개인정보위, '의료 마이데이터 활성화' 위한 협력회의 개최

ⓒ개인정보보호위원회

개인정보보호위원회(개인정보위)는 주요 보건의료기관과 함께 '의료 마이데이터 활성화 및 개인정보 보호 강화'를 주제로 관계기관 협력회의를 개최했다고 27일 밝혔다.

회의는 지난 25일 정부서울청사에서 개최됐다. 보건복지부, 질병관리청, 한국보건의료정보원, 건강보험심사평가원, 국민건강보험공단 등 주요 기관 관계자들이 참석했다.

이번 회의는 지난 3월부터 전 분야로 확대 시행된 마이데이터 제도의 안정적인 정착을 위한 후속 조치의 일환이다. 정보주체의 자기정보 통제권을 보장하면서 홈페이지 등을 통한 개인정보 전송 요구 시 유·노출 사고를 예방하기 위한 기술적·제도적 방안을 논의하고자 마련됐다.

회의에서는 최근 급증하는 '크리덴셜 스터핑(credential stuffing)' 등 개인정보 침해 위협에 대응하기 위해 기존 스크래핑 방식 등을 이용한 과도한 개인정보 수집으로 인한 침해를 예방하고, 신뢰성과 안전성을 갖춘 개인정보관리 전문기관의 역할을 확대하는 방안이 논의됐다.

개인정보위는 제3자에게 개인정보를 전송하도록 요구하는 '제3자전소요구'는 이미 표준 API(애플리케이션 프로그래밍 인터페이스)를 기반으로 안전한 전송체계를 구축했다고 언급했다.

하지만 정보주체가 직접 다운로드할 수 있는 '본인전송요구' 중에서 제3자가 정보주체로부터 인증정보를 위임받아 자동화 도구를 통해 정보를 대리 수집한 경우엔 기술적·관리적 취약점이 발생할 수 있다고 경고했다. 이를 예방하기 위해 정보전송자의 협력이 필요하다고 강조했다.

정보전송자는 개인정보를 전송하기 전 정보주체 본인 여부 또는 정당한 대리인인지 여부를 반드시 확인해야 한다. 자동화 도구를 통한 무차별 대입 공격 등 정보주체 확인이 어려운 상황에 대비한 보안 조치는 필수적이다.

특히 본인전송요구는 정보전송자의 홈페이지를 통해 처리되는 만큼, 웹사이트를 통한 개인정보 유출 방지를 위한 기술적·관리적 보호조치의 이행이 중요하다.

이와 관련해 참석기관들은 캡차(사용자가 사람인지 기계인지 구분하기 위해 문자, 숫자 등으로 인증하는 방식) 적용, 다중 인증 도입, 비정상 로그인 시도 탐지 및 차단 등 보안기능 강화를 위한 기술적 조치를 도입하겠다고 밝혔다.

또, 웹사이트 운영자가 사전협의를 거쳐 안전하고 신뢰할 수 있다고 판단하면 자동화 도구 접근을 허용하는 방식으로 서비스 이용약관을 개정하는 등 제도적 장치 도입을 검토하기로 했다.

하승철 범정부 마이데이터 추진단장은 "국민의 의료데이터에 대한 자기결정권을 실질적으로 보장하기 위해서는 무엇보다 개인정보의 안전한 관리와 책임 있는 활용이 중요하다"며 "관계기관들과의 지속적인 협력을 통해 국민이 안심할 수 있는 신뢰 기반의 데이터 생태계를 조성해 나가겠다"고 말했다.

한편, 이날 논의된 주요 내용은 이달 말 발간 예정인 '개인정보 전송요구권 제도 안내서'에 반영될 예정이다.