우리는 아래와 같은 이유로 현재 국회 행정안전위원회 법안심사소위원회에 계류되어 있는 개인정보 보호법 일부개정법률안이 폐기되어야 한다고 주장합니다. 인재근 의원이 대표 발의한 개인정보 보호법 일부개정법률안은 폐기하고, 아래에 제기된 이슈를 충분히 검토하여 개인의 정보인권을 존중하면서 과학적 연구 발전도 이룰 수 있는 합리적 대안을 국회 행정안전위원회 위원들이 찾아 주시기를 바랍니다.
무상의료운동본부, 의료민영화저지범국민운동본부
1. 가명정보는 재식별될 수 있고, 건강정보의 경우 다른 개인정보에 비하여 재식별의 가능성이 더 큽니다.
○ 확률의 문제일 뿐 가명정보는 재식별될 수 있다는 것에 대해서는 이론의 여지가 없고, 이러한 학계의 일반적 논의에 동의하기 때문에 인재근 의원 안에서도 ‘가명정보’를 개인정보로 보고 개인정보 보호법상 규제 대상이 되는 정보로 규정하고 있습니다.
○ 특별한 기술을 이용하여 개인정보를 “가명화”하는 방식은 일반적으로 개인정보를 보호하는 데 그리 효과적이지 않음이 많은 연구를 통해 증명되고 있습니다. 특히 한 개인에 대한 개별적인(Unique) 정보를 대량으로 포함할 수 있는 빅데이터 시대에는 이러한 데이터 집합을 사용하여 개인을 식별하는 것은 더욱 쉽습니다. 예를 들어 미국의 국립보건원(NIH)는 한 때 자신의 연구비로 수행된 연구에서 획득된 유전정보 데이터베이스를 공개한 적이 있는데 곧바로 이를 철회하였습니다. 이 데이터베이스를 활용하여 이 데이터베이스에 포함된 개인을 식별할 수 있다는 것을 몇몇 연구가 증명하여 보였기 때문입니다. 가명정보라 하더라도 데이터 양이 많아지면 많아질수록, 그리고 그 안에 유니크한 정보가 많으면 많을수록 재식별의 위험은 더 커집니다.
○ 이러한 측면에서 건강정보와 유전정보는 가명정보라 하더라도 특히 더 재식별의 가능성이 큽니다. 몇 개의 유전정보를 활용하여 개인의 특성을 파악할 수 있고, 그로 유추해 보건대 개인 식별도 어렵지 않음을 시사하는 연구는 적지 않습니다. 예를 들어 한 연구에 따르면 100개 미만의 단일 염기 다형성(SNP)만으로도 개인의 DNA 기록을 구별하기에 충분하다고 합니다.
2. 건강정보와 유전정보의 경우 가명정보가 재식별되어 악용되었을 때, 그 위험은 치명적이고 되돌릴 수 없습니다.
○ 개인의 건강정보와 유전정보의 유출은 개인뿐 아니라 사회에도 막대한 피해를 입힙니다. 환자들이 병원에 가서 진료 과정에서 내밀한 얘기를 의사에게 털어놓을 수 있는 까닭은 의사와 병원이 자신의 정보를 잘 보호해줄 것이라고 믿기 때문입니다. 그런데 이 믿음이 깨지면, 의사-환자 관계의 신뢰 붕괴로 제대로 된 진료가 이루어질 수 없을 것입니다.
○ 개인의 건강정보, 유전정보는 가장 가까운 사람에게조차 숨기고 싶은 사생활의 영역입니다. 민감정보 중의 민감정보인 것입니다. 민간보험회사가 특정 개인의 질병력을 알게 된다면 특정 개인의 보험 가입을 거부하거나 보험료를 올려 받을 근거로 악용될 수 있습니다. 성 매개 감염병 치료에 대한 정보, 정신질환 치료에 대한 정보, 여성의 임신, 낙태 경험 등에 대한 정보가 공개됨으로써 가족이나 직장 동료 등에게 알려지면, 그로 인한 개인의 피해는 막대할 수 있습니다.
○ 특히 이러한 건강정보, 유전정보일수록 사회적 낙인이나 배제 효과를 동반하는 경우가 많아 정보 노출로 개인이 고용상의 불이익이나 집단적 따돌림, 사회적 평판의 저하를 당할 수 있다는 점에서 치명적입니다. 최악의 경우 이러한 정보 취득을 이유로 협박 등을 행하는 범죄 혹은 사기에 이용될 수도 있습니다.
3. 사후적 처벌 수준을 높인다고 하여 건강정보, 유전정보 유출 문제가 해결되지 않습니다.
○ 인재근 의원 안에는 가명정보의 재식별을 막고자 재식별 방지를 위한 안전조치를 취하도록 하며, 재식별 행위를 금지하고 이를 위반할 시 과징금을 부과하는 등의 보완조치가 담겨져 있으나, 이는 사후약방문일 뿐 민감정보인 건강정보와 유전정보의 유출을 막기 위한 원천적 예방책은 아닙니다.
○ 서구 여러 나라에서 사이버 범죄에 대한 처벌 수위가 높아지고 있음에도 불구하고, 사이버 범죄를 행하기 위한 각종 기술이 발달하고 범죄로 인한 경제적 이득이 증가함에 따라 사이버 범죄의 횟수와 규모가 더욱 커지고 있다는 사실은 이를 반증한다고 할 수 있습니다.
○ 유출 시 개인과 사회에 미치는 영향이 매우 큰 건강정보, 유전정보 등의 민감정보는 사전에 유출 가능성을 최소화하는 것이 가장 좋은 정책입니다.
4. 통계 작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있도록 하고 있는 인재근 의원 안 제28조의2항은 개인정보 유출의 문제뿐 아니라 다양한 윤리적 문제를 제기합니다.
○ 위에서 언급한 바 가명정보라 하더라도 개인정보이고 재식별 가능성 및 유출의 위험이 있음에도 불구하고, 가명정보 활용 시 정보주체의 동의를 생략한다는 개인의 권리 제약이 정당화되려면 “개인의 권리 제한은 합당한 공공 이익 목적을 위해서만 이루어져야 하고, 동일한 목표에 도달하기 위해 활용할 수 있는 상대적으로 침해나 제한의 성격이 약한 다른 수단이 존재하지 않아야 한다.”는 등의 원칙을 천명한 ‘시라쿠사 원칙(Siracusa Principles)’에 근거해야 합니다.
○ 논란이 있을 수 있지만, 사회정책적 목적을 위한 통계 작성, 공공의 이익을 위한 과학적 연구, 공익적 기록보존 등의 행위는 공공의 이익을 위한 것이고, 다른 수단으로 위와 같은 목적을 달성할 수 없다는 것이 반증되면, 정보주체의 동의 없이 가명정보를 활용할 수도 있다고 생각합니다.
○ 하지만 상업적 목적으로 이루어지는 통계 작성, 일부 주체에게 그 이익이 전유되는 산업계에서 이루어지는 과학적 연구 등은 공공의 이익을 위한 것이라 볼 수 없다는 점에서 인재근 의원 안은 큰 윤리적 문제를 가지고 있습니다.
○ 특히 크나큰 오욕의 역사를 가지고 있는 생명, 의학 연구 영역에서 발전해 온 생명/의학 연구 윤리의 원칙과 이 조항은 정면으로 배치됩니다.
○ 생명/의학 연구에서 윤리적 고려는 과학 발전과 개인의 존엄성 및 자율성에 대한 사회적 필요성 사이의 균형을 이루기 위한 인류 집단의 노력의 결과입니다. 예를 들어 이를 천명한 타이베이 선언에서는 “개인의 존엄성, 자율성, 사생활 및 기밀성을 존중하면서 과학 발전과 공중보건 발전을 추구해야 한다.”고 천명합니다. 이러한 권리에는 개인정보 유출로 인한 피해로부터 자유로울 권리만 포함되는 것이 아닙니다. 더 나아가 ‘개인이 자신의 개인정보 및 생물학적 물질 사용에 대한 통제권을 행사할 수 있는 권리’를 포함합니다.
○ 아무리 과학적 발전을 위한 연구라 하더라도 한 개인은 자신의 윤리적 신념에 반하는 연구에 대한 참여를 거부할 권리가 있습니다. 예를 들어 자신의 가족과 앞으로 존재할 미래 세대에 대한 프로파일링을 위한 유전체 연구, 인종차별의 근거가 될 수 있는 유전체 연구, 특정 집단을 차별하고 배제하는 근거로 사용될 수 있는 건강 연구, 유전적 특질을 이용한 생물학적 무기를 개발한기 위한 연구 등에 자신의 개인 건강정보, 유전정보가 동의 없이 사용되기를 원하지 않는 이들이 다수입니다.
○ 과학적 연구 참여에 대한 개인의 동의는 연구 수행 기관에 대한 신뢰를 기반으로 하는 경우가 많으므로 개인정보 사용과 관련된 행위자도 매우 중요한 고려사항입니다. 특히 민간보험회사, 제약회사, 의료기기회사, 민간의료기관 등 민간 기업이 행하는 과학적 연구에 대해서 과연 다수의 개인이 동의 없이 자신의 개인 건강정보, 유전정보를 활용하도록 동의할 것인지에 대해서는 확인이 필요한 민감한 쟁점입니다. 대한민국의 바이오헬스 산업 발전을 위해 내 건강정보 및 유전정보를 기업이 맘대로 써도 된다고 생각하는 대한민국 국민이 얼마나 될지 의문입니다.
5. 과학적 연구에서 기업이 주체가 되는 산업적 연구는 제외되어야 하고, 기업이 상업적 목적으로 작성하는 통계 작성 역시 제외되어야 합니다. 더불어 가명화된 건강정보, 유전정보를 활용하는 공익적 목적의 과학적 연구라 하더라도 매우 엄격한 안전 장치와 제한 장치를 두어 연구를 수행하게 하여야 합니다.
○ 건강정보, 유전정보를 활용한 생명/건강 연구의 민감성과 특수성이 존재하기에, 유럽의 여러 나라에서 건강정보 및 유전정보의 활용과 관련해서는 유럽의 GDPR과 별개로 더 엄격한 규제를 하고 있는 나라가 많습니다.
○ 유럽의 GDPR을 수용한 영국의 개인정보보호법은 scientific research에서 commercial research를 제외하고 있습니다.
| It does not apply to the processing of personal data for commercial research purposes such as market research or customer satisfaction surveys. |
○ 공익적 목적의 과학적 연구 및 사회정책적 통계 목적으로 제공할 경우에도 해당 연구 목적에 반드시 필요한 정보만 제공하도록 하고, 해당 연구가 종료되면 데이터를 폐기하도록 해야 합니다.
○ 정보주체의 권리가 무조건 제한되는 것이 아니라, 과학적 연구 및 통계 목적의 달성을 위해 정보주체 권리의 제한이 불가피하게 필요한 경우로 제한해야 합니다. 이 경우에도 정보주체에 대한 정보제공(학술 연구 및 통계 목적으로 사용된다는 것에 대한) 및 정보주체가 원하면 처리정지를 요구할 수 있는 권리를 보장해야 합니다.
○ 특히, 건강정보 및 유전정보를 공공의 이익을 위한 과학적 연구 및 사회정책적 통계 목적으로 제공할 경우에도 별도의 법적 근거가 있을 경우에 한정하도록 하고, 연구 목적 활용 시 안전조치(예를 들어, 연구 목적의 제한, 연구자의 자격 요건, 안전시설에서의 접근 등)에 대해 보다 구체적으로 규정해야 합니다.
○ 실제 아일랜드는 최근 별도의 “건강 연구 규제법”을 제정하여 건강 연구(health reseach)의 경우 일반 개인정보의 연구 목적 제공보다 훨씬 엄격한 요건을 규정하고 있습니다. (Data Protection Act 2018 Section 36, Health Research Regulations 2018)