의료 시스템은 나라마다 다르지만, 의료 기록이 매우 개인적인 정보라는 점은 누구나 인정합니다. 이러한 문서에는 우리의 가장 사적이고 때로는 불편할 수 있는 순간들이 고스란히 담겨 있습니다. 우리는 이 데이터를 의료진에게 맡길 수밖에 없는데, 선택의 여지가 없기 때문이기도 하고 그래야 최선의 치료를 받을 수 있다고 믿기 때문입니다.
그러나 인터넷의 다른 분야와 마찬가지로, 의료 업계 일각에서는 환자 데이터를 수익화하려는 움직임도 있습니다. 문제는 전문 의료 서비스를 아예 받지 않겠다고 결정하지 않는 한, 이러한 정보가 존재할지 여부를 스스로 선택할 수 없다는 점입니다. 버튼 하나로 자신의 병력을 삭제할 수는 없으니까요.
만약 유의미한 방식으로 동의를 구할 수 없다면, 의료기관이 애초에 환자의 의료 기록을 판매하거나 공유하는 것이 허용되어야 할까요?
왜 의료 기록은 비밀로 유지되어야 할까?
아프거나 의학적 조언이 필요할 때 대부분의 사람들은 먼저 의사를 찾습니다. 의료 전문가가 신체와 질병, 약물을 다루도록 훈련받았기 때문이라는 건 당연해 보입니다. 하지만 또 다른 중요한 이유가 있으니, 바로 '사생활 보호'입니다. 많은 사람들이 친구나 가족과도 속사정을 이야기하기 어려워합니다. 복잡한 사회적·역사적 이유로 어떤 질병은 부끄럽거나 창피하다고 느껴질 수 있기 때문입니다.
건강은 개인의 문제인 동시에 집단의 문제이기도 합니다. 코로나19 팬데믹은 의료 개입의 양면성을 잘 보여주었습니다. 누군가 바이러스에 감염되면 본인이 심하게 아플 수 있고, 치료받지 않으면 친구, 가족, 직장 동료 등 주변 사람들에게 바이러스를 옮길 수도 있습니다. 따라서 사람들이 자신의 상황이 어떻게 평가될지 걱정하지 않고 의료 전문가와 솔직하게 대화할 수 있어야 합니다.
질병은 고립된 채 발생하지 않기 때문에, 환자와 그 상태에 대한 일부 정보를 공유하는 것이 도움이 되거나 필수적인 경우가 있습니다. 질병 발생을 감시하고 피해를 예방하거나 법적 의무를 이행하기 위한 통합 데이터베이스가 대표적입니다. 환자가 자신의 데이터가 어떻게 공유되는지 충분히 알고, 의사·병원·의료 전문가들이 이 극도로 민감한 정보를 신중하게 다룰 것이라고 신뢰할 수 있어야 합니다.
어떤 법률이 의료 프라이버시를 보호할까?
20세기 현대 의학이 발전하기 전에는 병원을 찾아도 기록을 남기지 않는 경우가 많았습니다. 기록을 남기더라도 종이 한 장짜리 사본에 불과해 의료진 본인만 볼 수 있었습니다. 그러나 지금은 그 어느 때보다 많은 데이터가 자동화된 방식으로 수집됩니다. 예를 들어 혈액 검사가 필요하면 의료기관이 검체 채취 예약을 도와줍니다.
이후 혈액은 검사를 위해 실험실로 보내집니다. 대부분의 병원이나 진료소는 자체 검사 시설을 갖추고 있지 않아 제3자가 운영하는 곳에서 검사가 이루어집니다. 즉, 이 단순한 사례에서도 건강 관련 데이터가 여러 곳에서 생성된 뒤 의료기관에 취합된다는 것을 알 수 있습니다. 내 주치의를 믿더라도, 내 의료 데이터에 누가 접근하는지에 대해 항상 충분히 알고 결정할 수는 없습니다.
치료를 받으려면 이런 데이터 공유가 때로는 불가피합니다. 그래서 의료기관이 비밀 엄수와 프라이버시 보호를 해줄 것이라 믿게 되지만, 데이터가 안전하게 보관되고 동의 없이 공유되지 않도록 보장하는 장치도 필요합니다. 세계 각국의 입법자들이 이 문제를 해결하려 노력해 왔으며, 많은 나라에서 의료 데이터에 대한 일정 수준의 법적 보호가 마련되어 있습니다.
미국의 경우 주마다 환자 데이터 관련 법률이 달라 상황이 복잡합니다. 그러나 1996년 빌 클린턴 대통령이 '1996년 건강보험 이전성과 책임법(HIPAA)'에 서명했습니다. 이 연방법은 모든 환자가 자신의 개인 건강 정보(PHI)를 열람할 권리, 잘못된 데이터의 수정을 요청할 권리 등 다양한 프라이버시 관련 권리를 보장했습니다.
이후 2009년 버락 오바마 대통령은 '2009년 미국 회복 및 재투자법(ARRA)'을 제정했고, 여기에는 '경제 및 임상 건강을 위한 건강 정보 기술법(HITECH Act)'이 포함되어 있습니다. HITECH의 D조항은 특히 전자 건강 기록(EHR)의 프라이버시 조항을 다룹니다. HITECH는 기존 법률을 개선하고 제3자가 환자 데이터를 처리하는 방식과 HIPAA 및 HITECH 위반 시 처벌에 대한 지침까지 담고 있습니다.
누가 당신의 의료 데이터를 사용할까?
법적으로 데이터를 보호하는 장치가 있다 해도 실제 상황이 항상 같지는 않습니다. 보험 기반 의료 시스템은 상황을 더욱 복잡하게 만듭니다. 주치의와의 관계는 유지될 수 있지만, 보험사 선택은 시간에 따라 바뀔 수 있습니다. 이들 회사는 영리 기업이므로 비용이 큰 서비스를 줄이거나 제한하려는 유인이 있는 것도 당연합니다.
그런데 이런 판단을 하려면 보험사에 데이터가 필요합니다. 보험사는 의료기관과 과거 병력에서 의료 수요 관련 데이터를 수집할 수 있지만, 이를 다른 데이터셋과 결합하는 경우가 많습니다. 예를 들어 2018년 프로퓨블리카(ProPublica)는 보험사가 수집하는 개인 정보를 조사했는데, 데이터 브로커가 보험사와 긴밀히 협력해 사람들의 교육 수준, 순자산, 가족 구성, 인종, 심지어 소셜 미디어 게시물까지 공유한다는 사실을 밝혀냈습니다.
HIPAA와 HITECH는 의료 데이터를 보호하지만 다른 종류의 데이터에는 적용되지 않습니다. 그래서 이들 기업은 기존 정보를 의료 기록과 연결하려는 시도를 늘리고 있습니다. 문제는 보험사에만 국한되지 않습니다. 영국은 국가가 보편적 의료를 제공하며, 국민보건서비스(NHS)는 세금으로 운영되어 다른 의료 시스템과 같은 상업적 압력을 받지 않습니다.
그러나 NHS가 제3자와 데이터를 공유해야 할 때 상황은 꽤 복잡해질 수 있습니다. 2016년 NHS가 구글 소속 인공지능 기업 딥마인드(DeepMind)와 환자 데이터를 공유해 온 사실이 드러났습니다. AI가 일부 의료 판단을 자동화하거나 개선해 더 나은 결과를 낼 수 있으리라는 기대 때문이었습니다. 그러나 해당 데이터 공유에 대해 환자들의 사전 동의는 전혀 없었고, 이 계약은 법을 위반한 것으로 판명되었습니다.
몇 년 뒤 딥마인드는 이 계약들을 유사한 구글 자회사인 구글 헬스(Google Health)로 넘겼습니다. 구글 헬스가 환자 데이터에 어느 정도 접근 권한을 갖는지는 명확하지 않지만, 뉴 사이언티스트(New Scientist)에 따르면 기존의 분석 중심적 딥마인드 작업보다 더 폭넓은 권한을 가진 것으로 보입니다. 데이터에 굶주린 구글의 행보를 경계하는 사람들이 많은 데에는 이유가 있습니다. 구글이 핏빗(Fitbit)을 인수한 후에는 계정과 연동된 각종 피트니스 데이터까지 보유하게 되면서 우려는 더 커졌습니다.
정보에 입각한 동의가 필요한 이유
딥마인드 계약이 법을 위반한 데에는 여러 이유가 있었지만, 핵심 중 하나는 환자들의 정보에 입각한 동의가 없었다는 점입니다. 비밀 엄수와 신뢰는 의료의 핵심 요소입니다. 만약 사람들이 의료기관이나 그들이 협력하는 기업들을 경계하기 시작하면, 치료를 받지 않거나 모든 의료에 대해 냉소적이고 불신하게 될 수 있습니다.
의료, 특히 약품과 백신에 대한 잘못된 정보는 수십 년간 만연해 왔지만, 코로나19 팬데믹은 의료기관에 대한 불신이 얼마나 광범위해졌는지 보여주었습니다. 예를 들어 일부는 코로나19 백신에 마이크로소프트 공동창업자 빌 게이츠가 만든 마이크로칩이 들어 있다고 믿었고, 5G 네트워크가 코로나바이러스를 퍼뜨리는 데 쓰였다고 생각하는 사람도 있었습니다.
데이터 관리 실패, 불투명하거나 모호한 수집 관행, 비밀스러운 데이터 공유 계약은 더 큰 불신을 조장할 가능성이 높습니다. 그러나 세계적 유행병이든 개인의 질병이든, 사람들은 자신의 의료기관과 편안하게 정보를 공유할 수 있어야 합니다. 지난 한 세기 동안 이룩한 의학의 발전은, 사람들이 의료 시스템에 대한 신뢰를 잃으면 위태로워질 수 있습니다.
반면 데이터 공유는 예상치 못한 방식으로 건강 결과를 개선할 수도 있습니다. 대규모 통합 데이터셋은 연구자들이 추세를 파악하고 개입 효과를 추적하는 데 도움을 줄 수 있습니다. 미국 같은 나라가 양질의 의료 데이터를 확보할 수 있다면, 자원이 부족한 국가들과 인사이트를 공유해 글로벌 건강 격차를 줄이는 데 기여할 수도 있습니다.
하지만 무엇보다 개별 환자가 자신이 공유하는 데이터가 무엇인지, 어떤 용도로 쓰이는지, 그리고 어떻게 자신의 데이터에 접근할 수 있는지 충분히 안내받아야 합니다.
당신은 의료 기록을 공유할 의향이 있나요?
대규모 데이터셋은 비용을 절감하고, 건강 결과를 개선하며, 복잡한 치료법 개발을 앞당길 수 있습니다. 전 세계적으로 의료 기록이 디지털화되면서 이 데이터를 다른 연구자, 국가, 기업과 공유하기가 점점 쉬워지고 있습니다.
이러한 협력적 접근의 이점은 어마어마할 수 있습니다. 다만 반드시 개인 프라이버시를 희생할 필요는 없습니다. 정보에 입각한 동의 없이 데이터를 공유하는 기업들은 세계 의료 시스템에 대한 신뢰를 스스로 무너뜨리고 있습니다.
이는 사회에 상당한 리스크입니다. 데이터를 모아 놓고도 제대로 활용하지 못할 수 있고, 더 나쁘게는 의료기관에 대한 적대적이고 불신하는 태도를 조성해 우리 모두를 더 취약하게 만들 수 있습니다.
그럼에도 우리는 기술로 예방 가능한 질병을 피할 수 있습니다. 예를 들어 프라이버시를 중시하는 접촉자 추적 앱은 질병 전파를 차단하는 데 중요한 역할을 했습니다.