AI기본의료 추진, 디지털헬스케어법으로 개인정보보호·가명정보 규제 합리화

핵심 요약

- 정부, 지역·필수·공공의료 공백 해소 위해 AI기본의료 체계 구축 추진 - 디지털헬스케어법(안) 제정으로 데이터 이용 제한·유출 방지·관리감독 체계 정비 - 개인정보 보호 강화와 동시에 AI 시대에 맞는 가명정보 규제 합리화 병행

주요 내용

정부가 2026년 8월 AI 기반 의료 서비스 확대를 위한 법제도 정비에 나섰다. 지역·필수·공공의료(지필공의료) 공백을 메우고 국민 생명을 지키기 위해 AI기본의료 체계를 추진하며, 이를 뒷받침할 디지털헬스케어법 제정을 핵심 과제로 설정했다.

디지털헬스케어법(안)은 의료 데이터의 안전한 활용을 위한 3대 축을 마련한다. 첫째, 데이터 이용 제한 규정을 통해 목적 외 사용을 원천 차단하고, 둘째, 유출 방지를 위한 기술적·물리적 안전조치를 강화하며, 셋째, 관리·감독 체계를 체계화해 책임 소재를 명확히 한다. 이는 의료 분야 개인정보의 민감성을 고려한 특화된 보호 체계 구축을 의미한다.

특히 주목할 점은 개인정보 보호 강화와 규제 합리화의 균형 추구다. AI 기술 발전을 위해서는 충분한 학습 데이터가 필수적이지만, 의료정보는 개인정보보호법상 민감정보로 분류돼 활용에 제약이 크다. 이에 정부는 가명정보 처리 요건을 명확히 하고, AI 연구·개발 목적의 데이터 활용 절차를 간소화하는 방향을 검토 중이다.

이번 법안은 AI 의료 기술의 국가 경쟁력 확보와 의료 접근성 향상이라는 두 마리 토끼를 동시에 잡기 위한 시도로, 개인정보보호와 혁신 사이의 적절한 균형점 찾기가 관건이 될 전망이다.

전문가 시각

ISMS-P 선임심사원 관점에서 디지털헬스케어법 제정은 의료 분야 정보보호 체계의 패러다임 전환을 의미한다. 현행 개인정보보호법, 의료법, 생명윤리법 등이 중첩 적용되며 발생하는 규제 공백과 과잉을 해소할 수 있는 계기다. 특히 가명정보 규제 합리화는 실무적으로 중요한데, 현재 의료기관들은 가명처리 적정성 판단 기준 모호성으로 AI 연구개발에 어려움을 겪고 있다. 법안이 '결합 전문기관' 유형, '적정 가명처리 수준', 'AI 학습 목적 데이터 활용 범위'를 명확히 규정한다면, 의료 AI 산업 활성화의 촉매제가 될 것이다.

다만 관리·감독 체계 정비 시 실효성 확보가 관건이다. 의료 데이터 유출사고는 대부분 내부자 부주의나 악의적 행위로 발생하므로, 접근권한 관리, 로그 모니터링, 내부자 통제 등 기술적 보호조치의 구체적 기준 마련이 필수적이다. ISMS-P 인증 의료기관 확대, 개인정보 영향평가(PIA) 의무화 대상 명확화, 데이터 안전성 정기 점검 체계 등이 법안에 포함되어야 실질적 보호 효과를 거둘 수 있다. 또한 AI 모델 학습 과정에서의 재식별 위험 평가, 차등정보보호(Differential Privacy) 등 최신 프라이버시 강화 기술(PETs) 적용 기준도 함께 마련되길 기대한다.

CPPG·ISMS-P 연계 포인트

가명정보 처리 특례: 개인정보보호법 제28조의2는 통계작성, 과학적 연구, 공익적 기록보존 목적으로 정보주체 동의 없이 가명정보 처리를 허용한다. 다만 의료 분야는 민감정보 특성상 추가 결합 시 결합 전문기관 활용, 반출 시 적정성 심의 등 엄격한 절차가 적용된다. 디지털헬스케어법은 이러한 특례 요건을 의료 AI 특성에 맞게 구체화할 것으로 예상된다.

안전조치 의무(ISMS-P 인증기준 2.8): 개인정보 안전성 확보조치 기준(개인정보보호법 시행령 제30조)은 암호화, 접근통제, 접속기록 보관 등을 규정한다. 의료정보는 민감정보로서 보관 중 암호화(DB 암호화), 고유식별정보 암호화, 관리자 접근 이중인증 등 강화된 조치가 요구되며, ISMS-P 인증 시 의료 분야는 별도 심사 기준이 적용된다.