의료 정보 전송요구권 도입 가능성에 대한 연구

Designing Health Data Portability Under Korean Law

EU의 GDPR 제20조에 전송요구권 도입 이후 우리나라 개인정보보호법 개정안에도 전송요구권이 포함되어 논의되고 있다. 개인정보 전송요구권은 마이데이터를 구현하기 위해 필요한 정보주체의 핵심적인 권리 중 하나이다. 이 연구는 의료분야 마이데이터를 실현하기 위해 의료정보에 대한 전송요구권의 도입가능성에 대한 것이다. 의료정보 전송요구권 구현을 위해 개인정보보호법 개정안을 포함한 개인정보보호법제와 보건의료법제의 제한점과 한계에 대하여 검토하였고, 이후 이를 극복하기 위해 필요한 입법정책적 제안을 하고자 하였다. 개인정보보호법은 개정안을 포함하여 전송 대상 정보의 개념과 기술적인 전송형식, 이행의무자 규모의 문제가 있고, 그 입법취지 역시 의료 마이데이터를 구현하기 위한 그것과는 차이가 있다. 또한 보건의료법제 하에서 기록열람과 진료기록의 송부와 관련된 의료법 규정, 진료정보교류 관련 법제 역시 아직까지는 주체, 대상이 매우 한정적이라는 한계가 있다. 이에 의료정보와 의료 분야의 특수성을 고려해 개인정보보호 법제 하에서는 전송요구권의 최소한의 기본을 규정하고 이후 보건의료 분야 개별 법률에서 추가적 규율하는 것을 제안한다.

Two bills have recently been proposed at the Korean National Assembly to introduce data portability provisions to the Personal Information Protection Act. The two bills were largely modeled on Article 20 Right to Data Portability of European Union’s General Data Protection Regulation (“GDPR”). We argue that the proposed “one-size-fits-all” provisions are ill-suited to health data portability for a few reasons. First and foremost, the bills stop short of mandating interoperability of data being transferred, in a manner similar to the GDPR. Unlike in some other sectors, however, interoperability is critical in achieving ease of data transmission in health care, because health IT is highly fragmented with numerous vendors, each with their own data format. Secondly, the two bills exempt inferred data and derived data from data portability, also in a manner similar to the GDPR. While such exemption may be striking a balance between the interest of individuals and the interest of data controllers, it renders data portability almost valueless in the context of health care, where important data are usually inferred data and derived data created by health providers. Lastly, an exemption from data portability for small businesses will be at odds with health care, in which primary care clinics are inevitably “small businesses”. These limitations found in the data portability bills are not surprising, in light of the core objective of their model, Article 20 of the GDPR, which was to promote competition by helping users retrieve their data held by dominant service providers. Hence, we argue that a better approach to health data portability is to amend the Medical Service Act that already includes basic measures to facilitate data exchange between health providers. Although the Medical Service Act too has to be amended to implement health data portability in the scale already being implemented in other countries, it will not be limited by the need for universal applicability across different industries that the general, Personal Information Protection Act faces. Instead, more nuanced and sophisticated health data portability can be designed in the Medical Service Act that provides more clarity to complex legal issues unique to health data, such as interoperability, data scope, health information exchange and secondary use, to name a few.