[성명서] 환자들의 민감한 진료정보를 민간보험사에 팔아 넘긴
심평원은 제정신인가?
지난 24일 국정감사에서 더불어민주당 정춘숙 의원은 건강보험심사평가원(심평원)이 국민들의 개인진료정보
를 민간보험사와 민간보험연구기관에 판매하고 있었다고 밝혔다. 심평원은 지난 3년간 KB생명보험 등 8개
민간보험사 및 2개 민간보험연구기관이 당사 위험률 개발과 보험상품연구 및 개발 등을 위해 요청한 ‘표본
데이터셋’을 1건당 30만원의 수수료를 받고 총52건(누적 약6,420만명분)이나 제공한 것으로 드러났다.
대한의원협회는 통계작성 및 학술연구 등의 공익적 목적에만 활용해야 할 국민들의 민감한 진료정보를 민간
보험사의 영리목적을 위해 팔아 넘긴 심평원의 행태는 다음과 같은 이유로 아주 심각한 직무유기이자 범법행
위라고 본다.
첫째, 심평원이 민간보험사에 진료정보를 제공할 법적 근거가 없다.
개인정보보호법은 "개인정보"를 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개
인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알
아볼 수 있는 것을 포함한다)를 말한다고 규정하고 있다. 또한 건강에 관한 정보는 정보주체의 사생활을 현저
히 침해할 우려가 있는 민감정보이므로 보호해야 한다고 하였다. 이에 대한 예외로 동법 제18조제2항제4호는
정보주체의 동의를 받지 않았더라도 ‘통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인
을 알아볼 수 없는 형태로 개인정보를 제공하는 경우’에는 제3자에게 정보를 제공할 수 있다고 하였다.
그러나 문제는 공익적 연구목적이 아니라 민간보험사의 영리목적을 위해서도 진료정보를 제공할 수 있느냐
이다. 이에 대해 심평원은 「공공데이터의 제공 및 이용 활성화에 관한 법률」 제3조제4항에 따른 것으로 ‘공공
데이터의 영리적 이용인 경우에도 이를 금지하거나 제한하여서는 아니 된다’고 규정하고 있다고 주장한다. 그
러나 이는 이 조항 전단의 "공공기관은 다른 법률에 특별한 규정이 있는 경우 또는 제28조제1항 각 호의 경우
를 제외하고는"을 무시하여 나온 잘못된 해석이다. 실제로 국민건강보험공단(공단)은 제28조 제1항 제2호에
명시된 ‘공공데이터의 이용이 제3자의 권리를 현저하게 침해하는 경우’에 해당한다고 보고, 보험연구원의 노
인코호트 자료 제공요청을 거부하였다.
또 다른 근거로 심평원은 관계부처 합동 '개인정보 비식별 조치 가이드라인'(2016.6.30)에 따라 적정하게 비식
별 조치가 된 정보는 개인정보가 아닌 것으로 추정할 수 있다고 밝히고 있다 (보건의료빅데이터개방시스템'
포탈에 게시된 자료). 즉, 비식별 조치가 적정하게 된 정보는 개인정보가 아니므로 영리적 이용인 경우에도 제
3자에 제공할 수 있다는 것이다. 그러나 이 가이드라인은 상위법인 개인정보보호법의 '통계작성 및 학술연구
등의 목적인 경우에만 동의 없이 제공할 수 있다'고 한 조항에 위배된다. 따라서 영리목적으로 활용할 것이
뻔한 민간보험사에 진료정보를 판매한 것은 심평원이 개인정보보호법을 위반한 것이다.
둘째, 심평원이 판매한 진료정보는 재식별이 가능한 개인정보이다.
심평원이 판매한 ‘표본 데이터셋’은 1년 단위로 모집단의 특성을 잘 대표할 수 있는 표본을 추출하여 구성한
비식별화된 자료로 심사평가원은 환자 데이터셋 4종(전체 환자, 입원환자, 고령환자, 소아·청소년환자)을 제공
하고 있으며, 한 데이터셋 당 100만명에서 140만명의 진료정보가 수록되어 있다.
각 데이터셋에는 성별, 연령, 요양기관, 보험자종별(보험, 급여, 보훈), 종별(상급종합병원, 종합병원, 병원, 의
원, 한의원 등), 지역(시군구), 입원외래구분, 진료과목 등의 일반내역뿐만 아니라 처치, 수술, 원내 약 처방, 청
구금액 등의 상세 진료내역, 수진자의 모든 상병내역(주상병, 부상병), 원외처방내역 등으로 구성되어 있다.
그야말로 국민들이 의료서비스를 이용한 모든 진료정보가 데이터셋에 총망라되어 있는 것이다.
심평원은 이름과 주민등록번호를 비식별화했다고는 하나, 민간보험사들은 이미 방대한 환자진료정보 데이터
베이스를 자체적으로 구축하고 있는 사실을 고려하지 않았다. 상당수 보험사들은 가입자가 진료비를 청구할
때 의료기관으로부터 병명이 기재된 의무기록지 사본을 발급받아 제출하도록 요구하고 있다. 따라서 심평원
이 판매한 데이터셋과 민간보험사가 자체구축한 DB의 상병명을 매칭하면, 데이터셋의 진료정보가 누구의 것
인지 알아볼 가능성이 아주 크다. 상병명이 아니더라도 데이터셋에는 재식별에 도움을 줄 수 있는 정보가 너
무나 많다. 성별, 연령, 보험자종별, 진료일, 의료기관의 종별, 지역, 전문과목(내과는 세부전문과목까지) 등의
정보는 개인을 식별하는 중요한 단서가 될 수 있다.
2016년 8월 29일 심평원의 ‘2015년 환자데이터셋 추가 개방' 보도자료에는 연구자, 산업체 등 이용자의 의견
을 반영하여, 한의과 진료자료를 추가하고 진료과목 표시방법 보완 등 데이터의 품질을 개선하였다고 밝혔다.
미국의 경우 진료의사의 진료과목 및 전문과목 자료는 미국의사협회에 의뢰하여 얻도록 하고 있는데, 이는
진료의사의 진료 및 전문과목 정보가 환자의 재식별에 상당한 영향을 미칠 수 있기 때문이다. 더군다나 심평
원 자료에는 의료기관이 위치한 지역을 구단위까지 제공하고 있어 재식별 확률을 더욱 높여주고 있다.
따라서 심평원이 민간보험사에 판매한 비식별 진료정보는 재식별될 위험성이 아주 높아 개인정보보호법에
따라 보호되어야 할 개인정보에 해당한다. 심평원이 불법 제공한 개인진료정보로 민간보험사들은 자사 위험
률 및 보험상품개발 이외에도 유질환자 또는 고위험군의 신규가입을 차별하고 기존 가입자의 진료비 청구 시
사전고지 의무 위반으로 진료비 지급을 거절하는 데에 아주 유용하게 활용할 수 있게 되었다.
셋째, 환자의 진료정보에 대한 권리는 심평원이 아니라 환자와 의료인에게 있다.
의료인이 환자를 진료하면서 획득한 각종 진단 및 치료에 대한 의료정보는 의료법 제21조에 따라 환자가 아
닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 하지 말
도록 규정하고 있다. 심평원이 민간보험사에 판매한 데이터셋에는 환자의 진료정보와 함께 환자를 진료한 의
사 및 의료기관에 대한 정보가 모두 포함되어 있다. 따라서 진료비 청구를 위해 요양기관이 전송한 정보의 권
리는 환자와 의료인에게 있다. 환자와 의료인 모두 진료정보가 민간보험사의 영리적 이용을 위해 활용될 것
이라고는 꿈에도 생각하지 못했다. 그런데 꿈에서도 상상하지 못했던 일이 실제 벌어졌다. 이는 심평원에 대
한 환자와 의료인의 믿음을 송두리째 앗아간 것이다.
진료정보의 주체인 환자와 의료인의 동의를 받지 않고 심평원이 민간보험사에 진료정보를 제공한 것은 명백
히 개인정보보호법을 위반한 것이다. 제약회사가 심평원에 타 제약회사 제품의 처방현황 자료를 요청할 때에
는 해당 제약사로부터 '자료제공 동의서'를 받도록 한 반면, 정작 진료정보에 대해서는 환자와 의료인의 동의
를 전혀 받지 않은 것은 아주 심각한 직무유기이다.
넷째, 심평원의 잘못된 행태에는 정부와 보건복지부의 책임도 상당하다.
심평원은 정춘숙 의원에게 “학술연구용 이외의 정책, 영리목적으로 사용불가”하다는 학술용 표본자료 이용서
약서를 받았다고 주장하였다. 그러나 이 이용서약서는 이미 2016년 3월에 폐기된 상태이다. 작년 5월 미래창
조과학부는 대통령 주재의 제5차 규제개혁장관회의에서 정부가 제4차 산업혁명의 핵심동력으로 꼽는 사물인
터넷(IoT), 클라우드컴퓨팅, 빅데이터, O2O 분야의 규제를 과감히 개선키로 했다고 한다.
이 중 보건의료빅데이터개방시스템 내 환자 데이터셋 이용서약서에 "표본자료는 학술연구용 이외의 목적으
로 사용할 수 없다(정책, 영리 목적으로 사용 불가)"는 문구가 명시되어 있어 사업화 목적으로 활용 불가하다
는 산업체의 개선 요청에 대해, 보건복지부가 해당 문구를 삭제하는 규제개선을 했다고 한다 (아래 캡처). 그
이후로 심평원은 해당 문구가 전혀 포함되지 않은 '보안 및 준수 사항 확약서'만을 받고 있다. 따라서 심평원
이 정춘숙 의원에게 학술용 표본자료 이용서약서를 받았다고 한 것은 2016년 3월 이후로는 사실이 아니다.
또한 보건복지부는 2016년 8월 29일 '건강보험 빅데이터, 누구나 편리하게 이용할 수 있게 된다'는 보도자료
를 통해, '앞으로 민간에서 연구나 사업화 목적으로 건강보험 빅데이터를 활용하려는 경우 보다 편리하게 접
근하여 맞춤형으로 활용할 수 있도록 정부와 빅데이터 보유기관(공단, 심평원) 간 협의체를 통해 지원하고, 전
국 16개소의 빅데이터 분석센터에서 필요한 데이터를 제공하여 분석‧처리할 수 있는 분석공간을 제공한
다'고 밝혔다. '누구나', '민간에서', '사업화 목적으로' 등의 문구는 바로 민간보험사를 염두에 둔 표현으로 보
인다. 결과적으로 당시 정부와 보건복지부가 규제개선이라는 미명 하에 민간보험사 활성화를 위해 많은 무리
수를 둔 것이 현재 사태 발생에 일정 정도 기여한 것으로 볼 수 있다.
결론적으로 심평원은 아무런 법적 근거도 없이, 국민과 의료인의 동의도 받지 않고 아주 민감한 진료정보를
민간보험사의 영리적 이용을 위해 제공하였다. 이는 국민과 의료인의 심평원에 대한 믿음을 배신한 것일 뿐
만 아니라, 개인정보보호법을 위반한 아주 잘못된 행태이다. 환자들의 진료정보를 민간보험사에 판매한 공공
기관은 세계에서 심평원이 유일무이할 것이다. 본 회는 심평원이 하루라도 빨리 국민과 의료인에게 백배사죄
하고, 응분의 법적 대가를 받을 것을 강력히 요구하는 바이다.
2017 년 10 월 30 일
바른 의료 국민과 함께
대 한 의 원 협 회
조회 : 597
