국가전략기술 특화연구소의 디지털 헬스 데이터 플랫폼 운영의 법적 한계와 극복 (Legal Limits and Overcoming Challenges in the Operation of a Digital Health Data Platform by the National Strategic Technology Research Institute)

서지정보

· 발행기관 : 이화여자대학교 생명의료법연구소
· 수록지 정보 : 생명윤리정책연구 / 18권 / 2호 / 115 ~ 134페이지
· 저자명 : 김현경, 조경민, 이현훈, 이형철

초록

서울대학교병원은 2024. 1. 26.자로 「국가전략기술 육성에 관한 특별법」에 따른 대한민국최초의 제1호 국가전략기술 특화연구소로 지정되었다. 이를 계기로 서울대학교병원은 Harvard, Massachusetts Institute of Technology(이하 “MIT”), Stanford 등 해외 유수 기관과 디지털헬스 데이터, 첨단바이오 등 최신의 의과학 부문의 연구 수행을 앞두고 있다.
그런데 가명처리된 데이터를 특화연구소 데이터 플랫폼에 업로드하면 해외 기관의 연구자가플랫폼에 접속하여 대상 데이터를 조회하고, 분석하는 형태의 공동 연구를 준비하는 과정에서예상치 못한 법적 한계에 부딪혔다. 현행 「개인정보 보호법」 제28조의8 제1항 본문에 따르면, 국내 서버에 보관 중인 개인정보를 국외로 반출하는 경우뿐만 아니라 국외 연구자가 단순히열람, 조회하는 경우도 ‘개인정보의 국외 이전’으로서 원칙적으로 금지된다. 다만, 동항 단서각 호에 의거 1) 정보주체로부터 국외 이전에 관한 별도 동의를 받은 경우(제1호), 2) 다른법률이나 조약, 국제 협정에서 개인정보 국외 이전에 관한 특별한 규정이 있는 경우(제2호), 3) 정보주체와의 계약 체결 및 이행을 위하여 개인정보의 처리·보관이 필요한 경우(제3호), 4) 국외 이전하려는 해외 기관이 개인정보보호위원회가 고시한 개인정보 보호 인증을 받은경우(제4호), 5) 개인정보보호위원회가 해외 기관이나 국가의 개인정보 보호 수준에 대해 인정한경우(제5호) 중 어느 하나에 해당하면 개인정보의 국외 이전이 예외적으로 허용된다. 과학적 연구 목적을 위하여 가명처리된 가명정보도 개인정보에 해당하므로 위 국외 이전에관한 규정을 적용받지만, 정보주체의 동의 없이 처리하는 가명정보의 특성상 1)은 불가하다.
본 사안은 진료 목적으로 수집한 의료 데이터를 연구 목적으로 활용하기 위함이므로 기존에체결된 계약의 연장선의 관점에서 3)을 적용할 수 없고, 나머지 2), 4), 5)는 부재한 상황이었다.
이에 서울대학교병원은 특화연구소 데이터 플랫폼에 대한 규제 샌드박스 실증특례를신청하였고, 과학기술정보통신부는 2024. 6. 28. 개인정보보호위원회, 과학기술정보통신부, 정보통신산업진흥원이 고지한 ‘필수 안전조치 기준’을 이행한다는 조건부 실증특례를지정하였다.
한편, 이번 규제 샌드박스 실증특례 신청 내용에서는 제외되었으나, 해외 기관과의 연구를가로막는 장벽 중 하나는 공공기관의 외산 클라우드 사용 금지 규정도 있다. 해외 기관은아마존웹서비스(AWS), 마이크로소프트(MS), 구글 등 글로벌 기업들의 클라우드 서비스 이용을희망하는 경우가 많지만, 위 3사의 클라우드 서비스는 공공 전용 클라우드의 필수 요건인 CSAP 인증을 통과하지 못해 사용이 불가한 상황이다.
이번 실증특례 사례를 계기로 국내 의료기관이 보유한 양질의 의료 데이터를 국내·외연구자가 안전하고 체계적으로 활용할 수 있는 법적 토대가 빠른 시일 내에 마련되어, 의료전문대규모 언어모델(LLM), 의료 AI 및 알고리즘 등 해외 헬스케어 시장을 선도할 수 있는 혁신적인기술이 우리나라에서 나올 수 있기를 기대한다.

영어초록

On January 26, 2024, Seoul National University Hospital (SNUH) was designated as Korea’s first National Strategic Technology Specialized Research Institute under the Special Act on the Promotion of National Strategic Technologies. This designation has positioned SNUH to undertake cutting-edge medical science research, including digital health data and advanced biotechnology, in collaboration with world-renowned institutions such as Harvard, Massachusetts Institute of Technology, and Stanford.
However, during preparations for collaborative research with overseas institutions, an unforeseen legal obstacle emerged regarding the use of pseudonymized data.
The research envisioned uploading pseudonymized data to the specialized research institute’s data platform, where overseas researchers could access and analyze it remotely. According to Article 28-8(1) of the Personal Information Protection Act (PIPA), even when personal information stored on domestic servers is merely accessed by overseas entities, it constitutes a “cross-border transfer,” which is fundamentally prohibited. Exceptions to this prohibition are granted only if one of the following conditions is met: 1. Explicit consent for the transfer is obtained from the data subject (Subparagraph 1), 2. Special provisions regarding the cross-border transfer of personal information exist under other laws, treaties, or international agreements (Subparagraph 2), 3. The transfer is necessary for the performance or execution of a contract with the data subject (Subparagraph 3), 4. The receiving overseas institution has obtained certification for personal information protection as notified by the Personal Information Protection Commission (Subparagraph 4), or 5. The Personal Information Protection Commission recognizes the receiving institution or country as meeting acceptable levels of data protection (Subparagraph 5).
Since pseudonymized data for scientific research purposes is still classified as personal information, these regulations apply. However, due to the nature of pseudonymized data being processed without the data subject’s consent, compliance with Subparagraph 1 is infeasible. Moreover, as the research purpose extends beyond the original contractual context for which the medical data was collected, Subparagraph 3 is also inapplicable. The remaining Subparagraphs 2, 4, and 5 are currently not available. To address this issue, SNUH applied for a regulatory sandbox demonstration exception for the specialized research institute’s data platform. On June 28, 2024, the Ministry of Science and ICT conditionally approved this exception, provided that SNUH complies with the “essential safety measures” standards jointly announced by the Personal Information Protection Commission, the Ministry of Science and ICT, and the National IT Industry Promotion Agency.
Separately, another barrier to international collaboration not addressed in the regulatory sandbox application is the prohibition of foreign cloud services for public institutions in Korea. Many overseas institutions prefer to use cloud services offered by global companies such as Amazon Web Services (AWS), Microsoft (MS), and Google. However, these services are not certified under CSAP, a mandatory standard for public cloud services, rendering their use prohibited for public institutions.
This case highlights the urgent need for a robust legal foundation to enable domestic medical institutions to safely and systematically utilize high-quality medical data for global and domestic research. Establishing such a framework could pave the way for Korea to lead the global healthcare market through innovations such as medical large-scale language models (LLMs), medical AI, and algorithms.

참고자료

· 없음