개인정보위, 환자정보 유출 17개 병원 제재

18만5271명 환자정보 유출…쇼핑몰솔루션 제공 사업자 4곳도 과태료

[프라임경제] 개인정보보호위원회(이하 개인정보위)는 지난 26일 전체회의에서 개인정보보호 법규를 위반한 17개 종합병원 중 16개 병원에 대해 과태료를 부과하고, 17개 전체 종합병원의 개인정보 처리실태에 대한 개선을 권고하기로 의결했다고 27일 밝혔다.

고학수 개인정보보호위원회 위원장. = 박지혜 기자

이번 조사는 경찰의 의약품 판매질서 위반 관련 수사를 위한 제약사 압수수색 과정에서 환자정보의 유출이 확인된 17개 종합병원의 유출 신고에 따라 이뤄졌다.

조사 결과 2018년 4월부터 2020년 1월까지 각 병원에서는 민감정보가 포함된 총 18만5271명의 환자정보가 유출된 것으로 드러났다.

개인정보위는 환자정보 유출에 가담한 병원 직원과 제약사 직원에게는 개인정보 보호법상 형사벌(벌칙)이 적용돼 경찰 등의 수사가 진행중인점을 감안해 개인정보처리자로서 각 병원의 개인정보처리시스템상 안전성 확보 조치 의무 위반을 중심으로 조사했다.

조사 결과 환자의 민감정보를 처리하는 개인정보처리시스템 운영 과정에서 안전 조치 의무를 소홀히 하는 등 법 위반 사실을 확인했다.

구체적으로 대부분의 조사 대상 병원(16개 병원, 강북삼성병원 제외)에서 개인정보취급자가 개인정보처리시스템에 접속한 기록을 2년 이상 보관하지 않거나, 개인정보다운로드 사유 등의 확인과 접속기록의 월 1회 이상 점검을 하지 않은 것으로 파악됐다.

4개 병원(성심·동탄성심·강남성심·한강성심병원)에서는 인사이동으로 개인정보취급자가 변경됐음에도 개인정보처리시스템에 대한 접근권한의 부여·변경· 말소 내역을 3년 이상 보관하지 않은 사실이, 6개 병원(순천향대 부속 서울병원, 건국대 충주병원, 성심·동탄성심·강남성심·한강성심병원)에서는 USB 등 보조저장매체반출과 반입 통제를 위한 보안대책을 마련하지 않은 것으로 나타났다.

또한 2개 병원(강북삼성병원, 고려대 구로병원)에서는 개인정보처리시스템 접속이 가능한 기기에 권한 없는 자의 물리적 접근이 가능한 취약점을 확인했다.

과태료 부과 금액은 모두 6480만원이다. 학교법인 가톨릭학원(서울·여의도·은평·의정부·부천성모병원, 성빈센트병원 각 360만원)이 2160만원으로 과태료가 가장 많다. 

이어 학교법인 일송학원(성심·동탄성심·강남성심·한강성심병원 각 420만원)이 1680만원이다. 

이밖에 △고려중앙학원(안암·구로·안산병원 각 360만원) 1080만원 △연세대학교(세브란스병원) 720만원 △건국대학교(충주병원) 420만원 △동은학원(순천향대 부속 서울병원) 420만원 등이다.

한편, 같은 날 개인정보위는 쇼핑몰솔루션 제공 사업자 4곳에 대해 총 1200만원의 과태료 부과와 시정조치 명령, 개선권고를 결정했다.

카페24와 △커넥트웨이브(메이크샵·마이소호) △아임웹 △NHN커머스(고도몰·샵바이)는 솔루션을 이용해 쇼핑몰을 운영하는 이용사업자와 리셀러의 개인정보를 처리하면서 개인정보처리시스템에 대한 접근통제 등 안전조치 의무를 일부 소홀히 한 것으로 확인됐다.