보건의료 빅데이터 활용에 관한 법적 검토 - 개인정보보호를 중심으로 - = Review on Healthcare Big Data Analysis - Focusing on Privacy Protection -

국문 초록 (Abstract)

본 연구는 보건의료 빅데이터의 활용에 있어 제기되는 법적 쟁점을 개인정보보호의 측면에서 검토하였다. 구체적으로 보건의료 빅데이터의 정의와 특성을 살펴보고, 보건의료 빅데이터의 활용에 있어서 개인정보 보호법과의 쟁점을 검토하고, 외국의 관련 법률 및 사례 연구를 통해 보건의료 빅데이터의 활용에 있어서 개인정보보호법의 개정 방향에 대해 논의하였다.
먼저, 보건의료 빅데이터는 개인정보보호법 상에서 쟁점을 살펴보면 다음과 같다. 우리의 개인정보보호법에서 정의하는 개인정보의 정의가 모호하다. 개인정보의 판단기준이 식별가능성이라는 추상적이고 포괄적인 기준으로 판단하고 있어 보건의료 분야 뿐 아니라 향후 타 분야의 빅데이터 활용을 위해서도 개인정보 개념에 대한 재정립이 필요한 것으로 보인다. 다음으로, 보건의료정보는 개인정보이자 민감정보에 해당하므로 개인정보보호법에 따라 수집되어야 하는데, 그 수집방법에 있어서는 정보주체의 사전 동의가 필수적이다. 그러나 보건의료 빅데이터의 경우 모든 개인정보의 대해 사전의 동의를 구하는 것이 현실적으로 불가능하다고 볼 수 있다. 따라서 개인정보보호원칙의 기본이 되는 통지 및 동의(notice and consent)의 원칙이 지켜지기 어려운 문제가 발생한다. 또한 보건의료 빅데이터 중 장기간 축적되는 시계열이 존재하며, 빅데이터 분석을 통한 새로운 결과를 도출해 낼 수 있는 특성으로 인하여 개인정보 최소화 및 목적 명확성의 원칙이 지켜지기 어려운 측면이 있다. 이외에도 비식별화를 통해 개인정보를 활용할 수 있으나, 비식별화 방안에 대한 구체적인 법적 근거가 없으며, 비식별화 조치를 수행한 보건의료 정보라도 이 정보가 일정한 분석 또는 결합 등에 의해 재식별 가능성이 존재할 수 있다.
이러한 상황하에서 보건의료 빅데이터의 경우 기존의 개인정보보호원칙을 고수하기 보다는 상황에 맞게 융통적·합리적으로 적용하는 것이 필요하다. 미국 백악관 보고서에 의하면 전후사정 내지 맥락(context)의 중요성을 고려하여 빅데이터 활용을 통해 데이터 수집시에는 예상할 수 없었던 방식으로 변할 수 있다는 것을 인정하며 데이터를 전후 사정에 적절하게 사용함으로써 소비자에게 혜택을 제공하여 혁신의 원천을 제공하며, 기업에게는 융통성을 제공할 수 있다고 제안하고 있다. 뿐만 아니라 개인정보보호법 내 비식별화 및 재식별에 대한 명확한 기준이 필요할 것으로 보인다. EU GDPR처럼 개인정보보호원칙이 배제되는 익명정보와 일정한 조치하에 공익적 목적으로 사용가능한 가명정보의 구분, 미국의 HIPPA의 전문가 결정방식과 세이프하버(Safe Harbor)처럼 비식별화 방식의 구체적인 제시가 필요하다.
결국 보건의료 빅데이터의 활용에 있어서는 개인정보 주체를 보호하고 기술활용에 따른 보건의료 기술 발전 및 치료법 개발 등의 공공적 혜택을 누릴 수 있도록 하는 것은 개인정보보호원칙이 어떻게 적절하게 적용할 것인가 여부에 달려있으며, 에스토니아 사례에서 보듯이 정부 주도의 효율적 시스템 도입과 법제 개정을 통하여 투명성이 보장된 시스템을 기반으로 블록체인 등의 신기술을 활용하여 국민의 의료정보를 보호함과 동시에 보건의료 빅데이터의 효율적 활용을 고려할 필요가 있다.

다국어 초록 (Multilingual Abstract)

This paper examines the legal issues in the utilization of healthcare big data from the perspective of personal data regime. First of all, it reviews the definition and characteristics of healthcare data, and explains that the definition of personal data under the Personal Data Protection Act is ambiguous.
This paper argues that fair information practice principles(FIPPs) is in conflict with the healthcare big data analysis. First, it is practically impossible to obtain consent from the data subject in the analysis of big data. Second, the analysis of healthcare big data cannot meet the data minimization principles because there is a long-term accumulation time series of healthcare big data. Third, the purpose specification principle cannot not complied because data would be analyzed for the purpose quite differently from that of the collection.
In conclusion, this paper argues that personal data needs redefining, that the opt-out system be adopted at least for the analysis healthcare big data, that clear criteria be set for de-identification or anonymization, that re-identification be strictly prohibited, and that new technologies such as blockchain technology be adopted to utilize big data while protection personal privacy.

참고문헌 (Reference)

• 1 한국보건산업진흥원, "최신 보건의료 빅데이터 법제 동향 조사분석" 2017
• 2 삼성경제연구소, "정보홍수 속에서 금맥찾기: 빅데이터(Big Data) 분석과 활용" 2011
• 3 전영주, "의료법상 의료정보 보호방안" 한국법학회 (28) : 465-483, 2007
• 4 김지훈, "빅데이터와 개인정보보호" 한국법제연구원 (46) : 115-144, 2014
• 5 한국법제연구원, "빅데이터법제에 관한 비교법적 연구-일본-" 2014
• 6 김민호, "빅데이터(Big Data)와 개인정보" 490 : 2016
• 7 차상휘, "빅데이터 산업의 활성화에 따른 개인정보 보호에 관한 연구" 전북대학교 2017
• 8 한국보건산업진흥원, "보건의료 빅데이터 활용을 위한 일본의 법제 동향: 차세대의료기반법을 중심으로" 267 : 2018
• 9 보건복지부, "보건의료 빅데이터 플랫폼 시범사업 추진계획(안)"
• 10 한국보건산업진흥원, "보건의료 빅데이터 연계활용 기반 구축 연구" 2018
• 11 "보건의료 빅데이터 사업 첫 삽…내년 103억 마중물 투자"
• 12 박대웅, "보건의료 빅데이터 법제의 쟁점과 개선방향 - 시민참여형 모델구축의 탐색을 중심으로 -" 법학연구소 34 (34): 1-22, 2017
• 13 박순영, "국내외 보건의료 빅데이터 정책현황"
• 14 김규환, "개인정보보호법 일부개정법률안(2014181)"
• 15 진선미, "개인정보보호법 일부개정법률안(2012312)"
• 16 오세정, "개인정보보호법 일부개정법률안(2012289)"
• 17 관계부처, "개인정보 비식별조치 가이드라인-비식별조치 기준 및 지원·관리체계 안내-"
• 18 이대희, "개인정보 보호 및 활용을 위한 공정정보원칙(FIPPs)의 융통적인 적용과 새로운 접근방법에 대한 연구 – 사물인터넷 및 빅데이터의 예를 중심으로 -" 법조협회 67 (67): 7-43, 2018
• 19 "https://www.riigiteataja.ee/en/eli/ee/Riigikogu/act/523052018005/conso lide"
• 20 "REGULATION (EU) 2016/679 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)"
• 21 "OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data"
• 22 "Keyless Signature Infrastructure"
• 23 "IP Glossary"
• 24 "Health Information Technology for Clinical Health ACT, HITECH ACT"
• 25 "Health Information System Statute"
• 26 "HIPAA ACT"
• 27 "Estonia, ID Card"
• 28 "EU GDPR"
• 29 "EU Directive 95/96"
• 30 "Directive 95/46/EC of the European Parliament and of the Council of 24October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data"
• 31 Fred H. Cate, "Data Protection Principles for the 21st Century -Revising the 1980 OECD Guidelines"
• 32 Stanford Medicine News Center, "Dangerous side effect of common drug combination discovered by data mining"
• 33 White House, "Consumer Data Privacy in a Networked World: A Framework for Protecting Privacy and Promoting Innovation in the Global Digital Economy"
• 34 "California Consumer Privacy Act of 2018(No.375)"
• 35 Mckinsey, "Big data : The next frontier for innovation, competition, and productivity" McKinsey Global Institute 2011
• 36 Sri Srinivasan, "Big Data and Analytics In Healthcare Overview Fueling the Journey Toward Better Outcomes Fueling the Journey Toward Better Outcomes"