개인정보 처리시 안전성 확보조치를 다 하지 않거나 담당자 실수로 개인정보가 유출되는 등 개인정보보호법(이하 ‘보호법’)을 위반한 의료분야 12개 사업자에게 과징금․과태료 등 처분이 내려졌다.

개인정보보호위원회(위원장 윤종인, 이하 ‘개인정보위’)는 10월 27일 제17회 전체회의를 열고 12개 사업자에게 총 1억 223만 원의 과징금 및 과태료 부과 등 시정조치를 의결했다.

개인정보위는 사업자의 유출신고, 경찰 이첩, 이용자의 침해신고를 계기로 한국인터넷진흥원(원장 이원태)의 지원을 받아 조사를 진행하였고, 다음과 같은 보호법 위반 사실을 확인하였다.

바노바기성형외과는 고객관리시스템이 랜섬웨어에 감염되어, 6천251명의 고객에게 협박 문자가 발송되는 유출 사고가 발생하였다.

이 과정에서 개인정보가 유출된 사실을 이용자에게 즉시 통지하지 않았고 하나의 계정을 여러 명이 공유하는 등 보호법 4개 항목을 위반하였다.

리뉴미피부과 화곡점 등 7개 지점은 보안시스템의 관리 부실로 해킹 공격을 받아 총 21만4천590건의 고객명, 휴대전화 번호 등 개인정보가 유출되어 다크웹에 노출되었다. 한국인터넷진흥원(KISA) 노출탐지팀에서 발견하여 사업자에게 통보한 사건이다.

이와 관련 처리목적이 달성된 회원 정보 등을 파기하지 않았고, 불법적인 접근을 차단하지 않는 등 보호법 2개 항목을 위반하였다.

대한의학회는 누리집(홈페이지) 관리자 인증수단의 허점을 악용한 해킹을 당해 학회 활동자 등 약 9천221명의 이름, 휴대전화 번호 등이 유출되었다. KISA 모니터링 과정에서 홈페이지 악성코드를 발견하고 해킹사실을 확인한 건이다.

조사 과정에서 동의 없이 개인정보를 수집하고, 안전성 확보조치를 다하지 않는 등 보호법 5개 항목을 위반한 사실이 적발됐다.

연세의료원은 급여담당자가 연차수당 확인을 위해 해당 직원들에게 내부메일을 보내면서, 실수로 전 직원 급여 내역을 첨부하였다.

조사 결과, 개인정보가 외부로 유출되지는 않았으나, 시스템의 안전조치를 미흡하게 관리한 사실(접속기록 일부 누락)이 확인되었다.

문원의료재단 서울병원은 “병원 누리집(홈페이지) 내 본인확인에 주민등록번호를 사용한다.”는 신고를 받고 조사한 결과, 이는 사실이 아닌 것으로 확인(생년월일로 확인)되었으나, 진료시스템의 안전조치를 미흡하게 관리한 사실(접속기록 일부 누락)이 확인되었다.

약국을 운영했던 A씨는 처방전을 불특정 다수가 왕래하는 거주지 분리수거장에 버린 사실이 경찰에 신고되었고, 조사 결과, 고객의 처방전을 의무 보유기간(건강보험법 3년)이 지난 때까지도 파기하지 않고 보관하다가, 완전파괴(소각‧파쇄) 하지 않고 버리는 등 보호법 4개 항목을 위반한 사실이 확인되었다.

개인정보위는 안전성 확보조치를 다 하지 않거나, 목적을 다한 개인정보를 파기하지 않는 등 보호법을 위반한 바노바기성형외과 등 12개 사업자 모두에게 총 8,410만원의 과태료를 부과하고, 주민등록번호가 유출된 전 약국 운영자 A씨에게는 1,813만원의 과징금을 부과하였으며, 관련단체 등을 통해 의료기관이 「개인정보보호 가이드라인」을 참고하여 개인정보 관리실태를 다시 한번 점검해 줄 것을 요청하였다.

송상훈 개인정보위 조사조정국장은 “의료기관은 환자의 건강상태 및 신체적 특징 등 민감한 정보와 주민등록번호, 신용카드번호 등 다양하고 중요한 개인정보를 다루고 있어 더욱 철저한 관리가 필요하다”라며 “앞으로도 국민의 민감한 정보를 다루는 의료기관 등에 대해 자율규제단체 등을 통해 자율점검, 교육 등 개인정보 보호 관리‧감독을 강화해 나갈 것”이라고 말했다.

---

◈[PASCON 2021] 공공•금융•기업 정보보안&개인정보보호 컨퍼런스에 초대합니다.

-2022년 공공∙기업 정보보안책임자/실무자를 위한 최고의 컨퍼런스-

△주최: 데일리시큐

△후원: 개인정보보호위원회•한국인터넷진흥원•한국정보보호산업협회

△참석대상: 공공기관•공기업•정부산하기관•금융기관•의료•교육•일반기업 개인정보보호 및 정보보호 담당자, IT담당자 등 1,000여 명 참석

(※위 관계자 이외 일반인은 참석 금지)

△일시: 2021년 11월 11일 목요일(오전9시~오후5시30분)

△장소: 더케이호텔서울 2층 가야금홀 전관

△솔루션전시회: 국내•외 최신 개인정보보호 및 정보보호 솔루션

△교육인증: 공무원 정보보호/개인정보보호 교육 및 자격증 유지 교육시간 7시간인정

△사전등록: 클릭

△문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com

★정보보안 대표 미디어 데일리시큐!★