'극적반전'…약정원-IMS 형사재판 무죄 판결 이유는?

• 서울중앙지법 "비식별정보 복호화하려는 의사와 시도 없어"
• "개인정보보호법 제정 전부터 암호화...제정 후엔 강화"
• "PM2000 자동정보전송 기능탑재도 약국 속였다고 보기 어려워"

14일 무죄 선고를 받고 재판장을 빠져나온 김대업 회장.

[데일리팜=정흥준 기자] 서울중앙지방법원이 14일 개인정보보호법 위반 혐의 등으로 열린 형사재판 1심 소송에서 김대업 대한약사회장(전 약학정보원장)과 양덕숙 직전 약정원장, 허경화 전 한국IMS헬스 대표에게 무죄를 선고했다.

다만, 지누스가 한국IMS의 위탁 업무를 초과해 식별가능한 정보까지 수집한 행위에 대해선 유죄 판결을 내렸다.

이에 지누스 주식회사에 500만원의 벌금형을, 김성림 대표에겐 징역 6개월에 집행유예 1년을 선고했다.

그렇다면 김대업 회장과 양덕숙 전 원장, 허경화 전 대표 등이 무죄를 받을 수 있었던 이유는 무엇이었을까.

또한 이번 무죄 판결은 어떤 점을 시사하고 있을까. 이날 재판부의 판단 내용을 토대로 무죄 이유와 그 의미를 정리해봤다.

먼저 재판부는 검찰이 제기한 공소 내용 중 상당 부분을 기각했다. 특히 검찰은 공소장 변경을 하며 전자파일이 담긴 DVD를 첨부했는데, 여기에 담겨있던 개인정보 피해 주장 근거에 대해선 대법원 판시를 근거로 받아들이지 않았다.

오로지 검찰이 출력해 서면 제출한 내용에 대해서만 심판 대상이 됐다고 밝혔다.

재판부는 검찰의 공소 내용 중 전자파일로 DVD제출한 것에 대해서는 기각, 직접 출력해 서면제출한 내용만을 가지고 심판했다.

법원은 무엇보다 암호화된 정보를 개인정보로 치환할 의사와 고의성이 있었는지를 중요하게 판단했다.

이와 관련 재판부는 약정원과 한국IMS 등은 비식별화와 암호화가 된 개인정보를 복호화할 ‘고의’가 없었다고 판단했다.

재판부는 "특정정보에 대해 비식별화와 암호화 조치가 된다고 해도 복구화 가능성이 존재하다면 개인정보로 볼 수 있다. 약정원과 IMS 직원들이 치환규칙을 인식하고 사실상 공유했던 이상 (암호화 정보도)개인정보에 해당한다. 따라서 범죄에 해당할 여지가 있다"고 말했다.

하지만 재판부는 "식별가능한 정보이더라도 행위자가 식별가능한 정보로 인식했는지는 별개의 문제다. 비식별화된 정보를 처리하는 자가 복호화하려는 의사가 있었다는 것까지가 인정돼야 한다"며 덧붙였다.

이어 재판부는 "IMS와 약정원 직원이 암호화 치환 규칙을 공유했더라도 개인정보를 복호화하려는 아무런 유인이 없었다. 오히려 IMS는 환자진료정보를 제공받으면서 자체적으로 개인정보보호법 제정 이전부터 암호화했고, 개정 이후엔 암호화를 강화하면서 복호화를 전혀 취하지 않았다"고 설명했다.

결국 비식별화‧암호화된 정보를 주고받은 것은 복호화 가능성과는 별개로, 복호화에 대한 의사나 용인 등이 없다면 개인정보보호법상 문제가 되지 않는다는 것으로 해석된다.

재판부는 "IMS는 마스킹 처리된 주민번호 등으로 개인을 특정하는 것은 합법적으로 불가능했다. 또한 지누스 측에 암호화된 정보를 원했고, 돈과 노력을 들여 복구화할 동기도 없었음을 보면 ‘고의’를 입증하기 어렵다"고 밝혔다.

아울러 재판부는 약정원이 PM2000을 업데이트하면서 약국으로부터 정보가 자동전송되는 기능을 탑재한 것에 대한 정보통신망법 위반 혐의도 인정하지 않았다.

재판부는 "업데이트 과정을 보면 속이는 행위로 수집했다거나 피고인들에게 고의가 있었던 것으로 볼 수 없다. 즉 약사들이 대체로 알고 동의했다는 취지로 판단했다"고 말했다.

이와 달리 지누스에 대해 유죄를 인정한 이유는 업무 위탁자인 한국IMS의 요청을 넘어서 식별가능한 정보를 추가적으로 수집했기 때문이었다.

재판부는 "IMS는 병의원들로부터 개인정보를 수집하도록 계약을 체결하고 지누스에 업무를 위탁했다. 지누스에게 수집 요청한 정보를 20여개로 제한했고 여기엔 이름과 주민번호, 연락처 등 식별가능한 정보가 포함되지 않았다"고 했다.

반면 지누스는 IMS가 요구한 20여개 정보 외에 이름과 주민번호, 연락처 등 식별가능한 정보를 포함해 총 80여개의 정보를 수집했고, 그 뒤 IMS엔 요구한 20여개 정보를 제공했다.

재판부는 지누스가 향후 수익 등을 고려해 IMS가 위탁한 업무 범위를 초과해 식별가능한 정보까지 수집했다고 판단하며 유죄 판결이 내려졌다.

또한 이번 재판부의 선고 과정에선 보건의료정보를 이용한 빅데이터 산업에 대한 판단도 살펴볼 수 있었다.

전자의무기록을 의료기관 밖에 저장해놓지 못하도록 하는 관계 법령 및 유권해석이 있더라도, 개인정보보호법을 따르는 민감정보의 위탁은 가능하다는 것이었다.

재판부는 "복지부에서 의료관계법령을 근거로 전자의무기록을 의료기관 외부에 저장하면 안된다는 유권해석을 했더라도, 그 사유만으로 개인정보보호법에 따른 민감정보의 위탁까지 금지한다고 볼 수 없다"고 말했다.

또한 재판부는 정보 주체로부터 추가적인 별도의 동의를 받을 필요도 없다고 덧붙였다.

한편, 1심 선고에 대한 검찰의 항소가 아직 남아있기 때문에 재판이 장기화될 가능성은 여전히 남았다.