의료분야에서 빅데이터 활용에 따른 법적 과제^*

｢보건의료기본법｣에 의하면, “보건의료”는 국민의 건강을 보호·증진하기 위하여 국가·지방자치단체·보건의료기관 또는 보건의료인 등이 행하는 모든 활동을 말한다(제3조 제1호). 여기서 “보건의료정보”란 보건의료와 관련한 지식 또는 부호·숫자·문자·음성·음향·영상 등으로 표현된 모든 종류의 자료를 말한다(제3조 제6호). 그리고 “개인의료정보”는 ｢개인정보보호법｣과 ｢의료법｣ 등 관계 법령상 국민 건강의 보호와 증진을 위해 의료인과 의료기관 등이 행하는 의료행위와 관련된 정보를 의미한다. 또한 ｢의료법｣ 제19조의 정보누설금지 규정에서의 ‘정보’와 제21조 제1항의 ‘본인에 관한 기록’은 “의료정보”에 해당된다. 이처럼 의료정보는 의료행위과정에서 개인의 의료정보 및 건강정보를 포함하고 있어 민감정보에 해당된다.⁷⁾ ｢개인정보보호법｣ 제23조에서는 사상, 정치적 견해, 건강, 성생활 등의 정보를 “민감정보”로 규정하여 특별한 보호를 받도록 명시하고 있다.⁸⁾ 이처럼 개인의료정보는 ‘개인정보’와 ‘의료정보’로 구분할 수 있다.

한편, 현행 법률에서는 “의료 빅데이터”에 대한 명확한 정의는 규정되어 있지 않다. 일반적으로 “의료 빅데이터”는 의료행위에서 발생하는 모든 정보를 말하고, “보건의료 빅데이터”는 보건의료행위에서 발생하는 모든 정보를 말하는데, 보통 혼용해서 사용하고 있다.⁹⁾ 구체적으로 “보건의료 빅데이터”란 대용량, 초고속, 다양성이라는 빅데이터의 특징을 가진 것으로 개인의료정보와 보건의료정보를 비롯한 보건의료와 관련된 모든 종류의 정보를 의미한다.¹⁰⁾

의료분야에서 빅데이터의 활용범위는 다양하지만, 의료 빅데이터를 수집·관리·분석하는데 있어서는 긍정적인 면과 부정적인 면이 동시에 존재한다. 우선 긍정적인 면에서는 유전자연구를 통한 임상분야와 국민건강을 위한 보건의료정책에 반영되고 있다. 의료기관에서 전자의무기록을 통해 축적된 방대한 자료는 임상분야를 연구하는 연구자들과 바이오기업에서 특히 그 활용도가 높다. 이를 통해 각종 질병에 대한 치료법을 개발할 수 있다는 장점이 있다. 또한 축적된 의료 빅데이터는 국민의 건강을 보호·증진하기 위한 보건의료정책에도 반영될 수 있다. 최근 정부는 정보통신기술을 활용하여 보건의료 빅데이터의 집적과 분석, 활용을 통해 환자와 치료에 대한 데이터베이스를 구축하여 코로나 확산에 신속하게 대처하고 있다. 이처럼 의료 빅데이터의 활용은 코로나 사태에서 환자의 기초분석 및 기저질환별 사망위험 분석을 통한 격리시설 수용자와 병원 입원자를 구분하여 시행하면서 더욱 빛을 발하고 있다.

그 외에도 의료 빅데이터는 환자의 진료 및 처방정보, 인체자원으로부터 유래된 유전정보, 의약품정보와 같은 활용사례가 소개되고 있는 가운데 질병의 예방, 약물부작용 감시 및 환자의 안전 개선, 치료효과 증진, 만성질환 예측 및 전염병 감시, 의료서비스의 질 향상, 의료비용 절감 등¹¹⁾ 다양한 분야에서 활용될 수 있으므로 향후 가치에 대한 기대가 더욱 커지고 있다.¹²⁾

의료정보는 개인정보 중에서도 가장 민감한 부분이기 때문에 의료정보를 수집·관리·분석하기 위해서는 정보주체의 사전동의가 필요하다.¹³⁾ 민감정보에 속하는 의료정보는 무분별하게 활용되거나 유출될 경우 돌이킬 수 없는 여러 가지 피해가 초래될 수 있다. 따라서 정보를 취급함에 있어서 신중성이 더욱 요구되고 정보 활용의 범위는 상대적으로 좁아질 수밖에 없다.¹⁴⁾ 유출된 의료정보는 원상회복이 불가능하며,¹⁵⁾ 이를 확대하거나 재생산을 하는데 많은 시간이 걸리지 않는다는 점에서 사전예방만이 유일한 해결책이 될 정도로 보호의 필요성이 크다고 할 수 있다.¹⁶⁾ 따라서 ｢감염병예방법｣ 제76조의2에 의거하여, 정보주체의 동의가 없더라도 고유식별 정보를 비롯한 개인의료정보 이외에 개인위치 정보까지 수집할 수 있도록 되어 있지만, 그 제한은 필요최소한에 그쳐야 한다.¹⁷⁾

한편, 개인의 의료정보를 빅데이터로 구축하는 것은 의료정보의 보호와 상충된다. 그러나 의료정보의 빅데이터는 보호의 측면보다는 활용의 성격이 훨씬 더 강하게 작용한다. 여기서 의료정보의 활용은 대부분 연구나 질병예방의 목적으로 사용되고 있기 때문에 이를 통해 우리 사회의 새로운 위험으로부터 벗어나기 위한 긍정적 효과를 기대하지 않을 수 없다. 그럼에도 불구하고 개인의 의료정보는 민감정보로 인한 피해의 가능성이 언제나 존재한다는 점을 간과해서는 안된다. 하물며 개인의 의료정보는 의료서비스 영역뿐만 아니라 신용카드정보, 쇼핑정보, 보험정보 등 개인의 일상적인 생활정보에서도 정교한 데이터 알고리즘에 의하여 원하지 않는 정보가 수집·이용될 수 있다. 이러한 정보의 유출은 기존의 정보주체를 중심으로 한 부당한 차별을 가져오는 등 2차적 피해가 발생할 수 있다. 예컨대 의료정보의 유출로 인하여 개인의 질병이 있다는 사실이 밝혀진 경우, 취업과정에서 불이익을 받거나 혼인의 어려움, 보험가입의 거부 등 기본권이 침해될 수 있다.

이와 같이 의료분야는 빅데이터에 대한 전망과 기대가 높은 반면, 어떠한 분야보다도 개인의 민감한 정보를 많이 담고 있으므로 의료정보의 활용범위 및 기준을 설정하는 것이 무엇보다 중요하다. 또한 의료정보의 유출을 방지하기 위한 법적·제도적 장치도 필요하다.

미국은 개별 법률에서 개인정보의 보호와 활용을 규정하고 있는데, ｢HIPAA(Health Insurance Portability and Accountability Act, 건강보험 정보의 이전과 책임에 관한 법)｣은 1996년에 제정된 연방법으로 건강보험의 이동성과 책임을 규정한 법이다. 피고용자가 퇴직이나 이직을 하는 경우에도 종전의 직장에서 보장받던 의료보험의 보장성을 유지하도록 하기 위하여 의료 관련 행정 및 금융자료의 전자교환을 표준화하는 법률이다. 이 법률에 따라 개인의료정보 보호를 위해 마련된 실행규칙이 ｢HIPAA Privacy Rule｣로 의료분야 개인정보보호에 대한 상세한 규정을 담고 있다.

｢HIPAA｣은 개인의 의료정보를 엄격하게 보호하면서도 동시에 이름·주소·전화번호 등 18가지의 식별자를 제거하면 개인정보가 아니므로 데이터를 자유롭게 이용할 수 있도록 규정하고 있다.²⁹⁾ 다만, 개인을 식별할 수 있는 건강정보는 보호되어야 하므로 개인의 질병과 관련된 민감한 의료정보는 정보주체의 동의 없이 활용될 수 없다. 다만 보호되어야 할 건강정보라고 하더라도 정보 주체인 개인의 사전동의가 있거나, 진료 및 의료행위에 필수적으로 수반되는 개인의 진료, 지불 또는 기관 운영을 위해 필요한 경우에는 예외로 한다고 규정하고 있다.³⁰⁾ 이처럼 ｢HIPAA｣은 미국에서 의료보험의 연속성을 감안하여 데이터의 안전한 보호와 함께 개인의 프라이버시를 보호하기 위한 법률이다. 비록 ｢HIPAA｣에 의해서 보호되는 개인정보는 결국 식별가능한 개인의 의료정보가 침해되지 않도록 면밀한 통제장치가 필요하다.

유럽연합은 2018년 5월에 ｢개인정보보호규정｣(General Data Protection Regulation; GDPR)을 제정하였다.³¹⁾ EU의 시민이 데이터를 활용하는 경우 GDPR을 준수해야 한다. GDPR의 주요 내용은 사용자가 본인의 데이터 처리 관련 사항을 제공 받을 권리, 열람 요청 권리, 정정 요청 권리, 삭제 요청 권리, 처리 제한 요청 권리, 데이터 이동 권리, 처리 거부 요청 권리, 개인정보의 자동 프로파일링 및 활용에 대한 결정 권리 등이다.

GDPR은 건강, 성생활, 성적 취향, 유전정보, 식별 가능한 생체 인식 데이터 등이 구체화되어 있으며, 개인정보의 식별 가능성에 대한 규정을 명확히 하고 있다.³²⁾ 특히 익명정보와 가명정보의 개념을 도입하여 개인정보의 개념을 명확히 하고 있다. 또한 가명처리(pseudonymisation)된 개인정보를 공익·연구·통계의 목적으로 사용할 경우에는 정보주체의 동의 없이도 빅데이터를 분석할 수 있도록 하여 데이터 이용 중심의 접근을 시도하였다.³³⁾ 다만 정보주체의 명백한 동의가 있거나 정보 주체가 물리적·법률적으로 동의를 할 수 없는 경우, 정보주체 또는 다른 사람의 생명과 관련된 경우에는 특별히 보호할 필요성이 있으므로 법률에 규정된 경우에는 정보주체의 동의를 필요로 한다. 이처럼 GDPR은 정보주체를 위한 개인정보 처리의 투명성과 민감정보의 보호 등 자기정보통제권 강화와 효과적인 방안을 마련하는 등 개인의 권리를 강화하고 정보관리자의 책임 강화, 법령 원칙 준수를 통해 내부 시장 질서를 강화하였다는데 의의가 있다.³⁴⁾

일본은 2016년에 ｢개인정보보호법(個人情報の保護に関する法律)｣을 개정하여 빅데이터의 활용을 위하여 ‘익명가공정보’는 목적의 제한 없이 정보주체의 동의 없이도 이용할 수 있도록 하였다.³⁵⁾ 이 법에 따라, 데이터 브로커로 불리는 중개업자가 비식별화된 개인정보를 유통할 수 있는 제도적 환경이 마련되었다. 다만, 신체적 특징을 대상으로 하는 경우에는 개인식별부호와 배려를 요하는 개인정보(要配慮個人情報)를 구분하여 요배려개인정보의 사용은 정보주체의 사전동의가 반드시 필요하다.

이후 일본은 2017년 4월에 ‘의료 분야 연구개발을 돕기 위한 익명가공 의료정보에 관한 법률’(医療分野の研究開発に資するための匿名加工医療情報に関する法律, 이하 ‘차세대의료기반법’이라 한다)을 제정하여 사전동의를 완화하는 등 의료정보의 활용을 위해 적극적으로 대응하고 있다. 이 법은 의료분야에서 데이터 활용을 위해 특정 개인을 식별할 수 없도록 익명가공 처리하여 개인의 권리를 보호하고 배려하며 원활한 활용을 위한 구조 정비를 목적으로 한다. 일본은 ｢차세대의료기반법｣의 제정으로 익명가공의 의료정보를 활용할 수 있게 되었으며, 나아가 보건의료 빅데이터의 활용방안을 위한 일련의 추진전략을 구체적으로 수립하고 시행하였다. 이는 의료정보를 민감정보로 분류하여 별도의 개별법을 제정하지 않은 우리와 비교된다.³⁶⁾

이처럼 일본은 법 개정을 통해 의료정보를 적극적으로 활용하려고 하지만 유전자 연구 등의 확대를 위해서는 현행 ｢개인정보보호법｣ 체계에서의 개인식별부호, 요배려개인정보 등에 관한 문제점은 계속 제기되고 있다.

의료정보를 빅데이터로 구축하게 되면 의료정보의 보호와 충돌하게 된다. 일반적으로 의료 빅데이터는 보호라는 측면보다 활용의 성격이 더 강하게 작용한다. 여기에서 의료 빅데이터는 의료정보를 분석·예측하여 국민에게 맞춤형 의료정보를 제공하는 것을 목적으로 하고 있다. 이러한 목적은 방대한 양의 의료정보를 수집하여 관리·분석을 통해 데이터베이스를 구축하여 국민의 맞춤형 의료정보를 분석·예측할 수 있어야 한다. 의료정보의 1차적 목적은 환자의 질병치료에 있지만, 임상연구·통계작성을 통한 2차적 이용은 의료기술의 발전에 기여할 수 있다는 점에서 의료정보의 활용에 대한 필요성은 계속 증대되고 있다. 그런 측면에서 의료정보는 보호의 대상이면서 동시에 활용의 대상으로서 중요한 역할을 담당한다. 의료정보는 민감정보로서 특별히 보호해야 할 필요성이 크지만 다른 한편으로는 헬스케어 분야 등 의료정보를 활용한 산업이 향후 우리의 핵심산업이 될 수 있다는 점에서는 보호만을 강조하기 어려운 측면이 있다.⁴⁵⁾

현재 코로나19와 같은 감염병은 감염병의 예방과 차단이라는 공익적 목적을 달성하기 위하여 확진자의 모든 동선을 공개하는 것이 바람직한지를 따져볼 필요도 있다. 확진자의 동선공개는 결국 개인의 질병이 정당한 이유없이 사회적으로 차별받을 가능성도 배제할 수 없다. 하지만 분명한 것은 개인의 의료정보는 사적 영역이지만, 감염병의 예방 및 차단은 공익적 목적을 가진다. 의료 빅데이터의 활용과 보호의 어떤 가치가 더 우선한다고 단정하기는 어려우므로 한 가치만을 선택하고 다른 가치를 배제해야 한다는 것은 아니다. 다양한 사회적 관점에서 활용과 보호의 양자 간에 생성되는 긴장관계를 적절히 조정하는 것은 결국 입법자의 역할에 있다.

의료 빅데이터의 활용은 의료정보의 생산자와 사용자가 일치하지 않을 수 밖에 없는 상황에서 의료정보를 통한 최대 가치 창출을 위해 의료 빅데이터의 활용을 위한 법적 기반을 마련하는 것이 매우 중요하다. 이처럼 의료정보의 활용을 무조건적으로 제한하기보다는 ‘안전하고 투명한 처리’를 통하여 즉 보호와 이용의 두 가지 가치를 적절히 고려하는 것이 중요하다. 따라서 의료 빅데이터는 ‘활용과 보호의 균형’이라는 관점에서 상호 공존할 수 있는 법정책적 기반이 마련되어야 한다.

｢개인정보보호법｣은 정보보호와 관련하여 일반법의 지위를 지니고 있다. ｢개인정보보호법｣ 제6조⁵³⁾에는 ｢개인정보보호법｣의 규정과 다른 법률의 내용이 있는 경우에는 해당 부문에서 ｢개인정보보호법｣ 보다 다른 법률이 우선 적용되는 것으로 해석할 수 있다.

｢개인정보보호법｣과 ｢감염병예방법｣은 입법목적이 상이하다. ｢개인정보보호법｣이 개인의 정보보호에 있다면, ｢감염병예방법｣은 감염병의 예방과 차단에 있다. 따라서 개인정보를 추구하는 목적이 서로 달라서 법령 간 이견이 발생하기도 한다. 예컨대, 개인정보의 정정 또는 삭제의 경우에 ｢개인정보보호법｣은 제36조 제1항에서 자신의 개인정보를 열람한 정보주체는 개인정보처리자에 대하여 개인정보의 정정 또는 삭제를 요구할 수 있으나, 단서조항에서 다른 법령에서 개인정보가 수집 대상으로 명시되어 있는 경우에 정보주체는 삭제를 요구할 수 없다고 명시되어 있다. 따라서 ｢감염병예방법｣ 제18에서 역학조사를 통해 일련의 개인정보를 수집하도록 명시하고 있지만, ｢개인정보보호법｣에서는 다른 법령의 근거를 들어 개인정보의 삭제를 요구할 수 없다는 것이다.