김경환 법무법인 민후 변호사는 전자신문에 ‘개인정보 암호화에 대한 판단기준과 형사처벌 조건’이라는 제목으로 기고하였습니다.

2013년에 약학정보원이 개발한 조제 관리·심사청구 프로그램 PM2000을 통해 수집된 환자와 의사의 개인정보가 2011년부터 2015년까지 한국IMS헬스로 넘어간 사건이 있었는데, 이 과정에서 주민등록번호와 조제 내역 등 민감한 정보가 포함되어 있어 큰 논란이 되었습니다. 2024년 7월 11일, 이 사건에 대한 형사 재판의 상고심 판결이 나오면서 사건이 종결되었습니다.

주요 내용은 다음과 같습니다.

민사재판결과: 개인정보보호법 위반은 인정되었으나, 정보주체의 정신적 피해는 인정되지 않았습니다.

형사 재판 결과: 개인정보보호법 위반에 대한 미필적 고의가 없어서 무죄 판결이 나왔습니다.

이 사건의 암호화 조치는 주민등록번호를 알파벳으로 변환하는 방식이었으나, 이는 쉽게 복호화될 수 있어 개인정보로 간주되었었으며, 비식별화 또는 암호화된 개인정보를 식별 가능한 형태로 처리할 의사가 입증되지 않아 무죄 판결이 나왔습니다.

이 사건에서 법원의 판단 기준은 개인정보가 암호화되어 특정 개인을 식별할 수 없는 상태가 되면, 이는 개인정보에 해당하지 않으며, 동의 없이 사용하거나 제공해도 법 위반이 아니지만, 재식별 가능성이 존재할 경우에는 여전히 개인정보로 간주되어 개인정보보호법이 적용됩니다.

법무법인 민후의 김경환 변호사는 기고를 통해 이 사건은 개인정보 암호화의 중요성과 형사처벌 요건에 대한 기준을 제시한 중요한 판례로서, 부실한 암호화 조치는 법적 리스크를 초래할 수 있다라는 점을 강조하였습니다.

기고 전문은 우측 상단의 [기사바로보기]를 통해 만나보실 수 있습니다.