Regulations Mar 29, 2026

개인정보보호법과 의료 AI: 환자 데이터 활용의 법적 경계

…

한줄 요약

환자 데이터를 AI 학습에 사용하려면 개인정보보호법, 의료법, 생명윤리법의 3중 동의 요건을 모두 충족해야 한다.

개요

의료 AI 개발과 운용의 핵심 자원은 환자 데이터다. 진단 영상, 검사 수치, 진료 기록, 처방 내역 — 이 모든 것이 AI 학습의 원료가 된다. 그러나 환자 데이터는 가장 민감한 개인정보 중 하나이며, 한국 법률은 이에 대해 엄격한 제한을 두고 있다.

국내 병원들이 AI 개발사와 데이터 공유 계약을 체결하거나, 자체 AI 모델을 학습시키려 할 때 맞닥뜨리는 법적 장벽을 실무 관점에서 정리한다.

법적 근거

법률	조항	핵심 내용
개인정보보호법	제23조, 제28조의2~8	민감정보 처리 제한, 가명정보 특례
의료법	제19조, 제21조, 제22조	의료정보 비밀 유지, 열람 제한
생명윤리 및 안전에 관한 법률	제16조, 제37조, 제38조	인체유래물 연구 동의, IRB 심의
보건의료데이터 활용 가이드라인	보건복지부 고시	보건의료 빅데이터 플랫폼 이용 기준
의료기기법	제2조, 제11조	AI 소프트웨어의 의료기기 해당 여부

주요 조항

개인정보보호법 제23조 (민감정보의 처리 제한)

건강 및 의료에 관한 정보는 민감정보로 분류된다. 민감정보를 처리하려면 별도의 동의를 받아야 하며, 법령에 따라 처리하는 경우가 아니라면 원칙적으로 처리가 금지된다.

개인정보보호법 제28조의2 (가명정보의 처리 등)

가명정보는 통계 작성, 과학적 연구, 공익적 기록 보존 등을 위하여 정보주체의 동의 없이도 처리할 수 있다. 단, 재식별 금지 의무와 안전 조치 의무가 부과된다.

제28조의2 (가명정보의 처리 등)
① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여
정보주체의 동의 없이 가명정보를 처리할 수 있다.
② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는
특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다.

의료법 제21조 (기록 열람 등)

의료인은 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 해서는 안 된다. AI 개발사에 데이터를 제공하는 행위가 이 조항 위반에 해당할 수 있다.

생명윤리 및 안전에 관한 법률 제16조 (동의와 개인정보 보호)

인간대상연구를 하려는 자는 연구 참여자로부터 서면동의를 받아야 하며, 기관위원회(IRB)의 심의를 거쳐야 한다. 후향적 의무기록 분석도 IRB 심의 대상이다.

실무 적용

데이터 활용 유형별 법적 요건

활용 유형	동의 필요 여부	IRB 필요	비고
원시 데이터로 AI 학습	별도 동의 필수	필요	진료 목적 동의와 별개
가명 처리 후 내부 연구	불필요	권고	재식별 방지 조치 필수
가명 처리 후 제3자 제공	불필요	권고	안전성 평가 필요
익명 처리 후 활용	불필요	불필요	완전 익명화 기준 엄격
국민건강보험공단 DB 활용	기관 심의	필요	건보 빅데이터 플랫폼 별도 절차

가명 처리 실무 절차

1단계: 가명 처리 대상 정보 식별

직접 식별자: 성명, 주민등록번호, 주소, 전화번호, 의료기록번호
간접 식별자: 생년월일, 희귀질환, 특이 처방 이력, 고해상도 의료 영상

2단계: 가명 처리 기법 적용

랜덤화: 임의의 대체값으로 교체 (이름, 주민번호)
범주화: 정확한 값을 구간으로 변환 (나이 → 연령대, 지역 → 광역시도)
마스킹: 일부 정보 삭제 또는 대체

3단계: 적정성 평가

재식별 가능성 평가
개인정보보호 위원회 가이드라인 기준 준수 여부 확인

4단계: 안전 조치

가명정보 분리 보관
처리 목적 외 활용 금지
가명 처리 과정 기록 보존 (3년 이상)

체크리스트

AI 학습 데이터 활용 목적이 “과학적 연구”에 해당하는지 법무 검토
환자 동의서에 “AI 학습 목적 데이터 활용” 항목 포함 여부 확인
가명 처리 시 직접 식별자 17종 모두 처리 여부 확인
IRB 승인 획득 여부 확인 (후향적 연구 포함)
외부 AI 개발사와 데이터 처리 위탁 계약 체결 여부
데이터 처리 위탁 계약서에 목적 외 사용 금지 조항 포함 여부
개인정보 처리 방침에 AI 활용 목적 공개 여부
데이터 국외 이전 시 별도 동의 또는 적정성 결정 확인

주의 사항

“익명 처리”와 “가명 처리”는 다르다. 많은 병원에서 환자번호를 임의 번호로 바꾸는 것을 “익명화”라고 부르지만, 법적으로는 “가명 처리”다. 완전한 익명 처리는 어떤 방법으로도 재식별이 불가능한 상태를 의미하며, 의료 데이터에서 달성하기 매우 어렵다.

의료 영상의 경우 주의가 필요하다. CT, MRI 영상에는 DICOM 헤더에 환자 정보가 포함되어 있으며, 얼굴 부위 MRI는 3D 재구성을 통한 재식별이 가능하다는 연구가 있다. 영상 자체를 가명 처리 완료로 보면 안 된다.

위반 시 제재

개인정보보호법 위반

위반 유형	제재
동의 없는 민감정보 처리	5년 이하 징역 또는 5천만 원 이하 벌금 (제71조)
가명정보 재식별 시도	3년 이하 징역 또는 3천만 원 이하 벌금 (제71조 제3호)
가명정보 안전 조치 위반	과징금 (위반행위 관련 매출액의 3% 이하)
국외 이전 규정 위반	5년 이하 징역 또는 5천만 원 이하 벌금

의료법 위반

의료법 제21조 위반(진료기록 무단 제공)은 3년 이하 징역 또는 3천만 원 이하 벌금에 처한다(의료법 제88조). 기관장 및 담당 의료인이 공동으로 책임을 질 수 있다.

기관 제재

개인정보 침해가 인정될 경우 개인정보 처리 정지 명령, 시정명령, 과태료 처분이 내려질 수 있으며, 법인에 대해서는 과징금이 별도로 부과된다.

#규제#개인정보#보안