「바이오데이터 활용 및 인공지능바이오 연구개발 촉진에 관한 법률안」에 대한 의견서
의안번호 15618 · 조인철·최형두 의원 대표발의(2025. 12. 24.)
— 정보 주체 보호 체계와의 정합성 관점에서 본 폐기 요청
Ⅰ. 의견
이 법률안은 인공지능바이오 산업 육성이라는 정책 목표를 담고 있다. 그러나 그 수단으로 「생명윤리 및 안전에 관한 법률」(이하 “생명윤리법”)과 「개인정보보호법」이 오랜 기간에 걸쳐 구축해 온 정보주체 보호 체계를, 개별 심의를 거치지 않고 특례로 우회하는 조항을 다수 포함하고 있다.
특히 ① 생명윤리 심의를 산업 진흥 부처가 통제하는 거버넌스, ② 건강·유전체 정보의 단일 시스템 통합과 가명정보의 강행적 공개, ③ 임상시험심사위원회(IRB)와 데이터심의(DRB)의 통합 의제, ④ 유전체 정보에 대한 동의 면제, ⑤ 규제 완화의 상시화 장치는 개별 조항으로도 문제이지만, 상호 결합할 때 환자와 시민의 권리에 회복하기 어려운 위험을 초래한다.
이러한 우려는 시민사회의 일방적 주장이 아니다. 국회 과학기술정보방송통신위원회 전문위원의 검토보고(2026. 2.) 및 그에 수록된 보건복지부·개인정보보호위원회의 공식 의견이 아래 쟁점 대부분을 동일하게 지적하고 있다. 검토보고는 개별 조문의 보완을 제안하는 데 그쳤으나, 우리는 이 문제들이 상호 강화하는 구조적 결함이라는 점에서 본 법률안의 폐기를 요청한다.
Ⅱ. 의견 사유
- 거버넌스 — 생명윤리 심의를 산업 진흥 부처가 통제하는 구조
법률안은 기본계획 수립(제5조), 국가바이오데이터통합시스템(제9조), 데이터 공개(제10조), 보안지침(제13조), 그리고 생명윤리법 특례를 통합 심의하는 「바이오데이터 연구심의위원회」의 위원 임명권(제21조)까지 모두 과학기술정보통신부장관에게 부여한다. 보건복지부장관은 제21조 제2항의 위원 추천권만 가질 뿐, 의사 결정 구조에서 사실상 배제된다.
개인 건강정보와 유전체정보는 본질적으로 보건의료 영역의 민감정보이며, 「의료법」·생명윤리법이 보건복지부 소관인 것은 이 정보가 환자/의료인 관계와 기관생명윤리위원회 체계 안에서 생성·유통되기 때문이다. 보건복지부는 검토보고 과정에서, 보건의료 정보가 환자 진료 과정에서 파생되는 극히 민감한 정보이므로 의료 체계와 무관한 별도의 통합 플랫폼에 일괄 집적하는 데 우려를 표명하였다. 전문위원 역시 제2조 정의상 보건의료 정보의 포함 범위를 동의 또는 적법한 가명처리를 거친 연구 목적 정보로 세밀하게 한정할 것을 제안하였다.
나아가 이 법률안 제4조는 바이오데이터 활용에 관하여 다른 법률에 우선하여 적용되도록 규정한다. 이에 대해 개인정보보호위원회는 이 법이 「개인정보 보호법」에 우선 적용될 경우 기존 개인정보 보호 체계가 훼손되고 법 적용상 혼란이 발생할 수 있다는 우려를 제기하였다. 전문위원은 「산업 디지털 전환 촉진법」의 예를 들어, 산업적 진흥은 이 법을 우선 적용하더라도 개인정보의 처리와 정보 주체 권리 보장은 「개인정보 보호법」에 따르도록 조정하는 방안을 제시하였다. 연구개발 진흥을 임무로 하는 부처가 동시에 그 연구의 윤리적 적정성 심의까지 통제하는 구조는 이해상충의 소지가 있으며, 관련 부처와 국회 검토가 공히 그 정합성에 의문을 제기하고 있다.
- 제9조·제10조 — 통합과 강행적 공개의 결합에 따른 재식별 위험
제9조는 국민건강보험공단·건강보험심사평가원의 보험·진료 데이터, 공공보건의료기관의 환자 데이터, 국가연구개발사업의 바이오연구데이터 등을 단일 시스템에 통합하도록 하고, 국가R&D 데이터의 등록을 일률적으로 의무화(제9조 제6항)한다. 여기에 제10조가 통합 데이터를 “공개하여야 한다”는 강행 규정으로 개방을 의무화함으로써, 가명처리만을 조건으로 민감정보가 개방되는 구조가 형성된다.
전문위원 검토보고는 이 지점에서 다음을 명확히 하였다. 첫째, 보건의료정보나 유전체 데이터는 가명처리를 하더라도 다른 정보와의 결합을 통해 특정 개인을 재식별할 위험이 있으며, 희귀질환이나 소수 사례의 경우 사전 심의와 철저한 가명처리를 거치더라도 제3의 정보와 결합 시 개인이 드러날 위험을 현실적으로 완전히 배제하기 어렵다. 둘째, 개인정보보호위원회는 가명정보가 불특정 다수에게 공개될 경우 개인 식별 위험성이 현저히 높아지며, 이는 데이터 처리 환경·민감도 등을 고려하도록 한 가명정보 처리 특례의 취지에도 부합하지 않는다는 입장을 밝혔다. 이에 전문위원은 강행적 공개 의무(“공개하여야 한다”)를 “공개를 원칙으로 한다”는 유연한 형태로 조정하고, 재식별 위험이 있거나 정보주체가 동의를 철회한 경우 등 비공개 사유를 법률 본문에 명확히 규정할 것을 권고하였다.
우리가 이미 지적해 온 재식별 위험은 국내 데이터로도 확인된다. 일부 연구에 따르면, 한국인 데이터 분석은 45개 수준의 SNP만으로도 특정 개인의 식별이 가능함을 보였다. 또한 통합·공개 구조는 5천만 국민의 민감정보를 단일 데이터베이스에 집적하여, 침해 시 회복 불가능한 단일 실패점을 형성한다.
주목할 점은, 검토보고가 참조한 해외 주요국의 거버넌스가 오히려 우리 논지를 뒷받침한다는 것이다. 유럽연합의 유럽 보건데이터 공간(EHDS)은 2차 활용을 보건데이터 접근 기구의 사전 허가와 안전한 처리 환경 내 처리를 전제로 하고, 미국 All of Us와 영국 UK Biobank 역시 개방을 하되 엄격한 접근 심사와 통제 절차를 결합한다. 즉 국제적 흐름은 “개방과 통제의 결합”으로 접근 통제를 강화하는 방향인 데 반해, 이 법률안은 가명처리만을 조건으로 한 강행적 공개를 택하고 있어 방향이 배치된다.
- 제21조 — IRB와 데이터 심의를 하나로 묶는 통합 의제
제21조 제5항은 연구심의위원회의 심의를 생명윤리법상 심의(제15조·제16조·제18조·제36조·제38조 등)를 받은 것으로 의제하고, 제4항은 이를 “전부 또는 일부 통합하여 심의”할 수 있도록 한다. 과학기술정보통신부 산하 단일 위원회의 통합 심의를 통과하면 기관생명윤리위원회와 기관보건의료정보심의위원회(DRB) 심의를 일괄 통과한 것으로 보는 구조다.
전문위원 검토보고는 이 특례가 현행 기관생명윤리위원회 제도의 근본 취지인 ‘기관의 자율 책임성’과 상충한다고 지적하였다. 기존 제도가 개별 연구기관의 자율적 책임 아래 연구 대상자의 안전을 현장에서 밀착 관리·감독하는 구조인 반면, 이 법률안은 산하 위원회의 통과를 일괄 승인으로 간주한다. 보건복지부는, 신속성과 간소화만을 목적으로 운영될 경우 오히려 전문성 부족으로 심의가 지연될 수 있고, 신설 위원회에 연구 관리·감독 기능이 부재하여 결국 기존 기관생명윤리위원회가 다시 관리·감독을 해야 하는 이중 규제가 발생할 수 있으므로, 별도 기구 신설보다 현재 운영 중인 공용기관생명윤리위원회를 활용하는 것이 타당하다는 입장을 밝혔다.
무엇보다 이 법률안이 내세우는 “행정 부담 완화”라는 명분은 실증적으로 뒷받침되지 않는다. 검토보고에 따르면 공용기관생명윤리위원회는 2024년 기준 3,804건의 심의와 437건의 심의 면제를 처리하였고, 접수에서 심의까지 평균 11.5일이 소요되었으며, 개인정보 이용 및 AI 연구의 심의 면제 건은 약 80% 이상이 3일 이내에 처리되고 있다. 현행 체계가 이미 비교적 신속하게 작동하고 있다는 것은, IRB와 성격이 다른 DRB까지 하나의 산업 진흥 부처 위원회로 통합·의제해야 할 필요성이 크지 않음을 시사한다. IRB(연구의 윤리적·과학적 적정성)와 DRB(개인식별 위험 및 가명처리 적정성)의 분리는 검토하는 법익과 전문성이 다르기 때문이며, 이를 형식적으로 통합하는 것은 실질적 심의 공동화로 이어질 수 있다.
- 제23조·제24조 — 유전체정보의 동의 면제와 국외 이전
제23조 제1항은 “해당 정보만으로는 특정 개인을 알아볼 수 없는 유전정보”를 포함한 가명 바이오데이터를 정보주체의 동의 없이 처리할 수 있도록 한다. 이에 대해 개인정보보호위원회는 세 가지 이유로 반대 입장을 표명하였다. 첫째, 「개인정보 보호법」 제28조의2가 이미 과학적 연구 목적의 동의 없는 가명정보 처리를 허용하고 있으므로, 동일 내용을 반복하는 특례를 중복 신설하면 법 해석·적용의 혼란을 초래한다. 둘째, 제1항 제2호·제3호의 ‘불특정 다수에 관한 정보’는 개념상 이미 특정 개인을 식별할 수 없는 정보인데, 이를 대상으로 ‘동의 면제’를 선언하는 것은 자기 모순적이며 명확성의 원칙에 위배된다. 셋째, 유전체정보 역시 현행 개인정보 보호법 체계상 이미 가명처리 대상에 해당하므로 별도 유형으로 명시할 실익이 크지 않다.
이러한 지적은 유전체정보의 특수성에 관한 국제 학술계의 합의와도 맞닿아 있다. 가명처리된 유전체정보는 여전히 식별 가능한 개인정보로 취급되어야 하며, 유전체정보는 부모·형제·자녀 등 제3자의 정보를 포함하므로 “본인 동의”라는 틀만으로는 그 처분을 정당화하기 어렵다.
제24조는 국제학술지 논문 검증을 명분으로 가명처리만을 조건으로 바이오연구데이터의 국내외 조회를 허용한다. 검토보고는 이를 국제 검증 관행의 반영으로 일부 긍정하면서도, 개인정보보호위원회가 개인 정보의 불필요한 국외 처리를 막기 위해 검증 주체·내용을 명확히 하고 가명정보의 재식별 가능성을 최소화할 안전장치가 필요하다는 입장임을 함께 기록하였다. 앞서 확인한 유전체정보의 재식별 위험을 고려하면, 이 조항은 실효적 안전장치 없이 한국인 유전체정보의 국외 조회를 일반화할 우려가 있다.
- 제3조·제25조·제26조 — 규제 완화의 상시화
제3조 제3항은 규제 최소화를 국가의 노력 의무로 선언하고, 제25조·제26조는 규제 발굴·개선을 별도로 두어 연구자에게 규제 개선 신청권을 부여한다. 이 구조는 향후 환자 보호를 위한 입법·행정 조치를 상시적으로 “완화 대상”에 편입시켜 보호 체계의 발전을 제약할 우려가 있다.
전문위원 검토보고 역시 제3조 제3항에 대하여, 이 법률안이 규율하는 대상이 국민의 생명·신체 및 유전 정보 등 고도의 윤리적 기준이 요구되는 민감정보라는 점을 감안할 때, 국가 등의 책무에 ‘규제 최소화’를 명시적으로 규정하는 것은 신중한 논의가 필요하다고 지적하였다. 민감정보 영역에서 규제 완화를 국가의 상시적 책무로 못박는 접근은 유사 산업 진흥 입법례와 구분되어 다루어져야 한다.
이상의 쟁점은 개별 조항의 부분 수정만으로 해소되기 어렵다. 통합·강행적 공개·동의 면제·심의 의제·규제 완화가 상호 강화하는 구조 자체에서 비롯되며, 국회 전문위원 검토보고와 보건복지부·개인정보보호위원회의 공식 의견 또한 그 위험성을 공통적으로 확인하고 있다. 이에 이 법안을 폐기할 것을 요구한다. 산업 진흥은 환자와 시민의 신뢰 위에서만 지속 가능하며, 신뢰 기반을 훼손하는 입법은 산업의 기반 또한 약화시킨다.
2026년 7월 7일
건강보험 빅데이터 민간개방 저지 공동행동
