개인정보 중 가장 치명적인 개인 ’의료’ 정보

대표적인 게 보이스피싱이죠. 환자들은 질병을 가지고 있잖아요. 가족한테 이 환자가 응급상황이 발생해서 빨리 입금해야 한다고 범죄자가 거짓말을 했을 때, 그 범죄자가 환자의 개인정보를 가지고 있으면… 누가 그 개인정보를 알 거라고 생각하겠어요. 그러니까 선뜻 믿고 돈을 송금하는 일이 충분히 생길 수 있죠.

갑상선암을 앓고 있는 환자단체연합회 안기종 대표의 말입니다. 기법이 날로 진화하는 보이스피싱과 개인 질병 정보가 결합한다면? 훨씬 심각한 범죄가 일어날 수도 있다는 이야기입니다.

개인 의료정보에는 이름이나 주민등록번호 등 기초적인 개인정보에 더해, 개인의 병력이나 처방약 등에 관한 정보까지 담겨 있습니다. 전문가들은 개인 질병 정보가 원치 않게 공개될 경우 질병을 가진 사람이 각종 사회적 차별을 받을 수 있고, 상업적으로 활용되면 보험 가입이 거부되거나 각종 표적 마케팅에 노출되는 등의 부작용이 생길 수 있다고 지적합니다. <건강과 대안>이상윤 연구위원(의사)의 말을 들어볼겠습니다.

우리나라 보험회사는 질병이 있는 사람은 보험 가입 잘 안 해주죠. 고혈압이 있으면 보험료를 더 높여서 받거나 건강 문제가 있으면 아예 보험 가입을 안 해주기도 합니다. 개인 의료정보가 오픈돼서 보험사가 어떤 사람의 병력을 알게 되면 굉장히 높은 보험료를 청구하거나 아예 보험 가입을 거부할 근거가 될 수 있습니다.

“보관이 아니라 ‘쓰루’(Through,통과)였다”

그래서 개인 질병 정보는 겹겹이 보호받고 있습니다. 의료법에서는 의료행위 당사자가 아닌 제3자가 환자기록을 열람할 수 있게 해서는 안 된다고 못박고 있고, 개인정보보호법에서는 환자 동의 없이 진단 및 처방 정보가 유통되지 못하게 막고 있습니다. 유출될 경우 큰 위험성이 있기 때문에 규제가 많을 수 밖에 없습니다.

하지만 법에 나온 것처럼 개인의 질병 정보가 잘 보호받고 있을까? 작년 6월 뉴스타파는 SK텔레콤이 개인 질병 정보를 수집한 뒤 약국에 판매하고 있다는 의혹을 단독으로 보도했습니다. 당시 SKT측은 뉴스타파에 보낸 설명서를 통해 현재 개인정보를 수집하고 있지 않으며, 서버로 전송된 자료는 7일 이내에 자동으로 삭제된다고 말했습니다. 뉴스타파의 의혹 제기가 근거 없다는 주장이었습니다.

하지만 보도 1년여가 지난 7월 23일, 검찰과 정부가 함께 꾸린 개인정보범죄 정부합동수사단은 뉴스타파 보도와 일치하는 수사 결과를 발표했습니다. SK텔레콤이 2011년부터 약 3년간 모두 7802만건의 환자 개인 정보를 무단 수집한 뒤 약국에 팔았다는 내용이었습니다. 환자의 개인 정보는 건당 50원에 거래됐고, SK텔레콤은 36억 원 가량의 불법 수익을 올린 혐의를 받고 있습니다.

하지만 여전히 SK텔레콤은 문제가 없다는 입장입니다. SK텔레콤 관계자는 검찰 수사 결과에 불만을 표시하며, 의료법 위반 여부도 아직 다퉈볼 여지가 있는데 검찰이 다른 개인정보 판매 업체들과 묶어서 함께 발표하는 바람에 기업 이미지 손상을 입었다는 것입니다. 또한 SK텔레콤 서버에 환자 개인 의료 정보가 거쳐갔던 것은 사실이지만 “보관이 아니라 쓰루(through, 통과)였다”면서 개인정보의 무단 수집은 없었다는 종전의 입장을 되풀이했습니다.

활용 가치가 높은 환자 개인 정보를 SKT는 정말 ‘통과’만 시켰을까? 확실한 검증을 위해서는 서버를 들여다보는 수밖에 없습니다. 1년여 전 취재 당시 SKT는 뉴스타파 취재진의 공개 검증 요청을 처음에 수용했다가, 취재진이 보안 전문가와 동행해 서버를 검증하겠다고 하자 납득하기 어려운 이유를 들어 안되겠다며 말을 바꿨습니다.내부 보안규정상 검증이 어렵다는 말이었습니다. 하지만 처음 검증 요청을 했을 때 SK텔레콤 같은 IT 대기업에서 내부의 기본적 보안 규정조차 검토해보지 않고 공개 검증 요청에 응했다는 것은 납득하기 어렵습니다. 전문가가 가서 제대로 들여다 보면 불법적인 환자 정보 수집 등이 드러날 가능성이 있어서 검증 요청을 거부한 것일 수 있습니다.이번 검찰의 수사 결과 발표로 판단해 보면 그렇습니다.

의료계의 빅브라더를 꿈꾸는 재벌들

보건의료단체연합 변혜진 기획실장은 SKT와 같은 재벌 대기업이 3년간 36억 원의 이익을 얻기 위해 전자처방전 사업을 시작했겠냐고 반문합니다. 다른 목적이 있었을 것이라는 뜻입니다. 당장 손해를 보고 위법 소지까지 감수하면서 이 사업을 강행했던 이유는 무엇이었을까요? 그 속뜻을 엿볼 수 있는 대목이 여기 있습니다. 전자처방전 사업을 왜 시작했냐고 묻는 뉴스타파의 질문에 SK텔레콤은 이렇게 답했습니다.

정부 정책에 발맞추어 기존 의료산업도 ICT 관점에서 혁신할 수 있는 부분이 있을 수 있다는 가능성의 관점에서 검토하였던 것임

“기존 의료산업도 ICT관점에서 혁신할 수 있는 가능성”이라는 말은 결국 정보통신기술(ICT)기업인 SKT도 기존 의료산업에 뛰어들 사업 기회가 생기고 있으니 앞으로 이 사업을 통해 혁신을, 또 이익을 추구해 보겠다는 뜻으로 읽힙니다.

SKT뿐만 아니라 최근 재벌 대기업들은 너나없이 의료 산업에 뛰어들고 있습니다. SK그룹의 계열사들이 서울대학교 병원과 합작해서 원격의료 산업에 진출하고 ‘헬스케어 ICT 솔루션’이라는 이름의 병원정보시스템을 구축했습니다. 또 삼성전자나 삼성생명 등 삼성그룹의 핵심 계열사들은 자신들의 기존 사업과 의료산업을 면밀하게 연결시키면서 의료 영리화에 앞장서고 있습니다. SK텔레콤의 전자처방전 사업은 대기업들이 구상하는 의료산업의 거대한 청사진 가운데 시작점이었을 가능성이 높습니다. 기업 입장에선 먼저 환자 개인의 정보에 대한 데이터 베이스가 구축돼야 효과적인 사업을 할 수 있기 때문입니다. 보건의료단체연합 변혜진 기획실장도 비슷한 설명을 합니다.

이 사람이 어디가 어떻게 아팠고 무슨 약을 자주 먹고 어느 병원을 자주 가고 어느 것에 관심이 많고 이런 개인 질병정보를 알게 되면, 의료기기 판매나 마케팅에도 굉장히 성공할 수 있거든요. 이런 것들 때문에 대기업들이 개인 질병정보를 원해왔었던 거죠.

개인의 질병 정보를 ‘사업’에 활용한다면 기업으로선 금맥이 될 수 있겠지만 환자 입장에선 개인 정보 유출뿐 아니라 향후 의료 비용의 폭증으로 더 큰 어려움을 겪을 수도 있습니다. 지난해 6월 뉴스타파 제작진을 만난 참여연대 사회복지위원회 이찬진 변호사의 경고는 지금 들어도 울림이 있습니다.

의료정보를 가지고 결국 생명과 직결되는 비즈니스를 할 수 있으면, 그 생명에 관한 위험을 상품화할 수 있을 것이고, 거기서 받아낼 수 있는 이윤은 일반 제조업의 상품하고는 비교할 수 없는 수익이 창출될 가능성이 높죠.

여기까지 살펴보면 SKT의 전자처방전 사업의 속뜻을 충분히 추측해 볼 수 있을 것 같습니다. 지금은 중단됐지만 한때 80% 이상의 병의원에서 자기도 모르게 SKT 서버로 처방전 정보가 전송됐다고 하는데요. 지난 3년간 병원에 한 번이라도 가셨던 분들, 문득 불쾌감이 느껴지지 않으세요? 그래서 제가 직접 제 개인정보가 불법 수집돼서 약국에 판매된 것이 아닌지를 SKT와 정부에 따져 물어 봤습니다. 결과는? 궁금하면 뉴스 영상을 보십시오.

오픈넷, 한국NFC 사태로 본 온라인 본인확인기관 제도 개선을 위한 포럼 개최

최근 이른바 한국NFC 사태로 본인확인기관 제도에 대한 논란이 뜨겁습니다. 이 문제의 핵심은 정보통신망법의 본인확인기관 제도에 있습니다. 자세히 들여다보면 본인확인기관이 주민등록번호 대체수단을 개발하라는 도입취지와 달리 국가후견주의적 사업으로 기능하는 것이 아닌지에 대한 근본적인 질문을 마주하게 됩니다.

정보통신망법상 본인확인기관은 예외적으로 주민등록번호 수집 권한이 있고 또한 본인확인을 요구하는 수많은 법령들이 본인확인기관이 제공하는 본인확인 서비스를 이용하도록 하고 있어 시장에서 이동통신사들이 제공하는 SMS 방식의 본인확인 서비스는 이미 독점적인 지위를 유지하고 있습니다. 최명길 의원실이 방송통신위원회로부터 제공받은 자료에 따르면 이동통신 3사는 작년 한 해에만 본인인증 서비스에서 258억 원 정도의 수익을 올린 것으로 보도되기도 했습니다.

본인확인기관의 개인정보보호 미비 논란, SMS 방식의 보안 취약성 논란 등은 차치하더라도, 2016년 현재 과연 국가가 계속 본인확인기관을 지정할 필요가 있을까요? 사업자들이 영위하는 사업 특성에 맞게 적당한 기술과 방법을 통해 본인확인을 하고, 그 미비점은 사후에 규율하는 것이 타당한 규제 방법이 아닐까요?

이번 오픈넷 포럼에서는 이와 같은 문제의식에서 본인확인기관 제도에 대한 바람직한 규제 개선 방향을 모색하기 위해 다양한 의견을 청취하려고 합니다. 관심 있는 많은 분들의 참여를 바랍니다. 참가신청은 오픈넷 홈페이지(http://opennet.or.kr/12988)에서 하실 수 있습니다. 감사합니다.

[오픈넷 포럼] 온라인 본인확인, 국가후견주의가 답인가?

- 정보통신망법상 본인확인기관 제도 개선의 필요성

주최: 사단법인 오픈넷

일시: 2016. 11. 2.(수) 저녁 7:30 – 9:30

장소: 메디아티 회의실 (서울시 중구 장충단로8길 11, 1층 (대아빌딩))

- 오시는 길: 지도보기 (지하철 2, 5호선 동대문역사문화공원역/ 3호선 동대입구역에서 걸어서 5분)

패널:

심우민 국회입법조사처 입법조사관

박경신 오픈넷 이사

황승익 한국NFC 대표이사

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

유전무죄, 전관예우. 이런 것들이 우리가 알고 있는 상상 이상이라는 것을 뼈저리게 느꼈습니다. 아무리 진실을 이야기하려고 해도 그냥 힘없는 국민 개인 혼자서는 실체적 진실을 밝히기 정말로 어렵다고 뼈저리게 느꼈죠.

제약사의 비리를 알리기 위해 5년째 싸우고 있는 최성조 박사. 유명 제약사의 수석연구원 자리를 내놓았을 때 만해도 이 싸움이 이렇게 길어지리라 예상하지 못했다고 한다.

최씨에게는 명백한 증거가 있었다.본인이 이 회사에서 있었던 어느 이상한 연구 프로젝트에 참여한 당사자였던 것.재직 당시 그에게는 뜻밖의 지시가 내려왔다고 한다.이미 정부에 등록을 마치고 생산 중이었던 원료의약품 ‘덱시부프로펜’의 생산 공법을 개발하라는 지시였다.

이는 당시까지 이 제약사에 덱시부프로펜을 생산할 능력이 없었다는 것을 의미한다.이런 사정은 적어도 연구담당자였던 최씨가 이 회사를 그만뒀던 2010년까지 유효했다.하지만 어찌된 영문인지 이 원료의약품은 2004년부터 식약처의 허가를 받아 이 제약사에서 전체 공정이 생산되고 있는 것으로 보고 되어 있었다.

최씨는 5년의 싸움을 통해 당시 회사 내부에서 어떤 일이 벌어졌는지 알아낼 수 있었다. 모든 것은 더 높은 보험약가를 받기 위한 회사의 편법에서 비롯된 일이었다.

정부는 지난 2012년까지 국내에서 자가 생산한 제네릭(복제약) 제품에 대해 약값을 우대하는 정책을 시행했었다.여기에는 원료에서부터 완제의약품까지 모든 공정을 직접 해당 제약사가 만들어야 한다는 단서가 붙었다.제약사의 기술 개발을 독려하기 위한 취지로 시행된 제도였다.

최씨의 전 직장 한국유나이티드제약은 실제 원료의약품 덱시부프로펜의 생산 기술을 가지고 있지 않았지만 이 원료의약품에 대한 생산 기술을 가지고 있는 것처럼 허위로 꾸며 관계당국에 서류를 제출했다.

생산 기술이 없는 공정은 수입이 대신했다.최 박사의 말에 따르면 이 제약사는 중국 등지로부터 마지막 합성 단계만 남겨놓은 중간체등을 사서 마지막 합성 공정만 국내 공장에서 제조해 덱시부프로펜이라는 원료의약품을 만들어왔다.비유하자면 우리 경기미로 떡을 제조해 판매한다고 정부에 신고한 뒤 실제로는 중국산 찐쌀을 들여와 떡을 만들어 시중에 팔아 부당하게 폭리를 취했다는 것이다.

이같은 제약사의 편법은 최씨가 재직 시절 직접 사용했다는 내부 회의자료에 고스란히 드러난다. 최씨의 설명에 따르면, 이 자료는 보건복지부를 비롯한 감독 기관의 감시가 강화되자 이에 대한 대책 마련을 위해 제약사 생산부서가 연구부서에 보내온 요청 사항이라고 한다.

2008년 4월에 작성된 이 회의자료의 제목은 ‘최고가 관련품목’이다. 덱시부프로펜의 기술 수준은 가장 낮은 단계인 ‘C단계’로 되어 있다. ‘현재문제점’란에는 ‘생산schem(e)이 없다’고 기록돼 있다. 당시 이 제약사에 덱시부프로펜 관련 생산기술이 없었음을 회사 내부서류에서 직설적으로 밝히고 있는 대목이다.

마지막 ‘대책’란에는 ‘중국제조처에서 제조기술 및 합성허가를 습득 후 중간체 구입 후 P-1까지 국내OEM 후 P-1만 자사에서 합성’이라는 기록이 남아있다. 여기 쓰인 ‘P-1’은 완제품(덱시부프로펜)이 되기 위해서 1단계의 공정이 남았다는 뜻이다. 최씨의 주장대로 생산 기술이 없는 미비점을 보완하기 위해 해외 수입과 국내 OEM을 활용하고 있었음을 보여준다.

3번의 거짓 신고…아무도 몰랐다

최씨는 퇴직 후 이같은 사실을 식품의약품안전처, 건강보험심사평가원, 보건복지부 등 관할 기관에 알렸다. 제보의 일부는 사실로 드러나 일부 행정처분으로 이어지기도 했었지만, 최씨가 파악한 약가 편취 사건의 전말은 좀처럼 드러나지 않았다. 오히려 최 박사가 여러 관할 기관을 거치며 깨달은 사실은 이들 정부 기관들이 제약사의 부당한 편법 이익을 방조하는 사실상의 조력자들이었다는 점이다.

최씨는 한국유나이티드제약이 덱시부프로펜을 만들겠다며 제출한 세차례의 제조기록서가 관할기관의 부실한 행정을 단적으로 보여준다고 말했다.제약사가 3번이나 상식선에서 벗어난 엉터리 제조법을 제출했지만 정부관계기관 어디서도 이런 사실이 사전에 걸러지지 않았었다는 것이다.

2004년 이 제약사가 식약처로부터 처음 덱시부프로펜이라는 원료의약품을 허가받을 때 신고한 화학식은 사실 덱시부프로펜을 만드는 이전 단계,즉 이부프로펜까지의 제조법이었다.덱시부프로펜이 아예 만들어질 수 없는 화학식이지만 당시 식약처는 이게 허위 신고라는 사실도 모른 채 원료의약품 허가서를 내줬다.심평원은 이런 식약처의 서류를 그대로 믿고 신약에 준하는 최고가의 보험약가를 책정했다.

그리고 7년 뒤인 2011년,이 제약사가 식약처에 제출한 또다른 제조법 역시 식약처의 심사를 그대로 통과했지만 그로부터 6개월여가 지난 뒤에야,식약처는 이 제조법 또한 가짜라는 사실을 확인하게 된다.
실제 구입한 적도, 사용한 적도 없는 원료가 사용된 것처럼 꾸며진 가짜 서류였던 것이다.이로 인해 이 제약사는 덱시부프로펜을 105일간 생산 금지하라는 행정처분을 받기도 했다.

그리고 또 5개월 뒤, 이 제약사는 세번째 덱시부프로펜 제조법을 식약처에 신고한다.하지만 뉴스타파 취재결과 식약처에 제출한 이 3번째 제조법도 허위 신고일 개연성이 높은 것으로 드러났다.이 제약사가 관할 기관에 제출한 제조기록서에 따르면,이 회사는 400Kg 내외의 원료를 사용해 250Kg의 덱시부프로펜을 얻은 것으로 명기하고 있다.하지만 취재진이 약학 전문가와 함께 이 제조기록서를 검토한 결과, 원료 400Kg을 가지고 이 제조법대로 만들 수 있는 덱시부프로펜의 양은 최대 125Kg 정도인 것으로 드러났다.신고한 제조법대로 제품을 생산했다면 제조기록서에 표기된 생산량의 절반정도의 의약품만 얻을 수 있다는 의미이다.생산원가를 낮춰 이윤을 챙겨야 하는 제약사가 이렇게 수율이 떨어지는 의약품을 생산하는 일은 현실적으로 불가능하다.이 제약사가 또 한번 감독 기관에 허위자료를 제출했었을 가능성이 높다는 뜻이다.보건복지부 관계자는 취재진의 질문을 받고서야 해당 신고역시 허위일 가능성이 높으며 현재 제약사에 대한 고발을 검토중이라고 밝혔다.

한국유나이티드제약 측은 뉴스타파 취재진에게 이 사안이 이미 법적, 행정적 처분을 받았기 때문에 더이상 언급하고 싶지 않다는 반응을 보였다. 이 회사는 지난 2012년 검찰로부터 약식기소 처분(관세법 위반 혐의 일부),식약처로부터 행정조치를 받은 바 있다. 그러나 실제 생산기술이 없으면서도 고가의 보험약가를 편취해 부당이득을 챙겼다는 최 박사의 핵심 내부고발 사안에 대해서는 아직 어떤 처벌도 받은 적도 없다.한국유나이티드측은 생산기술도 없으면서 생산기술이 있는 것처럼 관계당국을 속여 고가의 보험약가를 편취해 왔다는 최박사의 주장이 사실이 아니라고 주장하고 있다.그러나 구체적인 사실관계 확인을 위한 회사측 전문연구원과 뉴스타파 취재진과의 대면 인터뷰에는 끝내 응하지 않았다.

취재 : 오대양, 최경영
촬영 : 김남범
편집 : 정지성
CG : 정동우