유출된 개인정보 암호화 수준과 개인정보보호법 위반 시 법정 손해배상 청구조항의 시행시점이 약국청구프로그램 PM2000 민사재판 결과를 갈랐다.

특히 법원은 대한약사회가 약학정보원의 개인정보 수집·유출 등 불법에 가담했다고 볼 만한 증거가 없다고 적시했다.

두 단체 대표자가 조찬휘 회장으로 동일하고, 약사회가 약정원에 PM2000 개발을 위탁했다는 이유만으로 함께 법을 위반했다고 볼 수 없다는 논리다.

14일 데일리팜이 의사와 환자 1875명이 약사회·약정원·IMS헬스를 상대로 위자료 소송을 제기했다 패소한 민사사건을 분석했다.

법원은 약정원이 약사들을 속여 의사와 환자 개인정보를 취득하지는 않았다고 적시했다. 약사들 대부분이 PM2000 청구정보 자동전송기능 업데이트 시 사용계약에 동의한 것이 판단에 영향을 줬다.

의사들이 주장한 의사면허번호와 청구정보 유출 역시 법원은 무죄라고 봤다.

약정원이 IMS헬스에 의사 정보 전송 과정에서 4~6자리 의사면허번호 뒤에 0을 붙여 8자리로 만든 뒤 순서를 섞는 암호화를 거쳤고, 이를 해독할 수 있는 복호화 함수가 없으므로 의사 처방정보가 유출됐다고 보기 어렵다는 게 법원 판단이다.

다만 법원은 약사나 의사가 아닌 환자 개인정보 유출행위는 명백한 불법이라고 했다.

특히 불법 이유를 두 가지로 규정했는데, 약정원이 IMS헬스에 환자정보를 넘길 당시 시행한 암호화 수준이 낮은 점과 환자들에게 아무런 동의 없이 정보를 수집한 점이 그것이다.

법원은 약정원과 IMS헬스의 환자정보 방식을 총 3가지로 분류했다. 구체적으로 PM2000 자동전송 기능이 개발된 2011년 1월부터 2014년 6월까지를 1기 암호화, 2014년 6월부터 9월까지를 2기, 그 이후부터 2015년 1월까지를 3기로 규정했다.

이중 법원이 사실상 암호화를 인정하지 않는 시기 1기로, 13자리 환자 주민번호를 규칙에 맞춰 단순 알파벳으로 치환하는 것은 누구나 해독할 수 있어 암호화로 인정할 수 없다고 지적했다.

특히 암호화 방법을 약정원과 IMS헬스가 공유하는 양방향 방식으로 상호 건넨 환자 자료의 개인식별이 충분히 가능하다고 봤다.

2기와 3기 암호화는 1기 대비 해독이 까다롭고 양방향 암호화가 아닌점이 인정됐다.

아울러 법원은 약정원과 IMS헬스가 환자의 정보수집 동의 없이 PM2000 자동전송 기능을 활용해 개인정보를 수집하고 상호 교환했다고 적시했다.

법원은 "주민번호를 알파벳과 1:1 대응하는 일종의 데이터 마스킹인 1기 암호화는 개인식별 우려가 커 암호화로 볼 수 없다"며 "2기와 3기 암호화는 훨씬 안전한 일방향 암호화를 사용하고 IMS헬스가 해독하는 게 원칙적으로 불가능하다"고 판시했다.

법원은 "약정원은 약사의 동의는 구했지만 환자 동의 없이 개인정보를 수집했다. 고유식별정보와 민감정보를 정보주체 동의 없이 수집한 것은 개인정보 보호법 위반"이라며 "IMS헬스도 해당 정보를 받은 뒤 미국 본사에 환자 동의없이 전송해 위법행위에 가담했다"고 했다.

그렇다면 환자 개인정보유출 위법을 인정한 법원이 약정원과 IMS헬스 승소를 판결한 이유는 뭘까.

법원은 약정원과 IMS헬스 외 타인이 환자정보를 열람했을 가능성이 낮고 실제 보이스 피싱이나 마케팅, 스팸메일 등 2차 피해가 일어나지 않은 점을 들어 환자들에게 위자료를 줄 만한 정신적 손해가 발생하지 않았다고 했다.

특히 개인정보보호법 위반 시 300만원 이하 손해배상 청구 가능 법조항 시행일이 2015년 7월 24일 이후인 점도 환자 패소에 치명적으로 작용했다.

PM2000 개인정보유출은 2011년 1월부터 2015년 1월까지 일어난 사건이기 때문에 손해배상 청구 조항이 적용되는 시점이라고 볼 수 없다는 것이다.

법원은 "환자 개인정보는 약정원과 IMS헬스가 해독해 개인을 식별할 가능성은 있지만 이들을 제외한 타인은 환자 정보를 열람했는지 밝혀지지 않았고 접근하기 쉽다고 보기 어렵다"며 "개인정보법 위반 손배 청구조항은 2015년 7월부터 시행돼 PM2000 사건에는 적용되지 않는다"고 못 박았다.