의료정보 보호를 위한 옵트아웃(opt-out) 제도 도입의 필요성에 관한 연구 = A Study on the Need for the Introduction of an Opt-Out System to Protect Medical Information

국문 초록 (Abstract)

디지털 시대의 의료정보는 맞춤형 의료와 연구 발전에 중요한 자원으로 활용되고 있다. 전자 건강 기록(EHR), 유전체 정보, 생체 데이터 등은 신약 개발과 공공 보건 정책수립에 기여하지만, 민감한 개인정보를 포함하고 있어 정보 유출이나 오용 시 심각한 사생활 침해와 경제적 손실을 초래할 수 있다. 따라서 정보 주체의 권리를 보호하고, 의료정보의 안전한 활용을 위한 법적 장치 마련이 필수적이다.
가명처리 제도는 개인정보를 보호하기 위해 개인을 직접 식별할 수 없도록 정보를 변환하는 기술적 장치로, 의료정보 보호와 데이터 활용 간의 균형을 맞추는 데 중요한 역할을 한다. 예를 들어, 의료연구나 공익적 목적에서 데이터가 가명 처리될 경우 연구자는개인을 직접 식별할 수 없으나, 데이터의 유용성을 유지할 수 있다. 그러나 가명처리는추가 정보를 결합하면 재식별이 가능하다는 한계가 있다. 이는 상업적 목적의 데이터 활용 시 정보 주체의 통제권을 약화시키고, 프라이버시 침해와 오용의 가능성을 증가시킨다. 특히, 상업적 목적에서 재식별된 정보가 무단으로 활용될 경우 정보 주체에게 심각한피해를 초래할 수 있다. 옵트아웃(opt-out) 제도는 가명처리의 한계를 보완하는 법적 장치로, 정보 주체가 자신의 의료정보가 특정 목적으로 사용되는 것을 거부할 수 있는 실질적 통제권을 보장한다. 이를 통해 정보 주체는 자신의 데이터를 상업적 목적으로 무분별하게 사용하지 못하도록 막고, 의료정보 남용과 데이터 유출을 방지할 수 있다.
미국의 HIPAA는 의료정보의 필수적 활용(치료, 지불, 운영) 시 동의 없이도 사용할 수있는 유연성을 제공하지만, 강력한 보안 조치와 제재를 통해 정보 주체의 권리를 보호한다. 반면, 유럽의 GDPR은 정보 주체의 명시적 동의를 요구하며, 가명처리와 데이터 최소화 원칙을 통해 공익적 목적에서 개인정보 보호와 데이터 활용의 균형을 유지한다.
GDPR은 특히 재식별 가능성을 최소화하여 정보 주체의 프라이버시를 보호하고 있다.
우리나라에서는 개인정보 보호법과 의료법이 기본적인 보호 체계를 제공하지만, 가명정보의 상업적 활용 통제와 정보 주체의 권리 보장 측면에서 미흡하다. 예를 들어, 현행법은 가명 처리된 정보의 상업적 활용에 대한 명확한 규정이 없으며, 정보 주체가 자신의데이터 사용을 거부하거나 철회할 수 있는 실질적 장치가 부족하다. 이에 따라, 옵트아웃제도의 도입과 함께 실시간 통제 시스템 구축이 필요하다. 이러한 시스템은 정보 주체가언제든지 자신의 정보 사용을 확인하고, 철회하거나 거부할 수 있도록 하여 데이터 오용과 남용을 방지한다. 또한, 재식별 시도가 적발될 경우 강력한 제재를 부과하여 정보 주체의 권리를 강화하고, 의료정보 활용의 투명성을 높이는 데 기여할 것이다.
결론적으로, 옵트아웃 제도와 가명처리 기술의 한계를 보완하는 법적·제도적 개선이필요하다. 정보 주체가 자신의 데이터를 자유롭게 통제할 수 있는 환경을 조성함으로써의료정보의 안전한 활용과 개인정보 보호 간의 균형을 이루고, 의료서비스의 질적 향상과 연구 발전에도 기여할 수 있을 것이다.