「개인정보보호법 개정안」이 지난 27일 국회행정안전위원회를 통과, 오는 29일 국회 본회의 통과만을 앞두고 있다.

데이터3법의 모법(母法)이라 불리는 「개인정보보호법 개정안」은 지난 2018년 11월 15일 더불어민주당 인재근 의원이 대표발의했다. 이 개정안에 따르면 개인정보를 각각 ▲개인정보 ▲가명정보 ▲익명정보로 나누고, 개인을 특정할 수 없도록 한 가명정보의 경우 과학적 연구 목적이라면 정보주체 동의 없이도 활용할 수 있도록 했다.

데이터3법은 개인정보보호법을 비롯해 ▲정보통시망이용촉진및정보보호에관한법률 ▲신용정보보호법 등을 통틀어 말하는 것이다. 이들 법은 ‘개인정보’를 하나의 데이터로 보고 일정 ‘가명처리’를 거치기만 하면 정보주체의 동의 없이도 기업이 개인정보를 활용˒공유할 수 있도록 하는 것을 골자로 한다.

정부와 여야는 물론 산업계에서는 현행법으로는 데이터를 산업적으로 활용하기 어렵기 때문에 이 개정안을 통해 서로 다른 영역의 정보를 결합‧활용해 빅데이터, 인공지능 등 신산업 육성이 가능하다며 개정안의 통과를 압박하고 있다.

반면 시민사회단체들은 이 개정안이 국민의 기본권이 자기결정권, 인격권 등을 심각하게 침해하고, 개인정보를 단순히 상품으로 취급해 국민의 안전과 공공성을 침해한다고 주장하는 상황이다.

현행의료법과 충돌…행안부는 문제없다는데?

특히 시민사회단체는 이 개정안이 현행 의료법 및 국민건강보호법 등 법체계와 정면으로 충돌할 뿐 아니라, 현행 의료법에 ‘개인의 건강‧의료 정보’가 명시돼 있지 않아 개인정보보호법의 적용을 받고 있어, 이 민감정보가 어떻게 해석될지 알 수 없다고 지적했다.

참고로 현행 의료법 제19조에서는 의료인 및 그 종사자 그리고 의료기관 인증 업무 종사자들의 환자 제반 건강정보 누설금지 규정하고 있고, 국민건강보험법 제102조에서는 국민건강보험공단 및 심사평가원, 대행청구단체의 비밀누설금지 및 제3자 제공을 금지하고 있다.

만일 통상적으로 신법을 우선 적용하는 관례에 따라 이번 개정안이 의료법 보다 우선 적용될 경우 국민건강보험공단(이하 건보공단)과 건강보험심사평가원(이하 심평원) 등에 집적된 ‘환자에 관한 정보’가 가명처리돼 산업적 연구목적을 포함한 과학적 연구를 할 수 있도록 ‘내’ 동의도 없이 민간기업에 제공, 활용될 수 있는 길이 열리게 된다.

이에 행정안전부는 지난 25일 시민사회단체에 “개인정보보호법과 다르게 규정하고 있는 의료법 및 국민건강보호법에 대해서는 해당법 규정이 개인정보보호법보다 우선 적용된다”는 답변을 보내 선을 그었다.

행정안전부는 “가명정보의 이용과 관련한 규정은 신법으로 신법과 특별법이 충돌할 경우 특별법 우선이 원칙이 통설이다”이라며 “신법이 우선된다고 하면 개인정보보호법이 개정될 때마다 개별법 규정의 법적 안정성이 저해될 우려에 놓일 수 있다”고 밝혔다.

이어 이들은 “의료법이나 국민건강보험법은 각각 가명정보를 ‘환자의 기록’ 또는 ‘개인정보’가 아니라고 인정할 수 있는 근거가 없는 점 등을 고려하면 개인정보보호법 개정 이후 의료법이나 국민건강보험법에서 규정한 사항이 적용되지 않거나 완화되는 것은 아니다”라고 전했다.

그러나 행정안전부의 답변대로라면 현재 소위 빅5 병원과 대기업을 중심으로 이뤄지고 있는 ‘아산카카오메디컬데이터’, 네이버-분당서울대병원-대웅제약의 헬스케어 공동연구 등 ‘의료데이터사업’ 역시 현행법 위반이다.

정말 행정안전부의 말대로 의료법 제19조의 규정이 우선 적용될 경우 이러한 우려는 줄어들게 될까?

의료정보는 개인정보 아니라서 괜찮다? No!

이에 연구공동체 건강과대안은 ‘아니’라고 답했다. 이들은 ‘진료 기록’ 혹은 ‘환자에 관한 기록’의 범위와 내용에 대한 법적 해석이 다를 수 있어, 개정안에 따라 활용될 여지가 있다고 설명했다.

행정안전부와 보건복지부는 『개인정보보호 가이드라인(의료기관 편)』을 통해 의료법에 근거하여 진료과정에서 수집하는 진료정보로서 환자에게 별도의 수집, 이용 동의가 필요치 않은 정보로 아래와 같은 사항들을 제시하고 있다.

건강과대안은 “위에서 언급된 내용 외에 다양한 혈액검사 결과, 영상촬영 결과 등은 ‘진료기록’, ‘환자에 관한 기록’으로 보지 않는다”며 “의료법 제21조제3항 예외조항에 따라 건보공단, 심평원, 질병관리본부 등 제3자에게 제공된 이 기록들은 더 이상 의료법 적용 대상 개인정보가 아니기 때문에 개인정보보호법의 적용을 받는다”고 꼬집었다.

이어 이들은 “결국 이번 개정안이 통과되면 정보주체 동의 없이 ‘진료기록’. ‘환자에 관한 기록’은 정보주체의 동의 없이 가명 처리돼 목적 외로 사용되거나 제3자에게 제공될 여지가 있다”고 말했다.

그러면서 건강과대안은 “현재 아산병원과 카카오가 추진 중인 ‘의료정보데이터회사’의 경우처럼 아산병원이 진료 외 목적으로 환자정보를 가명 처리해 활용할 경우 의료법의 적용을 받게될 지 논란이 될 것”이라며 “미국에서도 의료기관이 보유한 개인정보를 다른 기관으로 통째로 옮겨도 HIPAA법의 적용을 받지 않는 것이 문제가 되고 있다”고 지적했다.

참고로 HIPAA는 Health Insurance Portability and Accountability Act의 약자이며, 건강보험양도 및 책임에 관한 법안으로 의료보험의 연속성 및 환자 개인정보를 취급한다.

참여연대 이찬진 변호사도 “개정안이 통과되면 의료인 등 의료공급자, 보험자 측과 환자인 국민 사이의 건강정보에 대한 절대적 보장을 전제로 한 건강보험제도 및 의료제도에 대한 심각한 신뢰분괴 위험이 초래될 수 있다”고 우려했다.

아울러 이 변호사는 개인정보보호법 개정안의 내용 중 제28조(가명정보의 처리 등)와 제15조(개인정보의 수집‧이용), 제17조(개인정보의 제공) 등에 언급된 “안전성 확보에 필요한 조치를 하였는지 여부 등을 고려해 대통령령이 정하는 바에 따라 정보주체 동의 없이 개인정보를 이용‧제공할 수 있다”는 내용 역시 모호하다고 지적했다.

그는 “법조항에 안전성 확보여부만 ‘고려’되면 동의 없는 이용‧제공의 가능성을 열어놨기 때문에 가명처리된 데이터로써 개인의 의료‧개인 정보가 상업적으로 활용될 수 있다”며 “민감정보의 예외적 처리가 초래할 수 있는 오남용과 위험방지를 위해서는 정보주체의 실질적 선택권을 보장하는 방안과 정보주체의 동의 없는 정보처리와 목적, 요건을 구체적이고 세부적으로 적시할 필요가 있다”고 제안했다.

안은선 기자 다른기사 보기