10일 열린 보건복지부 국정감사에서 새정치민주연합 이목희 의원은 개인의료 유출에 대한 관리 및 처벌이 강화돼야 한다고 주장했다.

병원 의료정보시스템 개발업체가 병원으로부터 환자의 성명, 병명, 약물명 등 의료정보를 불법적으로 수집해 다국적 의료 통계업체에 제공하는 등 의료기관·약국의 전산시스템을 구축·유지 보수하는 과정에서 환자의 의료정보가 불법적으로 수집·판매하는 사례가 발생하고 있다는 지적이다.

검찰에 따르면 약학정보원은 2011년 1월부터 지난해 11월까지 1만 800여개 가맹 약국에 공급한 경영관리 프로그램을 활용해 약 43억건의 조제정보를 불법 수집·보유, 미국계 다국적 통계업체인 IMS 헬스코리아에 판매했고, 병원 보험청구심사 프로그램 공급업체인 지누스는 2008년 3월부터 건강보험심사평가원에 보험·요양급여를 청구하는 소프트웨어를 전국 7,500여개 의료기관에 공급, 이를 활용해 진료·처방 정보 7억 2천만건을 불법 수집·보유, 일부를(4억3천만건) IMS헬스코리아에 팔고 각각 16억원, 3억 300만원의 부당이득을 올렸다. 

 

또한, 검찰에 따르면 SK텔레콤은 2011년 10월부터 2014년 12월까지 병원에 전자차트 프로그램을 공급하는 16개 업체의 도움을 받아 2만 3,060개의 병원으로부터 불법으로 약 7,802만 건을 환자 동의 없이 수집·보유해서 가맹점 약국에 건당 50원을 받고 판매해 약 36억 원의 불법 수익을 올린 것으로 나타났다.

이에 검찰은 이와 관련된 24명(법인 포함)을 불법으로 환자개인정보를 수집하고 유출한 혐의로 불구속 기소했다.

의료기관에서 EMR(Electronic Medical Record 전자의무기록) 사용이 보편화되면서 환자진료정보 등이 전산화되어 기록되고 집적화가 이루어짐에도 불구하고 전자정보를 보호하고 관리하기 위한 장치가 미흡한 상황이다. 

 

특히 중소 의료기관·약국 등의 인식·전문성 부족 및 투자 미비로 진료 등 정보 보안조치 소홀하다. 또, 전산시스템 구축·운용을 거의 전적으로 외주 전산업체에 의존함에도 불구하고 의료기관 등의 자체 관리·감독에 한계를 보이고 있다.

 

의료산업화가 추진되면서 마케팅 활용 및 상품개발을 위해 민간보험사와 재벌 통신사 등이 개인의료정보 수집에 집착함과 동시에 이를 이용한 전산업체들과 다국적 통계 업체들의 개인질병정보 불법 유통·거래가 확산되고 있다.

민간보험사들은 개인 맞춤형 보험상품 개발, 보험금 청구 거부를 위한 자료수집, 질병 내역을 통해 보험가입을 거부하거나 차별하기 위한 수단으로 악용하고 있고, 통신사 등은 의료기관과 함께 EMR을 기반으로 한 통신설비를 판매·운영하거나 질병정보를 집적화한 후 빅데이터를 활용한 다양한 마케팅 수단을 개발하고 있다.

외주 전산업체의 관리·감독에 필요한 제도와 관리·감독체계가 마련되어 있지 않는 등 공적관리체계가 사실상 전무한 상황에서 주무부처인 보건복지부에서는 아무런 대책 없이 장기간 방치함으로써 유사 사태를 촉발하고 있다고.

 

2013년 한국보건사회연구원 연구에 따르면, 홈페이지 운영에 있어 의원의 경우 순수위탁 및 병행위탁 73.1%, 병원의 경우 순수위탁 및 병행위탁 78.2%로 나타나는 등 높은 외부 위탁 비율에 비해서 외부위탁에 대한 철저한 관리가 미흡해 실제 피해로 이어지고 있다. 

병원·약국의 전산시스템을 운영하는 외주 전산업체들이 환자 개인정보 및 질병정보를 영리목적으로 유출할 가능성에 대해서는 오래전부터 문제로 제기됐음에도 불구하고 정부가 이를 좌시해 환자 개인의료정보를 수집하고 판매하면서 환자나 병원 및 약국에게 일체의 설명이나 동의 절차를 거치지 않는 일이 일어 난다. 

특히 개인의료정보를 관리하는 위탁업체들이 암호화가 된 개인의료정보 데이터를 복구할 수 있는 보호화 프로그램을 사용하고 있지만, 이에 대한 관리도 부실한 것으로 파악됐다.

이에 이목희 의원은 "가장 민감한 개인질병정보를 상업적 목적으로 활용하고자 불법적으로 수집·유통·거래하는 행위들에 대해 별도의 강력한 처벌대책이 마련되어야하고, 지속적으로 반복되고 있는 개인정보 불법유출을 근절하기 위해서는 징벌적 과징금을 부과할 필요가 있다"고 주장했다.

또, 질병정보시스템을 공급하는 외주 전산업체들(100여개)에 대해 일제 점검을 실시해 보안시스템 운영 실태와 질병정보 보호 수준 조사가 필요하고, 진료정보 불법 유출시 등록을 취소하고, 재등록을 금지하는 등의 엄격한 제재방안 도입이 필요하다는 것.

개인의료정보 유출을 막기위해 의료기관·약국 내 개인정보 관리실태에 대한 일제 점검을 실시하고, 실태 점검 결과를 토대로 정보보호 가이드라인을 보완하여 일선 현장에서 개인정보보호법상 안전조치를 준수하도록 지원해야한다. 

의료기관 내 질병정보 DB 접속기록 보관과는 별개로 외부로 정보를 제공한 기록도 모두 보관하도록 규정 마련이 필요하다고 강조했다.

또한, 병·의원과 약국 등 의료기관 내에서의 개인질병정보 보호를 강화하기 위해 의료인·약사 보수교육과정에 정보보호 내용을 강화하도록 조치해야한다고 지적했다. 

이밖에도 건강보험공단이나 건강보험심사평가원 등 공공기관들이 철저한 개인정보보호 기반 하에서 빅데이터 분석을 통한 진료·의약품 통계정보 공개를 확대함으로써 개별적인 불법 사용의 수요를 해소하도록 조치해야하며 정보 보안강화에 소요되는 비용지원방안(건강보험 수가 등)을 마련해 의료현장의 정책 순응도를 제고할 필요가 있다고 주장했다.