로 가고 있나

수업 과정에서 만들어지는 데이터가 민간 플랫폼에 쌓이고 있다. 학생들의 학습기록과 접속기록, 과제·평가 데이터, 교사 활동 기록 등 교육 현장의 주요 정보 상당수가 민간 클라우드 환경에서 저장·관리되고 있다.

실제로 코로나19 이후 학교 현장의 플랫폼 기반 수업은 빠르게 일상화됐다. 교육부에 따르면 2020년 공공 LMS 일일 이용자는 약 100만명 수준까지 증가했고, 교원 제작 원격교육 콘텐츠도 2400만건 이상 업로드됐다. 이후 교육부의 '디지털 기반 교육혁신' 정책에 따라 AI 코스웨어와 디지털교과서, 학부모 알림앱, 온라인 평가 시스템, 출결관리 서비스 등의 사용도 확대되고 있다.

advertisement

advertisement

그러다보니 이 플랫폼에 관여하는 업체도 다양해졌다. 플랫폼 운영 과정에서 클라우드 업체와 문자발송업체, 본인인증업체, AI 서비스 업체 등 여러 외부 업체가 함께 데이터 처리에 관여하기도 한다.

학교 수업과 학습 과정에서 만들어지는 데이터는 점점 민간 클라우드 위에서 움직이는 구조로 바뀌고 있다. 특히 AI 기반 에듀테크 서비스는 학생들의 학습 수준과 오답 유형, 집중도, 학습 습관 등을 분석하는 만큼 학생의 학습 특성과 취약점까지 담긴 민감한 정보도 이 통로를 통해 전달된다.

교육 데이터는 일반 개인정보와 다르다

교육 데이터는 일반 개인정보보다 민감성이 높다는 점에서도 우려가 크다. 교육기관은 학생의 성적과 출결, 생활기록, 상담기록, 건강정보, 특수교육 대상 여부, 학교폭력 관련 기록, 심리검사 결과, 진로정보 등 장기간 축적되는 정보를 함께 다룬다.

미성년자 개인정보 유출은 일반 성인보다 피해 회복 가능성이 낮고 피해 기간도 길 수 있다. 상담기록이나 장애 관련 정보, 학교폭력 관련 기록, 생활지도 정보 등이 유출될 경우 낙인과 차별, 심리적 위축, 학습권 침해 등으로 이어질 가능성도 있다.

미성년자는 자신의 개인정보 처리 위험을 충분히 이해하거나 스스로 통제하기 어렵다는 점에서 국가와 학교가 보다 강화된 보호조치를 취해야 한다는 목소리도 나온다.

박정인 덕성여대 AI DynaInfo 연구소 교수는 "교육 분야 개인정보보호는 최소수집과 접근권한 제한, 암호화, 접속기록 관리, 민감정보 분리보관, 외부업체 위탁관리, 파기관리까지 포함하는 체계로 접근해야 한다"고 강조했다.

개인정보유출 사고 발생하면 책임은 누가

문제는 데이터 처리 과정이 여러 업체로 나뉠수록 실제 정보가 어디를 거쳐 관리되는지, 사고가 났을 때 누가 책임져야 하는지도 불분명해진다는 것이다. 교육기관이 민간 플랫폼을 도입하고, 해당 플랫폼이 다시 클라우드 사업자를 이용하거나 일부 기능을 외부업체에 재위탁하는 구조가 일반화되고 있기 때문이다.

학교는 민간업체 시스템 문제라고 설명할 수 있고, 플랫폼 운영사는 클라우드 설정 문제라고 주장할 수 있으며, 클라우드 사업자는 이용기관의 접근권한 관리 책임을 언급할 가능성도 있다. 학생과 학부모 입장에서는 누구에게 책임을 물어야 하는지 불분명해질 수 있다.

특히 교육 분야는 사고 대응이 늦어질수록 피해 확산 속도가 빠르다는 점에서 우려가 크다. 학생 개인정보 유출은 학부모 불안과 학교 신뢰 저하, 2차 범죄 악용 가능성으로 이어질 수 있다.

이에 따라 사고 이전 단계에서 책임 체계를 계약과 지침으로 명확히 설계해야 한다. 교육기관은 개인정보처리자 또는 공동 책임자로서 관리·감독 책임을 부담하고, 민간업체는 기술적·관리적 보호조치 의무를, 클라우드 사업자는 인프라 보안과 물리적 보호조치 책임을 각각 명확히 해야 한다.

박 교수는 "사고 발생 시 통지 주체와 조사 주체, 피해자 안내 주체, 손해배상 책임, 재발방지책 제출 의무 등을 사전에 구체적으로 규정할 필요가 있다"고 말했다.