약학정보원 등이 처방전을 통해 의사와 환자들의 개인정보를 침해했다며 배상금을 요구하는 법정공방이 벌어진 가운데 해당 사건이 개인정보법 위반이 아니라고 판결이 나왔다. 

해당 정보가 환자의 주민등록번호와 처방번호 등이 포함된 민감 정보지만 암호화돼 있어 특정 개인을 식별하는 것이 불가능했다는 게 판결의 주된 이유다.

또한 제3자의 열람 가능성도 없으며 해당 자료가 시장 분석 통계자료로 활용됐을 뿐, 범죄피해의 대상이 되는 등 2차 피해를 발생시키지 않았다는 점도 고려됐다.

서울고법 제13민사부는 의사, 환자 등으로 구성된 원고들이 대한약사회, 약학정보원, 의약 시장조사 회사 A를 대상으로 제기한 손해배상 소송에 대해 원고의 청구를 모두 기각했다.

사건은 대한약사회에서 개발한 팜매니저(Pharm Manager)2000에서부터 시작됐다. 해당 프로그램은 의약품 등의 생산 진흥과 품질향상을 위한 조사연구 등을 목적으로 약사회에서 저작권을 갖고 있는 상태다.

환자가 처방전을 받아 이를 약국에 제출하면 약국에서는 처방전에 기재된 사항을 각 약국에 배포돼 있는 PM2000 프로그램에 입력해 그 정보를 토대로 심평원에 조제료, 복약지도료 등을 청구하는 시스템이다.

그러나 문제는 PM2000 프로그램을 통해 입력된 정보가 약학정보원 중앙서버에도 저장됐고 약학정보원이 해당 정보를 A회사에 대가를 지급받고 제공하면서 시작됐다.

의사가 환자에게 발행하는 처방전에는 환자의 성명 및 주민번호, 의료관의 명칭 및 전화번호, 질병분류기호, 의료인의 성명, 면허종류 및 면허번호, 처방의약품의 명칭, 처방전 발급 연월일 등이 기재된다.

때문에 의사 및 환자들의 개인정보가 동의도 없이 이용됐다는 문제가 제기된 것이다. 이에 대해 의사와 환자로 구성된 원고들 측에서는 개인정보법위반으로 손해 배상 책임을 물었다.

반면 대한약사회의 경우 자신들은 PM2000 프로그램의 저작권자일 뿐, 해당 사건 정보 수집과는 관여한 바가 없다며 발을 뺐다.

약학정보원과 A회사는 정보가 암호화돼 저장됐다는 점을 강조하며 중점적으로 반박했다.

이들은 데이터베이스의 의사면허 번호란에 기재된 번호는 실제 의사면허번호가 아니라 피고 회사가 임의로 부여한 일련번호라고 주장했다.

피고 측은 "A회사가 약학정보원으로 제공받은 정보는 암호화 등의 비식별화 조치를 통해 다른 정보와 결합하더라도 특정 개인을 식별할 수 없다"고 전했다. 

또한 "혹여 개인정보에 해당하더라도 A회사는 의약품의 처방정보, 조제정보를 이용해 통계분석을 하기 위해 약학정보원으로부터 정보를 제공받았으므로 위법하지 않다"고 강조했다.

이에 대해 재판부는 우선 약사회에 대해 가담 증거가 없다며 이번 사건에 약사회가 가담했다고 보기 어렵다고 판단했다. 아울러 개인정보 보호법 위반 여부에 대해서도 면허 번호가 재배열돼 비식별정보로 봐야 한다고 판시했다.

법원은 "적절한 비식별화 조치가 이뤄진 것인지 여부는 원본 데이터의 특성, 비식별화된 정부가 사용된 특정한 맥락, 비식별화 조치에 활용된 기법, 비식별화된 정보를 제공받은 자가 재식별화로 얻을 수 있는 이익의 유무 등을 고려해 판단해야 한다"고 설명했다.

이어 "의사 성명 및 면허번호는 4-6자리의 의사면허번호 뒤에 0을 붙여 8자리로 만든 다음에 8자리의 숫자를 재배열하는 방식으로 암호화했다"고 말했다.

덧붙여 "의사면허번호가 이론상 비식별 기술에 해당하는 일방향 암호화를 사용해 난수를 생성하는 기법 등이 적용됨으로써 암호화 기술적 수준이 높다"며 "A회사 또한 최종적으로 통계분서자료를 생성해 판매함으로써 이익을 얻게 되는 것이므로 암호화된 정보를 재식별화할 경제적 유인이 없었고 실제 복호화 등도 시도되지 않았다"고 판단했다.