∙ 2023년 2월 22일, 법무부(DOJ)는 연방거래위원회(FTC)와 함께 개인 건강정보를 무단으로 유출시킨 디지털 헬스케어 플랫폼 GoodRx에 FTC법(FTC Act)¹⁾ 제5조 불공정 행위 금지와 FTC의 의료침해고지규칙²⁾ 위반 혐의 등으로 기소하였음을 발표함

- (개요) 2월 1일에 제출된 정부의 고발장에 의하면 GoodRx(이하 ‘피고 회사’)는 수백만 사용자의 개인 건강 정보를 사용자의 허가나 동의 없이 제3자에게 공개함으로써 FTC의 의료침해고지규칙을 위반함
∙ 공개된 사용자 정보 중에는 개인을 식별할 수 있는 정보와 약물 및 건강 상태와 같은 민감한 세부 정보가 포함됨
∙ 피고 회사는 사내 약관 정책에 개인 건강정보를 공개하지 않을 것이라고 명시하였음에도 불구하고 개인 건강정보를 유출하였고 사건이 발생한 직후 사용자에게 유출 사실을 알렸어야 하나 이를 따르지 않아 의료침해고지규칙을 위반함

- (주요내용) 동 사건에 대한 법원의 판단은 다음과 같음
∙ 2월 17일 미국 캘리포니아 북부지방법원(U.S. District Court for the Northern District of California)은 피고 회사에게 150만 달러(한화 약 20억 원)의 민사 벌금을 선고함
∙ 또한 향후 사용자의 민감한 건강정보를 포함한 개인정보의 무단 공개를 방지하는 등 FTC법 상 불공정 및 기만 행위를 금지하고 FTC의 의료침해고지규칙을 준수하도록 하는 시정 조치를 명령함
∙ 나아가 법원은 피고 회사에게 ① 개인정보가 공개된 즉시 해당 사실을 사용자에게 고지, ② 광고 목적으로도 개인 건강정보 공개 금지, ③ 추가 허위 진술 금지, ④ 향후 위반 시 사용자에게 고지, ⑤ 지속적인 개인정보의 기록 보관과 사용자 인증, 모니터링 및 규정 준수 등의 의무도 부과함

- (관련내용) 법무부 브라이언 보인튼(Brian M. Boynton) 부차관보는 “소비자는 자신의 개인 건강정보의 사용 여부·용도 및 제3자에게 공개된 시기에 대해 알 권리가 있다”고 언급하며 법무부는 기만적인 관행과 개인 건강정보의 무단 공개에 대한 조치를 강화하겠다는 의지를 밝힘
∙ 캘리포니아 북부 연방 검찰청의 스테파니 힌즈(Stephanie M. Hinds) 연방 검사는 “사용자의 동의 없이 민감한 개인 건강정보를 유출시킨 행위는 처벌을 받아야 하며 개인정보의 무단 유출을 방지하기 위해 FTC와 협력할 것”이라고 주장함


1) 15 U.S.C. § 45 (Unfair methods of competition unlawful; prevention by Commission).
2) 16 CFR Part 318 (Health Breach Notification Rule): 개인건강기록 제공자나 관련 기관을 대상으로 개인 건강 기록 정보 침해에 대해 고지하도록 규정(출처: 한국인터넷진흥원).