보건의료 빅데이터 활용에 대한

시민사회노동단체의 입장

보건의료 영역에서 빅데이터는 공중보건, 공익적 연구, 임상 치료 영역에서 공공적 가치를 실현하는데 도움이 될 가능성이 있다. 하지만 정부 차원에서 제시되고 있는 그 가능성은 공공적 가치보다는 산업적 활용을 전제로 예시되고 있으며, 그로 인한 성과가 공공적 가치로 전환될 수 있다는 우선순위가 뒤바뀐 방식으로 제기되고 있다. 산업 발전 영역조차도 데이터 및 기술 자체의 문제나 여러 가지 사회적 장벽으로 인해 빅데이터 활용의 효과, 효용 등에 대한 평가는 더 많은 논의와 검증이 필요한 것이 현실이다.

반면 효과, 효용 등이 불확실한 것에 견줘 보건의료 빅데이터 활용으로 인한 개인 정보인권 침해 가능성과 윤리적·사회적 문제, 그리고 그로 인한 건강불평등의 가능성은 보다 현실적이다. 여러 우려 목소리를 수렴해 최근 복지부가 ‘시범’ 사업으로 제한하고, 공공 기관이 수집한 정보로만 제한하겠다고 내놓은 수정된 ‘보건의료 빅데이터 플랫폼 구축’ 사업 역시 개인정보 주체의 별도 동의를 받지 않고, 현재 법적 근거도 마련되어 있지 않다는 점에서 개인정보보호법 위반의 소지가 있다.

우리는 원칙적으로 학술 연구 및 공공정책의 개발을 위해 개인 건강정보가 활용될 수 있다고 생각한다. 그러나 이러한 활용은 개인의 정보인권이 침해되지 않을 수 있는 적절한 안전장치의 구축이 전제되어야 한다. 개인정보의 보호와 안전한 활용을 보장할 수 있도록 관련 법제와 데이터 거버넌스 체제가 정비될 필요가 있다. 보건의료 빅데이터 플랫폼은 이러한 거버넌스 체제 내에서 운영되어야 한다. 시범사업은 이러한 데이터 거버넌스 체제를 구축하고, 공익적인 효과 및 위험성에 대한 분명한 평가를 통해 거버넌스 체제를 개선하는 과정이 되어야 한다.

이에 우리는 보건의료 빅데이터 플랫폼과 관련한 법제도 개선 및 거버넌스 구축 방향에 대하여 다음과 같이 의견을 밝힌다.

1. 개인(건강)정보의 보호와 활용을 위한 법제도 정비

개인정보 관련 법제가 제대로 정비되지 않았을 경우, 정보주체는 개인정보의 활용 과정에서 자신의 개인정보가 보호될 것이라는 신뢰를 갖기 힘들다. 특히, 개인 건강정보는 가장 민감한 정보의 하나로서 유출되거나 오용될 경우 개인에게 치명적인 영향을 미칠 수 있다. 그럼에도 불구하고, 현행 보건의료 법제는 개인 건강정보에 대한 적절한 보호를 제공하고 있지 않다. 예컨대, 국민건강보험공단, 심평원 등은 수십 종의 개인 건강정보 데이터베이스를 보유하고 있고 수십억 명의 개인정보를 준영구적으로 보유하고 있지만, 해당 개인정보 수집의 법적 근거, 수집된 개인정보 범위의 적절성, 보유기간 등에 대한 법적 규율은 미비한 상황이다. 보건의료 빅데이터 플랫폼 구축 이전에 개인정보 보호원칙(목적적합성, 최소수집 등)을 준수하는 방향으로 보건의료 관련 법제가 정비되어야 한다.

연구 목적으로 보건의료 빅데이터를 활용하기 위해서는 일반법인 개인정보보호법 역시 정비가 필요하다. 제18조 2항 4호에서 통계작성 및 학술연구 등의 목적을 위해 개인정보의 목적 외 이용을 허용하고 있지만, 해당 조항의 해석에 있어 많은 논란이 있으며 학술연구 목적으로 활용할 경우의 안전조치 등에 대한 구체적인 규정이 부재하기 때문이다. 공익 목적의 아카이브, 학술연구 및 통계 목적으로 개인정보의 활용을 제한적으로 허용하더라도 적절한 안전조치를 취해야 함을 명확하게 규정할 필요가 있다.

이와 더불어 개인정보보호위원회의 독립성 및 권한을 강화하여, 개인정보보호위원회가 감독기구로서 제 역할을 할 수 있도록 해야 한다. 보건복지부나 개인정보 주무부처인 행정안전부는 산업 진흥의 역할도 수행하거나 독립성을 결여하고 있기 때문에 감독기구로서 제 역할을 하리라 기대하기 힘들다. 합당한 권한을 가진 독립적 감독기구가 존재할 때, 개인정보 보호에 대한 정보주체의 신뢰가 높아질 수 있을 것이다.

보건의료 빅데이터 플랫폼 역시 명확한 법적 근거 하에 추진되어야 한다. 플랫폼 구축을 위한 기술 개발, 거버넌스 체제의 구축, 사회적 공론화 과정, 시범적 데이터의 제공 및 평가 등 시범사업의 추진은 법제 정비와 동시에 진행할 수 있겠지만, 본격적인 보건의료 빅데이터 플랫폼의 운영은 관련 법제가 정비된 이후에 시작되어야 한다. 그렇지 않으면 개인정보의 불법적 활용이라는 논란을 야기할 수 있다. (관련하여 개인정보 비식별조치 가이드라인에 따라 개인정보를 연계 처리한 업체 및 공공기관이 고발된 바 있다.)

보건의료 빅데이터의 연구 목적 활용을 위해서는 개인정보보호법 상의 일반적 규정 외에도 보건의료 데이터 거버넌스를 위한 별도의 규율이 필요하다. 아래에서 보다 자세히 설명하겠지만, 데이터의 보호 및 활용의 원칙, 연구 제안서의 심사 등을 위한 거버넌스 기구나 절차가 법적으로 규정될 필요가 있다.

이러한 법제 정비 과정에서 숙의 민주주의적 절차, 공청회, 토론회, 다양한 층위의 사회적 대화 등 관련 정보를 제공한 상태에서 숙고를 거쳐 의견을 개진할 수 있는 다양한 방법을 동원하여 보건의료 빅데이터 활용 여부 및 조건에 대한 다수 국민의 의사를 충분히 확인하는 과정을 먼저 거쳐야 한다.

2. 보건의료 데이터 거버넌스 체제 구축

관련 법제와 더불어 개인정보의 보호 및 안전한 활용을 위한 보건의료 데이터 거버넌스 체제가 구축될 필요가 있다. 이와 같은 거버넌스 체제는 관련 법제 및 세부 지침에 반영되어야 한다.

가. 연구 제안서에 대한 엄격한 평가가 필요하다.

연구를 목적으로 개인 건강정보의 수집 목적 외 활용을 허용하더라도, 해당 연구의 공익적 가치와 프라이버시 침해 위험성에 대한 엄격한 평가가 수반되어야 한다. 개인정보보호법에서 일정한 안전조치를 전제로 학술 연구 및 통계 목적으로 가명(혹은 익명)화된 개인 건강정보를 제공하더라도, 개별 사례에서 어떠한 연구가 이에 해당하는지 법에서 일률적으로 규정하기는 힘들다.

따라서 특정한 연구 프로젝트를 심의할 수 있는 전문적이고 독립적인 연구평가위원회가 구성될 필요가 있다. 연구평가위원회는 해당 연구의 학술적 가치, 해당 연구가 개인정보에 미치는 영향, 연구기관 및 연구자의 신뢰성, 연구 제안서의 완성도 등의 기준에 입각하여 허용 여부를 엄격하게 평가해야 한다. 이러한 연구평가위원회에는 시민사회가 추천하는 위원을 반드시 포함해야 한다. 해당 연구가 공익에 기여할 수 있도록 하기 위해 연구 결과물은 공개되어야 한다.

연구평가위원회는 단지 데이터 제공의 허용 여부만을 평가하는 것이 아니라, 데이터 제공의 필요성 및 그 범위도 평가하고 제안할 수 있어야 한다. 학술 목적으로 개인정보 제공할 때에도 가능하다면 정보주체의 동의에 기반하는 것이 원칙이다. 다만, 동의를 얻는 것이 현실적으로 불가능하거나 지나치게 비용이 많이 들거나 기술적으로 어려운 경우 정보주체의 동의없이 제공될 수 있다. 다만, 이 경우에도 가명화 조치를 포함하여 개인정보 보호를 위한 안전조치를 해야 한다. 또한, 익명화된 형태로도 연구가 가능하다면 익명처리하여 활용해야 한다. 즉, 연구 목적에 필요한 최소한의 개인정보만이 제공되어야 한다.

나. 개인정보 보호를 위한 안전조치가 전 과정에서 구비되어야 한다.

책임성 있는 연구기관 및 연구자에게만 데이터가 제공될 수 있도록, 연구자들은 개인정보 및 보안 요구조건에 대한 교육·훈련을 받아야 하며, 정부는 이를 뒷받침할 체제를 마련해야 한다. 이러한 교육·훈련은 보건의료 빅데이터를 관리하는 공공기관의 직원에게도 적용되어야 한다.

개인정보의 침해 시 합당한 책임을 질 수 있도록 연구자와 계약이나 이용약관을 체결해야 한다. 또한, “이해관계 상충(Conflict of Interest)” 여부를 확인하기 위해 책임 연구원 포함 모든 공동 연구원에게 “Disclosure statement”를 제출하도록 의무화해야 한다.

연구를 허가받더라도 데이터셋 자체를 다운로드 받거나 파일로 제공받아 사용할 수 있도록 해서는 안 된다. 데이터 보안을 위한 설비가 구축된 안전시설(“safe havens”)에서 데이터에 접근해야 하며, 이용 기록을 모니터링함으로써 데이터 유출 및 목적 외 사용의 가능성을 최소화해야 한다. 데이터 보유기관, 안전시설 등에서의 데이터 보관 및 전송 과정의 보안을 위한 기술적, 물리적, 관리적 보안조치가 취해져야 한다. 이러한 안전시설은 데이터 보안만이 아니라, 데이터 분석도구의 제공이나 컨설팅 등 연구 지원의 역할도 할 수 있을 것이다.

연구자가 연구 결과물을 안전시설에서 갖고 나가기 이전에 연구 결과물이 의도하지 않게 개인정보를 포함하거나 노출할 위험성에 대한 검토가 이루어져야 한다.

다. 데이터 연계

보건의료 빅데이터 플랫폼은 통합 데이터를 보유하지 않으며, 단지 각 데이터 보유기관이 보유하고 있는 데이터에 대한 접근 및 연계를 지원하는 역할을 해야 한다.

데이터 연계는 “신뢰할 수 있는 제3자(Trusted Thired Party, TTP) 모델”과 같이 데이터 보유기관, 연계기관, 제공기관, 연구자 등이 개인정보에 대한 접근을 최소화할 수 있는 방식으로 이루어져야 한다.

데이터 연계를 위한 연계키로서 비록 암호화된 형태더라도 주민등록번호를 이용해서는 안된다. 이미 현행 법제는 주민등록번호를 법령에 근거가 있는 경우에만 처리할 수 있도록 하고 있다.(개인정보보호법 제24조의2) 궁극적으로 주민등록번호는 번호 체계도 변경되어야 하고 수집 및 처리의 범위도 제한되어야 하는 바, 보건의료 빅데이터 처리를 위해 주민등록번호에 의존해서는 안 된다.

참고로, 유엔 <통계 및 관련 연구 목적을 위해 수행되는 데이터 통합의 기밀성 관련 원칙과 가이드라인>(여기서 통합은 연계와 유사한 의미이다)에서는 명확한 법적 보호가 존재하지 않을 경우, 국가통계기구는 자연인 및 법인과 관련된 데이터 통합을 하지 말 것, 합리적이고 실행 가능하다면, 데이터 제공자의 동의를 얻을 것, 목적을 위해 필요한 데이터만이 승인된 데이터 통합 작업을 위한 데이터셋에 포함되어야 함 등을 데이터 연계와 관련된 원칙들을 제안하고 있다.

라. 정보주체의 거부권

연구 목적의 제공시 정보주체의 동의권이나 열람권 등이 제한될 수 있으나, 자신의 개인정보가 애초 수집 목적 외로 사용되는 것을 원하지 않는 사람의 경우 애초에 거부권(Opt-out)을 행사할 수 있도록 보장할 필요가 있다. 예를 들어, 해당 기관은 보유 정보가 연구 목적으로 활용될 수 있음을 홈페이지 등을 통해 고지하고, 정보주체의 요청이 있을 경우 해당 개인은 연구 목적 제공에서 제외할 수 있을 것이다.

마. 거버넌스 기구와 개인정보보호위원회의 감독

보건의료 빅데이터 사업의 정책, 원칙 등을 결정할 거버넌스 기구가 필요하다. (이는 연구평가위원회와 별개로 구성될 수도 있고, 통합될 수도 있다.) 이 거버넌스 기구는 시민사회, 노동단체를 포함하여 다양한 이해관계자 주체로 구성될 수 있다.

거버넌스 기구는 보건의료 빅데이터 플랫폼 사업에 대해 개인정보 영향평가를 수행해야 하며, 정책 및 운영원칙의 수립 과정에서 개인정보보호위원회와 수시로 협의할 필요가 있다.

3. 투명성과 시민참여

투명성과 시민참여는 사회적 신뢰 구축을 위한 전제조건이다.

관련 법제의 정비에서부터 보건의료 빅데이터 시범사업의 목적, 범위, 내용, 방법, 절차, 거버넌스 체제 등 전반에 걸쳐 정보주체인 시민과 환자, 시민사회 및 노동단체의 참여가 보장되어야 한다. 관련 정책, 지침, 가이드라인은 투명하게 공개되고 이에 따라 운영함으로써 정부의 자의적인 판단과 개입을 최소화할 수 있어야 한다.

연구 제안서에 대한 심의, 채택, 결과물 등 보건의료 빅데이터를 활용한 연구의 전 과정이 투명하게 공개되어 항상적으로 모니터링되는 구조를 만들어야 한다. 그래야 보건의료 빅데이터 플랫폼의 실효성 및 개선점을 면밀하게 평가할 수 있다.

4. 시범사업의 신중한 추진

시범사업은 법적 근거가 없이 추진되는 것인만큼, 위험성이 적고 국민적 동의를 얻을 수 있는 부분부터 가능한 신중하게 추진되어야 하며, 이에 대한 평가를 토대로 본 사업의 추진 여부 혹은 미비점 보완을 진행해야 한다.

가. 제공되는 데이터셋의 제한

시범사업을 통해 제공되는 데이터는 다양한 목적으로 정부 혹은 공공기관이 기왕에 수집, 보관하고 있는 공공 보건의료 데이터셋에 한정해야 한다. 이 데이터셋 중에서도 개인이 드러날 수밖에 없는 유전정보가 포함되어 있는 데이터셋은 제외한다. 의료기관에서 자체적으로 수집, 보관하고 있는 다양한 개인 건강정보의 활용, 모바일 기기나 웨어러블 기기 등을 통해 수집·보관되는 다양한 개인 건강정보의 활용, 인터넷·SNS 등을 통해 수집 가능한 다양한 개인 건강정보 등의 활용 등은 보건의료 빅데이터 시범사업의 대상이 되어서는 안 된다.

예를 들어, 의료기관에서 전자의무기록뿐 아니라 다양한 의료기기 등을 통해 수집한 건강정보를 다른 빅데이터셋과 연계하여 연구를 수행하려 하는 경우, 모바일 기기·웨어러블 기기 등을 통해 수집된 건강정보를 다른 빅데이터셋과 연계하려는 경우, SNS 등을 통해 수집된 개인 건강정보를 다른 빅데이터셋과 연계할 경우 등 민간 영역의 데이터셋의 활용은 보건의료 빅데이터 시범사업에서 제외한다.

나. 연구 목적의 제한

시범사업에서는 공중보건과 관련된 사회정책적 목표를 달성하기 위한 연구로 한정되어야 한다. 여기서 ‘공중보건’이라 함은 국민 다수의 건강과 관련된 것으로서, 건강 수준(유병률, 장애율 등), 건강 결정 요인, 보건의료 요구, 보건의료 자원 할당, 보편적 의료 보장의 제공, 보건의료 재정, 사망원인 등을 말한다. 공중보건과 관련된 연구라 할지라도 사회정책적 목표가 불확실한 연구나, 보건의료 기술 개발을 위한 연구, 연구의 결과가 특정 사업주, 보험회사, 제약회사 등 제3자의 이익을 위한 것이 명백한 연구, 시장분석이나 마케팅을 목적으로 한 연구는 제외한다.

2018년 3월 28일

건강과대안, 건강권실현을위한보건의료단체연합, 건강사회를위한약사회,
건강사회를위한치과의사회, 건강세상네트워크, 노동건강연대, 무상의료운동본부,
사회진보연대, 인도주의실천의사협의회, 전국의료산업노동조합연맹,
진보네트워크센터, 오픈넷, 참의료실현을위한청년한의사회

문의: 오픈넷 사무국 02-581-1643, [email protected]

길거리 월드컵 응원도 도심지역 도서관 무료영화 상영도

저작권자 허락 없이는 전면 금지하겠다는 문화체육관광부

사단법인 오픈넷·진보네트워크센터·IPLEFT, 저작권법 시행령 개정안 반대 의견서 공동 제출

문화부는 이용자가 참여하는 공론장에서 저작권법 시행령 개정안을 원점부터 재검토해야

저작권자의 이용허락 없이 가능했던 반대급부 없는 공연 범위를 대폭 축소하겠다는 문화체육관광부

지난 5월 2일 문화체육관광부(이하 “문화부”)는 이용허락 없이 가능한 무상 공연 범위를 대폭 축소하는 것을 내용으로 하는 ｢저작권법 시행령｣ 일부개정령(안)을 입법예고하였다. 이에 사단법인 오픈넷, 진보네크워크센터, 정보공유연대 IPLEFT는 6월 12일 반대의견을 제출하였다.

개정안에 따르면 기존 저작권(공연권) 행사 대상이 아니었던 커피전문점 등에서 상업적음반을 트는 행위(공연)에까지 권리행사 범위가 확대되는 것은 물론, 영상저작물의 경우 농어촌 지역의 박물관 등 예외적인 경우가 아닌 이상 반대급부를 받지 아니하는 무상 공연임에도 불구하고 복제 및 전송 대가 이외에 공연행위 자체에 대한 이용허락을 별도로 받아야 한다.

반대급부를 받지 않는 길거리 월드컵 응원도 도심지역 도서관 등의 무료상영회도 공연에 대한 저작권자 허락 없이는 금지, 형사처벌 대상

개정안은 영상저작물 공연에 대한 반대급부를 받지 않더라도 저작권자의 이용허락 없이 가능한 자유로운 공연을 포괄적으로 금지하고 있다.

따라서 저작권법 시행령 개정안이 시행되면 예컨대 월드컵 응원을 위해 길거리 전광판에서 경기 중계를 상영하거나 또는 대통령 탄핵 시위 현장에서 전광판을 통해 영상저작물을 상영하기 위해서는 저작권자의 허락을 별도로 받아야 한다. 이미 DVD를 구입하였거나 스트리밍의 대가를 지급했더라도 영상 설비를 갖추어 공연을 하기 위해서는 공연에 대한 이용허락을 별도로 받아야 하는 것이다. 반대급부를 받지 않더라도 그렇다. 현행 법령 하에서는 반대급부를 받지 않는 경우 앞서 예시한 공연을 위해 별도로 이용허락을 받을 필요가 없다.

한편 개정안에 따르면 농어촌 지역의 박물관 등에서만 이용허락 없는 자유로운 공연(공표 후 2년이 지난 영상저작물에 한정)이 가능해져, 개정안 시행 후에는 도심 지역 박물관 등에서는 이 같은 자유로운 공연이 원칙적으로 금지된다. 이미 막대한 예산을 들여 영상저작물을 구입했음에도 관내에서 이를 공연하기 위해서는 추가 예산이 필요해진 것이다. 이에 따라 도심 지역 소외 계층을 포함한 시민들의 문화향유권이 심각하게 저해될 우려가 크다. 참고로 현행 법령 하에서는 전국의 모든 박물관이나 도서관 등 공공시설에서 공표 후 6개월이 지난 영상저작물을 상영하는 행위는 저작권자의 허락 없이도 자유롭게 가능하다.

결국 개정안이 시행되면 농어촌 지역의 박물관 등이 아닌 한 반대급부를 받지 않더라도 영상 감상 설비를 통해 저작권자의 허락 없이 영상저작물을 공연하면 저작권법 위반으로 형사 처벌될 위험을 감수해야 한다.

저작권법 제29조가 반대급부 없는 무상 공연에 저작권자의 권리 행사를 금지시킨 이유

문화부는 개정이유에서 “효과적인 권리 보호와 관련 산업을 육성하고 이용자 보호 등의 균형달성을 도모”하고자 한다고 하지만, 개정안은 권리자의 이익을 확대하고 이용자의 정보문화향유권을 제한하는 내용만을 담고 있을 뿐이고, 이와 같은 개정을 추진해야 할 구체적인 근거를 포함하고 있지 않다.

저작권법 제29조에서 ‘영리를 목적으로 하지 아니하는 공연·방송’을 저작재산권 제한 사유로 둔 것은 저작물이 비단 사고파는 문화 상품이 아니라, 세상을 이해하고 사람들의 삶과 관계를 풍요롭게 하는 윤활유의 역할을 하기 때문이다.

친구가 구매한 음악을 내가 함께 들을 때, 이것을 단지 친구의 구매력에 무임승차했다거나 창작자의 재산을 도둑질했다고 할 수 있을까? 이번 개정안과 같이 ‘영리를 목적으로 하지 아니하는 공연·방송’의 영역을 극도로 협소화하는 것은, 저작권법이 음악이나 영화 등을 그 자체로 소비하는 것의 규제를 넘어서, 사람들의 문화적 향유와 소통을 제약하는 것이나 다름없다.

요원한 이용자의 정책과정 참여확대 – 문화부의 정책 고객은 오로지 저작권자뿐인가?

지난 박근혜 정권에서 문화부는 이른바 창조경제를 위한 저작권 보호에 천착하여 시민사회의 반대에도 불구하고 저작권 보호만을 위한 기형적 조직인 저작권보호원을 만든 바 있다. 저작권법의 또 다른 축인 이용자를 위한 정책 예컨대 저작권법 제35조의3에 명시된 ‘공정이용’을 활성화하는 정책이나 이를 위한 예산 집행 사례는 찾아보기 힘들었다.

지난 4월 20일 미래저작권 정책포럼 등이 주관하고 문화부가 후원한 ‘문화와 저작권 정책’ 컨퍼런스에서 저작권자뿐 아니라 저작권 이용자도 저작권 정책 결정 과정에 적극적으로 참여하는 거버넌스 모델이 필요하다는 연구 결과가 발표되었다. 그러나 이번 저작권법 시행령 개정 과정을 살펴보면 새로운 정부가 들어선 이후에도 이용자를 홀대하는 문화부의 저작권 정책 기조는 별로 달라지지 않은 것으로 보인다.

문화부가 입법예고를 위해 5월 2일 게시한 시행령 개정안에는 아직 입법예고 기간(2017. 6. 12. 까지)이 끝나지 않았음에도 “입법예고 결과 특기할 사항 없음”이라고 분명히 명시되어 있다. 물론 시행령 개정안의 초안이므로 추후 보완되겠지만, 이용자의 반대 의견은 애초에 염두에 두지 않겠다는 문화부의 안이한 의식을 엿볼 수 있는 대목이다.

<문화부가 지난 2017. 5. 2.에 게시한 시행령 개정안 중 발췌>

문화부는 이용자와 저작권자가 상생할 수 있는 균형잡힌 저작권 정책 방향을 제시하고 이용자가 참여하는 공론장에서 저작권법 시행령 개정안을 원점부터 재검토해야 한다.

새 정부 출범에 따라 다양한 이해당사자들이 공론장에서 머리를 맞대고 정책 의사결정에 참여하는 거버넌스 모델이 각광받고 있고, 저작권 정책 역시 예외는 아니다. 저작권 보호나 창작자의 권익 향상도 중요한 의제이지만, 저작물의 공정이용이나 정보문화향유권의 보장 등 이용자의 이해관계 역시 결코 가벼이 여겨서는 안 된다. 저작권법 시행령 개정안 역시 공론장에서 이용자의 적극적인 참여 하에 원점부터 재검토해야 한다. 문화부의 전향적인 태도 변화를 기대한다.

첨부. 저작권법 시행령 개정안 의견서_오픈넷

2017년 6월 14일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]