.jpg)
.jpg)
통제 중심 개인정보 규제, 공적 목적 데이터 활용은 보장되고 있는가?
의료인의 진료기록 열람 로그기록을 어떻게 관리할 것인가?
[보안뉴스 엄호식 기자] 추석 연휴 이후, 공식 업무를 시작하는 개인정보보호위원회 송경희 위원장 앞에 놓인 개인정보보호 분야 과제가 만만치 않다. 연휴 직후 바로 시작되는 국감에서도 여러 가지 이슈들이 논의될 것으로 보이는데, 어떤 이슈들이 논의될지 미리 점검해본다.
통제 중심 개인정보 규제, 공적 목적 데이터 활용은 보장되고 있는가?
공공·국가기관 혹은 연구기관은 소관사무의 적정한 수행을 위해 경우에 따라 개인정보 활용이 필요할 수 있다. 이를 위해 ‘개인정보 보호법’은 공적·사회적 목적 혹은 연구 등 목적을 위한 개인정보 활용 가능성을 열어두고 있지만, 그 범위가 다소 협소하게 규정돼 있어 실제 실무에서 활용되지 못하는 사례가 발생하고 있다.
개인정보보호위원회는 최근 급격히 증가하는 데이터 활용 수요에 대응하기 위해 기술개발 목적에 개인정보 활용을 허용하는 특례를 마련하겠다는 계획을 발표했다. 그런데 특례의 적용 범위를 AI 개발 목적으로만 제한했으며, 그 밖의 공적·사회적 목적 혹은 연구 목적은 제외해 한계가 있다.
EU의 경우 당초 수집 목적과 양립 가능한(not incompatible) 범위에서 개인정보의 재이용을 허용하고 있으며, 공익적 기록보존 목적, 과학적 또는 역사적 연구 목적 또는 통계적 목적의 추가적 처리는 적정수준의 안전조치가 취해질 것을 전제로 해 최초 정보수집 목적과 양립하는 것으로 간주하고 있다. 더 나아가 위 양립가능성의 해석에 관해 70페이지 분량의 상세한 가이드라인을 제공하고 있다.
이에 대해서는 어떤 질문을 할 수 있을까?
Q. 개인정보가 공적 목적의 연구에 적절히 활용될 수 있다면 사회적으로 다양한 효용을 기대할 수 있다. 그런데 우리 개인정보 보호제도하에서는 공적·사회적 목적의 연구에도 개인정보 활용이 제한되는 경우가 적지 않다. 우리나라와 달리 EU에서는 과학적 또는 역사적 연구 목적, 또는 통계적 목적에 개인정보 재이용이 일반적으로 허용되는데, 이에 비추어 볼 때 우리 개인정보 보호 제도가 필요 이상으로 엄격한 것 아닌가?
Q. 연구 과정에서 개인정보가 집합화돼 대량으로 처리되는 경우 개인 식별 위험성이 낮아진다. 정보 활용의 위험성에 대비한 정보 활용의 필요성이 개별적으로 고려·형량될 수 있도록 하는 개선이 필요하지 않은가?
Q. 우리 ‘개인정보 보호법’은 연구 목적의 개인정보 활용을 위한 특별규정도 두고 있으나, 그 조건으로 가명처리를 필수로 요구하고 있다. 그런데 정보를 가명처리하는 경우 연구의 정확성이 떨어지거나, 경우에 따라 연구가 불가능한 경우도 발생할 수 있다. 정보 처리 과정에서 가명처리를 대체할 만한 안전조치가 갖춰진다면, 가명처리를 필수로 요구할 필요는 없지 않은가? 우리나라와 달리 EU에서는 기술적·관리적 조치 등 여타의 방식으로 안전성이 확보된다면 가명처리를 필수로 요구하지 않는데, EU와 유사한 방식으로 개편할 필요성은 없는가?
Q. 개인정보보호위원회는 기술개발, 연구 등에 데이터 활용이 제한된다는 문제를 개선하기 위해 AI 기술개발 목적으로 개인정보 활용을 허용하는 취지의 특례를 마련하겠다고 밝혔다. 그런데 데이터 활용이 제한된다는 문제는 비단 AI 개발에서만의 문제는 아니지 않은가? 특례의 적용 대상을 AI 개발 목적으로 한정하면, 그 밖의 공적·사회적 목적의 연구에서 정보 활용에 제약이 있다는 문제가 여전히 남게 되는 것 아닌가? 또 특례의 적용 대상을 AI 기술개발로 국한하면 AI로 분류되는 기술과 그렇지 않은 기술 사이에 형평성 문제가 발생할 우려는 없는가?
증가하는 개인정보 과징금 행정소송, 어떻게 줄일 것인가?
근래 개인정보 유출 등 ‘개인정보 보호법’ 위반 사건에 대해 과징금이 부과되는 사례가 많아졌으며, 그 부과 액수도 과거 대비 증가했다.
개인정보보호위원회가 중앙행정기관으로 출범한 2020년 8월부터 2024년 12월까지 ‘개인정보 보호법’을 위반한 기관·기업에 총 2000여억원의 과징금이 부과됐으며, 국내 업체에 대한 역대 최고 과징금 부과액은 2023년 3월 카카오톡 오픈채팅 이용자 개인정보 유출에 관한 것으로, 151억 4196만원이었다. 그리고 국외 업체에 대한 최고 부과액은 2022년 9월 구글에 대한 692억 4100만원이었다.
문제는 개인정보 침해의 경우, 위법 여부을 분명하게 가리기 어려운 측면이 있음에도 행정청의 조사에 기초한 자체 판단으로 큰 금액의 과징금이 부과돼 과징금의 적정성에 대해 논란이 발생하는 경우가 있으며, 사업자가 행정소송을 제기하는 사례도 증가하고 있다.
개인정보보호위원회의 과징금은 기준금액 산정 → 1차 조정 → 2차 조정 → 부과 과징금 결정 단계를 거쳐 산정되며, 이에 대해 이의신청이나 행정심판·행정소송을 제기할 수 있다.
개인정보보호위원회를 통해 입수한 자료에 따르면, 2020년 8월부터 2024년 12월까지 이뤄진 50억원 이상 과징금 부과 처분 총 10건 중 6건에 대해 행정소송이 제기됐지만, 현재까지 이의신청이 접수된 사례는 한 건도 없다.
그렇다면 이러한 상황에 어떤 질문으로 해당 사항들을 점검해 볼 수 있을까?
Q. 최근 급격하게 증가하고 있는 개인정보보호위원회의 과징금 부과 처분에 관한 법률분쟁(행정소송)의 과징금 부과 과정에서 방어권 보장이나 절차적 보장에 부족함은 없는가? 현재 과징금 부과처분에 대해 위원회 내에 이의신청이 가능하지만, 현재까지 이의신청이 접수된 사례는 없는 것으로 파악된다. 이의신청 절차에 대한 안내나 이의신청을 통한 권리 보장에 부족함이 있는 것은 아닌가? 이의신청이 접수되면 현재 대부분 전원위원회에서 결정되고 있는 과징금 부과처분에 대해 또다시 전원위원회가 그 정당성을 판단할 것으로 보이는데, 이 경우 당초 판단과 다른 판단을 기대하기 어려운 것 아닌가?
Q. 개인정보 법률관계는 그 특성상 개인정보 침해의 위법 여부를 명확하게 가리기 어려운 경우가 많다. 특히 개인정보 해당 여부, 정당화 사유 유무 등에 있어서 법리적으로 논란이 되는 경우가 적지 않다. 이와 같은 상황에서 행정청의 조사에 기초한 자체 판단으로 큰 금액의 과징금을 부과하는 것은 필연적으로 추가적인 법률분쟁(행정소송)을 예고하는 것은 아닌가?
Q. 근래 개인정보보호위원회의 법해석이 논란이 되는 경우가 있다. 법률 해석의 일관성이 떨어질 경우 과징금 부과에 대한 예측가능성이 낮아질 수 있으며, 잠재적으로 법률분쟁의 원인이 될 수 있는데, 보다 일관된 해석을 위한 노력이 필요하지 않은가?
Q. 개인정보보호위원회는 최근 급증하는 행정소송에 대응하기 위해 올해 4월 변호사 자격자 4명, 회계사 자격자 1명 등 6인으로 구성된 송무팀을 신설했다. 이를 통해 당초 위원회 내에서 자체 소송 수행을 확대할 계획이었으나, 현재까지 위원회에서 직접 수행하는 소송은 없는 것으로 파악된다. 현재 송무팀 출범 초기인 점, 그리고 정책적으로 중요한 사안은 외부 위임이 불가피한 점을 감안할 수는 있으나, 향후 송무팀을 효과적으로 운영하기 위해서는 위원회 자체 소송 수행 사례를 확대해 소송비용을 줄여나갈 필요가 있지 않은가?
아동·청소년 개인정보 보호정책, 실제로 이행되고 있는가?
디지털 네이티브 세대인 아동·청소년은 일상생활 전반에서 온라인을 기반으로 활동하고 있는데, 성인에 비해 상대적으로 개인정보 유·노출 등 침해 위험에 대한 인식과 이해가 부족하고 권리 행사가 미숙한 측면이 있어 그 보호를 강화하려는 노력이 국제적으로 이루어지고 있다. 우리나라의 개인정보보호위원회는 2022년 7월 11일 ‘아동·청소년 개인정보 보호 기본계획’을 발표하면서 2024년까지 아동·청소년 개인정보 보호 법제를 마련할 계획을 밝혔다.
하지만 2025년 1월 23일 개인정보보호위원회가 발표한 ‘2025년 개인정보 조사업무 추진 방향’에서도 개인정보 수집·활용이 활발한 ‘민생 밀접 분야 집중 조사·점검’ 대상에 ‘에듀테크’를 포함한 것 외에는 ‘아동·청소년 개인정보 보호 기본계획’ 이행을 위한 법제화나 구체적인 추진 계획은 사실상 없는 것으로 보인다. 그렇다면 이와 같은 주제에 대해서는 어떤 질문을 해야 할까?
Q. 기본계획 발표 후 3년 차임에도 제도화 실적이 부진한 것은 추진 의지가 부족한 것이 아닌가? 디지털 환경이 급변하면서 아동·청소년 보호 필요성이 증대하고 있음에도 추진이 지연되는 이유는 무엇이며, 과제별로 구체적인 추진 계획이 있는가?
Q. 입법과제 중 모든 개인정보처리자에 대한 ‘아동 친화적 고지 의무화’는 법제화가 완료됐는데, 실효성을 확보하기 위해서는 법 시행(2023년 9월 15일) 이후 실제 사업자들의 준수 여부를 점검하는 것이 필요하다. 하지만 시행 후 2년 가까이 경과했음에도 불구하고 개인정보보호위원회가 사업자의 이행을 점검하고 개선을 요구한 사례를 확인하기 어렵다. 제도에 실효성을 담보하기 위해서는 주기적인 조사·점검 체계와 위반 시 시정명령 및 과태료 부과를 하는 것이 필요한데, 개인정보보호위원회는 왜 이를 이행하고 있지 않은가?
Q. ‘2025년 개인정보 조사업무 추진 방향’에서 아동 관련 조사 대상으로 ‘에듀테크’ 분야를 선정한 것이 최근 유일한 후속 대응 계획이다. 개인정보보호위원회는 에듀테크 사업에서 아동 개인정보 보호를 위해 구체적으로 어떤 보호장치와 감독 체계를 마련하고 있는가? 아동 보호조치와 인공지능 활성화 정책 기조가 충돌하는 지점에 대해서 어떤 원칙과 기준에 따라 균형을 맞출 계획인가?
Q. ‘아동·청소년 개인정보 보호 기본계획’이 수립된 2022년 이후 디지털 환경은 더욱 빠르게 변화하고 있다. 특히 인공지능에서의 아동·청소년 개인정보 수집·활용이 증가하면서 2022년 기본계획에는 포함돼 있지 않은 아동 행태정보 수집 및 아동 정보 2차 활용 등이 새로운 쟁점으로 등장하고 있다. 개인정보보호위원회는 이러한 새로운 위협을 어떻게 인식·평가하며 기존 계획의 보완 방안을 마련하고 있는가?
의료인의 진료기록 열람 로그기록을 어떻게 관리할 것인가?
2016년 민중총궐기 집회에서 경찰 물대포에 맞아 사망한 故 백남기 농민의 진료 기록이 서울대병원 의료진에 의해 무단으로 열람되고 외부로 유출된 ‘서울대병원 백남기 사건’ 등 실제 진료기록 무단열람·유출 실태의 상황을 기관 자체의 감독으로만 처리하는 과정에서 내부통제 미비가 드러난 사례를 보더라도 국정감사·감사원 등 외부 감사 없이 내부적으로만 처리될 경우, 처분의 실효성, 재발방지 대책 부재 등의 문제가 반복되고 있다.
‘의료법’ 제23조 제3항에 따르면 누구든지 정당한 사유 없이 전자의무기록에 저장된 개인정보를 탐지하거나 누출·변조 또는 훼손해서는 아니 된다고 규정하고 있고, 이를 어길 시 동법 제87조의2(벌칙)에서 5년 이하의 징역이나 5,000만원 이하의 벌금에 처하고 있다. 또한 ‘의료법’ 제23조 제4항에서 “의료인이나 의료기관 개설자는 전자의무기록에 추가기재·수정을 한 경우 보건복지부령으로 정하는 바에 따라 접속기록을 별도로 보관해야 한다”라고 규정하고 있으나 단순 열람할 때 로그기록을 남기도록 명시적으로 요구하고 있지 않다.
하지만 의료기관에서 암묵적으로 횡행하고 있는 아이디 공유 및 대리처방 행위에 대한 관리가 되지 않는다면, 로그기록을 법적으로 보관하도록 하는 규정만으로 의료진의 무단열람 책임을 묻기가 어려운 것이 현실이다.
이에 대해서는 어떤 질문을 통해 내용을 확인할 수 있을까?
Q. ‘현재 의료법‘ 제23조 제4항은 전자의무기록에 ‘추가기재·수정’이 발생한 경우에만 접속기록 보관 의무를 규정하고 있어, 실제 사건(故 백남기 환자 무단열람 사례)처럼 단순 열람에 대한 로그가 남지 않거나 관리가 미흡하면 사후 책임 추적과 제재가 사실상 불가능하다. 이 입법 공백을 그대로 둔다면 유사 사건이 반복될 수 있는데, 정부가 이에 대한 입법을 추진하지 않는 이유가 무엇이며, 실효적 이력관리를 위해 보건복지부가 장·단기적으로 취할 수 있는 조치(예: 기관별 지도·점검, 인증제 강화)는 구체적으로 무엇인가?
Q. 현재 의료기관에서는 의료진 간 아이디 공유, 대리처방 등 행위가 묵인·관행적으로 이루어지고 있어, 설령 전자의무기록 열람 로그가 남더라도 실제 행위자를 확인하기 어려워 환자 개인정보 무단열람 처벌의 실효성이 현저히 저하되고 있다. 이런 상황에서 보건복지부가 △개별 의료인의 책임 있는 로그인 방식 강화(예: 이중인증) △아이디 공유 방지 기술 도입 △문화적 개선을 위한 교육·점검 강화 등의 실질적인 개선 정책을 마련하지 않은 이유는 무엇인가?
Q. 환자 인권 보호와 직결되는 사안임에도 중앙정부 차원의 법령 개정이나 제도화가 지연되는 원인은 무엇인가?
Q. 전자의무기록 유출·열람 사건을 의료기관 내부에서 자체 처리하는 경우 재발 방지 대책 없이 미온적으로 끝나고 있는데 국정감사나 감사원 감사 같은 외부 감독 없이 내부통제에만 맡겨지는 현 구조에서는 처분의 실효성 확보가 사실상 어려운 것이 사실이다. 본질적인 문제 해결을 위해 보건복지부 차원에서 할 수 있는 구체적인 관리·감독 강화 방안은 무엇이라고 생각하는가?
[엄호식 기자(eomhs@boannews.com)]
의료인의 진료기록 열람 로그기록을 어떻게 관리할 것인가?
[보안뉴스 엄호식 기자] 추석 연휴 이후, 공식 업무를 시작하는 개인정보보호위원회 송경희 위원장 앞에 놓인 개인정보보호 분야 과제가 만만치 않다. 연휴 직후 바로 시작되는 국감에서도 여러 가지 이슈들이 논의될 것으로 보이는데, 어떤 이슈들이 논의될지 미리 점검해본다.
[자료: gettyimagesbank]
통제 중심 개인정보 규제, 공적 목적 데이터 활용은 보장되고 있는가?
공공·국가기관 혹은 연구기관은 소관사무의 적정한 수행을 위해 경우에 따라 개인정보 활용이 필요할 수 있다. 이를 위해 ‘개인정보 보호법’은 공적·사회적 목적 혹은 연구 등 목적을 위한 개인정보 활용 가능성을 열어두고 있지만, 그 범위가 다소 협소하게 규정돼 있어 실제 실무에서 활용되지 못하는 사례가 발생하고 있다.
개인정보보호위원회는 최근 급격히 증가하는 데이터 활용 수요에 대응하기 위해 기술개발 목적에 개인정보 활용을 허용하는 특례를 마련하겠다는 계획을 발표했다. 그런데 특례의 적용 범위를 AI 개발 목적으로만 제한했으며, 그 밖의 공적·사회적 목적 혹은 연구 목적은 제외해 한계가 있다.
EU의 경우 당초 수집 목적과 양립 가능한(not incompatible) 범위에서 개인정보의 재이용을 허용하고 있으며, 공익적 기록보존 목적, 과학적 또는 역사적 연구 목적 또는 통계적 목적의 추가적 처리는 적정수준의 안전조치가 취해질 것을 전제로 해 최초 정보수집 목적과 양립하는 것으로 간주하고 있다. 더 나아가 위 양립가능성의 해석에 관해 70페이지 분량의 상세한 가이드라인을 제공하고 있다.
이에 대해서는 어떤 질문을 할 수 있을까?
▲개인정보 활용 특례의 주요 내용 [자료: 개인정보보호위원회]
Q. 개인정보가 공적 목적의 연구에 적절히 활용될 수 있다면 사회적으로 다양한 효용을 기대할 수 있다. 그런데 우리 개인정보 보호제도하에서는 공적·사회적 목적의 연구에도 개인정보 활용이 제한되는 경우가 적지 않다. 우리나라와 달리 EU에서는 과학적 또는 역사적 연구 목적, 또는 통계적 목적에 개인정보 재이용이 일반적으로 허용되는데, 이에 비추어 볼 때 우리 개인정보 보호 제도가 필요 이상으로 엄격한 것 아닌가?
Q. 연구 과정에서 개인정보가 집합화돼 대량으로 처리되는 경우 개인 식별 위험성이 낮아진다. 정보 활용의 위험성에 대비한 정보 활용의 필요성이 개별적으로 고려·형량될 수 있도록 하는 개선이 필요하지 않은가?
Q. 우리 ‘개인정보 보호법’은 연구 목적의 개인정보 활용을 위한 특별규정도 두고 있으나, 그 조건으로 가명처리를 필수로 요구하고 있다. 그런데 정보를 가명처리하는 경우 연구의 정확성이 떨어지거나, 경우에 따라 연구가 불가능한 경우도 발생할 수 있다. 정보 처리 과정에서 가명처리를 대체할 만한 안전조치가 갖춰진다면, 가명처리를 필수로 요구할 필요는 없지 않은가? 우리나라와 달리 EU에서는 기술적·관리적 조치 등 여타의 방식으로 안전성이 확보된다면 가명처리를 필수로 요구하지 않는데, EU와 유사한 방식으로 개편할 필요성은 없는가?
Q. 개인정보보호위원회는 기술개발, 연구 등에 데이터 활용이 제한된다는 문제를 개선하기 위해 AI 기술개발 목적으로 개인정보 활용을 허용하는 취지의 특례를 마련하겠다고 밝혔다. 그런데 데이터 활용이 제한된다는 문제는 비단 AI 개발에서만의 문제는 아니지 않은가? 특례의 적용 대상을 AI 개발 목적으로 한정하면, 그 밖의 공적·사회적 목적의 연구에서 정보 활용에 제약이 있다는 문제가 여전히 남게 되는 것 아닌가? 또 특례의 적용 대상을 AI 기술개발로 국한하면 AI로 분류되는 기술과 그렇지 않은 기술 사이에 형평성 문제가 발생할 우려는 없는가?
증가하는 개인정보 과징금 행정소송, 어떻게 줄일 것인가?
근래 개인정보 유출 등 ‘개인정보 보호법’ 위반 사건에 대해 과징금이 부과되는 사례가 많아졌으며, 그 부과 액수도 과거 대비 증가했다.
개인정보보호위원회가 중앙행정기관으로 출범한 2020년 8월부터 2024년 12월까지 ‘개인정보 보호법’을 위반한 기관·기업에 총 2000여억원의 과징금이 부과됐으며, 국내 업체에 대한 역대 최고 과징금 부과액은 2023년 3월 카카오톡 오픈채팅 이용자 개인정보 유출에 관한 것으로, 151억 4196만원이었다. 그리고 국외 업체에 대한 최고 부과액은 2022년 9월 구글에 대한 692억 4100만원이었다.
문제는 개인정보 침해의 경우, 위법 여부을 분명하게 가리기 어려운 측면이 있음에도 행정청의 조사에 기초한 자체 판단으로 큰 금액의 과징금이 부과돼 과징금의 적정성에 대해 논란이 발생하는 경우가 있으며, 사업자가 행정소송을 제기하는 사례도 증가하고 있다.
개인정보보호위원회의 과징금은 기준금액 산정 → 1차 조정 → 2차 조정 → 부과 과징금 결정 단계를 거쳐 산정되며, 이에 대해 이의신청이나 행정심판·행정소송을 제기할 수 있다.
개인정보보호위원회를 통해 입수한 자료에 따르면, 2020년 8월부터 2024년 12월까지 이뤄진 50억원 이상 과징금 부과 처분 총 10건 중 6건에 대해 행정소송이 제기됐지만, 현재까지 이의신청이 접수된 사례는 한 건도 없다.
그렇다면 이러한 상황에 어떤 질문으로 해당 사항들을 점검해 볼 수 있을까?
Q. 최근 급격하게 증가하고 있는 개인정보보호위원회의 과징금 부과 처분에 관한 법률분쟁(행정소송)의 과징금 부과 과정에서 방어권 보장이나 절차적 보장에 부족함은 없는가? 현재 과징금 부과처분에 대해 위원회 내에 이의신청이 가능하지만, 현재까지 이의신청이 접수된 사례는 없는 것으로 파악된다. 이의신청 절차에 대한 안내나 이의신청을 통한 권리 보장에 부족함이 있는 것은 아닌가? 이의신청이 접수되면 현재 대부분 전원위원회에서 결정되고 있는 과징금 부과처분에 대해 또다시 전원위원회가 그 정당성을 판단할 것으로 보이는데, 이 경우 당초 판단과 다른 판단을 기대하기 어려운 것 아닌가?
Q. 개인정보 법률관계는 그 특성상 개인정보 침해의 위법 여부를 명확하게 가리기 어려운 경우가 많다. 특히 개인정보 해당 여부, 정당화 사유 유무 등에 있어서 법리적으로 논란이 되는 경우가 적지 않다. 이와 같은 상황에서 행정청의 조사에 기초한 자체 판단으로 큰 금액의 과징금을 부과하는 것은 필연적으로 추가적인 법률분쟁(행정소송)을 예고하는 것은 아닌가?
Q. 근래 개인정보보호위원회의 법해석이 논란이 되는 경우가 있다. 법률 해석의 일관성이 떨어질 경우 과징금 부과에 대한 예측가능성이 낮아질 수 있으며, 잠재적으로 법률분쟁의 원인이 될 수 있는데, 보다 일관된 해석을 위한 노력이 필요하지 않은가?
Q. 개인정보보호위원회는 최근 급증하는 행정소송에 대응하기 위해 올해 4월 변호사 자격자 4명, 회계사 자격자 1명 등 6인으로 구성된 송무팀을 신설했다. 이를 통해 당초 위원회 내에서 자체 소송 수행을 확대할 계획이었으나, 현재까지 위원회에서 직접 수행하는 소송은 없는 것으로 파악된다. 현재 송무팀 출범 초기인 점, 그리고 정책적으로 중요한 사안은 외부 위임이 불가피한 점을 감안할 수는 있으나, 향후 송무팀을 효과적으로 운영하기 위해서는 위원회 자체 소송 수행 사례를 확대해 소송비용을 줄여나갈 필요가 있지 않은가?
아동·청소년 개인정보 보호정책, 실제로 이행되고 있는가?
디지털 네이티브 세대인 아동·청소년은 일상생활 전반에서 온라인을 기반으로 활동하고 있는데, 성인에 비해 상대적으로 개인정보 유·노출 등 침해 위험에 대한 인식과 이해가 부족하고 권리 행사가 미숙한 측면이 있어 그 보호를 강화하려는 노력이 국제적으로 이루어지고 있다. 우리나라의 개인정보보호위원회는 2022년 7월 11일 ‘아동·청소년 개인정보 보호 기본계획’을 발표하면서 2024년까지 아동·청소년 개인정보 보호 법제를 마련할 계획을 밝혔다.
▲아동·청소년 개인정보 보호 기본계획(2022년 7월)의 주요 내용 [자료: 개인정보보호위원회]
하지만 2025년 1월 23일 개인정보보호위원회가 발표한 ‘2025년 개인정보 조사업무 추진 방향’에서도 개인정보 수집·활용이 활발한 ‘민생 밀접 분야 집중 조사·점검’ 대상에 ‘에듀테크’를 포함한 것 외에는 ‘아동·청소년 개인정보 보호 기본계획’ 이행을 위한 법제화나 구체적인 추진 계획은 사실상 없는 것으로 보인다. 그렇다면 이와 같은 주제에 대해서는 어떤 질문을 해야 할까?
Q. 기본계획 발표 후 3년 차임에도 제도화 실적이 부진한 것은 추진 의지가 부족한 것이 아닌가? 디지털 환경이 급변하면서 아동·청소년 보호 필요성이 증대하고 있음에도 추진이 지연되는 이유는 무엇이며, 과제별로 구체적인 추진 계획이 있는가?
Q. 입법과제 중 모든 개인정보처리자에 대한 ‘아동 친화적 고지 의무화’는 법제화가 완료됐는데, 실효성을 확보하기 위해서는 법 시행(2023년 9월 15일) 이후 실제 사업자들의 준수 여부를 점검하는 것이 필요하다. 하지만 시행 후 2년 가까이 경과했음에도 불구하고 개인정보보호위원회가 사업자의 이행을 점검하고 개선을 요구한 사례를 확인하기 어렵다. 제도에 실효성을 담보하기 위해서는 주기적인 조사·점검 체계와 위반 시 시정명령 및 과태료 부과를 하는 것이 필요한데, 개인정보보호위원회는 왜 이를 이행하고 있지 않은가?
Q. ‘2025년 개인정보 조사업무 추진 방향’에서 아동 관련 조사 대상으로 ‘에듀테크’ 분야를 선정한 것이 최근 유일한 후속 대응 계획이다. 개인정보보호위원회는 에듀테크 사업에서 아동 개인정보 보호를 위해 구체적으로 어떤 보호장치와 감독 체계를 마련하고 있는가? 아동 보호조치와 인공지능 활성화 정책 기조가 충돌하는 지점에 대해서 어떤 원칙과 기준에 따라 균형을 맞출 계획인가?
Q. ‘아동·청소년 개인정보 보호 기본계획’이 수립된 2022년 이후 디지털 환경은 더욱 빠르게 변화하고 있다. 특히 인공지능에서의 아동·청소년 개인정보 수집·활용이 증가하면서 2022년 기본계획에는 포함돼 있지 않은 아동 행태정보 수집 및 아동 정보 2차 활용 등이 새로운 쟁점으로 등장하고 있다. 개인정보보호위원회는 이러한 새로운 위협을 어떻게 인식·평가하며 기존 계획의 보완 방안을 마련하고 있는가?
의료인의 진료기록 열람 로그기록을 어떻게 관리할 것인가?
2016년 민중총궐기 집회에서 경찰 물대포에 맞아 사망한 故 백남기 농민의 진료 기록이 서울대병원 의료진에 의해 무단으로 열람되고 외부로 유출된 ‘서울대병원 백남기 사건’ 등 실제 진료기록 무단열람·유출 실태의 상황을 기관 자체의 감독으로만 처리하는 과정에서 내부통제 미비가 드러난 사례를 보더라도 국정감사·감사원 등 외부 감사 없이 내부적으로만 처리될 경우, 처분의 실효성, 재발방지 대책 부재 등의 문제가 반복되고 있다.
[자료: gettyimagesbank]
‘의료법’ 제23조 제3항에 따르면 누구든지 정당한 사유 없이 전자의무기록에 저장된 개인정보를 탐지하거나 누출·변조 또는 훼손해서는 아니 된다고 규정하고 있고, 이를 어길 시 동법 제87조의2(벌칙)에서 5년 이하의 징역이나 5,000만원 이하의 벌금에 처하고 있다. 또한 ‘의료법’ 제23조 제4항에서 “의료인이나 의료기관 개설자는 전자의무기록에 추가기재·수정을 한 경우 보건복지부령으로 정하는 바에 따라 접속기록을 별도로 보관해야 한다”라고 규정하고 있으나 단순 열람할 때 로그기록을 남기도록 명시적으로 요구하고 있지 않다.
하지만 의료기관에서 암묵적으로 횡행하고 있는 아이디 공유 및 대리처방 행위에 대한 관리가 되지 않는다면, 로그기록을 법적으로 보관하도록 하는 규정만으로 의료진의 무단열람 책임을 묻기가 어려운 것이 현실이다.
이에 대해서는 어떤 질문을 통해 내용을 확인할 수 있을까?
Q. ‘현재 의료법‘ 제23조 제4항은 전자의무기록에 ‘추가기재·수정’이 발생한 경우에만 접속기록 보관 의무를 규정하고 있어, 실제 사건(故 백남기 환자 무단열람 사례)처럼 단순 열람에 대한 로그가 남지 않거나 관리가 미흡하면 사후 책임 추적과 제재가 사실상 불가능하다. 이 입법 공백을 그대로 둔다면 유사 사건이 반복될 수 있는데, 정부가 이에 대한 입법을 추진하지 않는 이유가 무엇이며, 실효적 이력관리를 위해 보건복지부가 장·단기적으로 취할 수 있는 조치(예: 기관별 지도·점검, 인증제 강화)는 구체적으로 무엇인가?
Q. 현재 의료기관에서는 의료진 간 아이디 공유, 대리처방 등 행위가 묵인·관행적으로 이루어지고 있어, 설령 전자의무기록 열람 로그가 남더라도 실제 행위자를 확인하기 어려워 환자 개인정보 무단열람 처벌의 실효성이 현저히 저하되고 있다. 이런 상황에서 보건복지부가 △개별 의료인의 책임 있는 로그인 방식 강화(예: 이중인증) △아이디 공유 방지 기술 도입 △문화적 개선을 위한 교육·점검 강화 등의 실질적인 개선 정책을 마련하지 않은 이유는 무엇인가?
Q. 환자 인권 보호와 직결되는 사안임에도 중앙정부 차원의 법령 개정이나 제도화가 지연되는 원인은 무엇인가?
Q. 전자의무기록 유출·열람 사건을 의료기관 내부에서 자체 처리하는 경우 재발 방지 대책 없이 미온적으로 끝나고 있는데 국정감사나 감사원 감사 같은 외부 감독 없이 내부통제에만 맡겨지는 현 구조에서는 처분의 실효성 확보가 사실상 어려운 것이 사실이다. 본질적인 문제 해결을 위해 보건복지부 차원에서 할 수 있는 구체적인 관리·감독 강화 방안은 무엇이라고 생각하는가?
[엄호식 기자(eomhs@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
엄호식기자 기사보기
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
