가명헬스케어 정보 AI 학습용 매각 — 법적 쟁점과 진행 절차

1. 어떤 거래인가요

병원이 진료 과정에서 쌓은 진료기록, 검사 결과, 의료영상 등을 환자를 알아볼 수 없게 처리한 뒤, AI 개발사 등 매수자에게 AI 학습용으로 이용하도록 허락(라이선스)하고 대가를 받는 거래입니다. '매각'이라고 부르지만 환자 데이터의 소유권을 넘기는 것이 아니라, 정해진 목적과 기간 안에서만 쓰게 하는 계약입니다.

1. 병원은 개인정보처리자로서 가명처리, 심의, 안전조치의 책임을 집니다.
2. 매수자는 계약에서 정한 AI 학습 목적으로만 쓰고, 환자를 다시 알아보려 하거나 제3자에게 다시 넘길 수 없습니다. 그래서 헬스케어 데이터는 재판매 불가 조건으로만 라이선스합니다.
3. 법무법인 로집사는 병원 측 자문으로 쟁점 검토, 심의 자료 준비, 매수자 실사와 협상, 계약서 작성을 맡습니다.

2. 익명정보와 가명정보는 다릅니다

3. 검토해야 할 법적 쟁점

1. 의료법상 환자 기록 보호: 의료법은 환자가 아닌 사람에게 환자에 관한 기록을 열람하게 하거나 사본을 내주는 것을 원칙적으로 금지하고(제21조), 업무상 알게 된 정보의 누설(제19조)과 전자의무기록의 누출(제23조)을 금지합니다. 가명처리한 정보에 제21조가 그대로 적용되는지는 해석상 쟁점이 남아 있습니다. 보건의료데이터 활용 가이드라인은 가명처리 후 개인정보보호법의 가명정보 규정에 따라 활용하는 절차를 두고 있으므로 그 절차를 그대로 지키고, 쟁점이 남으면 개인정보보호위원회의 가명정보 비조치의견서로 미리 확인합니다.
2. 민감정보와 가명정보 특례: 건강에 관한 정보는 민감정보로 원칙적으로 별도 동의가 필요합니다(개인정보보호법 제23조). 동의 없이 쓰려면 가명처리한 뒤 통계작성·과학적 연구·공익적 기록보존 목적이어야 하고(제28조의2), 과학적 연구에는 기술 개발과 실증, 민간 투자 연구가 포함됩니다(제2조 제8호). 매수자의 AI 학습이 이 범위에 드는지 계약 목적을 구체적으로 적어 확인합니다.
3. 가명처리 기준과 데이터심의위원회: 가이드라인은 가명처리 방법과 외부 제공의 적정성을 기관 데이터심의위원회(DRB)가 심의하도록 합니다. 2024년 12월 개정으로 의료영상·텍스트 같은 비정형 데이터의 가명처리 절차가 구체화되었고, 2025년 12월 개정으로 자체 위원회를 두기 어려운 기관이 함께 이용할 수 있는 공용 심의위원회 제도가 도입되었습니다. 중소 병원은 공용 심의위원회나 외부 위탁 심의를 이용할 수 있습니다.
4. 재식별·결합·재제공 금지: 가명정보를 받은 자가 특정 개인을 알아보려고 처리하면 형사처벌과 과징금 대상이 되고(제28조의5 등), 다른 기관의 데이터와 결합하려면 결합전문기관을 거쳐야 합니다(제28조의3). 재제공할 목적으로 가명정보를 받는 것도 허용되지 않습니다.
5. 제외하거나 동의를 받아야 하는 정보: 정신질환, HIV 등 감염병, 희귀질환, 학대·낙태 관련 정보처럼 특히 민감한 정보와 유전체 정보, 음성 정보는 가이드라인상 가명처리가 제한되거나 동의가 원칙이므로 기본적으로 제외합니다. 의료진 이름 등 의료인 정보도 가명처리합니다.
6. 국외 이전: 해외 매수자에게 제공하면 개인정보 국외 이전 규정(제28조의8)과의 관계를 검토해야 합니다. 원본을 넘기지 않고 국내 폐쇄분석환경에서 학습하게 하는 방식이 가장 안전합니다.
7. 대가와 병원 회계: 가명정보 제공의 대가를 받는 것 자체는 금지되지 않지만, 가이드라인은 사회 통념상 과도한 대가를 피하도록 권고합니다. 대가 산정 근거(가명처리·데이터 구축·심의·보안 비용 등)를 남깁니다. 의료법인은 부대사업 범위와 회계 구분(의료법 제49조)을 함께 검토합니다.
8. 연구윤리: 매수자의 학습·연구가 인간대상연구에 해당하면 기관생명윤리위원회(IRB) 심의나 면제 확인이 필요할 수 있습니다(생명윤리 및 안전에 관한 법률 제15조).
9. 공개와 기록: 가명정보의 처리 목적, 제공받는 자 등 처리 기록을 남기고 안전조치를 해야 하며(제28조의4), 병원의 개인정보 처리방침에 가명정보 처리에 관한 사항을 공개합니다.
10. 제도 변화: 보건의료정보의 가명처리와 2차 활용 절차를 법률로 정하려는 '디지털 헬스케어 및 보건의료정보 활용 지원에 관한 법률안'이 국회에 계류 중입니다(2026년 10월 기준). 제정되면 심의·위탁 절차가 바뀔 수 있습니다.

4. 법령과 가이드라인에 맞춘 진행 절차

1. 상담과 적합성 확인: 기관 형태(개인 병·의원, 의료법인 등), 진료과, EMR·PACS 시스템, 데이터 종류·기간·규모(환자 수, 기록·영상 건수), 해외 매수자 제공 가능 여부를 의료데이터 견적 양식(CSV)으로 받아 이메일로 확인합니다. 환자 정보와 원본 자료는 받지 않습니다.
2. 자문위임 계약: 병원과 법무법인 로집사가 독점적 매각 자문위임 계약을 맺습니다. 착수금은 없고 거래가 성사된 경우에만 성공보수를 정산합니다.
3. 목적과 매수자 확인: 매수자의 AI 학습 목적이 과학적 연구 범위인지 정리하고, 매수자의 보안 수준, 재식별 방지 능력, 국외 처리 여부를 실사합니다.
4. 데이터 범위와 제외 목록: 학습에 필요한 항목만 고르고(최소화), 제외해야 할 민감 항목과 동의가 필요한 정보를 목록으로 정합니다.
5. 가명처리 계획과 심의: 식별자 삭제, 날짜 이동, 나이·지역 범주화, 영상 메타데이터와 영상에 새겨진 글자 마스킹, 소견 텍스트 마스킹 등 방법을 정하고, 데이터심의위원회(자체·공용·위탁) 심의를 받습니다. 필요하면 IRB 심의 또는 면제 확인도 받습니다.
6. 가명처리와 적정성 검토: 병원 내부 또는 위탁받은 전문기관이 가명처리하고, 재식별 위험을 평가해 결과를 기록합니다. 원본과 추가 정보는 병원 안에 분리해 보관합니다.
7. 사전 확인(필요한 경우): 의료법 제21조 관계 등 쟁점이 남으면 개인정보보호위원회에 가명정보 비조치의견서를 신청해 처리의 적법성을 미리 확인합니다.
8. 가명정보 제공(라이선스) 계약: 아래 5항의 조항을 넣어 병원과 매수자가 계약합니다.
9. 안전한 제공과 학습: 데이터가 밖으로 나가지 않는 폐쇄분석환경에서 학습하게 하거나, 불가피하면 암호화해 접근 권한을 제한한 방식으로 제공합니다. 제공 내역은 기록하고 처리방침에 공개합니다.
10. 종료와 사후 관리: 이용 기간이 끝나면 매수자의 데이터 삭제와 삭제 확인서를 받고, 처리 기록을 보관합니다. 재식별 시도나 유출이 확인되면 계약에 따라 즉시 중단·조사합니다.

5. 가명정보 제공(라이선스) 계약에 넣을 조항

1. 이용 목적을 AI 학습·평가 등 구체적인 연구개발 목적으로 한정하고, 목적 외 이용 금지
2. 재식별 시도 금지, 다른 정보와의 결합 금지(결합전문기관 절차 제외), 제3자 재제공·재판매 금지
3. 접근 인원 제한, 접근 기록 보관, 보안 조치와 병원의 점검·감사권
4. 학습 모델이 환자 정보를 그대로 출력하지 않도록 하는 조치(중복 제거, 출력 필터, 학습용·답변용 데이터 분리)
5. 국외 처리 여부와 그 경우의 보호 조치
6. 이용 기간, 종료 후 삭제와 삭제 확인서 제출
7. 재식별·유출 사고 시 통지, 중단, 손해배상과 해지
8. 대가와 그 산정 근거, 세금 처리

6. 병원이 준비할 것

7. 참고한 기준

1. 의료법 제19조, 제21조, 제23조, 제49조
2. 개인정보 보호법 제2조 제8호, 제23조, 제28조의2부터 제28조의5까지, 제28조의8, 제58조의2
3. 생명윤리 및 안전에 관한 법률 제15조
4. 보건복지부·개인정보보호위원회 「보건의료데이터 활용 가이드라인」(2024년 12월, 2025년 12월 개정)
5. 개인정보보호위원회 「가명정보 처리 가이드라인」, 「생성형 인공지능(AI) 개발·활용을 위한 개인정보 처리 안내서」(2025년 8월), 가명정보 비조치의견서 제도(2025년 11월)

이 안내는 일반적인 법적 쟁점과 절차를 설명하기 위한 것이며 개별 사안에 대한 법률 의견이 아닙니다. 데이터의 종류와 병원의 상황에 따라 거래가 어렵거나 일부만 가능할 수 있고, 확정 금액이나 거래 성사를 보장하지 않습니다. (광고) 법무법인 로집사 · 광고책임변호사 이정엽