 |
2013년 12월 11일 서울중앙지방검찰청은 개인정보관리법 위반행위와 관련해 약학정보원을 압수수색했다.
약학정보원은 2007년부터 2012년까지 약 5년 간 약국 보험청구 프로그램인 ‘PM2000'을 이용해 환자들의 질환, 의약품 청구 내역 등의 정보를 무단으로 수집, 다국적 의약정보제공기업인 IMS헬스코리아에 제공했다는 혐의를 받고 있다.
약학정보원의 처방전 전산처리 시스템은 전국 49%의 약국에 설치돼 있고 지금까지의 수사결과 약학정보원은 매년 약 3억원을 받고 환자처방정보 300만 건을 유출한 것으로 파악되고 있다.
이에 19일 보건복지부와 행정안전부는 뒤늦게 개인의료정보취급에 관한 가이드라인을 발표했다. 대한의사협회는 23일 약학정보원과 그 정보를 사들인 IMS헬스코리아를 상대로 집단 손해배상청구소송을 제기할 것이라는 입장을 밝혔다.
이와 같은 개인정보의 침해는 과거에도 문제가 된 바 있다. 2003년 건강보험공단이 가입자의 개인정보 4000여 건을 업무목적 외로 열람해 그 일부를 보험회사에 유출한 사례가 있다.
또한 아이폰의 국내 사용자 약 3만 명이 본인의 동의 없이 아이폰 위치 정보를 수집당해 사생활이 침해당해 정신적인 피해를 봤다는 이유로 아이폰 제조사인 애플사와 애플 코리아를 상대로 위자료 청구의 집단소송을 제기한 바 있다. 이 사건은 원고 1인 당 청구 금액이 약 100만원으로 총 청구금액이 266억원을 넘는 것으로 추정되고 있다.
그러나 약학정보원 사태는 지금까지의 개인정보 유출 사례와 질적으로 다르다. 단순한 개인정보가 아니라 환자가 감추고 싶어 하는 건강에 관한 정보가 대량으로 유출됐기 때문이다.
정보보호의 핵심 원칙은 ‘최소수집의 원칙’과 ‘본연의 목적을 다한 정보의 폐기의 원칙’이다. 그러나 이 원칙은 의료체계라는 특수한 영역에서는 지켜지기 어렵다.
의료행위를 할 때는 최대한의 정보 수집을 해야만 환자의 정확한 상태를 진단해 최선의 진료방법을 제시할 수 있고, 의료관계 법령은 진료에 관련된 정보를 일정 기간 보존하도록 규정하고 있기 때문이다.
또한 의료정보는 국민건강보험공단, 약국 등 다양한 기관이 이 정보를 공유하여야 할 필요성이 있기 때문에 유출의 가능성이 상대적으로 높다.
실제로 의료정보가 누출이 되었을 경우 정보 주체가 입는 피해는 일반 개인정보보다 심각하다. 환자의 의료정보가 유출되는 경우에는 환자는 보험․고용에서의 차별, 혼인에서의 차별 등을 받을 수 있기 때문이다.
개인의료정보는 헌법 제17조의 사생활의 비밀 혹은 개인정보자기결정권에 의해 보호되나 일반적인 개인정보에 비해 더욱 강하게 보호돼야 한다.
헌법재판소는 4급 이상 공무원들의 병역 면제사유인 질병명을 관보와 인터넷을 통해 공개하도록 하는「공직자 등의 병역사항 신고 및 공개에 관한 법률」 제8조의 위헌성을 판단함에 있어 질병명은 내밀한 사적 영역에 근접하는 민감한 개인정보로서, 특별한 사정이 없는 한 타인의 지득(知得), 외부에 대한 공개로부터 차단돼 개인의 내밀한 영역 내에 유보돼야 하는 정보라고 판단한 바 있다(헌법재판소 2007. 5. 31. 자 2005헌마1139 결정공직자등의병역사항신고및공개에관한법률제3조등위헌확인).
약학정보원의 정보 유출에 대해서는 형사 처벌이 불가피할 것이다. 만약 개별 약국이 환자의 개인정보가 ‘PM2000’을 통해서 약학정보원으로 넘어가는 것을 알고 있었다면 이는 정보주체의 동의 없는 제3자 제공행위로서 개인정보보호법에 따라 처벌될 수 있다.
뿐만 아니라 약사법 제81조의 비밀유지의무위반 및 형법상 업무상비밀누설죄 역시 문제될 수 있다. 약국이 정보 유출에 대해서 전혀 몰랐다고 하더라도 완전히 무책한 것은 아니다.
개인정보보호법은 안전성 확보에 필요한 조치를 하지 않아 개인정보를 유출당한 자의 경우에도 처벌규정을 두고 있기 때문이다.
따라서 약국에서 이와 같은 프로그램에 의하여 환자의 개인정보가 유출되지 않도록 요구되는 안정성 확보장치를 하지 않았다면 이에 대한 법적 책임을 부담할 수도 있다.
약학정보원은 부정한 방법으로 개인정보를 취득한 이상 개인정보보호법 위반으로 처벌될 수 있으며 이를 알면서도 영리를 위하여 개인정보를 제공받은 IMS헬스코리아 역시 동일한 처벌을 받을 수 있다.
뿐만 아니라 제약회사가 불법으로 수집된 정보임을 알면서도 영리 목적으로 IMS헬스코리아로부터 정보를 구입하였다면 제약회사 역시 처벌될 수 있다.
이에 대해 약학정보원은 개별 약국과의 계약을 할 때 계약서에 프로그램 사용시 발생하는 법적 정보에 대해서 수집, 이용한다는 것에 동의하도록 명시하고 있으므로 법적으로 문제가 되지 않는다고 한다.
그러나 개인정보자기결정권은 환자 개인의 권리이므로 약국이 환자 대신 정보수집에 동의할 자격이 없으므로 약국이 사전에 포괄적으로 동의하였다고 하여 약학정보원의 환자 개인의 의료정보 수집이 정당화될 수는 없다.
또한 약학정보원은 IMS헬스코리아에 제공된 데이터에는 환자명, 보호자명이 일체 들어가지 않고 주민등록번호 역시 암호화 처리하는 등 수집한 정보를 가공하였으므로 문제가 없다고 한다.
이에 대해서는 미국의 「건강보험 관리 및 책임에 관한 법률」(the Health Insurance Portability and Accountability Act; HIPAA)을 참고할 수 있을 것이다.
이 기준에 따르면 개인의료정보를 임상자료 연구에 활용하기 위해서는 성명, 주소, 전화번호, 팩스번호, 메일주소, 각종의 번호, 지문 등의 생체정보, 얼굴 전체의 사진 및 유사한 것 등 18개의 민감건강정보(Protected Health Information;PHI)를 익명화해야 한다.
이와 같이 철저한 익명화가 되지 않은 상태의 정보를 재조합하여 정보주체를 추정할 수 있다면 이에 대해서 약학정보원은 면책되기 어려울 것으로 보인다.
현재 개인의료정보는 개인정보보호법에 의하여 일반 개인정보와 함께 규율되고 있다. 그러나 의료정보는 앞서 본 바와 같은 특수성이 있어 더욱 정교한 법적 규율이 필요하다.
이미 미국은 1996년 8월 연방의회에서 전자의무기록의 교류에 관한 「건강보험 관리 및 책임에 관한 법률」(the Health Insurance Portability and Accountability Act; HIPAA)을 제정하고 2003년 보건성은 이의 시행규칙으로서 「개인식별이 가능한 의료정보에 관한 기준」(Standards for Privacy of Individually Identifiable Health Information)을 공포했다.
이에 따르면 의료정보에서 환자의 신원정보의 사용은 의료의 목적으로만 사용돼야 하고 병원 측은 치료, 연구, 교육의 목적으로 그 정보를 사용할 수 있지만 비의료의 목적으로 정보를 이용하는 것은 금지된다.
일본 역시 2003년 개인정보보호법이 제정된 이후 2004년 일본 후생노동성이 의료개호관계사업자에 있어서 개인정보의 적절한 취급을 위한 가이드라인을 제시한 바 있다.
우리 역시 2007년경에 도입 논의가 이뤄지다가 폐기된 개인의료정보보호법률을 재검토하여야 할 것이다. 이는 현행 개인정보보호법의 특별법의 형태가 될 것이고 연구․분석, 공중보건, 진료비 지급, 마케팅 등의 목적으로 진료정보를 이용하는 경우에는 정보주체의 명시적, 구체적 동의를 얻도록 하고 기관 간에 진료 정보를 교류하는 경우 정보주체가 식별되지 않도록 개인정보 익명화의 요건을 구체적으로 규정해야 할 것이다.
또한 정보의 이용목적이 완료되거나 정보주체의 파기 청구가 있는 경우, 보존기한이 만료된 경우에는 환자의 의료정보를 파기하도록 해야 할 것이다.
이와 같은 특별법을 제정하는 방법이 아니라면 현행 개인정보보호법에 개인의료정보에 관한 부분을 별도로 추가하는 방법 역시 고려돼야 할 것이다.
이번 약학정보원 개인정보 유출 사태가 보건의료계 전반에 걸쳐 의료정보 관리와 보호 필요성에 대해 돌아보고 제도를 재정비하는 계기가 되기를 바란다.
데일리메디 기자 (
