사진=ChatGPT로 생성한 이미지
사진=ChatGPT로 생성한 이미지
경북대학교 병원에서 의사가 환자 개인정보 3976건을 고의로 유출한 사건이 발생했음에도 불구하고, 병원은 개인정보보호법상 안전조치 의무를 지켰다는 이유로 과징금을 부과받지 않은 것으로 나타났다. 내부자 개인정보 유출에 대한 의료기관의 관리 책임을 현행 제재체계로는 묻기 어렵다는 지적이 제기된다.

14일 국회 정무위원회 소속 조정훈 국민의힘 의원실이 개인정보보호위원회에서 제출받은 자료에 따르면 개인정보위는 지난 1월 28일 경북대병원에 과태료 360만원과 시정명령을 부과했다. 병원의 위반 사항은 개인정보 유출 뒤 통지·신고 지연과 개인정보 취급자 관리·감독 소홀이다. 앞서 경북대병원에서는 지난해 한 의사가 개원을 준비하는 과정에서 환자 개인정보 3976건을 고의로 유출한 혐의로 수사가 의뢰됐다.

개인정보위는 병원의 계정관리 등 안전조치 의무 위반은 없다고 판단해 과징금은 부과하지 않았다. 현행 개인정보보호법은 부당이익 여부와 관계없이 안전조치 위반으로 개인정보가 유출된 경우 과징금을 부과할 수 있도록 하면서도, 개인정보처리자가 안전성 확보에 필요한 조치를 모두 했다면 예외로 두고 있다. 앞서 2023년 개인정보위는 안전조치의무, 유출 통지의무 등을 위반한 서울대학교병원에게는 7475만 원의 과징금과 660만 원의 과태료를 함께 부과했다.

이를 두고 개인정보 보호 규제에 사각지대가 있다는 비판이 나온다. 이번 사건은 병원이 법상 안전조치 기준을 준수했다는 판단을 받았음에도 개인정보 접근 권한을 가진 내부자를 통해 대량 유출이 발생한 사례다. 현행 안전조치 기준만으로 막기 어려운 내부자 유출에 대해 의료기관의 관리 책임을 실효성 있게 제재할 수단이 제한적이라면 재발 방지에도 한계가 있을 수 있다는 것이다.

개인정보 취급자에 대한 관리·감독 책임을 제재할 수단이 제한적이라는 지적도 제기된다. 현행법상 개인정보 취급자 관리·감독 소홀은 과태료 부과 대상도, 과징금 부과 사유도 아니다. 결국 관리·감독 소홀이 인정되더라도 시정명령 외에는 별도의 금전적 제재를 부과할 근거가 없는 것이다. 다만 개인정보위 관계자는 "해당 사건은 직원의 금지행위 위반에 의한 형사처벌 사항이 명확한 사안으로, 재발방지를 위해 교육강화를 조치한 것"이라고 해명했다.

조정훈 의원은 "의사 개인의 범죄행위라고 해서 병원의 책임까지 사라지는 것은 아니다"며 "환자 개인정보 3976건이 내부자를 통해 빠져나갔다면 접근권한과 대량 조회·반출을 어떻게 관리했는지까지 점검해야 한다"고 지적했다. 이어 "개인정보위는 단순히 형사사건으로 넘기는 데 그치지 말고 내부자 유출에 대한 의료기관의 관리책임과 제재기준에 사각지대가 없는지 다시 살펴봐야 한다"고 강조했다.
조정훈 국민의힘 의원 /사진=연합뉴스
조정훈 국민의힘 의원 /사진=연합뉴스
이정우 한경닷컴 기자 krse9059@hankyung.com