김앤장 "비식별·암호화된 조제정보, 개인정보 아니다"

• 중앙지법 2차 공판...검사-변호인단 공방

지누스에서 2011년 10월부터 2014년 12월까지 IMS에 제공한 환자 진료처방정보가 7억2000만건. 2011년 10월부터 2014년 11월까지 약학정보원에서 IMS로 제공한 환자 조제정보는 42억3593만건.

국민 대다수의 진료처방정보와 조제정보가 환자 동의없이 IMS에 제공된 사건이 서울중앙지방법원 제22형사부(재판장 장준현)에서 '개인정보보호법 위반'으로 다뤄지고 있는 가운데, 2차 공판준비기일에서는 제공된 정보가 개인정보에 해당하는지에 대한 심리가 열렸다.

15일 열린 제2차 공판준비기일에서는 심형석 검사를 비롯, 국내 1, 2위의 대형로펌 김앤장(한국IMS헬스 변호인)과 태평양(약학정보원 변호인), 그리고 화우(지누스 변호인)에서 PPT자료를 마련, 다툼이 있는 사안에 대해 발표했다.

피고 법률 대리인 "IMS에 제공한 진료·처방·조제 정보 개인정보 아냐"

개별 PPT 발표는 IMS 측이 먼저 발표했다. 지누스, 약학정보원과 모두 연계되어 있는 만큼 사건 개관을 위한 변호인 진술자료를 마련한 것이다.

IMS 측 변호를 맡고 있는 김앤장 측은 "IMS 사업 내용 상 누가, 어느 처방을 받았는지 아무런 관심이 없기 때문에 개인에 대한 정보는 필요없다"며 "민감한 정보를 다루고 있는 만큼 개인정보 및 프라이버시 보호에 대해 철저하게 관심을 갖고 있으며, 그동안 사업내용과 관련해 전 세계에서 형사적으로 문제가 된 사례가 없다"고 강조했다.

진료·처방·조제 정보와 무관한 환자의 생년월일, 성별, 주민등록번호를 암호화 해서 받고 있는 것과 관련, 김앤장 측은 "개개인이 누구인지 궁금한게 아니라, 같은 사람이 중복되지 않도록 구분하기 위해 키값을 정해놓는 것"이라고 설명했다.

약학정보원과 계약을 맺게된 배경도 언급했다. 2009년 지누스 e-IRS 사업의 계약이 끝날 즈음, 약국이 보유한 PM2000의 데이터를 활용하는 방안이 모색된 것이다.

김앤장 측은 "검찰이 공소장에서 약학정보원과 몰래 계약을 체결했다고 하지만, 2010년 데이터 공급계약을 체결하기 전부터 언론을 통해 홍보를 해왔다"며 "기소된 2010년 12월부터 2014년 6월까지 양방향 암호화로 주민등록번호, 생년월일, 성별을 수집했고, 검찰 수사에서 지적을 받은 이후 일방향 암호화로 바꿨다"고 밝혔다.

또한 개인정보보호법이 강화되면서 올해 5월부터는 일방향 암호화로 이뤄진 성명, 생년월일, 성별만 제공받는 상황이다.

김앤장 측은 "비식별화, 암호화가 이뤄진 개인정보 수집으로 인해 실적적 피해나 위험이 발생하지 않았다"며 "특정인에 대한 의료정보가 식별가능한 상태로 외부에 유출된 적이 없다"고 혐의를 부인했다.

약학정보원의 변호를 맡은 태평양은 암호화가 이뤄진 환자 정보 또한 개인정보성이 있다는 검찰 측 주장에 대해 반박했다.

태평양 측은 "병합 전 사건에서도 암호화가 쟁점이었다"며 "주민등록번호를 일방향이나 양방향으로 암호화 하고 복호화가 이뤄질 수 없는 암호화가 수행된 경우에는 이미 고유식별정보 기능을 상실했다고 볼 수 있다는 서울대 법대 교수의 의견서를 제출하겠다"고 말했다.

약학정보원 사업 특성 상 환자 개인을 식별하는 정보는 제외하고, 통계정보를 얻기 위해 다른 사람과 구분할 수 있는 특정 키값만 부여했다는 점도 강조했다.

태평양 측은 "환자정보유출로 아무런 피해가 없었기 때문에 제3자가 정보를 취득하기는 희박해서 악용되는 사례 또한 없을 것"이라며 "우리가 제공한 정보는 개인정보보호법에서 의미하는 개인정보에 해당하지 않는다"고 덧붙였다. 하지만 심형석 검사는 "해당 정보 만으로 특정 개인을 식별할 수 없어도, 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정도면 개인정보로 볼 수 있다"며 "개인정보의 암호화는 개인정보의 안전성 조치를 위한 방법의 일환일 뿐, 암호화를 했다고 해서 개인정보성이 없어지는 것이 아니다"고 반박했다.

지누스 변호인을 맡은 화우 측은 "검사가 이 사건 공소사실을 제기할 때 우리를 정보처리자 지위에서 잘못을 묻는 것인지, 위탁자의 지위에서 잘못을 묻는 것인지 알기 어려웠다"며 "전체적으로 지누스를 수탁자의 지위로 공소한 것으로 알고 PPT를 만들었다"고 밝혔다.

만약 지누스를 수탁자의 지위로 공소했을 경우, 화우 측은 "수탁자가 민감정보주체에게 정보 처리에 관해 고지하고 동의를 얻는 것은 불가능 하다"며 "병원이 환자에게 우편물을 발송하는 업무를 배송업체에 맡겼다면, 배송업체가 수탁자로서 환자들에게 사전고지를 하고 동의를 얻어야 하는 괴이한 결과가 발생하는 것과 마찬가지"라고 강조했다.

진료·처방·조제 정보, 빅데이터로서 활용

이번 사건에 제공된 환자 진료, 처방, 조제 정보는 빅데이터로서 활용할 수 있는 '제3의 원유'라는 의견이 제기됐다.

김앤장 측은 "빅데이터 활용은 상시적으로 일어나고 있는데, 이를 활용하기 위해 수십 TB이상의 정보를 일일이 동의 받는 것은 불가능"이라며 "이번 사건의 정보 또한 미래 먹거리 산업으로서 빅데이터를 활용한거로 봐야 한다"고 강조했다.

그러면서 공공기관 사례로 건강보험심사평가원을 예로 들었다. 현재 심평원은 보건의료 빅데이터 개방 시스템을 통해 공공 데이터를 개방하고 있다.

김앤장 측은 "약국 조제내역 검색 시 수진자 개인식별번호, 수진자 연령, 성별구분코드가 보인다"며 "현재 IMS가 제공받는 방식으로 공개가 이뤄지고 있다"고 강조했다.

이와 관련 검찰 측은 다른 의견을 제시했다. 심 검사는 "방통위 빅데이터 개인정보보호가이드라인에 따르면, 공개된 정보나 이용정보를 수집해 새로운 정보를 제공할 때는 프라이버시를 보호해야 한다"고 강조했다.

심 검사는 "특히 환자 진료정보 등 민감정보에 대해서는 빅데이터 정보 생성을 금지하고 있다"며 "이는 빅데이터 가이드라인 제7조 이용자의 사전 동의를 받거나 법률에 허용된 경우만 허용된다"고 덧붙였다.

이번 공판준비기일과 관련 장준현 재판장은 "검사는 이번에 추가로 확인되거나 부각된 쟁점에 대해 추가적인 의견서를 달라"며 "암호화된 주민등록번호의 개인정보성이 인정될 수 있느냐가 쟁점인 것 같다"고 말했다.

한편 다음 기일은 11월 17일 오전 10시 서울중앙지방법원 서관 510호에서 열린다.