개인정보위, 개인정보 유출 12개 의료 사업자 과징금 '철퇴'

[아이뉴스24 최은정 기자] 바노바기성형외과 등 개인정보를 유출한 12개 의료분야 사업자에 대해 과징금·과태료 등 처분이 내려졌다.

개인정보보호위원회(위원장 윤종인)는 27일 제17회 전체회의를 통해 12개 사업자에게 총 1억223만원의 과징금·과태료 부과 등 시정조치를 의결했다.

개인정보위가 한국인터넷진흥원(KISA)과 함께 조사한 결과, 바노바기성형외과는 고객관리 시스템이 랜섬웨어에 감염된 것으로 나타났다. 해커는 병원 측이 금전 지불 등의 협상에 응하지 않자 고객 6천251명을 대상으로 협박 문자를 발송했다. 병원은 개인정보가 유출된 사실을 이용자에게 즉시 통지하지 않은 점, 한 개 관리 계정을 여러 명이 공유한 점 등 보호법 4개 항목을 위반했다. 과태료 총 1천60만원 부과 조치가 내려졌다.

리뉴미피부과 화곡점 등 7개 지점은 보안 시스템 관리 부실로 해킹 공격을 받았다. 이로 인해 총 21만4천590건의 고객 이름, 핸드폰 번호 등 개인정보가 다크웹에 유출된 것으로 조사됐다. 해당 7개 지점은 화곡점, 동대문점, 서초점, 잠실점, 분당점, 부산 서면점, 홍제점 등으로 지점당 과태료 600만원 부과 조치가 시행됐다. 처리 목적이 달성된 회원 정보 등을 파기하지 않고, 불법적인 접근을 차단하지 않는 등 보호법 2개 항목도 위반했다.

대한의학회의 경우 누리집 홈페이지가 해킹 공격을 당해 학회 활동자 등 약 9천221명의 이름, 휴대전화 번호 등이 유출됐다. 공격자가 관리자 인증 수단의 취약점을 악용했다는 게 개인정보위 측 설명이다. 이와 함께 학회가 조사 과정에서 동의 없이 개인정보를 수집하고, 안전성 확보조치를 다하지 않는 등 보호법 5개 항목을 위반한 사실도 적발됐다. 이에 과태료 총 1천650만원을 부과하게 됐다.

연세의료원은 급여 담당자가 연차수당 확인을 위해 해당 직원들에게 메일을 보내면서 실수로 전 직원 급여 내역을 첨부한 사례다. 조사 결과, 개인정보가 외부로 유출되지는 않았으나, 시스템 안전조치를 미흡하게 관리한 사실이 확인됐다. 문원의료재단 서울병원 역시 진료 시스템의 안전조치가 미흡한 점을 지적 받았다.

아울러 약국을 운영했던 A씨는 처방전을 불특정 다수가 왕래하는 거주지 분리수거장에 버린 사실이 경찰에 신고됐다. 고객의 처방전을 의무 보유기간(건강보험법 3년)이 지난 시점에도 파기하지 않고 보관했으며 완전 파괴(소각·파쇄) 하지 않고 버리는 등 보호법 4개 항목을 위반했다. 과징금 1천813만원이 부과됐다.

송상훈 개인정보위 조사조정국장은 "의료기관은 환자의 건강 상태와 신체적 특징 등 민감한 정보와 주민등록번호, 신용카드 번호 등 중요한 개인정보를 다뤄 더욱 철저한 관리가 필요하다"며 "국민의 민감한 정보를 다루는 의료기관 등에 대해 자율규제단체 등을 통해 자율점검, 교육 등 개인정보 보호 관리·감독을 강화해 나갈 것"이라고 말했다.