디지털헬스법 제정 본격화...개인정보보호·의료법 통합 규율 쟁점 부각

핵심 요약

- 정부와 국회가 2026년 디지털헬스케어 산업 법제화에 동시 착수, 개인정보보호법·의료법·생명윤리법 통합 규율 방안 모색 - AI·의료기술 융합으로 급성장하는 디지털헬스케어 시장에 법·제도 정비 미흡이 산업화 걸림돌로 작용 - 건강정보의 민감정보 처리, 의료행위 범위, 연구목적 활용 등 다층적 법률 충돌 해소가 입법 성패 관건

주요 내용

2026년 6월 현재 정부와 국회가 디지털헬스케어 산업 육성을 위한 법제화에 본격 시동을 걸었다. AI 기반 진단보조 시스템, 원격 모니터링 디바이스, 개인 맞춤형 건강관리 서비스 등 디지털헬스케어 시장이 급성장하고 있지만, 이를 뒷받침할 법적 인프라는 여전히 파편화된 상태다.

현행 법체계에서는 디지털헬스케어 서비스 개발과 사업화를 위해 개인정보보호법, 의료법, 생명윤리법 등 여러 법률을 동시에 준수해야 한다. 건강정보는 개인정보보호법상 '민감정보'로 분류되어 별도 동의가 필요하고, 의료법상 의료행위 해당 여부에 따라 사업 모델 자체가 불가능해질 수 있으며, 생명윤리법상 인체유래물 연구 규제도 적용받는다.

특히 AI 학습을 위한 건강데이터 활용, 웨어러블 기기를 통한 실시간 건강정보 수집, 유전체 분석 서비스 등 신산업 영역에서는 법률 간 규율 공백과 충돌이 동시에 발생하는 역설적 상황이 반복되고 있다. 이에 정부는 디지털헬스케어 특별법 제정을 통해 개인정보 보호와 산업 육성의 균형점을 찾겠다는 입장이다.

업계에서는 규제 샌드박스를 넘어 항구적 법체계 정비가 필요하다는 목소리가 커지고 있다. 다만 의료계는 환자 안전과 의료 질 관리를 위한 최소한의 규제 장치 마련을 요구하고 있어, 이해관계 조정이 법안 통과의 관건이 될 전망이다.

전문가 시각

ISMS-P 심사 현장에서 디지털헬스케어 기업들이 가장 어려워하는 부분은 건강정보의 법적 성격 규정이다. 동일한 데이터가 맥락에 따라 '민감정보(개인정보보호법)', '보건의료정보(의료법)', '인체유래물정보(생명윤리법)'로 각각 다르게 취급되며, 각 법률이 요구하는 동의 절차·보유기간·제3자 제공 요건이 상이하다. 실무적으로는 '가장 엄격한 기준'을 적용하는 보수적 접근이 불가피한데, 이는 서비스 혁신을 제약하는 요인이 된다.

디지털헬스법 제정 시 기업이 주목해야 할 핵심은 '목적 기반 규율(purpose-based regulation)' 도입 여부다. 현행 '데이터 종류 기반 규율'에서 '활용 목적과 위험도 기반 규율'로 전환될 경우, 동일한 건강정보라도 단순 웰니스 목적과 질병 진단 목적에 각기 다른 규제 강도가 적용될 수 있다. ISMS-P 인증 기업은 법 제정 동향을 예의주시하며 개인정보 처리 방침과 내부관리계획 개정을 준비해야 한다. 특히 AI 학습용 데이터셋 구축 시 익명처리·가명처리 기준이 재정립될 가능성이 높아 법 시행 전 과도기적 대응 방안 마련이 필요하다.

CPPG·ISMS-P 연계 포인트

민감정보의 다층적 법률 적용: 건강정보는 개인정보보호법상 민감정보(제23조)로 정보주체 별도 동의 필요. 동시에 의료법·생명윤리법상 추가 요건 충족 필요. 법령 간 충돌 시 특별법 우선 원칙 적용하되, 개인정보 보호 강화 원칙에 따라 가장 엄격한 기준 준수가 안전.

목적 외 이용·제3자 제공의 예외 요건: 개인정보보호법 제18조·제17조는 과학적 연구, 통계작성, 공익적 기록보존 목적 시 가명정보 활용 허용. 디지털헬스법 제정 시 AI 학습·공공보건 목적의 특례 조항 신설 가능성 있으므로, 법령 개정 시 내부관리계획 즉시 업데이트 필요.