약학정보원이 암호화가 이뤄진 환자 조제정보는 개인정보보호법이 규정한 민감정보 등 개인정보에 해당하지 않는다는 주장을 펼쳤다.

서울중앙지방법원 제22형사부(재판장 장준현)는 개인정보보호법 위반 등으로 검찰 기소된 약학정보원, 한국IMS헬스, 지누스와 관련한 1차 공판준비기일을 열었다.

지난해 7월부터 진행되어 온 약학정보원 형사 단독재판부 사건이 최근 제22형사부로 병합됐으나, 재판장은 이번 사건의 공판준비기일을 종료한 이후 병합된 재판을 진행하기로 했다.

오늘 열린 공판준비기일에서 재판부는 검사 측 공소요지를 정리하고, 피고인 입장 발언을 통해 다툼이 될 만한 쟁점을 확인했다.

약학정보원, 개인정보보호법 위반 혐의 부인

김대업 전 약학정보원장 등의 변호를 맡은 이민희 변호사는 "IMS 측에 조제정보 제공 사실은 인정하지만, 제공된 정보는 이미 개별환자들의 식별이 어려운 암호화 된 정보"라고 밝혔다.

환자 민감정보는 개인정보를 전제로 하는데, 암호화 된 정보는 개인정보성을 지니고 있지 않다는게 피고인 측 주장의 요지다.

이 변호사는 조제정보 수집 역시 약사들로부터 약관동의를 얻은 만큼, 불법으로 수집되지 않았다는 주장을 덧붙였다.

검찰이 주장하고 있는 암호화 '키값'을 한국IMS헬스에서 제공했다는 부분과 관련, 이 변호사는 "암호방법을 IMS가 제공했다는 내용에 대해 피고인은 전혀 알지 못했다"며 혐의를 부인했다.

양덕숙 현 약학정보원장과 임직원의 변호 대리를 맡은 법무법인 태평양 측 또한 한국IMS헬스에 제공된 정보는 개인정보보호법에서 규정한 민감정보 또는 개인정보에 해당하지 않는다는 주장을 이어갔다.

태평양 측은 "약학정보원에서 정보를 수집한 취지는 개인정보 확인이 아니라 일반적인 투약 행태와 흐름을 파악하기 위한 것"이라며 "수집된 개인정보는 주민등록번호 정도로, 수집단계부터 암호화가 이뤄져 제공 당시까지도 암호화 된 상태"라고 주장했다.

암호방식을 한국IMS헬스에서 제공했기 때문에 개인정보를 식별할 수 있다는 검찰 측 주장에 대해서도 반박했다.

태평양 측은 "개인정보 암호화 방식을 둔 일부 사정은 본질적인 사정이 될 수 없다"며 "피고인은 사업에 관여하지 않았고, 나중에 승계받은 사업이기 때문에 암호화 방식 사정은 전혀 알지 못했다"고 강조했다.

반면 개인정보보호법 위반과 위증 혐의로 기소된 박모 씨의 경우, 위증 혐의의 공소사실은 인정했다. 태평양 측은 "박 씨가 위증의 공소사실을 기본적으로 인정하고 있고, 구체적인 사정이나 경위는 추후 말하겠다"고 밝혔다.

약학정보원 이사 임모 씨의 피고를 맡은 곽여산 국선변호인은 "공소사실 중 임 씨 근무 기간이 2013년 5월 31일까지가 아니라 4월 9일까지"라고 말하며, "임 씨는 개발업무 관리 실무자로서 상위 임원들의 업무지시를 받아서 조제정보를 제공했다"고 변호했다.

한국IMS헬스 "암호화 조치 적극적...빅데이터 산업 발전 생각해달라"

한국IMS헬스 변호를 맡은 법무법인 김앤장 측은 법리적으로 식별가능한 정보를 제공받지 않았다고 주장하면서, 이번 개인정보보호법 위반 사건을 빅데이터 산업과 연관지어 생각해야 한다는 입장을 밝혔다.

김앤장 측은 "전 세계 100여개 국가에서 보건분야 통계 분석 서비스를 제공하고 있고, 한국IMS헬스도 비슷한 서비스를 한 것"이라며 "통계 분석 서비스는 통계 목적이기 때문에 법원에서 사법연감을 내는 것과 마찬가지로 특정 개인 식별정보는 불필요하다"고 말했다.

한국IMS헬스에서는 약학정보원이나 지누스 측에서 정보를 받더라도, 환자 구분이 가능한 조제정보 일 뿐 식별가능한 개인정보는 필요가 없다는 것이다.

김앤장 측은 "검사 측에서 43억건이 넘는 엄청난 정보가 유출된 사건이라고 규정하고 있지만, 앞으로 우리나라에서 차세대 성장 동력이라 할 수 있는 빅데이터 산업과 연관돼 있는 사업으로 봐달라"며 "데이터를 활용하지 않으면 사장될 수 있다"고 언급했다.

따라서 이번 재판이 의료정보 및 개인정보보호와 관련한 개인정보보호법 해석과 적용범위의 리딩케이스가 될 수 있는 만큼, 재판부의 현명한 판단을 기대한다는 얘기다.

한국IMS헬스가 암화화 키값을 가지고 있다는 주장에 대해서도 반론했다.

김앤장 측은 "지누스, 약학정보원에 암호화 규칙을 알려줬기 때문에 개인정보를 충분히 식별가능하다고 인식한 것 같다"며 "암호화와 관련해 문제되는 시점은 개인정보보호법 시행 이전이다. 법이 시행되기도 전에 한국IMS헬스는 개인프라이버시 보호라는 본사의 지침에 따라 적극적으로 암호화 조치를 요청한 것"이라고 해명했다.

김앤장 측은 "개인정보보호법이 시행되면서 법률 위반이라고 만든게 이번 사건의 본질"이라며 "암호화된 정보의 식별가능 부분을 법률적으로 규정한 선례가 없기 때문에 이번에 재판부가 현명히 판단해야 한다"고 밝혔다.

한편 재판부는 10월 15일 2차 공판준비기일을 열고 검찰 측이 제출한 2만여개에 이르는 증거 의견 확인과 심리 계획 일정을 확정할 예정이다.

또한 다음 재판에서 피고인 측 일부가 개인정보보호법위반의 법률상 쟁점과 사실상 쟁점 등을 정리한 프리젠테이션을 진행하기로 했다.