바이오 기업의 연구개발, 다국가 임상시험, 글로벌 CRO·중앙검사실, 클라우드 기반 분석 인프라는 헬스케어 데이터의 국경 간 이동을 전제로 한다. 개인에 관한 보건정보는 민감성이 높은 정보로 취급될 수 있고, 사안에 따라 연구자산, 규제 제출자료, 영업비밀의 성격도 가질 수 있다. 이제 헬스케어 데이터의 국외 이전은 해외 이전 동의를 넘어, 이전 이후에도 데이터의 목적·경로·수령자·재이전을 통제하고 입증하는 내부통제 체계의 문제로 재편되고 있다. 본 기고는 국내 바이오 기업이 유의할 주요 관리 방향을 제시한다.

헬스케어 데이터 국외 이전 리스크의 확산:
데이터 주권에서 이전 후 통제 가능성으로

바이오산업에서 데이터 국외 이전은 예외적 사건이 아니라 일상적 운영 구조가 되고 있다. 다국가 임상시험에서는 임상시험수탁업체(CRO), 중앙검사실, 유전체 분석기관, 클라우드 기반 데이터 플랫폼 등 복수의 해외 주체가 데이터 처리에 관여한다. 국내 데이터가 해외 서버에 저장되는 경우뿐 아니라, 해외 본사, CRO, 기술지원 인력 또는 분석 벤더가 국내 서버에 접속해 데이터를 조회하는 경우도 중요한 국외 이전 리스크가 된다.

한국 개인정보보호법은 개인정보를 국외로 제공하는 경우뿐 아니라, 국외에서 조회되는 경우, 처리위탁, 보관까지 국외 이전의 범주에 포함한다. 따라서 서버의 물리적 위치만 확인하는 방식으로는 충분하지 않다. 누가, 어느 국가에서, 어떤 권한으로, 어떤 데이터에 접근할 수 있는지를 기준으로 데이터 흐름을 다시 보아야 한다.

이 점은 인공지능(AI)·의료기기 소프트웨어(SaMD) 개발에서 더 중요하다. AI 기반 분석이나 SaMD에 활용되는 데이터는 모델 성능과 설명 가능성을 뒷받침하는 증적 자료가 될 수 있다. 따라서 데이터 국외 이전 컴플라이언스는 제품 개발, 임상 운영, 품질관리, 보안, 계약, 분쟁 대응을 연결하는 내부통제 이슈가 된다.

주요국 규제 동향과 비식별화의 한계:
가명 처리는 만능키가 될 수 있는가

헬스케어 데이터 국외 이전에서 국내 기업이 자주 오인하는 지점은 가명 정보의 법적 효과다. 한국 개인정보보호법은 통계작성, 과학적 연구, 공익적 기록보존 등을 위해 가명정보를 정보 주체의 동의 없이 처리할 수 있는 특례를 두고 있다. 그러나 이것이 곧 가명 정보를 제한 없이 해외로 이전하거나, 해외 수령자가 자유롭게 재이전·재활용할 수 있다는 의미는 아니다. 국외 제공, 처리위탁, 보관 또는 해외 수령자의 조회가 발생하는 구조에서는 별도의 국외 이전 요건과 보호조치가 문제될 수 있다.