바이오 정보 수집·이용 실태조사

개인 식별 수단으로 바이오 정보를 사용하는 것과 별개로, 최근 ‘맞춤형 건강관리’ 혹은 ‘자가 건강관리’에 대한 관심이 증가함에 따라 바이오 정보를 활용한 건강관리 서비스 시장이 증가하고 있다. 바이오 정보를 활용한 건강관리 서비스 영역은 아직까지 널리 상용화되고 있지는 않지만, 그 확장성과 상품성에 대해서는 장밋빛 전망이 제출되고 있다. 이는 기본적으로 ‘건강한 사람을 더욱 건강하게’ 만들기 위한 목적으로 현재도 이루어지고 있는 각종 상담, 교육, 운동처방, 식단관리, 생활습관 교정 등의 서비스에 정보통신기술을 접목하여, 보다 대규모로 보다 표준화된 방식으로 이를 상품화하려는 전략이다. 일상생활 중에 바이오 정보를 모니터링하여, 대규모로 집적된 바이오 정보에 근거하여 상담, 교육, 운동, 생활습관 교정 등을 제공하는 것이다. 2008년 12월, 유럽인권재판소는 위 협약에 따라 영국의 피의자 DNA 데이터베이스에 대하여 인권침해를 결정하였다. 당시 영국에서는 경찰이 유죄판결이 확정되지 않은 피의자의 지문, DNA 프로필과 세포 샘플을 수집하여 무기한 보관하고 있었다. 유럽인권재판소는 피의자 개인정보의 무차별적 보관은 사생활에 대한 권리 침해라고 보았다. 유럽은 지문, 디지털사진, 홍채와 같은 생체인식 정보는 물론 세포 샘플 역시 개인을 식별하는 개인정보로 보고 있다. 이와 관련하여 95/46/EC 지침은 오랫동안 규율해 왔는 바, 관련 조항을 아래에서 주요하게 살펴보기로 한다. 우선 건강에 대한 정보(information on health)는 일반 개인정보보다 한층더 보호되어야 할 ‘특별한 범주의 정보 처리’(SPECIAL CATEGORIES OF PROCESSING)에서 규정하고 있다. 이 규정은 우리 법률을 비롯한 국제 규범에서 통상 민감정보(sensitive personal data)로 분류하고 있는 범주의 개인정보에 대한 보호를 다루고 있다. 제8조 제1항은 민감정보의 보호 대상과 보호 방법을 열거하고 있고 제2항과 제3항은 예외적인 적용제외 사유를 열거하고 있다. 95/46/EC 지침 제8조 제3항의 경우 의료제공자가 진단, 치료를 위해 건강정보를 처리하는 경우 예외로 규정하고 있다. 특별한 보호조건에 따라 ‘의료제공자’로 간주되는 개인은 특별한 직업적 비밀유지 의무의 적용을 받는다. 또 제8조 제4항의 경우 개인정보가 실질적 공익을 위하여 처리되고, 국내법 또는 감독기관의 결정에 의해 제공되고, 국내법 또는 감독기관이 정보주체의 이익을 효과적으로 보호할 수 있는 충분한 보호조건을 보장한 경우에 예외적으로 처리될 수 있다고 보았다. 그에 대한 예로서는 각국이 구축하고 있는 전자건강정보파일시스템을 들수 있다. 이런 시스템은 환자치료과정에서 의료제공자로부터 수집한 건강정보의 처리를 허용하며 국내에서 같은 환자를 다루는 다른 의료제공자의 접근이 가능하다. 유럽에서 전자건강정보파일은 많은 우려를 사 왔다. 국내 전자파일은 손쉽게 국경을 오갈수 있기 때문이다. 유럽연합 제29조 개인정보보호 작업반은 그런 시스템 구축의 법적 근거로 환자 정보를 처리하는 일반 규정인 제3항을 들 수 없다고 보았다. 2003년 유럽은 “privacy best practice in deployment of biometric systems”(이하 ‘Best Practice’)이라는 보고서를 공개하였다. 이 보고서에서는 95/46/EC 지침에서 법적으로 요청되는 사항과 실무운용상 권장사항이 기술되어 있는데, 법령에 근거한 이용, 생체인식 정보(biometric data)의 취급에 관한 검토, 프라이버시 보호기술(Privacy Enhancing Technologies)의 검토라는 세 가지 측면을 다루고 있다. 박정훈(2012)은 Best Practice 중에서 주목해야 할 점을 세 가지로 꼽았다. 첫째, 생체인식 정보가 95/46/EC 지침상 “개인정보”에 해당하는지 여부의 문제이다. 이점에 대해서는 사진·목소리·지문 등의 생체인식 정보가 원칙적으로 개인정보에 포함할 수 있다고 하면서도 어플리케이션마다 엄밀히 검토할 경우 이들 정보가 개인정보에 해당하지 않을 수 있다고 한다. 또한 생체인식 정보의 개인정보 해당성에 대해서는 원본정보와 이를 템플릿화한 특징정보, 양자를 구별하여 분석하고 있다. 둘째로, 생체인식 정보와 95/46/EC 지침에서 보호하고 있는 ｢민감정보｣와의 관계에 대한 문제이다. 한편, 95/46/EC 지침은 건강 정보를 높은 수준으로 보호하고 있지만 어떤 정보가 대상인지 명확히 밝히지 않았다. 특히 스마트기기 어플리케이션이나 웨어러블 디바이스를 통해 처리되는 라이프로그(LifeLog)형 건강관련 정보가 늘어나는 환경 속에서, 이들 정보가 어떤 경우 민감정보로서 보호되는 건강관련 정보에 해당하는지 명확해질 필요가 있다. 모바일과 웨어러블 기술이 빠르게 발전하고 자가측정 어플리케이션 및 기기들이 인기를 끌면서 정보주체들은 자신의 성격, 정신, 신체, 행동 양태, 소재에 대한 모든 측면을 등록하고 있다. 이들 어플리케이션과 기기를 이용하면 어떤 경우 정보주체의 건강에 대한 판단을 내릴 수 있고 이들을 다르게 취급할 수도 있다. 긍정적으로 보면 도움이 되지만 부정적인 측면이나 기대 밖의 이용이 있을 수도 있다. 어플리케이션과 기기로부터 생성되는 정보가 개인의 건강 상태에 대한 정보를 담고 있지 않은 경우도 있을 수 있다. 유럽연합 집행부는 2014년 4월, 95/46/EC 지침을 개선하여 새로운 유럽 개인정보보호규정(General Data Protection Regulation, GDPR)을 의결하였다. 민감정보는 제9조 특정범주의 개인정보 처리(Processing of special categories of personal data)에 포함되어 있는데, GDPR은 유전정보, 생체인식 정보, 건강관련 정보를 명시적으로 모두 민감정보에 포함하였다. 이 법에서 사용되는 정의는 다음과 같다. 우선, 유전정보(Genetic data)는 개인의 유전적 또는 후천적으로 얻은 유전자 특성에 관한 개인정보로 정의되어야 하며 이 유전자 특성은 염색체 분석, 데옥시리보핵산(DNA) 분석 또는 리보핵산(RNA) 분석 등 해당 개인으로부터 채취한 생물학적 샘플분석에서 얻은 결과 또는 다른 요소 분석을 통해 이에 상응하는 정보를 획득하여 얻은 결과이다. 생체인식 정보(biometric data)는 얼굴 영상이나 지문 정보처럼 개인을 고유하게 식별하거나 확인할 목적으로, 개인의 신체, 생리, 행동 특성에 관하여 특수하게 기술적으로 처리한 결과 발생한 개인정보를 의미한다. 민감정보의 처리와 일반 개인정보의 처리가 다른 점은 ‘계약 관계’가 적법한 처리를 위한 일반적인 근거로는 간주되지 않는다는 점이다(European Union Agency for Fundamental Rights·Council of Europe, 2014 : 87p). 만일 민감정보가 정보주체와의 계약에서 처리될 수 있으려면, 이들 정보의 이용에는 계약체결에 대한 합의에 더하여, 별개의 명시적인 동의가 요구된다. 민감정보를 나타내는 물품이나 서비스에 대한 정보주체의 명시적인 요청은 명시적인 동의와 같은 것으로 간주된다. 예를 들어 항공편을 예약하려는 탑승객이 항공사에 휠체어와 유대교식 식사를 요청한다면, 항공사는 건강 및 종교적 신념을 드러내는 정보의 처리에 대한 별도의 동의 없이도 이 정보를 처리할 수 있다.