환자 모르게 의료기록 상업화…“정보 활용에 환자 동의 없어”

AI 시대, 익명정보도 다시 식별 가능…현행법 한계 드러나

“종이 문서 기준 만든 법으론 막을 수 없다”…제도 개선 요구

캐나다에서 수백만 명의 환자 의료정보가 제약업계 마케팅에 활용되고 있는 것으로 나타났다. 

토론토 여성전문병원 연구진이 공개한 보고서에 따르면, 민간 클리닉과 데이터 중개업체가 연계돼 환자 의료기록을 상업용 데이터로 전환하고 있으며, 환자들은 이 과정을 전혀 알지 못한 채 배제돼 있다.

이번 연구는 캐나다 의료기록 산업의 구조를 분석한 결과로, 일부 영리병원이 의료정보에서 이름과 생년월일 등 개인정보를 삭제한 뒤 외부 기업에 판매하고, 해당 기업은 이 데이터를 제약사에 다시 제공하거나 분석 서비스를 제공하는 방식이 주를 이룬다고 밝혔다.

또 다른 방식은 병원이 제약사나 데이터 중개업체의 자회사로 편입돼 직접 데이터 수집에 나서는 구조다. 연구진은 “이 과정에서 환자에게 어떤 동의 절차도 거치지 않는다”고 지적했다.

문제는 이같은 구조가 단순히 개인정보 유출 차원을 넘어 의료 결정에까지 영향을 줄 수 있다는 데 있다. 데이터는 단지 통계가 아니라, 특정 약물 처방을 유도하거나 의료 서비스 방향을 제약사의 이익 중심으로 조정하는 데 쓰일 수 있다.

매튜 허더 달하우지대학교 소장은 “이 논문은 환자 데이터가 어떻게 유통되는지를 처음으로 체계적으로 보여줬다”고 말했다.

현행 개인정보보호법은 이런 사각지대를 막지 못하고 있다. 로리안 하드캐슬 캘거리대학교 보건법 교수는 “캐나다 각 주의 보건정보법은 수십 년 전 종이 기록을 기준으로 만든 것이 대부분이라, 지금처럼 민간 시스템에서 디지털로 관리되는 구조를 전혀 고려하지 못하고 있다”고 설명했다.

그는 “이전에는 익명화된 데이터면 충분히 안전하다고 여겼지만, 지금은 AI와 빅데이터 기술로 얼마든지 재식별이 가능하다”며 “현행 법 체계로는 환자 보호가 어렵다”고 강조했다.

온타리오 개인정보위원회는 “의료정보가 점점 더 고부가가치 자산으로 인식되는 만큼, 탈식별 정보의 활용에도 책임 기준을 강화할 필요가 있다”고 밝혔다. 현재 관련 법 개정도 추진 중이다.

환자들이 할 수 있는 일은 많지 않다. 하드캐슬 교수는 “우선 클리닉에 개인정보 활용 방침을 요구하고, 개인정보보호위원회에 문제 제기나 법령 개선 청원을 하는 것이 방법”이라며 “환자 목소리가 커지면 정치권도 움직일 수밖에 없다”고 말했다.

의료 민영화 확대 흐름 속에서, 의료정보가 수익을 위한 자산으로 전환되는 구조는 더 확산될 가능성이 높다. “환자가 아닌 수익을 중심에 두는 구조에선, 정보는 언제든 돈이 된다”는 것이 연구진의 경고다.