I.

보건의료정보의 이용과 보호에 관한 법적 쟁점 고찰

Issues of the Law of Medical Information Use and Protection in U-Health Environment based on HIPAA

본 연구는 보건복지부 휴대형 진단치료기기 개발센터 (0405-ER01-0304-0001) 지원으로 수행되었음

Hye-Jeong Jeong*, Nam-Hyun Kim**

* Department of Medical Informatics, Graduated School of Information, Yonsei University, Seoul 120-749, xeno@yonsei.ac.kr

** Department of Medical Engineering, Yonsei University, Seoul 120-752, knh@yumc.yonsei.ac.kr

Abstract: By developed information technology, the health information is shared and exchanged not only inside of the medical facilities, but also among facilities or countries. The more identifiable health data are  gathered and exchanged, personal privacy is more dangerous. In this article, we discussed about personal health information privacy in the e-Health environment in Korea through the understanding the main issues of HIPAA. It is especially  focused on the harmony and balance between personal controllability and public benefit of disclosure and use of health information.

Keyword: Health Information Privacy, HIPAA, Legal Issues

서 론

인터넷의 출현과 급속한 보급은 편리성과 비용 절감 등의 다양한 혜택을 제공하며 개인 생활양식을 변화시키고 있으며 이러한 급속한 환경 변화의 동인인 정보기술의 발달은 끊임없이 정보가치가 재평가되는 기회를 제공하고 있다. 정보의 가치가 높게 평가될수록 인간의 삶을 지원하는 새로운 서비스가 등장하지만 동시에 정보 침해에 대한 위협 및 위험도 비례하여 상승하고 있어 이를 정보의 양면성 이라고 할 수 있다. 보건의료정보는 개인의 신분을 확인할 수 있는 건강정보로서 환자를 진료하는 동안 발생한 치료정보, 개인 신상에 관한 자료, 재정 자료 등으로 어떠한 매개체를 수단으로 기록되거나 전자, 문서, 구두의 형태를 띠는 정보를 말한다. 이러한 자료는 환자의 기초정보 파악, 진료에 참여하고 있는 의료인간 의사소통 수단 등 환자진료 목적 이외에도 의료보험청구의 근거자료, 제공된 진료의 적정성, 합법성을 입증하는 법적인 자료, 보건의료의 연구나 교육의 기초자료, 나아가 신분증명에 이르기까지 다양한 용도로 사용되고 있다. 의료의 정보화에 있어 개인의 신상정보와 보건정보를 바탕으로 2차 생성된 진료기록이나 연구결과물 등은 병원 업무나 의학 발전을 위한 자료이자 개인의 가장 민감한 정보로써 그 활용과 보호에 대한 명확한 지침이나 제도적 장치의 중요성이 더욱 요구되는 영역이다.[5] 본고에서는 보건의료부문의 정보화를 선도하고 있는 미국의 ‘건강보험정보의 활용 및 책임에 관한 법률(HIPAA)’에 대한 이해를 바탕으로 우리나라 의료정보화의 제도적 대응 방향에 대해 논의하고자 한다. 보건의료정보의 보호에 관련한 선행 연구들에서 HIPAA가 자주 언급되고는 있지만 그 배경이나 내용에 대해 상세히 서술하고 있는 연구는 부족하므로 이 점을 해소하고 국내 상황에 적합한 보건의료정보의 이용 및 보호 입법 방향을 제시함으로써 보건의료정보 관리의 신뢰성 향상을 통한 의료서비스의 질 개선 및 e-health 환경에 적절히 대응할 수 있는 지침을 제공하는 데 연구의 목적이 있다.

II. 보건의료정보 보호의 중요성 및 현황

보건의료정보는 환자의 치료나 의료인의 연구 자료로써의 사용 이외에 개인의 직장생활이나 사회생활의 평가에 치명적인 영향을 미치므로 사용에 있어 각별한 주의가 요구되는 정보다. 2002년 경찰청은 정신과 병력이 있는 1만3,328명에 대한 개인정보를 건강보험공단으로부터 넘겨받아 1만2,800여명을 운전면허 수시적성검사 대상자로 선정해 통보하고 3000명에게 검사를 실시했다. 이 과정에서 검사대상자들에게 통보 우편물 겉에 ‘정신과 진료자료 첨부’라고 표시함으로써 정신과 치료가 끝났거나 단순진료를 받은 15명이 “수시적성검사로 인해 몰래 해온 치료를 중단하거나 이혼 위기에 처하는 등 고통을 겪었다”는 진정서에 따라 국가인권위에서 헌법상 사생활 비밀과 자유를 침해한 행위라고 결정하였다. 뿐만 아니라, B형 간염에 대한 잘못된 상식과 편견은 현재까지도 종종 입사의 결격사유가 되고 있으며 AIDS의 경우는 재고의 필요도 없을 정도다. 정보화는 의료정보의 보호를 주지시키는 계기가 되고 있다. 진료정보가 병원 내부의 의무기록실에 문서로 보관되어 있던 과거에서 모든 의료기록이 전자화되어 네트워크를 통해 병원 내외부로 전송 및 저장, 열람되는 e-health 환경은 더욱 각별한 관리가 요구된다. 이를 위해 보건 의료정보시스템과 네트워크에서 처리되는 의료정보에 관한 사항을 상세하게 규제하고 정하는 실효성 있는 제도적 보완이 절실히 요구되는 시점으로 선진국의 보건의료정보의 보호 입법 사례로 미국의 보건의료정보에 관한 법률인 HIPAA(Health Insurance Portability and Accountability Act) 프라이버시 원칙(Privacy Rule)을 분석하여 국내 입법 현황의 문제점을 고찰하고자 한다.

III. HIPAA Privacy Rule

1.  구성과 목적

의료보험과 관련하여 보건의료정보의 교환과 처리에 있어 그 책임과 보호에 대해 규정하고 있는 HIPAA는 공법 104-191로 1996년 8월 제정되었으며 사회보장법과 민법에 법적 근거를 두고 있다.[1] HIPAA는 1)의료서비스 접근, 호환과 갱신 2)건강관리의 남용예방, 행정 간소화, 의료책임 개혁, 3)조세관련 법규, 4)단체의료보험/집행, 5)수입 상쇄로 구성되어 있고 2)의 F항 행정 간소화에서 EDI, 프라이버시, 보안을 규정하고 있다. HIPAA의 적용대상은 의료보험기관, 건강관리 제공자(병원, 클리닉, 공공 보건기관, 의료인 등), 의료정보 취급 조직(요금청구 수납조직, 의료보험청구 심사기관, 학교, 건강정보관리 서비스 업체 등)이며 이들이 상업적 또는 개인적 이득을 위해 개인 식별 가능한 의료정보를 팔거나, 전달, 사용하는 등의 법률에 반하는 행위를 할 경우, 최고 $250,000의 벌금이나 10년 이하의 징역에 처하거나 벌금형과 징역형을 동시에 선고할 수 있도록 정하고 있다. 미 보건복지부(HHS)는 HIPAA의 요구에 의해 개인을 식별할 수 있는 건강의료정보의 프라이버시 지침(privacy rule; 프라이버시 원칙)을 마련하여 2000년 최종 공포하였다. HIPAA 프라이버시 원칙은 45 CFR(Code of Federal Regulations) Part 160, 164 A, E에 나타나 있으며 의료정보의 사용과 공개에 대한 표준을 제공함으로써 사람들의 이해를 도모하고 프라이버시 통제권을 보장하여 질 높은 건강관리 서비스를 제공하는 데 그 목적이 있다.[1,2]

2.  보호 대상과 예외 사항

이 규정의 보호 대상은 개인 식별 가능한 보건의료정보(이름, 주소, 생년월일, 사회보장번호 등의 식별자를 포함한 보건의료정보)로 다음과 관련된 인구통계학적 데이터를 포함하며 매개체를 수단으로 기록되거나 전자, 문서, 구두의 형태를 띠는 정보이다.[1, 2]

개인의 과거, 현재, 미래의 신체, 정신적 건강  또는 상태 정보

개인에게 제공되는 건강관리 서비스 정보

개인에게 제공되는 건강관리 서비스에 대한 과거, 현재 또는 미래의 지불 정보

HIPAA 프라이버시 원칙에 의해 허가되거나 정보 주체자의 동의를 구한 경우를 제외한 모든 경우에 있어 개인 의료정보의 이용과 공개가 금지되어 있으며 프라이버시 원칙에 의해 이용 및 공개가 가능한 경우는 다음과 같다.[2, 3]

가. 정보제공자 본인에게 공개할 경우

나. 개인의 치료, 치료비용 납입, 의료 시스템 운영활동과 관련된 경우; 한명 이상의 건강관리 제공자가 개인의 치료 목적으로 협의할 경우, 치료 및 서비스에 대한 비용 청구 및 수납 시, 서비스 질이나 비밀 보증, 사기나 남용 방지를 위한 다른 조직과의 협업 시에는 의료정보 공개가 가능하다. 그러나 정신과 치료 기록의 경우 조직의 프라이버시 원칙 하단에 개인의 “동의”를 선택할 수 있도록 조치해야 한다.

다. 비공식적인 허가는 개인의 명백한 동의나 반대의사 표명에 의한다. 그러나 응급 상황 등 개인이 의사를 표시할 수 없는 경우 조직이나 제공자는 개인을 대신하여 최선의 이익을 줄 수 있도록 건강의료정보를 사용 또는 공개할 수 있다.

라. 프라이버시 원칙은 우발적인 사용과 공개에 대한 모든 위험의 제거를 요구하지는 않지만 적용 조직은 이 원칙이 요구하는 정당한 안전장치를 마련하고 프라이버시 원칙이 명시하고 있는 “최소한의 필요”에 한정되는 경우에 한해서만 보건의료정보를 공유할 수 있다.

마. 12가지 국가적 우선 목적 활동에 해당될 때(법적 요구, 보건 감시 활동, 폭력 및 약물 오남용 방지, 소송 및 분쟁, 법 집행, 검시관이나 장례담당자에게 사망자 정보공개, 장기 및 조직 기증, NIH 개인 의료정보 보호 지침을 따른 연구행위, 공공 보건 및 안전, 군사 활동 및 국가보안, 근로자 보상)

바. 통계적 목적으로 개인을 확인할 수 없는 형태로 제공될 때에는 보건의료정보의 이용 및 공개가 허용된다.

3. 개인의 권리

가. 고지 받을 권리

HIPAA 적용 대상들(의료시스템, 의료제공자, 의료보험사, 기타 유관 조직 등)은 특별한 예외사항 외에는 그들의 프라이버시 정책에 대해 반드시 고지해야만 한다. 즉, 조직이 개인 보건의료정보를 어떻게 사용하고 공개하는가를 설명하고 그에 관한 조직의 의무와 개인의 권리, 연락방법, 불만제기방법, 고지의 목적 등에 대해 고지하며 명시된 사항을 반드시 이행해야 한다. 조직은 이러한 프라이버시 준행 고지서를 개인이 수령했다는 확인증을 받아야 하며 개인이 의료행위를 제공받은 당일 또는 그 이전에 동의 서명을 요청해야 한다.

나. 접근의 권리

특정 상황을 제외하고 개인은 그들의 정보를 보유한 기관으로부터 개인 보건의료정보를 열람하고 복사할 권리가 있다. 접근권이 보장되는 정보로는 진료기록, 의료비용 청구 기록, 납입, 불만제기 정보, 의료관리기록시스템의 정보 등이며 정신과 치료기록, 법률 소송용, 특정 실험 결과 정보 등은 제외된다. 정보 접근권 내에 있는 정보라도 정보에 접근하는 것이 개인이나 다른 사람에게 유해하다고 조직의 전문인에 의해 판단되는 경우, 조직은 열람이나 복사 요청을 거부할 수 있다. 이 경우 개인은 재검토를 요청할 수 있으며 공정성을 위해 첫 요청을 거부했던 사람은 재검토자가 될 수 없다.

다. 수정의 권리

기관이 보유하고 있는 개인 보건의료정보가 부정확 또는 불충분하다고 생각될 경우, 정보의 수정을 요구할 수 있다. 이러한 요청을 받은 조직은 수정을 위한 노력을 제공할 의무가 있다.

라. 공개 내역서를 받을 권리

개인은 HIPAA의 적용을 받는 조직이나 제휴 사를 대상으로 개인 보건의료정보 공개 내역서를 요청할 권리가 있다. 다만, 치료, 의료비용 납입, 병원 운영, 국가 안보와 관련되었거나 사전에 본인 서명 승인을 받은 경우는 제외된다. 내역 요청일로부터 최대 6년 이전까지의 내역을 요청할 수 있으며, 조직은 HIPAA 프라이버시 원칙 제정일 이전의 내역을 제공할 의무는 없다.

마. 제한 요청의 권리

개인은 병원 등 HIPAA 적용대상에게 치료, 납입 또는 보건 시스템 운영을 위한 보건의료정보의 사용 및 공개에 대한 제한을 요청할 권리를 가진다. 또한, 개인 건강관리나 의료비 지불에 관여된 사람에게 정보를 공개하거나 가족이나 친구 등에게 개인의 일반적인 상태나, 위치 또는 사망 정보를 공개하는 문제에 대해서도 제한을 요청할 수 있다. 조직은 이러한 요청에 반드시 동의할 의무가 있는 것은 아니지만, 요청에 동의하였다면, 응급 치료 목적이 아닌 이상 개인의 요청을 준수해야만 한다.

바. 비밀 의사소통 요청의 권리

의료보험기관 및 건강관리 제공자는 의료 문제에 대한 의사소통이 특정 수단이나 장소에서 진행될 것에 대한 개인의 요청을 받아들일 의무가 있다. 예를 들어, 연락처를 개인의 직장 전화 또는 엽서가 아닌 봉함 우편으로 지정할 수 있다.

사. 기타 보건의료정보의 이용과 공개에 대한 권리

HIPAA 적용 기관의 프라이버시 준행 고지서에 명시되지 않은 의료정보의 기타 이용과 공개는 개인의 서면 승인을 통해서만 이뤄질 수 있으며 언제든 서면으로 승인을 취소할 수 있다. 개인이 승인 취소를 표명할 경우, 해당 목적으로는 더 이상의 이용과 공개가 금지된다.[2]

이상 살펴본 HIPAA 프라이버시 원칙의 주요 사항에 대한 이해를 바탕으로 다음 장에서는 우리나라 보건의료정보 법적 쟁점에 대한 대응 방향을 모색하고자 한다.

IV. 법적 쟁점

디지털 정보의 취급에 있어 가장 심각한 문제 중 하나는 정보의 제3자 제공이다. 즉, 기밀성(confidentiality)의 원칙에서 벗어나 본래의 수집 목적 외의 용도로 제3자에게 제공 및 공개될 때, 그 정보의 흐름 및 확산을 통제하는 것은 사실상 불가능하므로 정보주체는 예측할 수 없는 피해에 대한 불안감을 겪게 되거나 정보 유출 사실 자체를 감지하지 못하는 상황에 놓일 위험이 있다. HIPAA가 보건의료정보의 사용과 공개에 초점을 맞추어 정보 관리자의 책임과 정보 제공자의 권리를 규명하고 있는 것도 이 같은 문제의식에 근거하고 있는 것이다. 제3자 제공 문제의 촉발원인은 외부인의 침입과 내부인의 부적절한 접근, 고지의무 불이행, 동의 수령의무 불이행 등이며 정보보안 사고의 80% 이상이 내부인에 의한 유출인 점으로 보아 내부인의 통제가 중요한 사안이라 하겠다. 본 장에서는 보건의료정보의 제3자 제공 문제에 관한 법적 근거를 살펴보고 제도 정비의 필요성을 논하고자 한다.

2004년 10월 국정감사보고에 의하면 국민건강보험공단이 2003년부터 20개월 동안 가입자의 개인신상정보와 질병내역 등이 수록된 급여정보 총 128,328건을 근로복지공단, 경찰, 국민연금관리공단, 검찰, 노동사무소, 청와대 경호실, 철도청, 해양수산부, 군청 등 외부기관에 제공하였으며 특히, 건강보험공단 1만여 명의 직원 중 질병정보 자료를 열람할 수 있는 권한을 가진 사람이 30% (3,017명)에 달하는 것으로 조사되었다.

｢공공기관의개인정보보호에관한법률｣ 제10조(처리정보 이용 및 제공의 제한) 제2항에서는 ‘통계작성 및 학술연구 등의 목적을 위한 경우로서 특정개인을 식별할 수 없는 형태로 제공하는 경우’로 정보의 이용과 제공의 제한을 두고 있으며 ｢전자정부의구현을위한행정업무등의전자화촉진에관한법률｣ 제21조(행정정보의 공동이용) 제1항 3호에서 ‘각 행정기관은 공공기관의개인정보보호에관한법률 제10조 제2항의 규정의 의하여 다른 기관에 제공할 수 있는 처리정보를 공동이용 하여야 한다’고 정하고 있어 국민건강보험공단을 행정기관으로 간주할 수 있음과 동시에 정보처리 및 공동이용을 제한하는 법적 근거가 있다고 하겠다. 그러나 동법 시행령 제22조(행정정보의 제공 요청)와 제23조(행정정보의 제공)에서 ‘행정기관의 장은 그 소관업무를 수행함에 있어서 다른 행정기관이 보유 관리하는 행정정보를 이용할 필요가 있는 경우에는 그 보유기관에 대하여 이용목적을 밝혀 당해 행정정보의 제공을 요청할 수 있으며 제공요청을 받은 행정기관의 장은 정당한 사유가 없는 한 당해 행정정보를 제공하여야 한다’고 정하고 있어 정보공유의 가부 및 감독에 있어 해석이 모호한 문제가 있으며 다만 동법 동시행령 제22조 제2항에서 행정정보의 제공요청은 필요한 최소한의 범위에 한정하여야 한다고 정하고 있을 뿐이다.[5,9] 관련하여 ｢정보통신망이용촉진및정보보호등에관한법률｣에서 정보의 수집제한, 이용 및 제공 문제 등에 관해 규정하고 있지만, 정보통신서비스제공자가 제공하는 정보통신서비스를 이용하는 자의 개인정보를 대상으로 하며 ｢공공기관의개인정보보호에관한법률｣의 적용에 있어서도 전체 진료기관의 대부분을 차지하는 민간병의원을 포함하지 못하는 문제가 있다.

의료 관련법을 보면 ｢보건의료기본법｣ 제13조(비밀보장)에 ‘모든 국민은 보건의료와 관련하여 자신의 신체․건강 및 사생활의 비밀을 침해받지 아니한다’, ｢의료법｣ 제19조(비밀누설의 금지) ‘의료인은 이 법 또는 다른 법령에서 특히 규정된 경우를 제외하고는 그 의료․조산 또는 간호에 있어서 지득한 타인의 비밀을 누설하거나 발표하지 못한다’고 정하고 있으며 동법 제20조(기록열람 등) 제1항에서 ‘의료인 또는 의료기관 종사자는 이 법 또는 다른 법령에서 특히 규정된 경우를 제외하고는 환자에 관한 기록의 열람․사본교부 등 그 내용확인에 의하여서는 아니 된다. 다만, 환자, 그 배우자, 그 직계존비속 또는 배우자의 직계존속이 환자에 관한 기록의 열람․사본교부 등 그 내용확인을 요구한 때에는 환자의 치료목적상 불가피한 경우를 제외하고는 이에 응하여야 한다’고 규정하고 있다. 이는 HIPAA의 ‘가족이나 친구 등에게 개인의 일반적인 상태나, 위치 또는 사망 정보를 공개하는 문제에 대해서도 제한을 요청할 수 있다라는 제한의 권리’ 또는 ‘최대 6년 동안의 본인 보건의료정보가 공개된 내역서를 받을 권리’ 등과 비교해 볼 때, 보건의료정보 가운데 오직 진료정보에 한한 사후적 보호 조치로서 현행법이 보건의료정보의 민감성과 중요성을 충분히 반영하지 못하고 있음을 시사한다. 특히, 정보가 디지털 형태로 저장 및 유통되는 환경적 요소를 고려할 때, 제도적 정비가 시급하다고 하겠다.

V. 결론

우리나라는 1988년 국가보건전산망 계획을 수립한 이후 2001년 국가 정보화 촉진 사업의 하나로 ‘보건의료정보 공동 활용을 위한 기본계획’을 수립하여 진료정보 공동 활용 시스템 개발 등을 추진하고 2004년 ‘진료정보 전송 표준 개발 사업’을 진행하는 등 보건의료분야의 정보화를 위한 노력을 경주하고 있다. 의료계도 PACS, EMR 등 새로운 시스템 적용을 추진하거나 기존 시스템을 전자화하여 통합하고 유비쿼터스 병원 구축을 위한 장기 계획을 추진하는 등 병원정보의 디지털화에 적극적인 관심과 투자를 거듭하고 있다. 2003년 3월부터 개정 시행된 의료법에는 전자의무기록과 원격의료 등에 관한 조항이 새로 추가되었으며 의사협회도 새로운 흐름에 따라 지침을 변화하는 등 제도적으로도 의료정보화에 대응하기 위한 시도가 진행되고 있음을 알 수 있다. 그러나 축적된 데이터의 방대한 양과 의료라는 분야 자체의 전문성과 고유성으로 인해 의료정보의 활용과 보호에 대한 연구나 제도적 정비가 부족한 실정이다. 아무리 훌륭한 정보시스템을 구축하였다 하더라도 법 제도적 안전장치가 없다면 합법적으로 실행될 수 없고 사고나 피해에도 책임소재나 보상의 근거가 없으므로 성공적인 정보시스템의 활용을 위해서는 법 제도적 장치의 마련이 정보화의 필수 요소다. 특히 e-health, 나아가 시․공간의 제약 없는 정보의 공유를 지향하는 u-health 환경에서 개인보건의료정보 보호의 문제는 보건의료정보화 촉진 사업에 우선하여 정립되어야 할 중요한 문제다.

참고문헌

1.  U.S. Department Health and Human Services, 45 CFR Parts 160 and 164 Standards for Privacy of Individually Identifiable Health Information; Final Rule, Federal Register, vol. 67, no. 157, Aug. 14. 2002.

2.   U.S. HHS, Summary of the HIPAA Privacy Rule, Office for Civil Rights, May. 2003.

3.  U.S. HHS, Protecting personal Gealth Information in Research: Understanding the HIPAA Privacy Rule, NIH Publication, no. 03-5388, 2003.

4. Pam Michael and Ellen Pritchett, “The impact of HIPAA electronic transmissions and health information privacy standards," Journal of the American Dietetic Association, vol. 101, issue 5, May 2001, pp. 524-528.

5. 강경근, “진료정보의 공적 활용과 국민 사생활 보호,” 대한의사협회 개인진료정보노출과 국민사생활보호대책 심포지엄, 2004, pp. 35-64.

6. 서정욱, “보건의료분야의 개인정보보호,” 정부혁신지방분권위원회 개인정보보호 정책 포럼, 2004, pp. 79-92.

7. 이경환, 강현희, 김영화, “의료정보화에 따른 프라이버시 보호를 위한 법적 고찰,” 한국의료법학회지, 제11권, 제2호, 2003, pp. 39-56.

8. 이우정, 홍승욱, 박정화, 정영철, “의료법상의 원격의료에 대한 법적 쟁점,” 한국의료법학회지, 제11권, 제1호, 2003, pp. 49-64