심평원도 일평균 1만명꼴로 정보 넘겨줘

건강보험공단이나 건강보험심사평가원이 보유하고 있는 개인정보가 당사자들도 모르게 수사기관에 무더기 제공되고 있는 것으로 나타났다.

건보공단은 지난해 가입자 등의 개인정보 71만건 이상을 검경에 넘겼다. 심평원도 거짓청구 요양기관 수사를 의뢰하면서 일평균 1만명 꼴로 개인정보를 제공하고 있었다.

국회가 당사자도 모르게 개인정보가 수사기관에 넘겨지는 것은 문제가 있다며, 규제입법안을 마련한 배경이다.

30일 국회에 따르면 새정치민주연합 김성주 의원과 같은 당 김용익 의원은 건보단과 심평원의 수사목적 개인정보 제공 규제를 강화하는 건강보험법개정안을 올해 초 각각 대표발의했다.

◆개정안의 주요내용=김성주 의원안은 건보공단과 심평원이 가입자와 피부양자의 보험급여, 진료기록, 심사자료에 관한 기록을 수사기관 등에 제공한 경우, 10일 이내에 제공사실을 본인에게 통보하도록 하고, 제공기록을 5년간 보관하도록 했다. 이를 위반하면 500만원 이하의 과태료를 부과한다.

김용익 의원안은 법관이 발부할 압수·수색영장이 있는 경우에 한해 건보공단이 가입자와 피부양자의 개인정보를 수사기관에 제공할 수 있도록 하고, 지체없이 그 사실을 통지하도록 했다.

이를 위반해 개인정보를 제공하면 1년 이하의 징역 또는 1000만원 이하의 벌금에 처하고, 정보제공 사실을 통보하지 않으면 500만원 이하의 과태료를 부과하도록 했다.

◆관계 법령=현행 개인정보보호법은 개인정보처리자가 특별한 사정이 없는 한 원칙적으로 보유한 개인정보를 제3자에게 제공하는 것을 금지하고 있다. 다만 예외적으로 공공기관에 한해 범죄 수사와 공소 제기 및 유지를 위해 필요한 경우 정보주체 동의없이 개인정보를 제3자에게 제공할 수 있도록 허용한다.

이중 상대적으로 민감한 정보에 해당되는 금융거래정보, 개인신용정보, 의료정보 등은 수사목적이어도 영장을 발부받거나 개인정보 제공사실을 당사자에게 사후통보하도록 하는 등 일정한 제약을 두고 있다.

가령 수사목적으로 의료인 또는 의료기관종사자로부터 환자기록을 열람하거나 사본을 교부받기 위해서는 판사로부터 영장을 교부받아야 한다.

◆수사목적 이용현황=건보공단은 지난해 수사기관에 71만2733건의 개인정보를 제공했다. 주로 검경으로부터 가입자와 피부양자의 자격관련 정보를 요청받은 사례가 많았다.

구체적으로는 자격 51만5946건, 부과 107건, 징수 423억, 요양급여 19만5009건, 건강검진 615건, 장기요양 300건, 기타 1만337건 등으로 분포했다.

심평원은 현지조사 사후관리 일환으로 거짓청구기관 등을 형사 고발하고 있는데, 이 과정에서 해당 요양기관에서 진료받은 가입자 등의 성명·진료일자 등의 개인정보를 수사기관에 제공한다. 1일 평균으로 환산하면 1만명이나 된다. 또 수사협조로 가입자 등의 성명 등도 수사기관에 넘긴다.

◆입법 타당성 검토=보건복지위원회 전문위원실은 "대부분의 국민들이 가입자 또는 피부양자로 적용받는 건강보험제도의 특성상 개정안은 입법 타당성이 있다"고 했다.

다만 "수사기관의 자료 확보과정에서 수사의 신속성이 저하되고, 당사자에게 통보하는 과정에서 수사의 기밀성을 확보하기 어렵다는 우려가 제기된다"면서 "원활한 범죄수사를 지원해 공공의 안녕을 도모한다는 가치와 개인의 프라이버시권, 개인정보자기결정권을 보장한다는 가치를 균형있게 고려해 결정할 필요가 있다"고 했다.

세부 검토내용을 보면, 규제대상은 김성주 의원안과 같이 건보공단과 심평원 모두 대상에 포함시키는 게 적절하다고 했다.

또 개인정보 보호범위는 건보공단과 심평원이 보유한 가입자 등의 개인정보 전반을 보호하려는 김용익 의원안이 타당해 보인다고 했다. 다만, 개인정보 제공사실을 제공하는 과정에서 과도한 행정비용이 소요될 수 있어서 김성주 의원안과 같이 특별히 보호할 필요성이 높은 민감정보인 '의료정보'를 중심으로 보호하는 게 현실적인 방안이라고 했다.

이와 함께 개인정보 보호방법의 사전적 조치로 의료정보 제공에 한해 영장주의를 도입하는 건 필요한 조치로 판단된다고 했다. 다만, 건보법 위반 혐의까지 영장주의를 엄격히 적용하면 수사의 어려움이 가중될 수 있으므로 건보법상의 범죄행위에 대한 수사는 예외적으로 제외하는 방안을 고려할 수 있다고 했다.

사후적 조치인 사후통보 의무화는 개인정보자기결정권을 보호하고 수사기관이 불필요하게 개인정보를 요구하는 것을 사전적으로 예방할 수 있다는 점에서 의미가 있다고 했다.

다만, 수사의 기밀성 확보 어려움, 행정비용 과다 발생, 가입자 등에 대한 추가적인 프라이버시권 침해 가능성 등이 우려된다는 의견이 있으므로 추가 검토가 필요하다고 했다.

전문위원실은 "이런 점을 감안한다면 주소 및 연락처 확인이 어려운 등 일정한 사정이 있을 경우 인터넷 홈페이지에 게재해 본인의 개인정보 여부를 개별적으로 조회할 수 있도록 지원하는 방식으로 통보를 갈음하는 방안을 고려할 수 있다"고 했다.

제재조치는 개인정보 제공이 임직원 개인이 아닌 기관 차원에서 이뤄지는 행위이므로 관련 임직원에게 금고형 또는 벌금형 등의 형벌을 부과하는 것에 대해서는 적정성 여부를 검토할 필요가 있다고 했다.

이밖에 수사기관의 의미는 '검사 및 사법경찰관'으로 명확히 규정하는 방안을 고려할 수 있다고 했다.

◆관계기간의 입장은?=복지부, 건보공단은 개정안 취지에 공감한다고 했다.

하지만 "통보내용을 본인 이외의 자가 확인할 경우 명예훼손 및 사생활 침해가 발생할 수 있고, 주소지 불명의 경우 우편물 수령이 사실상 불가능하다"는 등의 이유로 유보적인 입장을 표명했다.

심평원은 "당사자에게 개별 통보하는 것은 현실적으로 어렵다"고 했다. 가입자 등의 주소지, 연락처 등을 보유하고 있지 않아서 행정적으로 통보규정을 준수하기 곤란하다는 입장이다.

경찰청은 수사기관이 개인정보를 지득한 사실을 통보하면 수사대상이라는 사실을 인지하게 돼 도주 및 증거인멸 가능성이 높아진다고 우려했다.

이 개정안들은 내일(1일) 보건복지위원회 전체회의에 신규 법률안으로 상정돼 법안심사소위원회에 회부될 예정이다.