한림의대, 의료창업 교육에 '개인정보보호법' 필수 과목 도입... AI 시대 의료 스타트업 대비

핵심 요약

- 한림대 의과대학이 2026년 의료창업 교육과정에 개인정보보호법 검토를 필수 과목으로 편성 - AI 시대 의료 서비스 혁신 과정에서 환자정보 처리가 핵심 사업화 장벽으로 작용 - 법인 설립·회계·인력 채용과 함께 의료법·개인정보보호법 준수가 창업 필수 요건으로 강조

주요 내용

한림대학교 의과대학이 의료창업 교육과정을 정규 교육과정에 포함하면서, 개인정보보호법 검토를 필수 과목으로 편성한다고 2026년 8월 13일 밝혔다. 유경호 한림의대 학장은 "AI 시대에는 진료 과정의 단절이나 반복되는 비효율, 환자가 느끼는 정보 공백을 정확하게 파악하고 해결하는 능력이 중요하다"며 의료창업 교육의 필요성을 강조했다.

이번 교육과정 개편의 핵심은 기술 개발뿐 아니라 법률·규제 준수 역량을 동시에 배양하는 데 있다. 특히 법인 설립과 회계, 인력 채용 등 일반적인 창업 실무와 함께 의료법·개인정보보호법 검토를 별도 과목으로 구성한다. 이는 의료 스타트업이 사업화 과정에서 직면하는 가장 큰 장벽이 환자정보 처리와 관련된 법적 요건이라는 현장 인식을 반영한 것이다.

실제 AI 기반 의료 서비스는 진단 보조, 환자 모니터링, 개인 맞춤형 치료 등 다양한 영역에서 개인정보·민감정보를 필수적으로 처리한다. 2023년 시행된 개인정보보호법 개정으로 가명정보 활용 범위가 확대됐지만, 환자 식별 가능성, 제3자 제공 요건, 안전조치 의무 등 복잡한 규제 체계는 여전히 의료 창업자들에게 높은 진입장벽이 되고 있다.

한림의대의 이번 교육과정은 의료 AI 혁신과 환자정보 보호라는 두 가치를 균형 있게 추구하는 차세대 의료 인재 양성을 목표로 한다. 2026년 하반기부터 시범 운영되는 이 과정은 다른 의과대학의 창업 교육 모델로도 주목받고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 의료 스타트업의 개인정보보호 준수는 단순한 법적 의무를 넘어 사업 지속가능성을 좌우하는 핵심 요소다. 의료기관이 아닌 스타트업이 환자정보를 처리할 경우 ① 의료법상 비의료기관의 의료정보 취급 제한 ② 개인정보보호법상 민감정보 처리 요건 ③ 생명윤리법상 인체유래물 정보 관리 등 최소 3개 법률의 교차 적용을 받는다. 특히 AI 학습용 데이터 구축 시 가명처리 적정성, 재식별 위험 평가, 결합 전문기관 활용 등 기술적·절차적 요건을 충족하지 못하면 사업 모델 자체가 무효화될 수 있다.

실무적으로는 창업 초기부터 개인정보 영향평가(PIA) 체계를 내재화해야 한다. 서비스 기획 단계에서 '개인정보 최소 수집 원칙'을 적용하고, 익명화·가명화 기술을 선제적으로 검토하며, 데이터 생명주기 전반에 대한 안전조치 계획을 수립해야 한다. 또한 환자 동의 획득 프로세스, 제3자 제공 시 법적 근거, 국외 이전 시 추가 보호조치 등을 사업계획서 단계에서 명확히 설계해야 투자 유치와 인허가 과정에서 리스크를 최소화할 수 있다. 한림의대의 이번 교육과정 개편은 이러한 실무 역량을 의대 재학 중부터 배양한다는 점에서 선제적 대응으로 평가된다.

CPPG·ISMS-P 연계 포인트

민감정보 처리 특례 (개인정보보호법 제23조): 건강정보는 민감정보로서 원칙적으로 정보주체의 별도 동의가 필요하나, 의료법 등 법령에서 정한 경우 또는 공중보건 등 공공의 이익을 위해 필요한 경우 예외적으로 동의 없이 처리 가능. 의료 스타트업은 해당 예외 요건 충족 여부를 사전에 법률 검토해야 함.

개인정보 영향평가 (개인정보보호법 제33조): 민감정보를 100만 명 이상 처리하거나 고유식별정보를 처리하는 정보시스템 구축·운영 시 개인정보 영향평가 수행 의무. AI 기반 의료 플랫폼은 설계 단계부터 영향평가 대상 여부를 판단하고, 개인정보보호 관리체계(ISMS-P)와 연계하여 사전 위험 평가 체계를 마련해야 함.