2011. 3. 29 국회는 개인정보의 수집ㆍ유출ㆍ오용ㆍ남용으로부터 사생활의 비밀 등을 보호함으로써 국민의 권리와 이익을 증진하고 나아가 개인의 존엄과 가치를 구현하기 위하여 개인정보 처리에 관한 상항을 규정하기 위해 개인정보보호법을 제정하였다. 이 법은 2011. 9. 30 시행되는바, 의료기관 내지 의료인과 밀접하게 관련되는 사항에 대하여 간단하게나마 살펴보고자 한다. 이 법에서 “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다. 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 하며, 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 하며, 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하고, 그 목적 외의 용도로 활용하여서는 아니 된다. 또한, 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 하고, 개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다. 아울러, 정보주체는 자신의 개인정보 처리와 관련하여 개인정보의 처리에 관한 정보를 제공받을 권리, 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리, 개인정보의 처리 여부를 확인하고 개인정보에 대하여 열람(사본의 발급을 포함한다. 이하 같다)을 요구할 권리, 개인정보의 처리 정지·정정·삭제 및 파기를 요구할 권리, 개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리를 가진다. 개인정보처리자는 정보주체의 동의를 받거나 법률에 특별한 규정이 있는 경우 등에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. 이 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다. 개인정보처리자는 개인정보를 수집에 따른 범위를 초과하여 이용하거나 이에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다. 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 다른 법령에 따라 보존하여야 하는 경우 이외에는 지체 없이 그 개인정보를 파기하여야 한다. 개인정보처리자는 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보“라 한다)를 처리하여서는 아니 된다. 다만, 정보주체에게 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우와 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에 해당하는 경우에는 그러하지 아니하다(법 제23조). 개인정보처리자는 정보주체에게 수집 및 제공에 대한 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우와 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 “고유식별정보”라 한다)를 처리할 수 없다(법 제24조). 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다. 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 유출된 개인정보의 항목 및 유출된 시점과 그 경위 등에 대하여 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다. 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다. 또한, 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다. 이상에서 살펴본 바와 같이 개인정보처리자의 의무를 강화하고 정보주체의 권리를 강화함으로써 정보주체의 헌법상 사생활의 비밀과 자유를 강력하게 보호하고 있다. 이미 의료법이나 국민건강보험법 등 의료관련 제반 법규에서 보호하고 있는 환자에 관한 비밀을 누설하거나 침해하는 규정을 넘어, 정보의 수집단계에서 제공 및 이용과 오용ㆍ남용에 대하여 강력하게 규정함으로써 정보주체의 사생활 비밀을 철저히 보호하도록 하고 있다. 특히, 건강관련자료는 민감정보로서 일반 동의와는 다른 별도의 특별동의를 받지 않으면 이를 수집하고 처리할 수 없다. 따라서 과거의 집단적인 건강관련자료를 이용하는 국민의 건강증진 목적으로만 사용하기 위한 순순한 학술연구를 목적으로 하는 경우라고 하더라도, IRB의 승인을 얻음에 있어 정보주체의 일반적인 동의 이외에 별도의 동의를 얻어야 할 필요성이 증가되었다. 국민의 건강증진을 위한 목적의 순수한 학술연구로서 과거의 집단적인 건강관련자료에 대하여 익명성을 유지하게 될 경우에는 이를 사용할 수 있도록 하는 규정의 삽입이 필요한 실정이다. 앞으로의 운용의 측면에서 합리적인 개정이 절실히 요망된다.