약정원-IMS 판결문 보니..."선도적 빅데이터 사업"

• 약국→약정원→IMS 개인정보 전달과정에서 비식별화 지켜
• "통계분석자료 위한 암호화 정보...복호화 동기나 이유 없다"
• "개인정보법 제정 전엔 암호화 필요없었는데도 비식별화"

지난 14일 오후 무죄 선고를 받고 재판장을 빠져나온 김대업 회장의 모습.

[데일리팜=정흥준 기자] 약학정보원과 한국IMS헬스의 개인정보보호법 위반 혐의에 대해 법원이 무죄를 선고한 이유에는 선도적 빅데이터사업이었다는 판단이 뒷받침됐다.

지난 14일 1심 선고됐던 형사재판 판결문을 살펴본 결과, 재판부는 해당 사업은 통계분석자료를 위해 암호화된 정보를 활용한 것에 지나지 않았다는 취지로 피고인들에 대한 무죄를 선고했다.

즉 암호화된 개인정보를 가지고 이뤄졌던 빅데이터사업이었기 때문에 특정한 개인의 정보가 필요하지 않았고, 결국 약정원과 IMS가 복호화 규칙을 공유했다고 하더라도 암호를 풀 이유가 없었다고 판단한 것이다.

‘복호화’에 대한 의사가 있었는지를 파악하는 데에는 여러 근거들이 뒤따랐는데, 법원은 무엇보다 약국→약정원→IMS까지 개인정보가 이동하는 과정에서 매번 암호화가 이뤄졌었다는 점을 여러 차례 강조했다.

개인정보보호법 전에는 암호화를 하지 않아도 문제가 되지 않았음에도 불구하고 스스로 암호화를 한 점도 복호화 의사가 없었다는 것에 대한 근거가 됐다.

PM2000을 통해 처방전에 입력된 환자 정보들이 약정원으로 자동전송됐을 때에도 환자 주민등록번호 등은 암호화가 됐다. 이는 IMS의 요청에 의한 암호화 조치였다.

또 데이터공급계약서에서도 '약정원은 환자의 식별가능한 데이터 항목인 환자 성명, 환자 식별번호, 생년월일에 대해 일관되고 충분한 암호화 작업이 이뤄지도록 한다'고 명시돼있었다.

이에 법원은 오히려 약정원과 IMS는 개인을 식별할 수 없는 형태로 정보를 수집하려는 의사를 가졌었다고 판단했다.

더구나 당시에는 "개인정보보호법이 시행된 2011년 9월 30일 이전이기 때문에 암호화 없이 주민번호를 수집했어도 문제가 되지 않았다"며 자진해 암호화를 실시한 점 등에 방점을 찍었다.

물론 법이 시행된 이후 한동안 복호화가 가능한 형태의 암호화 방식을 그대로 사용하긴 했지만, 이것만으론 식별가능한 개인정보를 수집했다고 볼 수 없다고 봤다.

재판부는 "약정원과 한국IMS헬스는 암호화된 상태의 주민등록번호가 포함된 정보들을 필요했을 뿐이라서, 약정원 입장에선 약국으로부터 암호화된 상태로 제공받은 주민등록번호를 굳이 복호화할 아무런 이유나 동기가 없었다"고 설명했다.

또 재판부는 "개인정보 유출사고가 발생했다거나 약정원이 채택한 1기 암호화 방식의 불완전성이 문제가 되는 등으로 좀 더 완전한 형태의 암호화를 즉시 시행하지 않으면 안 될 정도의 상황이 발생했다고도 볼 수 없다"고 말했다.

한편, 검찰은 서울중앙지방법원의 1심 무죄 선고에 불복하고, 21일 법원에 항소장을 제출했다.

재판서 드러난 빅데이터의 가치...IMS, 84억원에 통계자료 판매

오히려 판결문에는 보건의료정보를 이용한 빅데이터사업의 가치가 어느정도 되는지를 가늠해볼 수 있는 내용이 담겼다.

검찰 측 공소사실 요지에는 암호화된 개인정보들을 제공‧활용하며 약정원과 IMS이 얻은 돈의 액수를 명시했다.

이에 따르면 IMS가 2011년 9월 30일부터 2015년 1월경까지 약학정보원으로부터 540만건의 정보를 제공받고, 지불한 금액은 22억 6957만원이었다.

또한 한국IMS는 미국 소재의 IMS본사에 전송한 뒤 분석결과 및 통계자료를 받았고, 이를 제약사 등에 84억3200만원을 주고 판매했다.

이를 통해 보건의료정보를 활용한 빅데이터사업의 향후 경제적 가치를 대략적으로 판단해볼 수 있었다.