감염병 위기 상황에서 감염병 데이터의 수집 및 활용에 관한 법적 쟁점 -미국 감염병 데이터 수집 및 활용 절차를 참조 사례로 하여-

Legal Issues on the Collection and Utilization of Infectious Disease Data in the Infectious Disease Crisis

2020년 예상하지 못한 형태의 COVID-19 감염병의 급속도로 전파·확산으로 국민의 "생명·신체·재산"에 피해를 줄 수 있는 재난관리법상 사회재난이 발생하면서, 감염병병원체의 검사 및 발생 사실에 대한 신고 및 보고(제11조), 실태조사(제17조), 역학조사(제18조), 예방접종을 위한 역학조사(제29조) 등을 통하여 수집된 정보는 발전된 데이터 인식 및 처리 기술, 인공지능을 통한 학습 기술 등과 결합하여 (1) 의료자원 배분을 위한 정책적 근거 마련(병상배정, 방역물품 공급), (2) 감염병 확산 방지를 위한 방역 정책적 근거 마련(집합금지·영업제한 등 정책 결정, 확진자 발생 현황 예측을 위한 연구 및 정책 결정), (3) 예방접종 촉진 및 피해 현황 파악 등 감염병 위기 상황에서 의사결정의 중요한 근거로 활용되어 왔다. 이러한 감염병 데이터를 활용한 의료정책의 결정은 방역정책 결정, 정보제공, 의약품 개발 및 연구 기술 발전에 기여하여 왔으며, 국제적으로 감염병 데이터의 활용 법제 마련에 관한 논의가 증가하면서 감염병 데이터 활용의 법적인정 범위와 한계에 대한 관심이 높아졌다. 감염병 데이터의 활용은 감염병 전파 및 확산 차단 목적, 감염병의 예방·관리·치료업무 목적, 감염병 연구 목적으로 분류할 수 있으며, 정보의 활용은 감염병 위기 상황을 전제로 논의된다. 먼저 민감정보인 "진료기록, 예방접종약, 예방접종, 기저질환 유무, 건강순위, 장기요양인정등급, 임신여부 등"에 관한 정보의 경우, 업무 목적으로 수집·제공·활용하는 경우 개인정보보호법상 활용이 인정되는 "타법에서 정하는 업무" 범위에 대한 해석이 요구된다. "감염병 전파 및 확산 차단, 감염병의 예방·관리·치료" 목적의 업무수행의 경우 입법적으로 명확하게 사전에 규율하기 쉽지 않다. 따라서 이를 인정하기 위한 전제로 먼저 대법원 및 헌법재판소에서 의료행위의 개념을 명확하게 정의하기 어렵다는 부분을 차용할 수 있다. 따라서 현실적으로 구체적인 업무수행의 행위 유형은 후행적으로 "입법목적, 학문적 원리, 전문성, 사회통념"을 기준으로 판단하여 재량권의 일탈 또는 남용의 논리로 해석하게 된다. 목적 달성에 필요한 정보수집 대상의 확정, 수집 정보의 활용방안의 한계 설정을 위하여 감염병으로 인한 공중보건 위기 상황에서 데이터 활용의 공익적 필요성이 있는지를 우선 판단하되 해당 정보의 활용이 정보주체나 제3자의 이익을 부당하게 침해하지 않았는지를 기준으로 판단한다. 이익형량의 세부 기준으로 위기 상황에서 감염병의 전파속도와 정도, 해당 민감정보의 처리 없이 목적달성을 할 수 있었는지, 민감정보의 처리를 통한 방역정책 도입의 효과성 등을 기준으로 판단하게 된다. 한편, 연구목적 감염병데이터의 수집·제공·활용은 원칙적으로 개인정보보호법상 가명처리, 생명윤리법상 동의와 기관생명윤리위원회의 심의, 국민건강보험공단 자료 활용 시 자료제공 심의위원회 절차를 거쳐 활용되게 된다. 따라서 가명처리 및 데이터심의위원회의 심의 또는 정보주체의 동의 및 기관생명윤리심의위원회의 심의를 거치므로 원칙적으로 절차적 타당성을 확보하는 한 연구목적 활용은 인정된다. 다만, 가명화 또는 익명화 절차를 명확히하여 연구책임자의 부담을 줄여야 하며, 포괄적 동의제도와 옵트아웃 제도의 도입 또는 동의 절차가 명확히 마련되어야 하며, 기술발전으로 나타날 수 있는 재식별 가능성 또는 보안성 확보 절차를 명확히 규정할 필요가 있을 것으로 생각된다.

As social disasters occur under the Disaster Management Act, which can damage the people's "life, body, and property" due to the rapid spread and spread of unexpected COVID-19 infectious diseases in 2020, information collected through inspection and reporting of infectious disease pathogens (Article 11), epidemiological investigation (Article 18), epidemiological investigation for vaccination (Article 29), artificial technology, and prevention policy Decision), (3) It was used as an important basis for decision-making in the context of an infectious disease crisis, such as promoting vaccination and understanding the current status of damage. In addition, medical policy decisions using infectious disease data contribute to quarantine policy decisions, information provision, drug development, and research technology development, and interest in the legal scope and limitations of using infectious disease data has increased worldwide. The use of infectious disease data can be classified for the purpose of spreading and blocking infectious diseases, prevention, management, and treatment of infectious diseases, and the use of information will be more widely made in the context of an infectious disease crisis. In particular, as the serious stage of the Disaster Management Act continues, the processing of personal identification information and sensitive information becomes an important issue. Information on "medical records, vaccination drugs, vaccination, underlying diseases, health rankings, long-term care recognition grades, pregnancy, etc." needs to be interpreted. In the case of "prevention, management, and treatment of infectious diseases", it is difficult to clearly define the concept of medical practicesThe types of actions are judged based on "legislative purposes, academic principles, expertise, and social norms," but the balance of legal interests should be based on the need for data use in quarantine policies and urgent judgment in public health crises. Specifically, the speed and degree of transmission of infectious diseases in a crisis, whether the purpose can be achieved without processing sensitive information, whether it unfairly violates the interests of third parties or information subjects, and the effectiveness of introducing quarantine policies through processing sensitive information can be used as major evaluation factors. On the other hand, the collection, provision, and use of infectious disease data for research purposes will be used through pseudonym processing under the Personal Information Protection Act, consent under the Bioethics Act and deliberation by the Institutional Bioethics Committee, and data provision deliberation committee. Therefore, the use of research purposes is recognized as long as procedural validity is secured as it is reviewed by the pseudonym processing and data review committee, the consent of the information subject, and the institutional bioethics review committee. However, the burden on research managers should be reduced by clarifying the pseudonymization or anonymization procedures, the introduction or consent procedures of the comprehensive consent system and the opt-out system should be clearly prepared, and the procedure for re-identifying or securing security that may arise from technological development should be clearly defined.