제2022-007-041호

안건번호 : 제2022-007-041호
안건명 : 대한한의사협의 통계작성 등을 위한 한의 의료기관 보유 가명정보 제공 요청에 관한 건
신청인 : 대한한의사협회장
의결연월일 : 2022. 4. 27.

1. 한의 의료기관으로부터 가명정보를 제공받고자 하는 대한한의사협회는 한의 의료기관으로부터 해당 개인정보를 가명처리 하는 업무를 위탁받을 수 없다.
2. 한의 의료기관으로부터 가명정보를 제공받고자 하는 대한한의사협회는 해당 개인정보의 가명처리를 심의하는 데이터 심의위원회를 설치ㆍ운영하는 업무를 위탁받을 수 없다.

1. 질의요지
가. 질의배경
○ 대한한의사협회(이하 '협회’)는 한의 비급여 항목에 대한 보험료율을 계산하기 위하여 100여개의 표본 한의 의료기관으로부터 가명정보를 제공받아 통계 작성 또는 과학적 연구를 하고자 함
※ 비급여 항목은 의료기관마다 진료가격이 상이하여 의료기관의 정보제공 필요
○ 협회는 한의 의료기관과 개인정보처리 업무 위ㆍ수탁 계약을 체결하여 ①개인정보 가명처리를 할 수 있는지, ②가명처리의 적정성 검토 등을 수행하기 위한 데이터 심의위원회*(이하 '심의위원회’)를 구성ㆍ운영할 수 있는지에 대하여 개인정보위에 심의ㆍ의결을 신청함
* 가명정보의 기관 내 활용, 기관 외 제공, 결합신청, 가명처리 적정성 등을 실시 할 수 있는 독립 위원회(「보건의료 데이터 활용 가이드라인(이하 '가이드라인’)」에 설치 규정)
나. 질의내용
1. 한의 의료기관으로부터 가명정보를 제공받고자 하는 협회가 해당 개인정보를 가명처리하는 업무를 위탁받을 수 있는지
2. 한의 의료기관으로부터 가명정보를 제공받고자 하는 협회가 가명정보 처리를 위한 심의위원회 설치ㆍ운영에 관한 업무를 위탁받을 수 있는지
2. 판 단
가. 한의 의료기관으로부터 가명정보를 제공받고자 하는 협회가 해당 개인정보를 가명처리하는 업무를 위탁받을 수 있는지
○ 「개인정보 보호법」은 개인정보를 제공받는 제3자의 업무를 처리할 목적 및 그 제3자의 이익을 위해서 개인정보가 이전되는 '제3자 제공’과 본래의 개인정보 수집ㆍ이용 목적과 관련된 본인의 업무처리와 이익을 위하여 개인정보가 이전되는 '처리위탁’을 구분하고 있음
- 개인정보 처리위탁에 있어 수탁자는 위탁자로부터 위탁사무 처리에 따른 대가를 지급받는 것 외에는 개인정보 처리에 관하여 독자적인 이익을 가지지 않고 개인정보처리자의 관리ㆍ감독 아래 위탁받은 범위 내에서만 개인정보를 처리하게 되므로 '제3자’에 해당하지 아니함(대법원 2017. 4. 7. 선고 2016도13263 판결 참조)
○ 개인정보위는 경기도 광명시로부터 개인정보를 제공받는 제3자의 지위에 있는 광명경찰서가 개인정보 제공에 관한 사무를 위탁받을 경우 광명경찰서가 실질적으로 영상정보를 제공하는 개인정보처리자로서의 지위와 개인정보를 제공받는 제3자로서의 지위를 겸하게 되어, 개인 정보를 제공받는 제3자의 입장에서 필요성만을 근거로 개인정보를 제공받을 수 있는 결과가 도출되는 바, 이는 보호법이 개인정보가 제3자에게 제공되는 경우 정보주체의 이익침해가 최소화 될 수 있도록 하는 입법취지에 비추어 허용되지 아니한다고 의결(개인정보보호위원회 2018.10.15. 제2018-21-231호 결정)한 바 있음
○ 협회가 한의 의료기관의 가명처리 업무를 맡을 경우 가명처리에 관하여 개인정보 처리 수탁자의 지위에 있게 되며, 추후 가명정보를 제공받을 경우 가명정보를 제공받는 자의 지위에도 있게 됨
- 이 경우 보험료율 산출이라는 협회의 업무수행을 위해 가명정보를 제공받는 제3자의 지위에 있는 협회는 자신이 제공받을 정보의 제공절차에 스스로 관여하게 되는 결과를 가져오게 되어 개인정보 처리에 관하여 독자적인 이익 없이 의료기관의 관리ㆍ감독 아래 위탁받은 범위 내에서만 개인정보를 처리하는 수탁자라고 보기 어려움
- 또한, 협회는 개인정보 처리 수탁자와 가명정보를 제공받는 자의 지위 사이에서 이해관계의 충돌 우려가 존재하는 바, 가명정보를 제공받는 제3자의 입장에서 개인정보의 가명처리 수준을 정하여 제공받을 경우 정보주체의 보호에 위험이 발생할 우려가 존재하여 이를 허용하기 어려움
○ 아울러, 「개인정보 보호법」제28조의2 제2항은 “개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다”고 규정하고 있음
- 가명정보를 제공받는 협회가 원본 개인정보를 가명처리할 경우 특정 개인을 알아볼 우려가 상당하며, 이는 원상태로 복원하기 위한 추가정보를 사용하지 아니하고는 특정 개인을 알아볼 수 없도록 안전하게 가명처리한 정보(가명정보)를 통계작성 등의 목적으로 동의없이 처리하게 허용한 특례규정의 취지를 통해 볼 때, 가명정보를 제공받는 자에게 해당 개인정보를 가명처리하는 업무를 위탁하는 것은 허용되기 어려움
○ 한의 의료기관은 가명처리에 전문성과 공공성을 갖춘 결합전문기관 등에 가명처리 업무를 위탁하여 안전하게 가명처리한 후, 대한한의사협회에 가명정보를 제공하는 것이 바람직할 것임
나. 한의 의료기관으로부터 가명정보를 제공받고자 하는 협회가 데이터 심의위원회 구성ㆍ운영 업무를 위탁받을 수 있는지
○ '보건의료 데이터 활용 가이드라인(개인정보보호위원회ㆍ보건복지부, 2021.1.)’은 가명정보의 기관 내 활용, 기관 외 제공, 결합신청, 가명처리 적정성 검토 등을 실시할 수 있는 독립 위원회인 데이터 심의위원회를 설치ㆍ운영토록 하고 있음
- 이는 '가명정보 처리 가이드라인(개인정보보호위원회, 2021.10.)’에서 외부전문가를 포함한 심의위원회를 구성하여 가명정보 처리 목적의 적합성과 가명처리의 적정성 검토를 하도록 권고한 내용을 반영한 것임
○ 한의 의료기관으로부터 가명정보를 제공받으려는 협회가 가명처리에 필요한 범위, 목적, 가명처리 수준, 제공대상 등을 결정하는 심의위원회를 운영하는 것은 안전한 가명처리를 위해 전문성과 독립성을 지닌 위원회를 설치하도록 한 가이드라인의 취지를 통해 볼 때 허용되기 어려우며,
- 이를 허용할 경우, 협회가 가명정보를 제공받는 자의 이익을 위하여 심의ㆍ결정할 여지가 상당하므로 정보주체의 보호에 위험이 발생할 우려가 존재함