보건의료데이터 혹은 보건의료정보의 특성 논의

개인정보보호법에서의 보건의료정보의 고찰

우리나라는 EU의 GDPR을 참조하여 개인정보보호법을 만들었습니다. 개인정보보호법에서 정보는 사실 영어에서는 information과 Data 둘 다를 의미하는 법입니다. 예전부터 Data와 Information 둘 다 정보라고 번역을 해 왔습니다. 정보처리기사 자격증 에서의 정보도 사실은 Data를 의미합니다. 요즘은 정보통신 사회에서 빅데이터 등 AI가 필요로 하는 정보는 Data를 의미하기 때문에 Data를 의미하고 있습니다. Information의 의미로서 정보는 오히려 자주 쓰이지 않아서 다른 안내 등으로 번역되고 있기도 합니다.

개인정보보호법에서 중요한 개념 중에 하나는 개인정보주체라는 개념입니다. 사실 EU GDPR에서는 Data Subject로 표현되는 개념인데, 한국어로 번역을 하다가 보니 객체가 아닌 주체라는 의미로 주체가 되었습니다. 하지만, 개인정보주체라고 번역을 하여도 주체가 주인과는 다른 용어라는 것을 이해하여야 합니다. 그 정보의 주인으로 번역하지 않은 것은 정보가 소유의 대상이 아닌, 공유와 활용이 가능한 Data라는 것입니다.

보건의료계에서는 Subject를 대상자로 번역을 해 왔습니다. 즉, Test Subject라고 논문에 나올 경우에는 피험자라고 번역을 해 왔습니다. 같은 Subject인데 주체와 대상자라는 개념은 너무나 차이가 큽니다. 이러한 문제가 생긴 이유는 Subject라는 영어단어의 어원이나 실제 개념적 뜻은 무시하고 주어로 번역되었다는 점을 이용하여 객체에 반하여 주체라고 번역함에 기인한다고 저는 생각합니다.

어원 검색싸이트인 etymonline.com 에서 subject를 검색해서 보면, subject는 종속자라는 의미에서 대상이 되는 것의 의미를 가지게 되어서 문장에서 행위에 종속되어 있는 것이라는 의미에서 주어가 되었다는 것을 알 수 있습니다. 즉, 개인정보보호법에서 주체라고 번역되는 것은 사실은 그 Data의 대상자라는 의미입니다. 따라서, 그 정보의 소유자는 개인정보주체가 아니라는 점을 명확히 이해하고 법을 보시면 더 잘 이해가 됩니다.

그 정보를 소유한 주인이라면, 이미 소유권이 인정되는 상황이기 때문에 개인정보주체의 권리에 대하여 법에서 굳이 다시 한번 더 정의를 할 이유가 없습니다. 그리고, 그 정보를 굳이 돈을 들여 디지털 풍화에 대응하면서 관리 해주는 개인정보처리자가 필요가 없습니다. 본인 소유의 정보라면 본인이 돈을 지불하여 관리하는게 맞기 때문입니다. 그래서 본인 소유물에 문제가 생긴다면 그 생긴 문제에 대하여도 본인이 책임을 져야 하는 것입니다.

그러한 면에서 금융정보와 보건의료정보와의 차이점도 생기게 됩니다. 금융정보는 개인정보주체가 본인이 하는 행위를 기록한 정보입니다. 은행에 돈을 입금하거나 출금하거나 송금하는 행위를 적은 기록입니다. 주식시장에서 주식을 사거나 팔거나 하는 행위를 적은 기록입니다. 즉, 개인정보주체의 행위로 인해 생성되는 개인정보라는 것입니다. 보건의료정보에서 환자는 개인정보주체로서 치료를 받으러 보건의료기관에 방문한 행위는 개인정보주체가 생산한 정보입니다. 그 외에 보건의료행위를 기록한 정보는 보건의료정보처리자인 보건의료인의 행위로 인해서 생성되는 정보입니다. 따라서 개인정보보호법 제35조의2 제1항제2호에서는

제35조의2(개인정보의 전송 요구) ① 정보주체는 개인정보 처리 능력 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대하여 다음 각 호의 요건을 모두 충족하는 개인정보를 자신에게로 전송할 것을 요구할 수 있다.
1. (생략)
2. 전송을 요구하는 개인정보가 개인정보처리자가 수집한 개인정보를 기초로 분석ㆍ가공하여 별도로 생성한 정보가 아닐 것
3. (생략)

개인정보주체가 전송요구를 할 수 있는 정보는 개인정보처리자가 별로도 생성한 정보가 아닐 것이라고 분명히 밝혀두었습니다. 따라서, 보건의료정보중에 개인정보주체가 제공하지 않고 개인정보처리자인 의료인이 별도로 생성한 정보는 전송요구를 할 수 없는 정보임이 분명합니다. 결국 일반적인 금융정보나 신용정보 같은 일반적인 개인정보와는 분명히 다른 보건의료정보임을 인정하고 이에 대한 명확한 개념을 정립하는 것이 다가오는 AI시대에 고위험AI 학습데이터인 보건의료데이터 처리에 관한 초석이 될 것이라고 생각합니다. EU에는 EU Health Data Space라는 법안이 이미 통과되었습니다. EU GDPR과 EU AI법에 기초하여 1차 활용 2차활용이라는 내용이 있습니다.

보건의료정보 특성에 의한 시사점

보건의료정보라고 하는 것은 개인정보보호법상 개인정보주체의 행위에 의한 정보가 아닌, 보건의료인들의 행위로 만들어지는 정보 또한 포함됩니다. 즉, 보건의료인들은 보건의료정보생산자로서 정보의 대상인 환자분 즉, 개인정보주체에 대한 보건의료행위를 하고, 그 행위 및 행위의 결과를 기록하고 그 기록을 처리하여 보건의료정보로 만들어서 의료법이나 약사법에 따라서 보건의료정보를 처리하여 자산으로 관리하고 있는 생산자의 지위를 가진다고 할 수 있습니다. 그렇기 때문에 보건의료정보는 소유의 문제가 아닌 보건의료기관의 자산으로서 취급받아야 하는 것이 마땅해 보입니다. 다른 영역에서 이와 비슷한 것은 바로, 유튜브의 알고리즘이나 마케팅 정보 수신 같은 것으로 볼 수 있습니다.

즉, 개인정보주체가 유튜브의 서비스를 이용하면서, 어떤 것들을 좋아하고 관심이 있는 가에 대한 정보는 새로이 만들어진 개인정보가 되어서 유튜브가 가지는 노하우가 되는 것입니다. 이러한 노하우를 다른 업체와 공유하라고 하는 것에 대해서는 절대로 응하지 않을 것입니다. 물론 의료법에서 환자들에게 사본의 발급을 통해서 어떠한 진료를 했는지 확인할 수 있는 것은 당연합니다만, 본인이 만들어낸 개인정보주체의 정보를 동종업계가 마음대로 활용하라고 제공하지는 않을 것입니다.

물론, 환자분들도 보건의료정보에 대한 권리를 가져야 하는 것이 맞습니다. 특히 환자 스스로, 혈압 혈당 운동한 거리 등에 관한 헬스케어정보를 만들어서 관리하고 있다면 환자도 당연히 보건의료정보 생산자가 될 수 있습니다. 그리고. 생산자가 아닌 의료정보의 대상자로서의 권리는 개인정보보호법상 개인정보주체로서 가지는 권리와 같다고 보면 될 듯 합니다. 그런데, 개인정보보호법상에서는 가명처리 특례라고 하는 부분이 있기 때문에 가명처리를 통해 개인정보주체의 권리는 무력화 되고 활용이 편해지는 면이 많습니다.

개인정보보호법 가명처리 특례는 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 정보주체 동의 없이 가명정보를 처리할 수 있도록 허용한 법적 근거입니다. 이는 개인정보의 일부를 식별할 수 없도록 가공한 후, 기존 개인정보의 유용성은 유지하면서 안전하게 데이터를 활용할 수 있게 하는 제도입니다. 주체의 동의를 받지 않을 수 있다는 요인이 있기 때문에 보건의료정보대상자이자 개인정보주체인 환자의 동의 없이 보건의료정보의 유통이 가능해진다는 허점이 있습니다. 환자의 동의도 없이, 생산자의 동의도 없이 생산자가 청구한 청구 보건의료정보의 활용을 마음껏 하려고 하는 의도가 보입니다.

그렇기 때문에 보건의료인이 생산한 보건의료정보는 보건의료인이 생산자이자 주체이며 본인이 관리하고 있는 자산으로 봐야한다는 논리가 중요해 집니다. 즉, 환자는 개인정보주체이나 가명처리 특례에 따라 연구나 통계작성을 위한 보건의료정보에서의 권리를 잃어버리게 되므로, 이러한 곳에 정보를 제공하게 되는 보건의료정보 생산자가 제공을 올바르게 할 수 있도록 하는 것이 매우 중요하다 할 수 있습니다. 즉, 이러한 정보가 얼마나 환자 혹은 개인정보주체에게 중요한 정보이고 함부로 제3자가 활용을 하면 얼마나 위험한지에 대한 평가는 전문가인 보건의료인들이 명확하게 할 수 있다고 봅니다. 따라서, 보건의료정보 생산자들에 대한 명확한 권리보호가 필요해 보입니다.

보건의료정보의 주체 및 대상자

정리를 해보자면, 보건의료인이 생산한 보건의료정보에서 환자는 대상자로서 권리를 가질 수 있고, 보건의료인은 행위의 주체였고, 생산하였고, 자산으로 관리하고 있는 주체로서 권리를 가질 수 있다고 볼 수 있습니다. 100프로 일치하지는 않지만, 우리가 매일 찍는 x-ray 사진과 실물 사진을 비교하면 편해진다고 봅니다. 환자는 개인정보주체이지만, 대상자로 모델로서 사진을 찍혔습니다.

하지만, 저작권은 사진을 찍은 사진사에게 있습니다. 즉, 대상자는 초상권은 있지만 사진의 편집 및 복제 등의 권리는 사진을 실제로 찍은 사진사에게 있다는 얘기입니다. 의료계에서 저작권을 주장할 수는 없지만, 실제로 치료행위를 하고 그 한 행위와 행위의 결과인 치료결과를 적어서 보건의료정보로 만들어서 관리까지 하고 있는 보건의료정보 생산자에게 당연한 권리가 주어진다는 것입니다.

특히우리가 청구하기 위해서 건강보험공단에 청구하고 있는 정보는 그 목적이 환자 본인부담금을 제외한 나머지 공단 부담금의 지급을 위한 것이지 그 정보를 다르게 활용해도 된다고 환자나 보건의료정보 생산자에게 동의를 받은 적이 없다는 것을 명확히 알아야 한다고 봅니다. 따라서, 보건의료정보의 진정한 주체는 보건의료정보 생산자이며, 환자는 대상자로서의 권리를 가진다고 보는 것이 합당하다고 생각합니다.

EHDS(EU Health Data Space)내용 고찰

EU에서 2025년 2월에 EHDS라는 법안을 발표합니다. 이미 법안이 통과되어서 2029년까지 단계적 시행예정입니다. EU는 1편에서 언급한 GDPR이 있습니다. 거기서 개인정보주체를 subject즉 대상자로 명확하게 표기하였습니다. 그래서 그 대상자가 오히려 권리가 모자라기 때문에 EHDS를 발의하였다고 합니다. GDPR과 EHDS사이에 EU AI act가 있습니다. EU AI act에서 데이터 생산자의 권리는 당연히 보장이 되고 있습니다. AI가 학습한 학습 데이터가 저작권이나 데이터 생산자의 권리를 침해하지 않아야 한다고 되어 있었습니다.

그래서, EHDS를 만든 이유가 대상자의 권리를 EU AI act에서 명확히 보장하지 못해서 그렇다는 것으로 분명히 밝혔습니다. 즉, EHDS에서 1차 활용과 2차 활용이라는 용어로 나누어서, 1차 활용은 의료기관간 활용이며, 2차 활용은 연구 및 혁신용 데이터 활용으로 나누어 두었습니다. 이 때 1차 활용은 환자의 요구가 있을 때 의료기관간 Health Data가 자동적으로 옮겨다닐 수 있는 의료기관간 전송요구에 대한 내용입니다. 그리고 2차는 연구 및 혁신용 데이터에 관한 내용인데 1차이든 2차이든 Data Subject가 항상 동의하여야 한다는 내용이 들어있다는 것입니다.

즉, 보건의료데이터의 활용에 있어서 환자들이 본인들의 데이터가 어디가서 어떻게 활용이 되는지 무조건 알 수 있도록 하겠다고 EU는 천명을 하였습니다. 우리나라도 보건의료정보의 활용에 대한 법을 만들 때 개인정보보호법처럼 EU의 EHDS를 참조하고, 우리나라 AI act에서 빠진 생산자의 권리를 넣고, 국민들이 건강정보활용이 함부로 되지 않도록 확인할 수 있는 법안을 만들 수 있다면 정말 좋겠습니다.