본문바로가기

법무법인 민후는 AI를 활용한 의료정보 분석 서비스를 제공하는 기업 고객사로부터, 서비스 운영에 필요한 개인정보처리방침과 마케팅 정보 수신 동의서를 검토하고, 향후 미국·유럽·일본 등 해외 서비스 제공 시 고려해야 할 개인정보보호 규제와 국외이전 체계를 점검하는 법률자문을 요청받았습니다. 특히 서비스 회원의 개인정보와 이용자가 업로드하는 의료 관련 보고서에 포함된 환자 개인정보의 처리구조가 서로 달라, 고객사의 법적 지위와 개인정보 처리방식을 구분하여 정비할 필요가 있었습니다.

법무법인 민후는 먼저 서비스에서 처리되는 개인정보의 유형과 고객사의 개인정보처리자·수탁자로서의 법적 지위를 검토하였습니다. 회원 및 방문자의 개인정보에 대해서는 고객사가 개인정보처리자로서 처리하는 반면, 이용자가 서비스에 업로드하는 의료 관련 보고서에 포함된 환자 개인정보에 대해서는 위탁자의 지시에 따라 처리하는 수탁자의 지위가 문제될 수 있다는 점을 고려하여 개인정보 처리구조를 정비하였습니다.

특히 업로드되는 보고서에는 환자의 건강정보, 증상 및 이상반응 등 개인정보보호법상 민감정보가 포함될 수 있다는 점을 고려하였습니다. 외부 AI 서비스 제공자를 활용하는 경우 해당 사업자가 개인정보 처리업무의 재수탁자가 될 수 있으므로, 실제 처리범위와 계약관계 및 개인정보 처리위탁 구조가 적절하게 개인정보처리방침에 반영될 수 있도록 검토하였습니다.

개인정보의 처리 목적과 수집항목에 대해서는 회원가입·인증, 서비스 운영, 고객지원, 이용량 관리, 의료 관련 보고서 처리 및 마케팅 등 실제 서비스에서 이루어지는 개인정보 처리행위를 기준으로 처리 목적과 법적 근거, 개인정보 항목 및 보유기간을 구체화하였습니다. 개인정보의 제3자 제공, 처리위탁, 정보주체의 권리행사 및 개인정보 파기 등 개인정보처리방침에서 필요한 주요 사항도 함께 점검하였습니다.

마케팅과 관련해서는 개인정보보호법에 따른 마케팅·홍보 목적의 개인정보 활용 동의와 정보통신망법에 따른 광고성 정보 수신 동의를 구분하여 받는 체계를 검토하였습니다. 또한 이메일 등 실제 광고성 정보 수신 채널을 명확히 하고, 복수의 수신수단을 이용하는 경우 이용자가 각 방법을 선택할 수 있도록 하는 방안과 수신 동의의 거부·철회 절차 등을 정비하였습니다.

향후 해외 서비스 제공에 대비해서는 미국 CCPA를 비롯하여 EU GDPR, 일본 개인정보보호법 등 국가·지역별 개인정보 규제에 따라 추가적으로 반영해야 할 사항을 검토하였습니다. 미국의 경우 적용요건을 충족할 경우 개인정보에 대한 알권리·접근권·삭제권과 판매·공유 거부권, 민감정보 이용 제한권 등 현행 방침에 추가할 사항이 있을 수 있으며, 일본과 EU 역시 각 법령에 따른 별도의 개인정보 처리요건을 검토해야 한다는 점을 살펴보았습니다.

이에 글로벌 서비스를 본격적으로 제공하는 경우에는 국내 서비스를 전제로 한 개인정보처리방침만으로 운영하기보다, 공통적인 개인정보처리방침을 기반으로 국가·지역별 규제사항을 반영한 별도의 개인정보처리방침을 마련하는 방안을 검토하였습니다. 실제 적용법령은 서비스 제공 국가와 고객의 소재지, 구체적인 서비스 제공방식 등에 따라 달라질 수 있다는 점도 함께 고려하였습니다.

또한 해외 소재 클라우드 또는 AI 서비스 제공자를 이용하게 되는 경우 개인정보보호법상 개인정보 국외이전 규제에 따른 고지사항과 처리체계를 점검하였습니다. 향후 개인정보가 국외로 이전되는 경우 이전받는 자, 이전 국가, 이전 항목·시기·방법, 이용 목적 및 보유기간 등을 실제 서비스 구조에 맞게 개인정보처리방침 등에 반영할 수 있도록 검토하였습니다.

AI 서비스 이용과 관련해서는 업로드된 개인정보가 AI 모델의 학습이나 성능 개선에 사용되는 것을 제한하는 운영방식도 검토하였습니다. 국내 개인정보보호법상 AI 모델 학습 제한 자체를 반드시 고지하도록 하는 규정은 없으나, 위탁 또는 수집 목적을 넘어 개인정보가 AI 학습 등에 활용될 경우 목적 외 이용 문제가 발생할 수 있다는 점을 고려하여 관련 관리방안을 살펴보았습니다.

법무법인 민후는 이번 자문을 통해 고객사가 AI 기반 의료정보 분석 서비스에서 처리되는 회원정보와 환자정보의 처리구조를 구분하고, 개인정보처리방침과 마케팅 동의체계를 정비하는 한편 향후 해외 서비스 확대에 대비하여 국가별 개인정보 규제, 개인정보 국외이전 및 외부 AI 서비스 이용에 따른 개인정보보호 이슈까지 종합적으로 점검할 수 있도록 법률자문을 제공하였습니다.

최근 유사 업무사례
더보기 +