개인정보위, 복지부 등과 의료 마이데이터 활성화 방안 논의

개인정보 전송 요구 시 유·노출사고 예방 중점 논의

질병관리청 등 보건·의료기관, 다중 인증 도입 등 보안 강화

[서울=뉴시스] 개인정보보호 위원회. 2021.11.25. (사진=개인정보보호위원회 제공) [e-mail]

[서울=뉴시스]윤정민 기자 = 개인정보보호위원회는 지난 25일 정부서울청사에서 보건복지부, 질병관리청, 한국보건의료정보원, 건강보험심사평가원, 국민건강보험공단 등 주요 보건·의료기관과 함께 '의료 마이데이터 활성화 및 개인정보 보호 강화'를 주제로 관계기관 협력회의를 개최했다고 27일 밝혔다.

정보 주체의 자기정보 통제권을 실질적으로 보장하면서 홈페이지 등을 통한 개인정보 전송 요구 시 유·노출 사고를 예방하기 위한 기술·제도적 방안을 논의하고자 마련됐다.

회의에서는 최근 급증하고 있는 크리덴셜 스터핑(해커가 이미 유출되거나 사전에 탈취한 사용자 계정(ID)과 비밀번호를 다른 홈페이지 등에 무작위로 대입해 로그인이 성공하면 해당 사용자 정보를 빼가는 공격 수법) 등 개인정보 침해 위협에 대응하기 위해 기존의 스크래핑 방식 등을 이용한 과도한 개인정보 수집으로 인한 침해를 예방하고 신뢰성과 안전성을 갖춘 개인정보관리 전문기관 역할을 확대하는 방안을 논의했다.

개인정보위는 제3자에게 개인정보를 전송하도록 요구하는 '제3자전송요구'는 이미 표준 애플리케이션 프로그래밍 인터페이스(API)를 기반으로 안전한 전송체계를 구축한 반면 정보 주체가 직접 다운로드할 수 있는 '본인전송요구' 중에서 제3자가 정보 주체로부터 인증정보를 위임받아 자동화 도구(스크래핑 등)를 통해 정보를 대리해 수집할 경우에는 기술·관리적 취약점이 발생할 수 있다고 말했다.

이를 예방하기 위해 정보전송자 협력이 필요하다고 강조했다. 정보전송자는 개인정보를 전송하기 전 정보 주체 본인 여부 또는 정당한 대리인인지 여부를 확인해야 하며 자동화 도구를 통한 무차별 대입 공격 등 정보 주체 확인이 어려운 상황에 대비한 보안 조치가 필수적이다. 특히 본인전송요구는 정보전송자의 홈페이지를 통해 처리되는 만큼 웹사이트를 통한 개인정보 유출 방지를 위한 기술·관리적 보호조치 이행이 중요하다.

참석기관들은 캡차(CAPTCHA, 사용자가 사람인지 자동화된 기계인지 구분하기 위해 문자, 숫자 등을 활용해 인증하는 방식) 적용, 다중 인증(MFA) 도입, 비정상 로그인 시도 탐지·차단 등 보안 기능 강화를 위한 기술적 조치를 하기로 했다. 또 웹사이트 운영자가 사전협의를 거쳐 안전하고 신뢰할 수 있다고 판단되는 경우만 자동화 도구 접근을 허용하는 방식으로 서비스 이용약관을 개정하는 등 제도적 장치 도입을 검토하기로 했다.

개인정보위는 신뢰성과 안전성을 갖춘 전문기관의 역할을 확대해 정보 주체가 본인전송요구 또는 제3자전송요구를 보다 안전하고 효율적으로 수행할 수 있도록 지원할 것이라고 말했다. 전문기관은 API 연계 또는 암호화된 스크래핑 방식 등 기술적 보호조치가 확보된 환경에서 자동화 도구를 활용한 대리 수집을 제한적으로 허용할 수 있도록 협의 체계를 구축하게 된다.

예를 들어 정보전송자가 전문기관으로부터 본인전송요구를 받은 경우 API 직접 연계, 중계전문기관을 통한 API 연계, 한시적으로 허용되는 암호화된 스크래핑 방식 등 다양한 방식을 통해 개인정보를 전송할 수 있도록 관계기관 간 협의를 검토하는 방식이다.

이날 논의된 주요 내용은 이달 말 발간 예정인 '(전 분야 마이데이터) 개인정보 전송요구권 제도 안내서'에 반영될 예정이며 관계기관과의 협의를 통해 구체적인 전송 방안 등을 마련할 계획이다.

하승철 범정부 마이데이터 추진단장은 "국민의 의료데이터에 대한 자기결정권을 실질적으로 보장하기 위해서는 무엇보다 개인정보의 안전한 관리와 책임 있는 활용이 중요하다"며 "관계기관들과의 지속적인 협력을 통해 국민이 안심할 수 있는 신뢰 기반의 데이터 생태계를 조성해 나가겠다"고 밝혔다.


◎공감언론 뉴시스 [e-mail]