디지털헬스케어 법안, 민간 의료플랫폼에 모아지는 내 의료기록
이달 초 비대면 진료 플랫폼 닥터나우는 이용자들에게 '건강 정보 마케팅 활용 동의'를 받기 시작했다. 동의하면 진료 과목과 증상, 처방 받은 약, 이용한 병원과 약국 같은 정보가 앱 이용 기록과 함께 맞춤형 광고와 추천에 쓰인다.
회사는 동의하지 않아도 진료받는 데에는 영향이 없다고 설명하지만, 진료를 받으려고 앱을 연 이용자가 그 의미를 하나하나 따져 보고 고르기는 쉽지 않다. 내 진료·처방 정보가 광고에 쓰이는 길이 열린 셈이다.
문제는 앞으로 민간 의료 플랫폼에 모일 수 있는 의료 정보가 크게 늘어날 수 있다는 점이다. 진료 예약이나 비대면 진료에 쓰이는 플랫폼은 병원과 약국을 이용하는 과정에 놓여 있어 이용자가 곧 환자이다.
이들 플랫폼은 진료 중개에 그치지 않고 건강관리와 맞춤형 정보 제공 같은 디지털 헬스케어 서비스로 사업을 넓혀 가고 있는데, 기업으로서는 특정 질환을 앓고 있는 사람들을 한곳에서 만나 상품과 서비스를 효과적으로 알릴 수 있는 셈이다. 더구나 디지털 헬스케어 서비스는 완성된 상품이라기보다 데이터가 쌓여야 효과를 확인하고 다듬을 수 있는 성격이 강해, 플랫폼을 쓰는 환자는 이용자이면서 동시에 데이터 제공자가 된다.
국회 보건복지위원회에는 디지털 헬스케어 관련 법안 5건이 계류되어 있고, 보건복지부는 이 법안들을 하나로 정리해 심사할 수 있도록 '디지털 헬스케어 및 보건의료 정보 활용 지원에 관한 법률안'(이하 정부안)을 따로 마련해 국회에 내놓았다.
정부는 정부안이 의료 정보의 활용과 보호 사이의 균형을 맞추기 위한 것이라고 설명하지만, 법안을 들여다보면 무게는 활용 쪽으로, 그것도 산업적 활용 쪽으로 기울어 있다. 정부안의 문제는 여러 측면에서 짚을 수 있지만, 그 가운데서도 환자가 이용하는 민간 의료 플랫폼에 의료 정보가 모이는 문제는 특히 따져 볼 필요가 있다.
진료실보다 산업을 향한 법
보건복지부가 마련한 정부안은 병원과 약국에 있는 진료·조제 기록이 밖으로 나갈 수 있는 길을 크게 두 갈래로 넓힌다. 첫째, 병원과 약국은 정부나 정부가 지정한 2차활용 지원기관이 요청하면 환자의 진료·조제 기록을 가명 처리해 내줘야 한다. 이름을 가린 이 정보는 통계와 '과학적 연구'에 쓰이는데, 개인정보보호법은 과학적 연구에 기술의 개발과 실증, 민간 투자 연구까지 포함하고 있어 기업의 상품 개발에 쓰일 길도 열려 있다.
둘째, 환자가 요구하면 모든 병원과 약국은 진료·처방·조제 기록을 환자가 지정한 '관리전문기관'에 보내야 하고, 의료 이용을 중개하는 플랫폼을 비롯한 민간 기업도 이 관리전문기관이 될 수 있다. 지금은 의료법과 약사법이 진료·조제 기록을 제3자에게 넘기는 것을 제한하고 있어 이런 활용이 일부에 그쳐 왔는데, 정부안은 이를 넘어서는 법적 근거를 만들려는 것이다.
법안에는 연구개발 투자, 해외 진출, 산업 육성 지원까지 구체적으로 담겼지만, 정작 진료 현장에 필요한 장치는 빠져 있다. 의료기관 사이의 진료정보교류는 참여 기관이 전체의 4분의 1에 그치고 그마저 80% 이상이 지난해 정보를 한 건도 보내지 않았다.
의약품안전사용서비스(DUR)의 투약 이력 조회는 환자 동의와 본인 인증이 번거로워, 이를 건너뛰는 '응급조회'가 지난해 636만 건으로 3년 새 2.7배가 되었다. 그런데도 정부안은 관리전문기관으로의 정보 전송은 의무로 정하면서 진료·조제 현장의 정보 교류를 실질적으로 넓히는 장치는 두지 않았다. 즉 환자의 의료 정보가 치료보다 산업에 먼저 쓰이는 구조인 것이다.
플랫폼에 모이는 의료정보
진료 예약과 비대면 진료를 중개하는 플랫폼은 병원과 약국을 찾는 또 하나의 창구로 자리 잡아 가고 있다. 앱으로만 접수를 받는 동네 의원이 생겨났고, 대표적인 예약 앱 똑닥은 2023년 유료 멤버십으로 전환했다.
그럼에도 정부안에는 이런 의료 플랫폼 기업이 관리전문기관이 되는 것을 제한하는 기준은 없다. 실제로 비대면 진료 플랫폼 나만의닥터는 이미 의료 분야 전문기관으로 지정되었고, 법이 시행되면 별도의 심사 없이 그 지위를 이어간다. 예약과 진료 과정에서 쌓인 이용 기록에 다른 병원과 약국의 진료·조제 기록, 공공기관이 가진 건강검진 정보까지 한 기업에 모일 수 있는 것이다.
의료 정보가 한 기업에 모였을 때 어떤 일이 생길 수 있는지는 미국 사례가 보여준다. 체인지헬스케어는 미국 전역의 병원·약국과 보험사 사이에서 진료비 청구를 중개하며 환자 기록 세 건 중 한 건을 다루던 회사였다. 2024년 이 회사가 해킹당하자 전국 병원과 약국의 청구와 결제가 수 주 동안 마비되었고, 약 1억 9000만 명의 병력과 보험 청구 정보가 한꺼번에 유출되었다.
정부는 가명 처리를 안전장치로 내세우지만, 이름을 가린 정보도 다른 정보와 결합하면 다시 누구인지 알아낼 수 있고, 이용 기록을 많이 가진 플랫폼일수록 결합할 정보도 많다. 실제로 2016년 호주 보건부가 이름을 가린 채 공개한 약 250만 명의 진료·처방 청구 데이터는 암호화의 허점이 드러나 한 달여 만에 회수되었고, 연구진은 공개된 정보와 대조해 전·현직 국회의원 등 7명의 기록을 찾아낼 수 있었다고 밝혔다.
그런데도 정부안에는 내 의료 정보를 2차 활용에서 빼 달라고 요구할 권리, 이른바 옵트아웃이 없다. 유럽연합은 2025년 제정한 유럽건강데이터공간(EHDS) 규정에서 시민이 이유를 밝히지 않고도 언제든 2차 활용해서 빠질 수 있도록 했고, 영국은 2018년부터 환자가 자신의 의료 정보를 연구와 정책 수립에 쓰지 못하게 하는 국가 데이터 옵트아웃 제도를 운영하고 있다. 의료 정보는 한번 밖으로 나가면 되돌릴 수 없다는 점을 제도로서 인정한 것이다.
허술한 안전망, 늦어지는 공공 체계
사고가 났을 때의 안전망도 허술하다. 정부안은 이 법에 따른 의료 정보를 상업적 목적으로 쓰지 못하게 하는 원칙을 두었지만, 이를 어겼을 때의 처벌이나 과태료, 시정명령은 법안에 없다. 또 이 원칙은 '이 법에 따라' 처리하거나 제공받은 정보에만 적용되어, 플랫폼이 의료 이용을 중개하는 과정에서 쌓인 정보에는 미치지 않는다. 앞서 본 닥터나우의 마케팅 활용도 이 원칙으로는 막을 수 없는 것이다.
결국 피해 구제는 개인정보보호법의 일반 규정에 맡겨지는데, 피해자 전체를 대표해 배상을 청구하는 집단소송 제도가 없다. 2025년 쿠팡에서 약 3755만 명의 정보가 유출된 뒤 소비자분쟁조정위원회가 신청자 50명에게 1인당 10만 원 배상을 결정했지만, 쿠팡이 이를 거부하면서 피해자들은 결국 각자 소송에 나서야 하는 처지가 되었다. 즉 되돌릴 수 없는 의료 정보를 다루는 특별법이면서도 처벌과 피해 구제는 일반 개인정보보다 나을 것이 없는 셈이다.
공공의 대안도 늦다. 비대면 진료를 제도화한 개정 의료법은 오는 12월 24일 시행되지만, 국민건강보험공단이 구축하는 공공 비대면 진료 지원시스템과 전자처방 전달시스템은 2027년 시범 운영을 거쳐 2028년에야 본격 운영될 예정이다. 그 사이 환자와 병원·약국을 잇는 창구는 민간 플랫폼이 먼저 차지하게 되고, 정부안이 지금 모습대로 통과되면 이 플랫폼에 여러 병원과 약국의 진료·조제 기록과 검진 정보까지 모일 수 있게 된다.
국회가 답해야 할 물음
의료법과 약사법이 진료기록과 조제기록을 엄격히 보호해 온 것은 환자가 의사와 약사 앞에서 증상과 병력을 있는 그대로 말할 수 있어야 제대로 된 진료와 조제가 가능하기 때문이다. 내 진료 내용이 어디에 쓰일지 모른다면 환자는 증상을 덜 말하거나 진료를 미룰 수 있고, 그 피해는 환자 자신과 공중보건으로 돌아온다. 디지털 시대에 의료 정보를 다루는 법안은 기술의 발전과 함께 이 신뢰 또한 반드시 지킬 수 있어야 할 것이다.
국정감사를 마치고 다시 심사에 나설 국회가 물어야 할 것은 그래서 단순하다. 이 법으로 환자는 무엇을 더 얻는가. 내 의료 정보가 병원과 약국에서 내 치료에 먼저 쓰이는가, 원하지 않는 활용을 거절할 수 있는가, 진료를 받으려고 거쳐야 하는 기업이 내 의료 기록을 광고와 영업, 자사 서비스 개발에 쓰지 못하도록 막을 수 있는가, 사고가 났을 때 제대로 배상 받을 수 있는가.
지금의 정부안은 어느 물음에도 분명하게 답하지 못한다. 한번 쌓인 데이터와 한번 자리 잡은 플랫폼의 영향력은 나중에 되돌리기 어려운 만큼, 국회의 심사는 이 물음들에 답하는 데서 출발해야 한다.
▲'디지털 헬스케어법' 폐기 요구 서명 웹포스터보건의료단체연합
> '디지털 헬스케어법' 반대 서명 동참하기 https://m.site.naver.com/2grdc
덧붙이는 글 [참고 자료]
1. 닥터나우 '건강 정보 마케팅 활용 동의' 데일리팜,"'닥터나우, 처방전·진료증상 '마케팅 활용 동의' 추진 논란", 2026.10.8. https://dailypharm.com/user/news/343180
2. 디지털 헬스케어 법안 계류 현황과 정부안 국회 의안정보시스템, 디지털 헬스케어 관련 법률안 5건. 보건복지부, '디지털 헬스케어 및 보건의료정보 활용 지원에 관한 법률(안)' 공청회 보도자료, 2026.6.22. https://eiec.kdi.re.kr/policy/materialView.do?num=283049 메디게이트뉴스, 2026.9.15. https://www.medigatenews.com/news/398275687
3. 정부안 조문 보건복지부, '디지털 헬스케어 및 보건의료정보 활용 지원에 관한 법률안'(정부 대안) 제2조(정의), 제4조(활용 원칙), 제13조(2차활용), 제15조(가명처리), 제19조(전송 요구), 제20조(관리전문기관), 부칙 제5조.
4. 과학적 연구의 범위 '개인정보 보호법' 제2조 제8호. https://www.law.go.kr/법령/개인정보보호법
5. 진료정보교류 참여율(25.3%)과 미전송 기관 비율(82.1%) 메디게이트뉴스, '서영석 의원, 진료정보교류 참여기관 실이용 17.9% 지적', 2026.10.21. https://www.medigatenews.com/news/1980580459
6. DUR 투약이력 응급조회(2022년 232만 건 → 2025년 636만 건) 와이드경제, '환자 동의없는 투약이력 응급조회 3년새 2.7배 증가', 2026.10.2. (허종식 의원실, 건강보험심사평가원 제출 자료) https://www.widedaily.com/news/articleView.html?idxno=301680
7. 똑닥 유료 멤버십 전환과 앱 전용 접수 의원 시사IN, 2023.9.24. https://www.sisain.co.k
8. 나만의닥터의 관리전문기관 지정, 메디게이트뉴스, '메라키플레이스, 복지부 의료 마이데이터 개인정보관리 전문기관 지정', 2026.1.28. https://medigatenews.com/news/2770230400
9. 체인지헬스케어 해킹American Hospital Association, "AHA Survey: Change Healthcare Cyberattack Significantly Disrupts Patient Care, Hospitals' Finances", 2024.3.15.
https://www.aha.org/2024-03-15-aha-survey-change-healthcare-cyberattack-significantly-disrupts-patient-care-hospitals-finances
CyberInsider, "Change Healthcare revises breach impact to 192.7 million individuals", 2025.
https://cyberinsider.com/change-healthcare-revises-breach-impact-to-192-7-million-individuals/
10. 호주 보건부 진료·처방 데이터 재식별 Office of the Australian Ination Commissioner, "MBS/PBS data publication" 조사 보고, 2018.3.23. https://www.oaic.gov.au/privacy/privacy-decisions/investigation-reports/mbspbs-data-publication/
University of Melbourne, "Research reveals de-identified patient data can be re-identified", 2017.12.
https://www.unimelb.edu.au/newsroom/news/2017/december/research-reveals-de-identified-patient-data-can-be-re-identified
11. 유럽연합 EHDS 옵트아웃 Regulation (EU) 2025/327 on the European Health Data Space, 제71조. https://eur-lex.europa.eu/eli/reg/2025/327/oj
12. 영국 국가 데이터 옵트아웃 NHS England, National data opt-out. https://digital.nhs.uk/services/national-data-opt-out
13. 쿠팡 개인정보 유출과 분쟁조정 뉴시스, 개인정보위 쿠팡 3,755만 명 유출 확인, 2026.6.11. https://mobile.newsis.com/view/NISX20260611_0003665508
M이코노미뉴스, '쿠팡 개인정보 유출 첫 배상책임 인정…집단분쟁조정 50명에 10만원', 2026.7.31.
https://www.m-economynews.com/mobile/article.html?no=69279
SBS Biz, '쿠팡, '1인당 10만원 배상' 소비자원 조정안 '거부'', 2026.9.15. https://biz.sbs.co.kr/amp/article/20000334799
14. 비대면진료 의료법 시행과 공공 시스템 일정 '의료법'(2026.12.24 시행) 제34조의2~제34조의9.
https://law.go.kr/LSW/lsRvsDocListP.do?chrClsCd=010202&lsId=001788&lsRvsGubun=all
데일리팜, 「비대면진료 12월 시행인데 공공플랫폼은 2028년 개통」, 2026.10.19. https://dailypharm.com/user/news/343545