플랫폼 경제시대 데이터 3법의 개정과 개인 의료데이터의 활용

국문 초록 (Abstract)

오늘날 우리는 인공지능(AI)을 이용한 기술혁신이 지배하는 이른바 제4차 산업혁명시대에 살고 있다. 이와 같은 다양한 미래기술 중의 하나 가 바로 플랫폼(platform)이다. 경제학에서 플랫폼이라고 하면 ‘구매자와 판매자, 양 당사자를 중개하는 것’을 지칭한다. 그러나 제4차 산업혁명 시대에서의 플랫폼은 단순한 중개의 장으로서의 역할을 뛰어 넘어 기 업 생존의 필수요소로서 자리매김하고 있다. 4차 산업혁명 시대의 핵심 자원으로 주목받고 있는 것의 하나가 바로 의료 빅데이터다. 미국의 경우에는 1996년 의료기관에서 의료 보험사측에 정확한 의료정보를 제 공하도록 하기 위하여 제정된 의료프라이버시법(Health Insurance Portability and Accountability Act)에서 치료목적의 정보 활용을 인정한 바 있다. 2009년 도입된 의료정보기술법(Health Information Technology for Economic and Clinical Health Act)은 의료정보의 의미있는 활용 (Meaningful Use)을 강조하면서 전자진료정보의 활용을 강조하였다. 개인 의료데이터를 기반으로 한 AI의 딥러닝기술 그리고 커넥티드 기구 등에 의한 개인 의료데이터의 집적에 따른 의료 빅데이터는 플랫 폼 경제시대의 핵심 자원이라고 할 것이다. 특히, 클라우드나 인공지능 등 신기술을 접목한 데이터 수집은 신산업 육성에 필수적인 요소로 손꼽힌다. 이와 같은 개인 의료데이터의 수집 및 그 활용은 새로운 산업의 한축을 담당할 것으로 기대된다. 그러나 그와 더불어 개인 의료데이 터는 개인정보에 해당하고, 경우에 따라서는 민감정보에 해당할 수 있 어 항상 그 침해가능성에 따른 보호의 문제가 제기되어 왔다. 그동안 우리나라의 개인정보보호법은 개인정보보호를 위한 보루의 역할을 다 해 왔는데, 그 반작용으로 개인 의료데이터의 이용 및 활용을 위한 장애 물이 되어 왔음도 사실이다. 최근 이른바 데이터 3법의 개정이 이루어져 개인 의료데이터의 이용 및 활용을 위한 계기를 새로이 만들어 주고 있다. 미국의 의료데이터를 둘러싼 법제를 살펴볼 때, 가명정보의 자유로운 이용을 규정하고 있다. 그러나 한편 FTC 3원칙에 의하여 가명정보 이용 시의 한계를 명확히 함으로써 개인정보의 침해가능성을 줄이고 있다. 우리나라의 개인정보보호법에서도 개인정보의 침해방지를 위하여 미 국 FTC 3원칙과 마찬가지로 가명정보의 재식별을 금지하도록 하는 규 정을 두고 있다. 앞으로 미국의 입법동향 및 실무지침의 운용현황을 예의 주시할 필요가 있다.

다국어 초록 (Multilingual Abstract)

The big medical data associated with the accumulation of personal medical data through AI's deep learning technology based on personal medical data and the connected organization can be said to be a core resource of the platform economy era. In particular, data collection combining new technologies such as cloud and artificial intelligence is considered an essential element in nurturing new industries. The collection and utilization of personal medical data is expected to play a role in a new industry. However, there has always been a problem of protection due to the possibility of personal medical data being personal information and possibly sensitive information. The Personal Information Protection Act of Korea has served as a fort for the protection of personal information, but it is also true that the reaction hinders the use of personal medical data. In recent years, the so-called Data 3 Law has been revised, creating new opportunities for the use of personal medical data. The U.S. government regulates the free use of pseudonymous data when it comes to medical data. On the other hand, the possibility of personal information infringement is reduced by clarifying the limitations of the use of pseudonymous data in accordance with FTC's three-part de-identification test. Korea's Personal Information Protection Act stipulates that re-identification of pseudonym information is prohibited, just like the U.S. In order to prevent personal information from being infringed, it is necessary to keep a close eye on the current status of the U.S. legislative trends and working-level guidelines.

목차 (Table of Contents)

• I. 서론
• Ⅱ. 데이터 3법 개정 전후의 개인 의료데이터의 활용
• 1. 종래의 개인정보보호법상의 개인 의료데이터 활용의 한계
• 2. 개정된 데이터 3법상 개인 의료데이터의 활용 가능성
• Ⅲ. 개인 의료데이터의 활용 및 보호에 관한 미국법의 검토
• 1. 서설
• 2. 의료프라이버시법(HIPPA)
• 3. 의료정보기술법(HITECH)
• Ⅳ. 우리나라에서 개인 의료데이터의 활용을 위한 제언
• 1. 가명정보는 개인정보
• 2. 익명정보는 비개인정보
• 3. 가명정보에 대한 개인정보보호법의 적용제외 범위
• 4. 가명정보 처리 시의 의무
• 5. 가명정보의 제3자에 대한 제공
• 6. 유전체 정보가 식별가능한 개인정보인가의 문제
• Ⅴ. 결론
• 참고문헌
• <국문초록>

참고문헌 (Reference)

1 김재선, "의료정보의 활용과 개인정보의 보호— 미국 HIPPA/HITECH 연구를 중심으로 —" 행정법이론실무학회 (44) : 269-290, 2016

2 정영철, "의료분야 빅데이터 활용을 위한 개인정보 비식별화 규정 현황과과제" 한국보건사회연구원 52-, 2015

3 정영철, "연구보고서 2019-14 개인 유전정보 보호 관리 체계 분석 및 정책 과제" 한국보건사회연구원 7-, 2019

4 손영화, "사물인터넷 시대의 개인정보 보호의 과제 -일본의 2015년 9월 개정 개인정보보호법을 중심으로-" 한국기업법학회 31 (31): 293-324, 2017

5 개인정보보호위원회, "보건의료 데이터 활용 가이드라인"

6 김남국, "병원의 환자 데이터 활용에 대한 법적인 이슈"

7 손영화, "디지털 이코노미 시대의 경쟁정책의 과제 - 디지털 플랫폼을 중심으로 -" 한국경제법학회 19 (19): 169-196, 2020

8 권현영, "데이터 규제 3법 개정 전망과 과제" 한국인터넷자율정책기구 (36) : 2019

9 LG CNS, "데이터 3법과 정보 주체 관리 보장 한 방에 정리!"

10 한상구, "개정 데이터 3법 2020. 8. 5. 시행"

11 전승재, "개인정보, 가명정보 및 마이데이터의 활용 범위 - 데이터 3법을 중심으로 -" 법무부 (91) : 249-279, 2020

12 한국인터넷진흥원, "개인정보 비식별화 관련 해외 현황 및 사례" 4-, 2016

13 국무조정실, "개인정보 비식별 조치 가이드라인"

14 박현정, "개인정보 보호 준비없이…의료데이터 개방 속도낸다" 한겨레

15 笹原英司, "米国の医療クラウドサービスで高まるセキュリティ責任, 国内事業者への影響は (2/2)" MONOist

16 "日本 診療情報の提供等に関する指針"

17 日本放射線技術学会, "医療情報の流れ（医療情報システムとの関連）"

18 笹原英司, "ビッグデータ活用の鍵を握る個人データ匿名化の日米比較 (2/3)" ITmedia エンタープライズ

19 消費者庁, "パーソナルデータに関する海外の状況"

20 杉本和行, "デジタル・プラットフォーム企業による市場支配と競争政策（上）" 日経BizGate

21 丸山英二, "ゲノムELSIユニット 社会で築くゲノム科学の未来ゲノム研究のガバナンスの構築に向けて 米国の遺伝子情報差別禁止法（GI NA）について"

22 斉藤茂雄, "「新個人情報保護法」がＰＭＳに及ぼす影響~ＰＭＳハンドブック読者！必読！~ 第５回"

23 나지영, "‘의료 빅데이터’... 4차 산업혁명 시대의 핵심 자원으로 주목" 바이오타임즈

24 Federal Trade Commission, "What We Do"

25 Ajmal Kohgadai, "Top 5 HIPAA-Compliant Cloud Storage Services"

26 Daniel Solove, "The HIPAA-HITECH Regulation, the Cloud, and Beyond"

27 Federal Trade Commission, "Protecting Consumer Privacy in an Era of Rapid Change: Recommendations for Businesses and Policymakers"

28 Bricker & Eckler LLP, "New HIPAA-HITECH Proposed Regulations Issued" 2010

29 DHHS, "Modifications to the HIPAA Privacy, Security, and Enforcement Rules Under the Health Information Technology for Economic and Clinical Health Act, 75 FR 40868"

30 Mark A. Rothstein, "Is Deidentification Sufficient to Protect Health Privacy in Research?" 10 : 3-, 2010

31 John B. Freymann, "Image Data Sharing for Biomedical Research—Meeting HIPAA Requirements for De-identification" 25 : 14-, 2012

32 HIPPA, "HIPAA Regulations: Notification in the Case of Breach -- Definitions - § 164.402"

33 Jessica Davis, "HIPAA Is Clear: Breaches Must be Reported 60 Days After Discovery"

34 HIPPA, "HIPAA Breach Notification Rule"

35 Health Information Privacy, "Guidance on HIPAA & Cloud Computing, Questions 1. May a HIPAA covered entity or business associate use a cloud service to store or process ePHI?"

36 Health Information Privacy, "Guidance Regarding Methods for De-identification of Protected Health Information in Accordance with the Health Insurance Portability and Accountability Act (HIPAA) Privacy Rule"

37 Federal Trade Commission, "FTC Issues Final Commission Report on Protecting Consumer Privacy in an Era of Rapid Change: Recommendations For Businesses and Policymakers"

38 Federal Trade Commission, "FTC Issues Final Commission Report on Protecting Consumer Privacy"

39 European Commission, "European Commission adopts adequacy decision on Japan, creating the world’s largest area of safe data flows"

40 손영화, "EU 일반데이터보호규정(GDPR)에 대한 우리나라 기업의 대응방안" 한국비교사법학회 26 (26): 413-452, 2019

41 C. Christine Porter, "De-identified Data and Third Party Data Mining: The Risk of Re-identification of Personal Information" 5 (5): 1-, 2008

42 The Office for Civil Rights, "DHHS, Guidance Regarding Methods for De-identification of Protected Health Information in Accordance with the Health Insurance Portability and Accountability Act(HIPAA) Privacy Rule"

43 J. Nicholas Hoover, "Compliance in the Ether: Cloud Computing, Data Security and Business Regulation" 8 : 255-, 2013

44 Jennifer Kulynych, "Clinical Genomics, BigData, and ElectronicMedical Records: Reconciling Patient Rights with Research When Privacy and Science Collide" 94-, 2017

45 Sara Renee Savage, "Characterizing the Risks and Harms of Linking Genetic Information to Individuals" 15 : 14-, 2017

46 김미희, "5G 자율주행차·AI 플랫폼.. 국경·업종 초월해 뭉쳐야 산다" 파이낸셜뉴스