지난 2006년 10월 24일 보건복지부는 ‘건강정보보호 및 관리·운영에 관한 법률 제정안’을 입법 예고했다. 보건복지부가 입법예고한 법안은 개인 의료정보를 실효성 있게 보호하기에는 미흡하고 도리어 의료정보의 산업화를 촉진하기 위한 법안이라는 우려를 받고 있다.

최근 민변·참여연대 등 시민사회단체는 위 법률안이 의료정보보호 보다는 의료정보의 산업적 활용에 무게를 두고 있어서 의료정보 누출 사고가 우려된다며 이의 수정을 촉구하는 성명을 발표한 바 있다. 이하에서는 환자의 입장에서 위 법률안이 어떠한 문제가 있는지 살펴보도록 한다.
건강정보는 여타 개인정보에 비해 민감한 정보가 많기 때문에 보다 높은 수준의 보호가 필요하다는 것이 일반적으로 인정돼 왔다. 그러나 이번에 입법예고된 법률안에서 규정하고 있는 건강정보 보호 관련 조항은 일반적인 개인정보 보호 수준을 넘어서지 못하고 있다. 건강정보를 보다 엄격하게 보호할 수 있도록 법률안이 수정, 보완돼야 함은 물론이다.

법률안 제4조 1항에서는 “생성기관은 본인 또는 본인이 지정하는 대리인이 건강기록의 열람·사본교부 등 그 내용확인을 요구한 때에는 이에 응해야 한다”고 돼있는데, 정보주체가 자신의 개인정보에 대한 통제권을 명확하게 행사할 수 있기 위해서는 자신의 정보가 어떻게 이용됐는지, 누구에게 제공됐는지에 대해서 알 필요가 있다. 따라서 정보주체가 열람 및 사본교부를 요구할 수 있는 정보의 범위에는 정보주체의 건강기록 뿐만 아니라, 건강기록의 이용 내역 및 제3자 제공 내역이 포함돼야 할 것이다.

법률안 제4조 3항은 정보통신망을 통한 열람을, 제5조 1항은 병원 간 건강기록의 교류를 규정하고 있다. 그런데 정보통신망을 통해 건강기록의 열람을 허용하는 경우, 해킹 등으로 인한 정보 유출의 위험성이 존재함에도 불구하고, 현 단계에서 병원들이 온라인 커뮤니케이션을 위한 적절한 보안조치를 취할 것으로 기대하기는 힘들다. 현 단계의 제반여건과 위험성을 고려해, 환자의 정보보호를 위해도 이러한 제도를 단기간 내 도입하기 보다는 보다 적절한 시기에 도달해 허용하는 것이 타당할 것이다.

법률안 제6조의 제목은 ‘건강기록의 제공·수집에 대한 보호조치’라고 돼 있지만, 이 조항은 건강기록의 제3자 제공에 관한 조항이다(이러한 제목이 타당하지 않음은 물론이며, 입법자가 산업적 활용에 무게를 둔다는 지적을 받게 하는 빌미가 되는 것으로 보인다). 이때 제3자의 수집 후 이용 목적 및 범위 등은 진료에 필요한 범위를 넘어서서는 안 된다는 의무 및 위반시 제재방안을 규율해야 할 것이다.

법률안 제23조 건강정보보호진흥원의 업무에 ‘생성기관 중 전자건강기록의 위탁관리를 요청하는 기관의 관련 정보시스템의 구축·운영 지원’을 포함하고 있다. 그러나 이에 대한 구체적인 사항은 기술돼 있지 않다. 만일 생성기관이 건강정보보호진흥원에 자신의 전자건강기록을 위탁 관리하도록 요청하게 된다면, 건강정보보호진흥원은 상당한 개인 건강정보 데이터베이스를 보유하게 될 것이다.

건강정보보호진흥원이 위탁 관리할 수 있는 건강정보 데이터베이스의 조건 등에 대한 상세한 규정이 없다면, 건강정보보호진흥원이 결국 전 국민에 대한 건강정보 데이터베이스에 준하는 정도의 데이터베이스를 보유하게 될 가능성을 우려하지 않을 수 없다. 이는 국가기관에 의한 개인정보 관리로서 국가에 의한 정보통제에 따른 위험이 발생할 것으로 우려된다.

건강정보에 대한 시급한 보호의 필요성에도 불구하고, 이번에 입법예고된 법안은 건강정보에 대한 효과적인 보호대책이 되기 어려울 것으로 보인다. 이러한 어려움은 의료기관에게 상당한 고충이 될 가능성이 큼은 물론이다. 환자의 건강정보를 실효적으로 보호하기 위한 법규정이 완비될 때까지 법률안 제정을 유보하는 것이 타당할 것이다.

<양승욱 법률사무소 02-591-8891, 8896>