• Legalinsight
  • Legaledu
  • 법률신문 뉴스

    연구논단

    의료데이터 활용에 관한 법적 고찰

    김현경 변호사(서울대병원 법무팀) 입력 :
    글자크기 : 확대 최소
  • 인쇄
  • 메일보내기
  • 기사스크랩
  • 스크랩 보기
  • 173658.jpg

    Ⅰ. 들어가며

    2020년 8월 5일부로 개정 개인정보 보호법 시행 후, 개인정보보호위원회는 '가명정보 처리 가이드라인'을, 특히 의료데이터 가명처리에 대해서는 개인정보보호위원회와 보건복지부가 공동으로 '보건의료 데이터 활용 가이드라인'을 발표하였다. 이들은 질병 진단·예측, 의료 AI, 신약·의료기기, 개인별 맞춤 의료·건강관리 서비스 개발 등 디지털 헬스케어 산업 성장에 중요한 밑거름이 되고 있다.

     
    그러나 의료데이터에 적용되는 관련 법령 간 우선순위가 불분명하고, 민감정보 가명처리 시에도 별도의 동의를 받거나 법령상 근거가 있어야 하는지, 가명처리에 관한 기본 원칙이 무엇인지에 대해서도 아무런 정함이 없다. 나아가, 의료 빅데이터 산업 활성화의 근간이 되는 공통 데이터 모델(CDM, Common Data Model), 임상데이터 통합적 저장 창고(CDW, Clinical Data Warehouse)의 법적 성격이 무엇인지 명확하지 않다.

     
    이하에서는 2021년 9월 28일 국무회의를 통과하여 같은 날 국회에 제출된 개인정보 보호법 전면 개정안(이하 '개정안'이라 함)을 토대로, 의료기관에서 생성된 의료데이터에 관한 법령과 가이드라인의 한계를 살펴보고 그 대안을 모색하고자 한다.


    Ⅱ. 의료데이터 가명처리에 관한 법적 한계
    1. 가명처리된 의료데이터에 대한 의료법과 개인정보 보호법의 관계 정립

    의무기록(전자의무기록 포함)에 기반한 의료데이터는 의료법 제19조 '정보 누설 금지'와 개인정보 보호법 제23조 '민감정보의 처리 제한'을 동시에 적용받는다. 이처럼 하나의 대상이 다른 법령의 적용을 동시에 받거나 상호 연관되어 있는 경우가 많기에, 다른 법령과의 관계를 명확히 하는 작업은 매우 중요하다.

     
    그런데 개인정보 보호법 제6조는 "개인정보 보호에 관하여는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다"라고 규정하고 있고, 의료법 제19조 제1항은 "의료인이나 의료기관 종사자는 이 법이나 다른 법령에 특별히 규정된 경우 외에는 (중략) 전자의무기록 작성·보관·관리 업무를 하면서 알게 된 다른 사람의 정보를 누설하거나 발표하지 못한다"라 규정하고 있다.

     
    그렇다면 의료법이 개인정보 보호법 제6조의 '다른 법률에 특별히 규정이 있는 경우'에 포함되어 가명처리 자체가 금지되는 것인지, 반대로 개인정보 보호법이 의료법 제19조 제1항의 '다른 법령'에 포함되어 가명처리가 가능한 것인지가 불분명하다. '보건의료 데이터 활용 가이드라인'은 가명처리한 의료정보에 대해서는 개인정보 보호법이 의료법에 우선 적용된다고 하나, 그 근거가 명확하게 기재되어 있지 않다.

     

    한편, 개정안 제6조는 "개인정보에 관하여 이 법과 다른 법률이 경합하는 경우에는 이 법을 우선 적용한다. 다만, 다른 법률을 적용하는 것이 정보주체의 개인정보 보호에 유리한 경우에는 그 법을 적용한다"라는 문구를 추가하고 있으나, 여전히 그 의미가 불분명하다. 오히려 이 개정안에 따른다면 환자 입장에서는 가명처리 이후에 발생할 수 있는 재식별 위험을 감수하는 것보다, 자신의 정보가 제3자에게 유출될 수 있는 소지를 원천 차단하는 것이 개인정보 보호에 더 유리하므로, 결국 의료법이 개인정보 보호법보다 우선하게 되는 바, 의료데이터의 가명처리가 불가능해진다.

     
    가명처리 특례 규정 도입 취지를 고려한다면, 의무기록에 기반한 개인정보의 가명처리에 대해서는 개인정보 보호법이 의료법에 우선한다거나 적어도 그 가명정보 활용에 있어서는 의료법상 정보 누설 금지 위반에 해당하지 않는다는 명시적 면책 조항이 법제화되어야 하겠다.

     
    2. 민감정보 가명처리에 대한 법적 근거 명시

    개인정보 보호법은 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보를 '민감정보'로 규정하여 원칙적으로 그 처리를 금지하되, 예외적으로 정보주체로부터 명시적인 별도의 동의를 받거나 법령에서 민감정보의 처리를 요구 또는 허용하는 경우에만 이를 처리할 수 있도록 정하면서, 위반 시 5년 이하의 징역 또는 5000만원 이하 벌금에 처한다고 규정하고 있다(개인정보 보호법 제23조 제1항 각호 및 제71조 제3호).

     
    의료데이터에는 환자의 건강, 성생활, 유전자검사 결과, 개인의 신체적·생리적·행동적 특징에 관한 정보가 포함되므로 개인정보 보호법상 '민감정보'에 해당한다. 그런데 의료데이터를 과학적 연구 목적으로 가명처리할 경우에도 환자로부터 별도의 동의를 받거나 법령상 근거가 있어야 하는지, 아니면 가명정보 처리에 관한 특례규정(개인정보 보호법 제28조의2 내지 제28조의7)을 법령상 예외적 허용 근거로 볼 수 있는지가 분명하지 않다.

     
    한편, '보건의료 데이터 활용 가이드라인'은 개인정보 보호법 외에 특별한 규정이 있는 경우를 제외하고 동 가이드라인을 적용한다고 하면서도, 정보 주체의 인권 및 사생활 보호에 중대한 피해를 야기할 수 있는 정보(정신질환, 성매개감염병, 학대, 낙태 등)에 대해서는 본인 동의를 받아 활용하는 것을 원칙으로 한다고만 정하고 있다. 이는 민감정보의 가명처리에 관한 법적 근거를 명확하게 제시하지 못할 뿐만 아니라 그 판단에 따른 책임도 전적으로 의료기관에 일임하고 있는 것이다.

     

    따라서 의료데이터도 민감정보 보호의 원칙에 입각하여 환자로부터 가명처리에 관한 별도의 동의를 받거나 법령상 근거가 필요한 것인지, 나아가 가명처리된 의료데이터(민감정보)에 대해서는 가명처리 특례 규정과 민감정보 보호 규정 중 무엇이 우선 적용되는지 그 입법적 정리가 필요하다.

     
    3. 가명처리 기본 원칙의 법제화

    개인정보처리자는 가명정보 처리를 한 경우 추가 정보를 별도로 분리하여 보관·관리하는 등으로 가명정보에 대한 안전조치를 다 해야 한다(개인정보 보호법 제28조의4 제1항). 그런데 개인정보처리자가 가명처리 과정에서 어떠한 요건과 절차를 충족해야 하는지 그 기본적인 원칙에 대해서는 개인정보 보호 법령 그 어디에도 아무런 정함이 없다. 단지 '가명정보 처리 가이드라인', '보건의료 데이터 활용 가이드라인'에서 의료데이터의 가명처리 방법을 설명하고 있을 뿐이다.

     

    가이드라인은 유력한 참고자료로서의 의미가 있기는 하나, 행정부의 실무적 편의를 위해 마련된 것으로서 아무런 법적 구속력이 없기에 사후적으로는 사법부의 판단에 따라 개인정보 보호법 위반으로 의율될 수 있다. 따라서 가명처리 방법의 기본 원칙에 대해서는 법령에서 규정하되, 보다 구체적이고 세부적인 절차, 요건 등은 가이드라인에서 보완하면서 그 근거를 명시함으로써, 지나치게 가이드라인에 의존하고 있는 가명처리의 관한 사항을 법령에 명문화할 필요가 있다.

     

    4. 가명정보 파기의무에 대하여
    현행 개인정보 보호법은 가명정보를 파기의무 조항에서 제외하고 있어 가명정보의 영구보관이 가능한 것으로 해석되었다. 그런데 개정안은 목적달성 등으로 파기사유가 발생할 경우에는 가명정보도 파기의무 대상에 포함되는 것으로 수정하였다(개정안은 현행 개인정보 보호법 제28조의7에서 동법 제21조를 삭제함).

     

    의무기록과 같이 의료기관에서 생성되는 의료데이터는 신약 개발, 임상시험 설계, 시판 후 의약품의 안전성·유효성 평가, 의약품의 보험급여 등재 결정 및 재평가의 근거로 활용할 수 있어 의료데이터가 가진 잠재적 가치는 무한하다. 이러한 의료데이터의 가치에 주목하여, 여러 행정부처에서는 의료데이터의 빅데이터 플랫폼 구축 사업을 추진하고 있는데, 그 중 하나가 각 의료기관마다 CDM·CDW를 구축하는 것이다.

     
    문제는 CDM·CDW의 법적 성격이다. 이들은 환자의 식별자(이름, 주민등록번호, 환자등록번호, 주소 등)를 비식별처리(삭제, 마스킹, 암호화 등)한 뒤 의료영상데이터, 임상데이터, 생체신호데이터, 유전체 정보 등을 표준화하여 지속적으로 저장한 데이터베이스로서, 연구 목적이 구체화되지 않은 가명정보에 해당한다. 이 경우에도 개정안에 따른 파기의무 적용을 받는 것인지, 받는다면 CDM·CDW의 '목적 달성 시점'을 언제로 볼 것인지 불분명하다. 만일 가명정보 파기의무 대상에 포함된다고 해석할 경우, 데이터베이스 자체가 삭제되어 본래의 목적인 '연구 목적으로의 활용' 자체가 어려워진다.

     
    따라서 CDM·CDW을 익명정보로 해석하거나, 적어도 가명정보 파기의무에서 CDM과 같은 의료데이터에 대해서는 적용 대상에서 제외하는 등 의료데이터 활용을 실질적으로 뒷받침하기 위한 입법적 검토가 필요하다.


    Ⅲ. 결론

    인공지능 기반 진단 보조 소프트웨어 개발 등 의료 빅데이터에 대한 관심과 수요가 점차 늘어나면서, 관계 부처마다 관련된 가이드라인과 유권해석을 발 빠르게 내놓고 있다. 하지만 정작 가이드라인의 토대가 되는 개인정보 보호법, 의료법에서는 의료데이터의 가명처리가 가능한지, 가능하다면 어떤 절차를 거쳐야 하는지가 불분명하다. 의료기관이 환자의 개인정보를 보호하면서도 디지털 헬스케어 산업 육성에 기여할 수 있도록 법적·제도적 환경 정비가 함께 이뤄지기를 기대해본다.

     

     

    김현경 변호사(서울대병원 법무팀)


    리걸북스

    더보기

    리걸에듀

    더보기

    리걸인사이트 TV

    더보기