14일 서울중앙지방법원 재판부는약학정보원ㆍIMS헬스데이터ㆍ지누스의 개인정보보호법 위반 형사소송 1심에서 약정원과 IMS헬스데이터에는 각각 무죄를, 지누스에는 일부 유죄를 선고했다.

이번 1심 판결은 ‘피해자 특정’과 각 피고의 ‘개인정보 처리자’ 여부가 판가름한 것으로 파악된다.

이날 판결은 이번 형사소송과 비슷한 시기에 진행된 SK텔레콤 관련 소송과 밀접한 관계가 있었던 만큼, ▲두 사건의 공통쟁점, ▲공소 죄명 사건별 판단, ▲주문 순으로 진행됐다.

판결에 앞서 재판부는 “개인정보 취급을 통해 수익창출을 하거나 관여하는 업체의 경우, 업무효율과 보안 사이에서 사회적 의무를 수행해야 한다”고 전제했다.

이를 바탕으로 재판부는 약정원, IMS헬스데이터, 지누스 등 피고들이 개인정보 수집에 있어 환자 동의를 거치지 않은 사실 확인 및 행위 방조에 대한 사실들은 인정했다.

또한 약정원이 약정원 산하 회원약국 처방전 수집 프로그램을 PM2000에 포함, 단순 업데이트인 것으로 포장해 회원 프로그램에 설치하게 하고 이로 획득한 처방정보를 한국IMS측이 공유 및 다운로드 할 수 있게 했다는 점은 사실인 것으로 확인했다.

아울러 재판부는 한국IMS가 이 같은 방식으로 수집한 데이터를 미국 본사에 전송, 통계자료 등에 활용 했다는 사실도 인정했다.

다만 재판부는 “이 같은 사실들에 공통적으로 나타나고 있는 법적 쟁점은 각 피고들이 민감정보에 대한 ‘처리자’인지에 대한 여부”라고 설명했다.

각 피고가 정보를 처리, 탐지, 유출하는 등 ‘처리자’의 행위를 수행했는지 판단해야 한다는 것.

결과적으로 재판부는 한국IMS헬스데이터와 약정원의 행위는 ‘정보처리자’의 행위가 아니라고 판단했다.

이들은 계약 내용에 따라 비식별 데이터를 운반했다는 것이다.

재판부는 한국IMS는 암호화된 정보를 IMS 미국 본사에 위탁했을 뿐, 개인정보보호법상 정보 처리자로 볼 수 없다고 밝혔다.

또한 IMS는 개인정보보호법 시행 이후 보안조치를 강화하며 마스킹 된 정보를 미국 본사에 전달, IMS에도 민감 정보를 복호화 할 이유는 없는 것으로 판단했다.

약정원에도 비슷한 판단을 내렸다. 재판부는 약정원의 데이터가 암호화 됐지만, 복호화 가능성이 있어 민감정보로 봐야 마땅하나, 불법적 사용 의사가 없었고 복호화 할 이유가 없어 처리자로 볼 수 없다고 설명했다.

아울러 재판부는 당시 개인정보보호법이 재정되기 전 수집한 자료를 재정 이후에도 보관하는 행위에 대해서는 적법성을 판단해야 하나, 정보를 단순 보유한 사실만을 유죄로 볼 수는 없다는 내용도 덧붙였다.

그러나 재판부는 지누스에 대해서는 일부 유죄를 인정했다.

지누스가 IMS로부터 수탁한 정보 20여 분야 외에 개인 이익을 취할 목적으로 60여 분야 데이터를 추가로 수집ㆍ저장한 사실에 따라 이들을 정보 처리자로 봐야한다는 판단이었다.

또한 지누스가 수집ㆍ저장한 정보에는 환자 개인을 특정할 수 있는 민감정보 역시 포함돼 있어 개인정보보호법 위반의 소지가 있다는 내용도 부연했다.

이 같은 재판부의 판단은 그간 소송의 쟁점이었던 ‘피해자 특정’에도 영향을 미친 것으로 보인다.

검사 측이 최초 공소한 내용과 추후 서면 제출한 범죄일람은 공소 건에 대한 숫자 자료 위주로 이를 통해 정보의 종류, 주체, 이용자, 제3자 동의 여부를 파악할 수 없다는 것이 재판부의 설명이었다.

이에 따라 재판부는 검사 측 최초 공소와 추후 서면 제출한 범죄 일람에 대해 공소 기각을 판결했다.

한편 이날 무죄판결을 받은 김대업 회장은 “실명 배제 및 주민번호 마스킹 등 2단계 암호화 작업은 개인정보보호법 시행 이전에도 지켜왔던 사항”이라며 “무리한 기소로 6년 가까운 시간과 사회적 비용을 소모한 부분에 대해서는 유감”이라고 입장을 밝혔다.