지금까지 히트뉴스는 김지희 변호사(법학박사)와 함께 보건의료정보와 빅데이터의 정의와 특수성을 알아봤다.

보건의료정보빅데이터는 질병지표 발굴, 조기진단 등 보건의료증진과 의약산업 발전을 가져올 수 있는 중요한 가치를 가진 동시에 개인정보로써 식별/비식별 구분 역시 중요하다.

가치있는 정보와 그렇지 않은 정보의 차이는 비식별화에 있다 해도 과언이 아니기 때문이다. 그렇다면 우리는 어떤 법적 개선과 대응방안으로 이 같은 비식별화를 준비할 수 있을까?

이번 호에서는 이처럼 중요한 보건의료빅데이터 비식별화 및 활용을 위한 법적 제언과 제도개선 방안을 소개하고자 한다.

보건의료빅데이터 개론 차례 

Ⅰ. 보건의료빅데이터는 무엇인가– 정의와 유형 
Ⅱ. 보건의료빅데이터의 특징– 일반성과 특수성 
Ⅲ. 어떻게 관리되고 있고, 되어야 하는가– 현황 및 개선점

*해당 칼럼은 김지희 변호사/법학박사의 저서 '보건의료 빅데이터의 활용과 개인정보보호'를 요약·정리한 것으로, 실제 책 내용에 비해 압축·요약 돼 있음을 알린다.

 국내 보건의료데이터 현황 
보건의료데이터를 별도로 관장하는 개별법은 없고, 관계법과 산업분야별 가이드라인 및 지침을 마련하여 보완하고 있다. 산업분야별 규제가 아닌 통합된 개인정보보호법으로 규율하는 방식으로서 수평적 규제방식(horizontal regulation)을 취하고 있는 것이다.

보건의료데이터 보호 독립법제 마련 필요성이 제기되지 않은 것은 아니다. 2012년 신경림 의원 법률 제정안으로 보건의료데이터 보호에 대한 개별법 입법이 제안된 바도 있었다. 해당 입법안에서는 '보건의료정보화의 급속한 변화에 따라 개인정보 공격에 대응하기 위하여 개인의료정보의 정의, 의료기록 열람권, 동의권 등과 현 개인정보보호위원회에 대응되는 독립된 의료정보보호위원회의 설립 등'을 제안하고 있다.
국내에서 수직적 규제체계로서 특정 산업분야에 대한 개인정보보호를 위한 법제를 따로 둔 예를 찾아보면 신용정보의 이용 및 보호에 관한 법률(법률 제17799호, 2020. 12. 29. 타법개정, 약칭: 신용정보법)이 있다.

 해외 보건의료데이터 현황 
해외의 경우 보건의료데이터의 개인정보보호를 위하여 미국의 HIPAA와 같은 독립법제를 마련한 국가들도 있다. 비교법적으로 참고하기 위하여 해외의 보건의료데이터 관련 독립법제 유무를 아래 표와 같이 정리해본다. 

보건의료데이터 개별법으로서 미국의 HIPAA, 영국의 보살핌법(Care Act 2014, 이하 Care Act), 일본의 차세대의료기반법이 있다. 

미국의 경우 포괄적으로 적용되는 개인정보보호 법률을 가지고 있지는 않고 통신, 의료 등 분야별로 개별 법령을 제정하여 규율하고 있다. 보건의료 분야에 대해서는 연방법으로서 HIPAA가 있고, 주법으로서 건강정보의 수집·저장·이용·공개를 규제하는 법률을 제정·시행하고 있는 주도 있다. 해외 각국의 현황과 국내 법제와의 비교분석은 책 '보건의료 빅데이터의 활용과 개인정보보호'에 더욱 상세히 서술되어 있다. 

 독립법제 마련, 장단점 파악해야 
산업분야별 개인정보보호에 관한 독립법제를 마련하는 방안에는 장단점이 존재한다. 장점으로는 보건의료데이터의 특수성을 반영한 구체적이고 현실적인 법령이 마련될 수 있고 관련 법령에 산재해 있는 관련 조항들의 해석의 상충이나 혼란을 방지할 수 있다. 

반면에 단점으로는 상당한 행정비용이 투입되고, 산업분야의 변화에 따라 법률을 정비해야 한다는 점에서 유연한 대처가 어렵다는 점이 있다. 자칫 과도한 규제로 이어져 보건의료데이터 처리자로 하여금 범법자가 되기 쉬울 수 있어 사회적 경직성을 불러올 수 있다. 

이는 오히려 데이터 폐쇄성을 야기하여 실무상 데이터 활용을 어렵게 만드는 요인이 될 가능성이 있다. 이러한 점에서 독립법제의 마련은 신중한 논의가 필요한 부분이며, 국내 보건의료데이터 관련 제도 현황을 고려하여 바람직한 실무적 기준을 마련할 수 있는 방안에 대해 살펴 정해야 할 것이다. 

우리나라는 보건의료데이터에 관한 독립법제 대신 '보건의료데이터 활용 가이드라인' 등 관련 지침을 마련하여 보완하고 있다. 이러한 지침은 법적 강제성은 없지만 유연한 해석과 사회적 합의에 도움이 된다. 국가기관의 판단 재량이 넓어지고 탄력적인 정책집행이 가능하며, 다양한 법체계와 조화를 이룰 수 있고 광범위한 개인 및 집단의 참여가 가능하다는 장점이 있다. 데이터 산업과 같이 변화가 빠르고 다양한 융합서비스가 발생할 수 있는 첨단 분야에 보다 적절한 규율 방식이다. 현재 개인정보보호 분야에서의 빠른 기술발전과 데이터 환경의 변화는 가이드라인과 같은 행위규범이 활용될 여지가 많은 분야이다. 

 민감정보의 가명정보 활용 근거 법규 명확화 
보건의료데이터의 안전한 활용이 실현되기 위해서는, 개인정보에 해당하는 보건의료데이터를 목적에 맞게 활용할 수 있도록 허용하는 법적 근거부터 명확할 필요가 있다. 데이터 폐쇄성이 개선될 수 있고, 법적 안정성을 도모하여 데이터 처리자로 하여금 원활하게 데이터를 처리하고 활용할 수 있도록 촉진할 수 있다. 

개인정보보호법의 민감정보에 대한 조항인 제23조에서는 '개인정보처리자는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로써 대통령령으로 정하는 정보(이하 ’민감정보‘라 한다)를 처리하여서는 아니 된다'고 하면서, 민감정보에 대하여 일반개인정보에 비해 보다 엄격히 보호하고 있다.

민감정보에 대해서도 가명처리하여 활용할 수 있는 명시적인 예외 조항을 두고 있지 아니하여, 민감정보의 가명처리 후 사용 가능 여부에 대한 해석이 모호한 측면이 발생하였다. 이에 대하여, 제23조 제1항 제2호의 '법령'에 동법인 개인정보보호법의 '가명정보의 처리에 관한 특례'도 포함되는 것으로 해석하여 민감정보의 가명정보 활용이 가능하다고 구성하는 견해도 있다. 관련된 사례들과 법문의 해석에 대해서는 책 "보건의료 빅데이터의 활용과 개인정보보호"에 보다 자세히 서술되어 있다. 

민감정보에 대한 특례 조항을 둔 것은 일반 개인정보에 비하여 보호법익이 중대하여 특히 엄격하게 제한하겠다는 취지인데, 조문을 엄격하게 문언적으로 해석해 본다면 가명처리에 대한 가부를 정하고 있는 조문이 부재한 것으로 해석될 여지가 있다. 실무적으로 살펴보면, 개인정보보호위원회가 2020. 12. 23. 개정하여 발령한 '보건의료데이터 활용 가이드라인'에서는 보건의료데이터를 비식별화하여 활용할 수 있는 것을 전제하고 관련 세부사항을 규정하고 있다. 

보호의 필요성이 높다고 인정되어 민감정보의 특례규정이 있음에도 불구하고, 보건의료데이터의 활용에 있어서 그 절차를 완화하는(정보주체의 동의 면제) 요건을 법규성 없이 사법적 해석과 가이드라인에만 맡겨두는 것은 혼란과 논쟁의 여지를 남겨두는 이외에 별다른 실익이 보여지지 않는다.

 비공개대상정보의 분리·제외 처리의 의미 
공공데이터법 제17조 제2항에서는 비공개대상정보를 분리하여 제외하는 처리를 하면 공개·제공할 수 있도록 하고 있다. 여기에서의 '분리·제외 처리'가 개인정보보호법상 익명처리만을 가리키는 것인지, 데이터3법의 개정으로 최근 도입된 가명처리도 적용되는 것인지 문제가 된다. 현재 공공기관들이 보건의료데이터에 관련하여 이미 가명화를 포함한 비식별 조치를 거치면 심의를 거쳐 제3자에게 제공 가능한 것으로 내부 절차를 정하여 운용하고 있는 현황을 감안해보면, 실무에서는 이미 가명처리도 포함하여 해석되고 있다. 그렇지만 법문에서 비공개대상정보를 '분리'하여 '제외'라고 하고 있어 문언적으로는 일부 삭제조치만을 가리킨다. 공공데이터법의 ‘분리하여 제외’의 기재를 다양한 가명처리의 기법을 포괄할 수 있는 문언으로 구체화 하는 것이 타당하다고 생각된다. 가령, 공공데이터법 제17조 제2항 후단에 '개인정보보호법 제2조에 따른 가명 처리한 경우'를 추가적으로 포함하는 것도 방안이 될 수 있다.

 비공개대상정보의 범위 
공공 보건의료데이터의 개인정보 보호와 활용 사이의 이익형량의 경우를, 그 대상을 기준으로 구체적으로 살펴보면 두 가지 경우로 나눌 수 있다. 공공데이터는 공공기관, 즉 국가권력에 의해 처리될 수도 있지만 이를 제공받은 다른 사인에 의해 처리될 수도 있기 때문이다. 

전자의 경우, 개인 정보에 대한 정보주체의 권리와 비교 형량되는 법익은 '국가의 안전보장 및 행정상 필요성'일 것이다. 반면에 공공데이터가 제3자인 사인에게 제공되어 사인이 이를 처리할 경우(가령 제약기업이 건강보험심사평가원으로부터 공공 보건의료데이터를 받아 분석·활용하는 경우)에는 개인정보 보호법익이 정보를 제공받은 사인의 '알 권리, 직업수행의 자유, 영업권'과 비교형량될 것이다. 

공공 보건의료데이터의 활용정책 방향을 정하고 관련 법률을 해석할 때에는 이러한 헌법상의 권리와 법률의 취지가 고려될 필요가 있을 것이다. 

여기에서 주목해 볼 점은 정보공개법 제9조 제1항 제6호(조문 상세사항은 아래 표로 정리)의 비공개대상 정보를 정의하면서 '개인을 식별할 수 있는 정보'에 한하고 있는 것이 아니라 이를 포함하는 '사생활의 보호 및 자유를 침해할 우려가 있는 정보'라고 정함으로써 프라이버시 보호, 즉 인격권의 보호적인 측면을 강조하고 있다는 점이다. 

비공개의 취지가 '국민의 알 권리보다 개인의 사생활 보호가 더 우선할 경우에 이를 보호하기 위함'이라는 점에서, 국내, 미국, 독일 법제와 같이 '사생활의 비밀 또는 자유를 침해할 우려가 있다고 인정되는 정보'로 한정하는 것이 적절하다고 생각된다. 

다만 사안에의 적용에 있어 법문의 취지와 달리 지나치게 그 범위를 넓게 해석하여 공공데이터의 활용에 장해가 되는 과거 판례와 같은 경향은 지양함이 바람직하다고 생각된다.

생명윤리법의 익명화 정의 및 동의 규정 개정가명화된 보건의료데이터의 활용 근거가 되는 또 다른 법규로서 생명윤리법이 있다. 생명윤리법 제16조 제1항에서는 인간대상연구를 위해서 연구대상자로부터 사전에 서면동의를 받아야할 사항으로 제1호 내지 제8호를 정하고 있고 이 중 제4호로서 '개인정보 보호에 관한 사항'이 포함되어 있다. 제18조는 이렇게 개인정보를 제공하는 것에 대하여 연구대상자로부터 서면동의를 받은 경우 기관위원회(IRB)의 심의를 거쳐 개인정보를 제3자에게 제공할 수 있다고 하면서, 이 때 정보는 식별정보를 포함하는 것에 대한 연구대상자의 동의가 없는 한 익명화하여 제공해야 한다고 정하고 있다. 

생명윤리법은 '익명화'에 대해서 '개인식별정보를 영구적으로 삭제하거나, 개인식별정보의 전부 또는 일부를 해당 기관의 고유식별기호로 대체하는 것(제2조 제19호)'으로 정의하고 있다. 개인정보보호법 제58조의2에서 익명정보를 '시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보'로 정하고 있는 것과 상이하다. 생명윤리법 제2조 제19호 후단의 '고유식별기호로 대체하는 것'은 개인정보보호법에 따르면 오히려 '가명화'에 가깝다. 

이에 대하여 '보건의료데이터 활용 가이드라인'에서는 보건복지부의 유권해석을 기재함으로써 기준을 제시하여 해결을 도모하고 있다. 보건복지부의 '생명윤리법 관련 기관 운영지침' 일부 개정(2020. 8. 4.)을 통해 기관 내 지침으로서 시행이 된 해석으로, 개정 개인정보 보호법의 가명처리는 생명윤리법의 '익명화'에 포함되는 것으로 해석됨'이라고 지침을 정하고 있는 것이다. 데이터3법의 개정으로 가명정보에 대한 규정이 개인정보보호법에 명문화됨에 따라, 용어의 정의를 통일시켜 법률 정합성을 갖추도록 하는 것이 바람직하다.

 국내외 데이터 거버넌스 활용 사례 
정부는 보건의료분야 4개 기관의 데이터를 개인 단위로 연계, 공공 목적 연구에 활용할 수 있도록 연구자에게 개방하는 사업인 '보건의료 빅데이터 시범사업 계획'을 2018. 11. 의결하여 '보건의료 빅데이터 플랫폼'을 구축하였다(2021. 7. 시범사업이 종료되고 본 사업이 시작되었다). 

보건의료 빅데이터 플랫폼 내 정책심의위원회는 보건복지부훈령 제2018-121호 '보건의료 빅데이터 정책심의위원회 운영규정'(이하 '운영규정')에 따른다.

정책심의위원회의 주요 기능은 의료정보 및 보건의료 데이터 활용에 관한 주요 정책 및 사업, 제도 개선에 관한 사항 등을 효율적으로 심의하는 것이다(운영규정 제2조 제1항). 주요 심의사항은 의료정보 및 보건의료 데이터의 보호 및 활용 정책, 주요 사업계획에 관한 사항, 보건의료 데이터 활용 관련 제도 개선에 관한 사항, 보건의료 데이터 개방·제공·결합 등 활용에 관한 사항 등이다(운영규정 제2조).

국내와 유사한 국가건강보험체계를 갖고 있는 영국의 사례가 개선 방안 검토에 참고가 되었다. 영국의 경우에는 보건의료데이터 처리 컨트롤타워로서 NHS Digital이 기능하는 바, 국내에는 이러한 시스템으로서 한국보건산업진흥원과 한국보건의료연구원을 사무국으로 하는 보건의료 빅데이터 플랫폼이 있다. 또한 앞서 언급한 바 있는 개선안으로서 보건의료데이터 심의 전문 거버넌스가 구축되고 전문심의위원회가 구성된다면, 이로 하여금 영국의 HRA(Health Research Authority-영국 보살핌법(Care Act 2014) 제2장에서 HRA의 구성 및 기능에 대하여 정하고 있다)와 같이 정책심의위원회에 정책적 조언을 할 수 있는 독립기구로서 역할을 할 수 있다. 

 전문적인 심의위원회 도입 필요 
보건의료데이터의 가명처리에 대하여, 현재는 각 공공기관 내부의 빅데이터 담당조직에서 절차를 진행하거나 보건의료 빅데이터 플랫폼 정책심의위원회의 심의를 통해 데이터가 처리되고 있다. 보건의료데이터 비식별판단을 전담할 별도의 기관으로서 보건의료데이터 비식별 전문 심의위원회를 법적 근거 하에 마련하는 방안이 바람직하다.

국민건강보험공단은 정보의 제공 신청을 받은 후 이를 심의하기 위한 내부조직으로 심의위원회를 두고 있고, 건강보험심사평가원은 내부에 빅데이터 전담부서를 두고 심의위원회의 기능을 하도록 하고 있다. 

공공 보건의료데이터의 비식별 조치 방법에 관한 결정과 재식별 가능성을 평가하여 공개 또는 제공 여부를 결정한다. 그 전문성과 역할이 매우 중요함에도 불구하고 전담기관이 아닌 각 공공기관 내부 부서에서 진행하고 있어 개선됨이 바람직하다. 보건의료 빅데이터 플랫폼에 정책심의위원회가 마련되어 있기는 하나 비식별화만을 전담으로 하고 있지는 않기 때문이다.

보건의료 빅데이터 플랫폼 내 정책 심의 위원회 도 고려 대상이다. '비식별 전문 심의 거버넌스'로 하여금 보건의료데이터의 비식별 판단을 전담하고, '보건의료 빅데이터 플랫폼'의 '정책심의위원회'는 정책 및 제도 개선 심의에 집중하며, '전문 심의위원회'에서 정책적 조언을 할 수 있도록 하는 방안이다.

보건의료기술진흥법에 근거규정을 두고 보건의료데이터 전문 심의 거버넌스를 구축한다면, 보건의료데이터 비식별 심의를 전문적으로 전담할 조직이 구성 가능할 뿐 아니라, 현재 보건복지부 산하 '보건의료 빅데이터 플랫폼'에 대한 정책적 조언을 할 수 있는 독립된 기구로서 역할이 가능하다. 

현재 보건의료 빅데이터 플랫폼의 정책심의위원회 구성은 보건복지부 훈령 제183호 '보건의료 데이터 정책심의위원회 운영규정'이 기준 규정이 되고 있다. 

행정규칙의 형태라 하더라도 법규명령에 대해서는 법규성을 인정하는 것이 헌법재판소와 대법원의 입장이나, 이 때에는 상위법령의 위임, 상위법령의 내용을 구체화하는 기능, 상위법령의 위임의 한계를 벗어나지 않은 내용의 요건이 갖추어져야 한다. 그러나 현 정책심의위원회에 대한 보건복지부 훈령은 이러한 요건을 갖춘 것으로 보이지 아니한다. 특히 상위법령의 명확한 위임이 없다는 것도 근거다.

 데이터권의 형태 
먼저, 데이터권을 인정한다면 그 인정 형태는 무엇인가에 대한 논의가 필요하다. 이에 대한 논의가 정립된다면 데이터권의 귀속주체와 수익 분배 대상 및 정도에 대해서도 논해볼 수 있을 것이다. 

만일 데이터권을 소유권으로서 인정한다면 적극적으로 데이터권자에게 배타적 재산권을 부여할 수 있어 사용, 수익, 처분권이 발생하며, 이외에 민법상 침해금지청구와 손해배상청구권이 인정될 수 있을 것이다. 

그러나 민법상 소유권의 인정은 기본적으로 물건을 대상으로 소유권을 인정하고 있는 국내 민법 법리상 가능하지 아니하며, 특별히 별도의 소유권을 인정할 실익에 비하여 데이터 이용 활성화에 장해가 될 가능성이 더 크다. 

한편 부정경쟁방지 및 영업비밀보호에 관한 법률(법률 제17727호 일부개정 2020. 12. 22., 약칭 : 부정경쟁방지법)상 영업비밀과 유사한 권리로 데이터권을 인정하는 견해의 경우, 부정경쟁방지법의 제2조 제1호 카목의 보호요건을 구체화하는 방식으로 행위규제 방식의 권리를 채택할 수 있다는 입장이다. 그러나 이는 개인정보 보호를 위한 다소 소극적인 권리 형태이고, 데이터는 공개 및 유통으로서 가치가 현출되는데 이를 영업비밀과 유사하게 보호하겠다는 것은 데이터의 특성과 맞지 않는다는 지적도 있다. 

반면 데이터베이스 보호법리의 적용 형태로서 데이터권을 인정하는 견해는, 저작권법상 데이터베이스제작자에게 인정하는 배타적 독점권을 플랫폼 사업자 등에게도 유사하게 부여하자는 입장이다. 그러나 데이터베이스는 단순히 개별 정보에 편리하게 접근하는 목적으로 제작되는 일종의 검색 툴로서 저작권법 제2조 제19호에 정의하고 있는 바, 빅데이터나 데이터의 수집 및 처리는 이러한 데이터베이스와는 성격이 다른 것이다.

 수익의 분배 
존 롤즈의 분배 정의론에 따르는 입장은, 그 분배 방식에 있어서 데이터 이용으로 인한 경제적 이득은 서로 연결되어 있으므로 사회 구성원 모두에게 혜택이 적용되는 방식을 제안한다. 이러한 입장에 따르면 최근 일각에서 제기되고 있는 '데이터 조세' 도입론이 적절한 대안이 될 수 있다.

그런데 법리적으로 살피자면 공공데이터의 경우에는 그 공개 및 제3자 제공이 헌법상 보장되는 '국민의 알 권리'에서 기인하여 제정된 공공데이터법에 근거하고 있다. 이러한 측면에서 본다면 비식별화된 공공 보건의료데이터를 활용하여 영업이익을 창출하는 것에 대하여 분배의 정의를 엄격하게 적용할 당위성이 감소한다. 

한편 정책적인 측면에서는 막대한 데이터처리 사례마다 어떻게 수익을 책정할 것이며, 분배 방식과 비율은 어떻게 정할 수 있는가 하는 실무적 한계에 부딪힐 수밖에 없다. 이러한 실정이다 보니 국내에서는 데이터 조세 방안이 유일하게 가시적으로 언급되고 있고, 데이터 이타주의와 같이 공공성이 강조되기도 한다.

국내 현황을 살펴보면 공공데이터에 대하여 국내의 '보건의료 빅데이터 플랫폼'은 데이터를 판매하여 대가를 받고는 있지만 이 매출은 데이터를 제공한 센터로 배분되고 있다. 별도의 유통수수료를 받거나 하지 않으므로 플랫폼 자체 내 수익은 거의 없는 상황이다. 국내 공공 데이터 플랫폼은 정부의 지원으로 운영되고 있고 각 플랫폼별로 10억 원의 예산이 지원되어 시스템 유지 보수 등에 쓰인다.

참고적으로 이는 영국의 NHS Digital도 유사하다. Data Protection Regulations 2000에 따르면 정보열람 혹은 제공 수수료에 대하여 복사나 우편 등의 실비만을 포함하도록 하고 재정적 이득은 부과하지 않고 있다. 위와 같은 특수성이 있다는 측면에서, 현 제도에서 급격한 변화를 가하는 구체적인 방안을 도출하기에는 어려움이 따른다.