[단독] 예비군 훈련, 오산기지서 받으면 '주민번호 13자리' 미군에 넘어간다

올해부터 오산 공군기지에서 예비군 동원훈련을 받을 경우, 신원 확인을 위해 주민등록번호 전체 13자리를 포함한 개인정보가 기지를 관할하는 미군 측에 전달돼 미군 전산체계에 등록·관리될 예정인 것으로 확인됐다.

이는 지난해 7월 내란특검의 오산 공군기지 압수수색 이후, 기지 출입 통제를 담당하는 미군 측이 기지 전반의 출입·보안 절차를 강화하면서 시행되는 조치다.

25일 코리아헤럴드 취재를 종합하면, 오산 공군기지에 위치한 공군 작전사령부는 올해부터 예비군 훈련을 계획하는 과정에서 훈련 대상자의 주민등록번호 전체 13자리를 수집해 같은 기지를 사용하는 미군에 제공하는 절차를 도입한다.

공군 관계자는 “과거에는 한국군 인솔 하에 예비군의 기지 출입이 가능했지만, 출입 통제를 미군이 전담하면서 신원 확인 기준이 달라졌다”며 “기존에는 병무청으로부터 이름과 연락처, 생년월일 정도만 전달받았으나, 미군 측이 주민등록번호 전체 제출을 요구하면서 이를 추가로 요청할 계획”이라고 설명했다.

미군은 지난해 내란특검이 평양 무인기 작전을 둘러싼 의혹으로 오산 공군기지를 압수수색한 이후, 기지 출입 통제 체계를 전면적으로 강화했다. 이로 인해 예비군 훈련 대상자 역시 기지 출입 과정에서 동일한 신원 확인 기준을 적용받게 된 것이다. 부대 상근 인원과 기타 기지 방문 인원에게는 이미 해당 절차가 적용돼 왔다.

통상 미군 부대는 행사 참가자나 용역 인력 등 한국인 외부인의 기지 출입 시 신원 확인을 위해 주민등록번호 전체 제출을 요구한다. 이 같은 조치가 가능한 이유는 오산 공군기지가 주한미군지위협정(SOFA)에 따라 한국이 미국에 공여한 기지로 분류되기 때문이다. 이에 따라 기지의 운영·경호·관리에 관한 권한은 미군이 행사한다.

공군 내부에서는 이 같은 내용이 이미 공문 형태로 공유된 것으로 전해졌다. 훈련 약 한 달 전 병무청에 관련 자료를 요청해 받은 뒤 이를 미군에 제출하면, 미군은 해당 정보를 바탕으로 출입증을 발급한다. 오산 공군기지에서 실시되는 예비군 훈련은 회당 50명 내외 규모로, 많을 경우 연간 6회가량 실시된다.

공군 작전사령부 내에서 훈련 계획과 예비군 편성·출입 관리를 담당하는 복수의 주무 부서는 “공문으로 접수된 사안에 대해서만 답변할 수 있다”며 구체적인 설명을 거부했다.

문제는 기지 출입을 위해 제공된 개인정보가 미국 국방부가 관리하는 국방생체인식체계(DBIDS)에 저장된다는 점이다. DBIDS는 미군이 전 세계적으로 사용하는 출입·신원 관리 체계로, 주한미군뿐 아니라 주일미군과 주유럽미군 등 미국 국방부 산하 각 기지에서 운영된다.

DBIDS에는 외부 방문자와 부대 관계자의 신원정보가 등록되며, 기지 방문이 종료된 이후에도 기록이 유지된다. 이 과정에서 개인은 자신의 정보가 언제까지, 어떤 범위에서 보관·활용되는지 확인하거나 통제하기 어렵다. 주한미군 규정(USFKI 5200.08)에도 외부인 출입 시 DBIDS 등록이 명시돼 있다.

오산 기지 내 미측 시설을 관할하는 미7공군사령부 예하 제51전투비행단은 “한 번 출입하면 정보가 저장돼 이후 출입 절차를 간소화할 수 있다”고 설명했다. 주한미군 측도 “해당 정보는 신원 확인 목적 외 다른 용도로 사용되지 않는다”며 “구체적인 사항은 확인해줄 수 없다”고 밝혔다.

공군은 당사자 동의 없이 개인정보를 병무청에 요청해 수집·제공할 수 있는지에 대해서 명확한 입장을 밝히지 않았다. 병무청도 이를 국방부 소관 사안이라며 선을 그었고, 국방부는 “예비군 훈련과 관련된 정책 방향은 제시하지만 세부 운영은 각 군 소관”이라는 원론적인 입장만 내놓았다.

동국대 국제정보보호대학원 황석진 교수는 “주민등록번호나 생체정보는 개인정보 중에서도 민감정보로 분류된다”며 “쿠팡·롯데카드·KT 등에서 발생한 대규모 개인정보 유출의 여파가 여전히 남아 있는 상황에서, 당사자 동의 없이 이런 민감정보를 외국 군 당국에 제공하는 것이 적절한지 따져볼 문제”라고 지적했다. 이어 “변경이 어려운 주민등록번호보다 상대적으로 갱신이 가능한 여권번호 등 다른 신원 확인 방안을 강구할 필요가 있다”고 말했다.

그동안 오산 공군기지 내 3개 게이트 가운데 한측 시설과 가까운 1개 게이트는 편의상 한국군이 관리해 왔다. 해당 게이트는 미군 출입증이 없더라도 공무원증이나 신분증을 제시하면 한국군 통제 하에 출입이 가능했으며, 동원훈련을 위해 부대를 방문하는 예비군 역시 이 게이트를 이용해 왔다.

그러나 내란특검이 압수수색 당시 한국군이 통제하던 해당 게이트를 통해 출입한 사실이 알려지면서, 미군은 출입 통제 체계를 전면 재정비하는 데 나섰다. 이 과정에서 한국군이 관리하던 해당 게이트 역시 미군이 직접 통제하겠다는 방침을 밝혔다.

압수수색과 관련해 SOFA 합동위원회 미측 위원장을 맡고 있는 데이비드 아이버슨 공군 중장(주한미군 부사령관･미7공군사령관)은 지난해 10월 외교부에 항의 서한을 보냈으나, 두 달이 지나도록 답변을 받지 못한 것으로 전해졌다. 미측은 출입 절차와 관련된 변경 사안에 대해 “보안 절차 강화”라는 입장만을 내놓고 있다.

공군은 출입 체계 개선을 위해 미측과 협의 중이라고 밝혔으나, 실질적인 변화는 없었던 것으로 보인다. 당초 이번 달부터 적용될 예정이었던 새 출입 절차는 계도기간을 거쳐 2월 중순부터 시행될 예정이다. 현재 해당 정문에는 한국군과 미군이 함께 경계를 서고 있다.

예비군 훈련 장소를 개인이 선택하거나 변경하기는 구조적으로 어렵다는 점도 논란으로 지적된다.

오산 공군기지에는 공군 작전사령부를 비롯해 미사일방어사령부, 방공관제사령부 등 여러 한국군 부대가 함께 위치해 있다. 오산 기지 내 부대에서 전역한 경우 대부분 공군 작전사령부에서 동원훈련을 받게 된다. 전역 부대의 특성이나 특기, 소요에 따라 수도권 등 타 지역 예비군도 오산 공군기지로 동원될 수 있다.

병무청은 개인 희망에 따른 훈련 부대 변경을 허용하지 않고 있으며, 관련 법령 역시 거주지 이동 등 제한적인 사유 외에는 변경을 인정하지 않는다. 훈련 연기 역시 질병·사고, 국가고시 응시, 재난 등 불가피한 사유로 제한돼 있어, 개인정보 제공에 대한 우려만으로 훈련을 회피하기는 사실상 불가능하다.

오산 공군기지와 마찬가지로 한미연합기지로 운영되는 군산 공군기지도 예비군 훈련을 기지 내에서 실시하고 있다. 그러나 군산 기지는 모든 게이트를 미군이 관리하고 있다는 점은 동일하지만, 예비군 훈련 시 출입 절차는 비교적 간소하게 운영돼 온 것으로 알려졌다.

캠프 험프리스에서도 미8군 예하 한국군지원단 주도로 2023년 10월부터 예비군 동원훈련이 진행돼 왔다. 다만 동원 대상이 카투사 출신 예비군으로 한정돼 있어, 현역 복무 당시 미군과의 근무 과정에서 신원정보가 이미 등록돼 있다는 점에서 일반 예비군과는 상황이 다르다. 실제 2023년 캠프 험프리스에서 예비군 훈련을 받은 문 모씨는 “버스에서 내려 신분증을 제시하고 얼굴만 확인하는 수준이었다”고 전했다.

한편 가장 가까운 시일에 오산 공군기지에서 시행되는 동원 훈련은 4월 중순인 것으로 알려졌다. 공군 본부와 공군 작전사령부는 “출입 관련 보안 조치 강화는 예비군 훈련과는 무관하다”며 “훈련 일정과 방식에는 변동이 없을 것”이라고 밝혔다.

기사 원문:

[Exclusive] Osan Air Base security measure raises data breach concerns

Osan Air Base, a key hub for South Korea-US air operations, has become the center of controversy over how sensitive personal data of Korean nationals is handled — raising concerns about consent, oversight and control over when such information is collected and retained by a foreign military authority.

According to multiple sources on Sunday, the South Korean Air Force’s Operations Command headquartered at Osan Air Base in Pyeongtaek, Gyeonggi Province, is collecting full resident registration numbers of reservists mobilized for training and submitting them to the US 7th Air Force, which operates the base jointly with South Korean forces.

“In the past, reservists could enter the base under Korean military escort,” a South Korean Air Force official told The Korea Herald, speaking on condition of anonymity. “But since US forces now manage access control, identity verification standards have changed.”

“Previously, the Military Manpower Administration provided only basic information such as name, contact details, and date of birth,” the official added. “Now, US forces are requesting full resident registration numbers.”

The resident registration number is a 13-digit code that serves as South Korea’s primary national ID, similar in function to the US Social Security number. It encodes an individual’s date of birth, gender and place of registration. When combined with a person’s name, it can be used to open bank accounts or obtain mobile phone services, making it highly sensitive.

Under the revised process, the Air Force requests this personal data from the Military Manpower Administration — the agency responsible for managing conscription and reserve forces — about a month before training. The information is then submitted to US forces, who issue base access passes.

Internal documents outlining the procedural changes have already been circulated, another military official said. Approximately six reserve training sessions are held at the base annually, with about 50 reservists participating in each.

The controversy centers on where the collected personal data ultimately ends up, how the information is provided, and consent.

Information submitted for base access is stored in the Defense Biometric Identification System (DBIDS), a US Department of Defense-managed identity and access control system used across US military installations worldwide. US Forces Korea regulations — specifically USFK Instruction 5200.08 — stipulate that the identities of all external visitors are to be registered in the system.

Once DBIDS records the identities of visitors, the data remains in the system even after access to a base ends, making it difficult for ordinary Korean citizens to determine how long their information is retained, how it is used or whether it can be withdrawn.

The 51st Fighter Wing under the US Seventh Air Force, which oversees US facilities at Osan, said the system is intended to enhance gate operations, noting that once information is registered, future access procedures can be “streamlined.”

US Forces Korea also said the data is used solely for “identity verification purposes,” adding that further details could not be disclosed.

Another potential issue is the legality of collecting and handing over the information.

Under Korean law, individuals have the right to be informed about how their personal data is collected, used and managed. They are also entitled to give consent and to define the scope of that consent, as well as to request the correction or deletion of their data.

The law further requires data handlers to collect only the minimum amount of personal information necessary, and to do so in an appropriate manner.

South Korea’s Air Force, meanwhile, has not clarified whether it can lawfully collect and provide sensitive personal data to a foreign military authority without the consent of the individuals concerned.

The Military Manpower Administration also deferred the issue to the Defense Ministry, which said it “sets general policy while operational details are handled by each service.”

Hwang Suk-jin, a professor at Dongguk University’s Graduate School of International Information Security, said the military should consider alternative identification methods.

“Resident registration numbers are classified as highly sensitive personal information. Given that such numbers are extremely difficult to change, it would be more prudent to explore alternative identification methods, such as passport numbers, which can be renewed,” Hwang said.

“With the aftereffects of major data breaches last year at major companies such as Coupang, Lotte Card and KT still lingering, it is worth questioning whether providing resident registration numbers to foreign military authorities without individual consent is appropriate,” he added.

Despite such potential problems, the reservists who would be subject to the new rules will have little choice if the measures are enforced.

Unlike civilian contractors and other voluntary visitors, such as those entering the base for paid work or official events, reservists are mobilized by law rather than by choice and have little room to refuse or negotiate how their personal information is shared.

Those who completed active service in units stationed at Osan, including the Air and Missile Defense Command, the Air Defense Control Command and the Air Force Operations Command, are typically assigned there for reserve training.

Also, reservists may be mobilized to Osan Air Base depending on their former unit, specialty or operational requirements. This includes personnel deemed essential to combined South Korea-US military operations — such as translation, transportation and air operations — even if they are based outside the Osan area.

Changing training locations is difficult. The Military Manpower Administration does not allow transfers based on personal preference, and relevant laws permit changes only under limited circumstances, such as relocation of residence.

Training postponements are limited to unavoidable reasons such as illness, accidents, national examinations or disasters. As a result, concerns over personal data handling alone are unlikely to exempt reservists from attending training.

Similar arrangements exist at other joint facilities, though with notable differences.

Gunsan Air Base, another South Korea-US joint installation in North Jeolla Province, also conducts reserve training on base. However, entry procedures there have reportedly been less stringent.

At Camp Humphreys — the largest overseas US military installation in Asia — reserve training has been conducted since 2023 for former Korean Augmentation to the US Army soldiers, or KATUSA, whose personal data had already been registered during their service with US units.

The next reserve training session at Osan Air Base is scheduled for mid-April. “The enhanced security measures will not affect training schedules or formats,” South Korea’s Air Force and Air Force Operations Command said.

The changes are widely seen as part of a broader restructuring of base access following a special counsel’s raid last year.

Osan Air Base has three entry gates. Until last year, one gate located near South Korean facilities was managed by Korean forces in practice, allowing entry with Korean government or military identification even without US-issued access passes. Reservists attending training at the base also used this gate.

That arrangement changed after a special counsel team investigating insurrection-related allegations linked to former President Yoon Suk Yeol’s Dec. 3, 2024, martial law declaration conducted a raid at Osan Air Base in July last year.

The raid was part of an investigation into allegations that the Yoon administration conducted drone operations over North Korea, which investigators say may have been intended to justify his martial law scheme. The special counsel team reportedly entered the base through the Korean-controlled gate.

In response, US forces announced plans to directly control all gates and reorganize access procedures, effectively reclaiming authority over gate control from South Korean forces.

To some, such a move may appear unilateral.

However, under the South Korea-US Status of Forces Agreement, Osan Air Base is classified as a facility provided by South Korea to the United States, granting US forces authority over the base’s operation, security and management.

In October, Lt. Gen. David Iverson, commander of the US Seventh Air Force — who also serves as deputy commander of US Forces Korea and the US co-chair of the SOFA Joint Committee — sent a letter of protest to South Korea’s Foreign Ministry regarding the raid. According to local reports, the letter went unanswered.

US forces have since described the changes as “enhanced security procedures.”

New entry rules initially slated for January are now expected to take effect from mid-February after a grace period. Korean and US personnel are currently jointly stationed at the affected gate.