얼마 전 경찰은 박종훈 경상남도 교육감 주민소환 허위서명 사건이 경상남도청 복지보건국장 등 전·현직 공무원이 관여했다고 발표했습니다. 이들은 경상남도 산하기관 관계자들과 공모해 병원, 건강 관련 협회 등에서 도민 19만여명의 개인정보를 불법으로 건네받아 서명부를 조작했습니다.

 

보통 개인정보 유출은 금전적인 이득을 노린 기업들이 저지르는 범죄이나, 이번 사건은 공공기관에서 자행된 것이 특이점입니다.

 

김경환 법무법인 민후 대표변호사는 KBS창원 시사투데이(16.5.24.)에서 이번 사안에 대한 개요를 설명하고 대처방안, 후속조치 등을 제언했습니다.

 

(이하 내용은 이재성 아나운서와 김경환 변호사의 질의응답입니다)

 

Q1.보통 개인정보유출이라고 하면 주로 기업에서 회사 이익을 위해서 활용하는 사례를 떠올리게 되는데요, 그런데 이번 사건은 좀 다른 것 같습니다. 어떤 차이점이 있습니까?

 

A1.이번 사건은 공공기관에서 도민들의 개인정보를 무단으로 활용하였다는 점에서 특이합니다. 박종훈 도교육감 주민소환을 위해서는 도민의 서명이 필요한데요, 이 서명을 위해서 전 도청 국장 등이 산하 병원 등으로부터 불법으로 개인정보를 요구했고, 이렇게 건네받은 개인정보로 서명부를 조작한 사안입니다.

 

Q2.환자들의 개인정보를 넘겨준 병원에선 불이익을 당하게 될까봐 그랬다고 하는데요. 도대체 이 불이익의 정체가 뭐라고 봐야 합니까?

 

A2.병원 등으로부터 개인정보를 건네받은 사람들은 직접·간접적으로 병원에 영향을 줄 수 있는 고위 관료들입니다. 이 때 발생할 수 있는 불이익은 예산이라든지, 인사라든지 또는 평가, 승진에서의 불이익 등이 있습니다.

 

Q3.이런 해명에도 불구하고 도민들은 내 정보가 허락도 없이 마음대로 빠져나가는 데 대해서 납득하기가 힘든 것 같습니다.

 

A3.저도 납득이 가지 않는데요. 이런 사고가 발생한 이유는 도민이 맡겨둔 개인정보가 병원 것이라고 생각하기 때문입니다. 개인정보는 병원 것이 아니라 도민들 것인데, 맡겨둔 개인정보를 자기 것이라고 생각한 것은 누가 보아도 잘못된 생각입니다.

 

Q4.이렇게 개인정보가 유출되면 이 사실을 당사자에게 바로 알려야 하는 거 아닌가요. 법에 어떻게 돼 있습니까?

 

A4.개인정보보호법에 따르면 개인정보가 유출되면 지체없이 정보주체에게 통지하고, 행정자치부 등에 신고를 하도록 돼 있습니다. 따라서 지체없이 통지나 신고를 하지 않으면 법을 어긴 것이 됩니다.

 

Q5.이번 사건의 경우 19만여 건이 유출됐는데 그럼 당사자들에게 어떤 과정을 통해서 알려줘야 합니까?

 

A5.병원 등이 원칙적으로 서면 등의 방법으로 정보주체에게 통지하여야 하는데요. 다만 이번 사안과 같이 1만명 이상일 때는 서면 등 외에 인터넷 홈페이지에도 7일 이상 게재하여야 합니다.

 

(다만 경찰은 공판 청구 전 피의사실 공표에 해당한다며 병원과 협회 등의 구체적인 명칭 공개를 유보하고 있는 입장)

 

Q6.보상이라든지 집단소송이 가능합니까, 어떻게 됩니까?

 

A6.병원 등이 정보주체의 동의를 받지 않고 무단으로 개인정보를 제공한 점은 불법이고, 전 도청 국장 등이 불법으로 건네받아 정보를 활용한 것 역시 불법입니다. 따라서 피해 국민은 병원 등이나 전 도청 국장을 상대로 소송을 진행할 수 있습니다.

 

Q7.이런 문제가 또 다시 발생하지 않으려면 어떤 부분이 개선돼야 할까요, 보안 시스템이 좀 달라져야 하는 거 아닙니까?

 

A7.법은 그동안 많이 정비되어 그나마 잘 되어 있다고 생각합니다. 다만 개인정보를 다루는 기관이나 기업에서 개인정보보호에 대한 충분한 의지가 없는 점이 문제점으로 보입니다. 그리고 개인의 일탈을 막을 수 있는 안전한 보안 시스템이 있어야 하는데, 이러한 보안 시스템도 갖추고 있지 않는 경우가 많이 있습니다.

 

Q8.공공기관의 정보유출 문제에 대해선 더 엄격한 처벌이 필요하다는 의견에 대해선 어떻게 생각하십니까?

 

A8.공공기관에 대하여 가중처벌할 필요가 있는지의 문제인데, 공공기관은 대부분 대량으로 개인정보를 다루고 있고, 공공기관은 국민들의 기본권을 수호하는 곳인데 오히려 기본권을 침해하는 곳이 되었다는 점에서 어느 정도 가중 처벌의 필요성이 있다고 봅니다.

 

Q9.무엇보다 개인정보 관리자들의 인식이 제일 중요하겠지만 사실 이게 제일 어려운 문제같습니다만?

 

A9.이번 사안은 개인정보 유출 사고 중에서도 다소 악의성이 있는 경우에 해당합니다. 엄정한 조사와 이를 통한 책임 추궁이 필요합니다.

 

Q10.혹시 이번 사건과 유사한 사례가 있었습니까? 참고할만한 사례가 있으면 소개해주시죠.

 

A10.2013년 약학정보원이 약국으로부터 수집한 개인정보를 IMS헬스코리아라는 사기업에 넘긴 사건이 유명합니다. 현재 재판이 진행 중이라서 결과를 지켜봐야 할 것 같습니다.

 

(서울중앙지방법원은 지난 2월 29일 약학정보원, IMS헬스코리아 등을 대상으로 개인정보보호법 위반 첫 공판을 진행)

 

Q11.우리나라의 경우 다른 나라와 달리 방대한 양의 개인 건강정보가 의료영역에 집중돼 있습니다. 이건 어떻게 보십니까?

 

A11.다른 나라도 의료정보가 방대하게 보관돼 있고, 병원들 중에 대량 개인정보 유출 사고가 많이 발생하고 있습니다. 병원들이 보관하고 있는 개인정보는 민감정보로 각별한 주의가 필요한데, 그렇지 못한 경우가 많이 발견됩니다.

 

Q12.내 개인정보가 불법으로 사용되고 있는 건 아닌지 수시로 확인할 수 있는 방법은 없습니까?

 

A12.주민번호의 경우 한국인터넷진흥원(KISA)에서 확인할 수 있습니다.