20만명 의료정보 털린 대형병원…"통지가 끝?" 피해자들 분노

중앙일보

입력

“너무 화가 나죠. 다른 것도 아니고 신체 정보인데 우편 한 통 보내고 땡이에요.”
김주희(39·여·가명)씨는 지난 18일 서울 서대문구의 한 종합병원으로부터 통지서 한장을 받았다. 가족의 주민등록번호와 신체정보 등 의료 정보가 유출됐다는 내용이었다. 정보 유출 피해자는 다름 아닌 그의 5살 딸이었다.

김씨는 “딸의 정보가 유출됐는데도 ‘제3자에게 제공한 것으로 추정된다’ ‘이상한 메시지가 오면 주의를 기울이라’는 말뿐이었다”며 “수사 결과나 배상에 대해선 한 마디도 없었다”고 분통을 터뜨렸다. 지역 맘카페에는 “저희 아이 정보도 털렸다고 우편 왔다” “사과로 끝날 일인가. 어이가 없다”는 의견이 잇따랐다.

지난 18일 김주희씨가 병원으로부터 받은 개인정보 유출 통지서. 김씨 제공

피해자 분통에도 “수사 중이라 알려드릴 수 없다”

대학병원의 통보는 수사 결과에 따른 조치였다. 지난해 경찰청 중대범죄수사과는 환자 약 20만명의 처방기록 32만6000여건을 유출한 17개 대형병원 관계자 27명과, 제약사 직원 23명을 개인정보보호법 위반 혐의로 서울중앙지검에 송치했다. 이들이 유출한 정보에는 환자의 이름, 주민등록번호, 처방내역, 정신병원 수용사실 등 민감한 의료정보가 포함돼 있었다.

개인정보보호법 제34조에 따르면 개인정보처리자가 개인정보 유출을 알게 됐을 때 지체 없이 해당 정보 주체에게 통지해야 한다고 명시돼 있다. 피해자들은 병원 측의 통지 시점에 대해서도 의문을 제기하고 있다. 대형병원 의료정보 유출 수사가 검찰로 넘어간 지 수개월이 지난 시점에서야 피해 사실을 통지받았기 때문이다.

약 10만명의 개인정보가 유출된 것으로 알려진 종합병원 관계자는 “경찰이 수사 중일 때 병원 측은 자료에 접근 권한이 없다. 개인정보보호위원회에서 피해자 명단을 넘겨준 시점에 통지했다”고 해명했다. 다른 종합병원의 관계자는 “개인이 어느 정도 피해가 있는지도 밝혀지지 않은 거로 알고 있다. 수사 진행 중이라 알려드리기 어렵다”고 했다.

‘민감정보’인 의료정보, 보호엔 구멍

개인 의료정보는 개인정보보호법 제23조와 대통령령에 따라 ‘민감정보’라는 이름으로 분류된다. 정보 주체의 사생활을 현저히 침해할 우려가 있어서 더 엄격하게 관리되는 것이다. 의료정보는 개인정보보호법뿐 아니라 의료법에 따라 보호를 받게 돼 있다. 그러나, ‘민감정보’라는 의료정보를 현행법이 제대로 보호하지 못한다는 지적이 나온다.

지성우 성균관대 법학전문대학원 교수(개인정보보호위원)는 “개인정보보호법이라는 일반적인 조항만 가지고는 의료정보 문제를 적합하게 처리하기 매우 어렵다”며 “의료정보는 노출됐을 때 사회적 위상과 신뢰를 저하할 수 있어 각별한 보호가 필요하다. 의료정보에 맞게 개인정보보호법을 세분화하는 방향으로 나아가야 한다”고 말했다.

골드스푼은 과징금 부과했는데…의료 정보 유출은?

‘상위 1%만’만 가입할 수 있는 데이팅 애플리케이션 ‘골드스푼’

일각에선 ‘상위 1%’데이팅 애플리케이션(앱)으로 알려진 ‘골드스푼’ 회원 14만명의 개인정보가 유출된 사건과 대조된다는 지적이 나오고 있다. 개인정보보호위원회(개인정보위)는 지난 23일 이 업체에 대해 1억2979만원의 과징금과 1860만원 과태료 부과 결정을 내렸다. 개인정보위는 이번 의료정보 유출 사건도 조사하고 있다.

개인정보보호위 관계자는 “골드스푼은 정보제공 주체가 정보통신서비스사업자라 특례조항 적용을 받아 과징금이 적용됐다. 하지만 이번 의료 정보 유출 사건의 경우 일반조항의 적용을 받는다. 일반 조항의 경우 주민등록번호 유출에 과징금이 있고, 다른 부분은 과징금이 없다”며 “조사 중이라 자세한 내용은 말씀드릴 수 없다”고 했다.

의료정보 유출 피해자는 집단 소송 등을 통해 병원에 손해배상 청구를 하거나, 개인정보 피해를 구제받기 위한 분쟁조정을 신청할 수 있다. 하지만, 시간과 비용이 들고 이기더라도 소액의 배상에 그칠 공산이 크다는 게 법조계의 지적이다. 당장은 병원 측의 의료정보 관리를 더 엄격하게 하는 게 현실적인 대책이라는 얘기다. 의료정보 유출 사건이 발생한 한 대형병원 관계자는 “개인정보보호를 위해 방어벽을 세우는 작업 중이었다. 파일에 암호화를 걸고 이를 풀 경우 기록에 남기도록 보완했다”며 “개인정보보호 교육도 진행하고 있다”고 말했다.