개인정보보호위원회 결정문

【결정요지】

【주문】

1. 정보주체인 환자의 진료과정에서 생성되는 진단결과 등의 정보가 포함된 '진료기록’은 「개인정보 보호법」제35조의2제1항에 따라 정보주체가 전송을 요구할 수 있는 정보에 해당한다.

2. 「의료법」제21조제2항은 「개인정보 보호법」제35조의2제4항제3호에 따라 대통령령으로 정할 수 있는 '그 밖에 유사한 규정’에 해당한다.

【이유】

별지와 같다.

이상과 같은 이유로 주문과 같이 의결한다.

2023년 11월 22일

【위원정보】

【별지】

1. 질의요지

가. 질의배경

○ 이종 분야간 데이터 이동ㆍ연계와 안전한 전송이 핵심인 마이데이터는 개인정보 보호체계를 갖춘 일관적인 법체계 하에서 데이터를 원활하게 연계하고 안전하게 전송할 수 있어야 하므로,

- 의료마이데이터는 「개인정보 보호법」(이하 '보호법’)에서 도입되는 개인정보 전송요구권을 통해 우선 추진할 예정임

※ ’23.2. 바이오헬스 신시장 창출 전략, ’23.6. 첨단산업 글로벌 클러스터 육성 방안

※ 정보주체가 개인정보처리자에게 본인의 개인정보를 본인/제3자에게 전송하도록 요구할 권리

○ ’24년 초 입법예고를 목표로 개인정보 전송요구권 관련 시행령안을 수립하고 있는 상황에서 의료마이데이터 관련한 보호법의 적용 관계를 명확하게 하여 의료마이데이터를 안정적이고 일관되게 추진하고자 함

나. 질의내용

○ '진료기록’이 보호법 제35조의2제1항에 따른 전송 요구의 대상 정보에 해당하는지 여부

○ 보호법 시행령에 예외 규정을 도입하여 환자 외 타인으로의 진료기록 제공을 금지한 「의료법」 규정을 배제할 수 있는지 여부

2. 이유

가. 진료기록이 보호법 제35조의2제1항에 따른 전송 요구의 대상 정보에 해당하는지 여부

○ 보호법 제35조의2제1항에서는 정보주체가 전송을 요구할 수 있는 정보의 기준을 명시하고 있으며, 다음 각 호의 기준을 모두 충족하여야 한다고 규정하고 있음

- 보호법 제35조의2제1항의 구조를 살펴볼 때, 제1호 가, 나, 다 목의 정보는 전송 요구 대상에 해당하고, 제2호는 이와 달리 전송 요구 대상에 해당하지 않는 정보를 제한적으로 규정하고 있음

1) 보호법 제35조의2제1항제1호에 해당하는지 여부: 민감정보로 다목에 해당

○ 진료기록부는 「의료법」제22조제1항에 따라 의료인이 의료행위에 관한 사항과 의견을 기록ㆍ보존하기 위하여 작성되는 것으로, 환자의 인적사항(주소, 성명, 연락처, 주민등록번호 등)과 주된 증상, 병력, 진단결과, 진료경과, 치료내용 등 의료행위와 관련한 사항이 포함됨

○ 진료기록은 증상, 병력, 진단결과 등 개인의 과거 및 현재의 병력, 신체적ㆍ정신적 장애 등에 관한 정보를 포함하고 있으므로 보호법 제23조에 따른 민감정보(건강에 관한 정보)에 해당하며,

- 보호법 제23조는 개인정보 처리에 관하여 특별한 규정이므로 제15조, 제17조 및 제18조 등 개인정보 처리에 관한 규정에 우선하여 적용되는바, 민감정보는 제23조제1항에서 정하는 사유가 있는 경우에 한하여 처리할 수 있음

※ '개인정보 보호 법령 및 지침ㆍ고시 해설’에서는 개인정보 보호법 제15조 제1항 제2호 및 제23조 제1항 제2호의 예시로 「의료법」을 명시하고 있음

- 진료기록은 「의료법」에서 처리를 요구하거나 허용하는 경우에 해당하므로 진료기록은 보호법 제23조제1항제2호에 따라 처리되는 개인정보로서 제35조의2제1항제1호다목에 따른 전송 요구 대상 정보에 해당함

2) 보호법 제35조의2제1항제2호에 해당하는지 여부: “별도로 생성한 정보”가 아님

○ 보호법 제35조의2제1항제1호 다목은 제23조제1항제2호에 따라 '처리’되는 개인정보 중 보호위원회가 심의ㆍ의결한 정보를 규정하고 있음

- 이때, 다목의 '처리’에는 보호법 제2조제2호에 따라 저장ㆍ보유 등의 행위뿐만 아니라, '생성’, '가공’ 및 이와 유사한 행위가 모두 포함됨

- 따라서 보호법 제35조의2제1항제1호에 따라 전송을 요구할 수 있는 정보에는 개인정보처리자가 업무처리 과정에서 생성하는 정보를 포함하고 있으며, 보호법 제35조의2제1항제2호에서 규정한 전송대상에서 제외되는 '개인정보를 기초로 분석ㆍ가공하여 별도로 생성한 정보’의 취지는 개인정보처리자가 생성한 정보라고 해서 곧바로 전송대상에서 제외하는 것이 아니라, 개인정보처리자의 본질적 행위와 '별도로’ 생성한 정보를 전송대상에서 제외한다는 것임

○ 진료기록은 보호법 제23조에 따라 법령( 「의료법」제22조)에서 개인정보의 처리를 요구ㆍ허용하여 처리되는 개인정보이므로, 법령에 근거하여 의료인 등 “개인정보정보처리자가 수집한 개인정보” 그 자체에 해당하며, 이를 기초로 분석ㆍ가공하여 별도로 생성한 정보가 아님

○ 설사 진료기록을 “개인정보처리자가 수집한 개인정보” 그 자체에는 해당되지 않는다고 보더라도, 다음의 이유로 진료기록은 제35조의2제1항제2호의 '별도로 생성한 정보’가 아님

○ 의료인이 진료기록 등의 개인정보를 처리할 수 있는 근거는 환자의 치료 요청 등에 따라 진료행위를 이행하기 위해서이며, 의료인 등이 의료행위를 이행하기 위해 「의료법」에 따라 필수적으로 기록하는 진료기록부의 기재사항은 진료 과정에서 생성되는 진료행위의 결과물에 해당하므로 본질적 의료행위와 “별도로” 생성한 정보가 아님

- 의료진이 환자의 치료와 별개로 ①진단ㆍ처방내역 등을 분석한 후 위험군 등 분류정보ㆍ통계정보(알코올 섭취에 따른 주요 질환 분석, 암 환자의 장기 합병증 연구 등)를 별도로 생성하거나, ②환자와 관련된 병력 등을 프로파일링하여 진료 목적외에 운동ㆍ식이요법 정보를 생성하는 등의 행위가 있을 경우 이는 '별도로 생성한 정보’에 해당함

○ 또한, 보호법 개정을 통해 도입된 개인정보의 전송요구권의 취지는 정보주체가 본인의 개인정보에 대하여 원하는 곳으로 이동할 수 있도록 함으로써 개인정보자기결정권을 충분히 보장하고자 하는 데 있으며, 전송을 요구할 수 있는 정보는 개인정보자기결정권이 인정되는 범위와 직결됨

- 따라서 보호법 제35조의2제1항제2호에서 정보주체가 전송을 요구할 수 있는 정보에서 '별도로 생성한 정보’를 제외하고자 하는 취지는 개인정보처리자가 본래의 처리목적과 별도로 시간과 노력을 투입하여 별도의 가치를 부여한 정보(통계값, 분석값 등 포함)의 경우 정보주체의 개인정보자기결정권이 인정되는 것으로 통상 기대하기 어려운 정보에 해당하기 때문임

- 환자는 본인의 개인정보인 진료기록에 대해 의료인 및 의료기관의 장 등으로부터 열람 또는 사본 발급 등의 권리를 보장받는 바, 진료기록은 의료인 등이 진료행위와 별도의 목적으로 별개의 시간ㆍ노력 등을 투입하여 새로운 가치를 창출하여 전송요구권의 대상에서 제외되는 정보로 보기 어려움

○ 따라서 진료기록은 진료행위 과정에서 생성하는 정보이며, 개인정보처리자가 “별도로 생성한 정보”에 해당하지 않으므로 보호법 제35조의2제1항제2호에 따른 전송 요구 대상 정보에 해당함

※ 또한 정보주체가 본인의 개인정보를 자신 또는 제3자에게 전송할 것을 요구할 수 있는 권리를 도입함으로써 정보주체의 개인정보 통제권을 강화하고자 하는 법률의 도입취지를 고려할 때, 전송 요구의 대상을 한정적으로 해석하는 것은 입법취지와 맞지 않음

※ 국회 정무위원회의 검토보고서(2021.11.)에서도 정보주체가 자신의 개인정보 이동 과정에서 실질적으로 참여함으로써 개인정보의 통제권이 강화될 수 있다고 언급하고 있으며, 전 분야 마이데이터 중 보건ㆍ의료분야의 전송 대상 정보로 '진단정보, 약물처방 정보, 병리검사 정보, 생체신호 정보’ 등 예시를 폭넓게 명시하고 있음

나. 보호법 시행령에 예외 규정을 도입하여 환자 외 타인으로의 진료기록 제공을 금지한 「의료법」 규정을 배제할 수 있는지 여부

○ 보호법 개정을 통해 도입된 개인정보의 전송요구권은 특정 분야뿐만 아니라 전 분야에 걸쳐 개인정보를 이동시킬 수 있도록 규정해야 하므로 법률을 통해 세부적인 사항을 규정하기 어려운 바, 입법자는 구체적인 사항은 시행령을 통해 규정할 수 있도록 명시적으로 위임함

○ 보호법 제35조의2제4항은 전송 요구를 받은 개인정보처리자는 다른 법률에서 전송을 제한하는 규정이 있더라도 해당 규정에도 불구하고 정보주체에 관한 개인정보를 전송하도록 규정하고 있으며,

- 이 법률의 취지는 타 법률의 규정에 의해 개인정보의 이용ㆍ제공 등이 금지되어 있더라도, 정보주체가 요청하는 경우에는 전송에 제한이 되는 법률의 적용을 배제함으로써 해당 개인정보를 정보주체의 의사에 따라 전송할 수 있도록 하려는 것임

- 따라서, 보호법 제35조의2제4항 각 호에 규정하는 법률은 보호법 제35조의2제1항 또는 제2항에 따른 정보주체의 요구에 의해 전송이 필요함에도 불구하고 개별법에서 이용ㆍ제공 등이 금지되어 있는 조항에 해당하고, 보호법 제35조의2제4항제3호에 따라 대통령령으로 정하는 '그 밖에 유사한 규정’ 역시 이러한 조항을 의미함

○ 보호법 제35조의2제4항 각 호에 규정된 「국세기본법」제81조의13 및 「지방세기본법」제86조는 개인정보를 타인에게 제공 또는 누설하거나 목적 외 용도로 이용하지 못하도록 원칙적으로 금지하고 있음

- 보호법 시행령으로 규정하고자 하는 「의료법」제21조제2항에서는 의료인등이 타인에게 진료기록을 제공하지 못하도록 원칙적으로 금지하고 있는 바, 해당 법률의 성격은 「국세기본법」 및 「지방세기본법」과 유사함

○ 법률의 규정을 시행령으로 배제할 수 있는지와 관련하여, 법률의 명시적 위임 근거를 통해 대통령령으로 위임하는 경우 법률에 규정된 것과 동일한 효력이 있음

※ 전자정부법, 신용정보법 등도 전송을 제한하는 다른 법률조항을 시행령에서 배제하도록 위임

※ 상위법령의 위임에 따라 하위법령에서 일정한 사항을 규정할 경우 그 하위법령은 법률의 위임규정과 결합하여 법규적 효력을 가짐(법제처, 법령입안심사기준)

- 보호법 제35조의2제4항은 전송을 제한하는 다른 법률 조항을 시행령으로 배제할 수 있도록 법률에서 규정하고 있으므로, 법률의 위임에 따라 시행령에서 「의료법」을 명시하여 적용을 배제할 수 있음

○ 따라서 「의료법」제21조제2항은 「개인정보 보호법」제35조의2제4항제3호에 따라 보호법 시행령으로 규정할 수 있는 '그 밖에 유사한 규정’에 해당함

3. 검토결과

○ '진료기록’은 보호법 제35조의2제1항에 따라 정보주체가 전송을 요구할 수 있는 정보에 해당함

○ 「의료법」제21조제2항은 보호법 제35조의2제4항제3호에 따른 '그 밖에 유사한 규정’에 해당하므로 보호법 시행령에서 해당 조항 규정시 개인정보처리자는 「의료법」 조항에도 불구하고 정보주체의 요청 시 해당 정보를 전송할 수 있음