본문바로가기

AI 의료정보 분석 플랫폼 이용약관 및 개인정보 처리위탁계약서 종합 법률자문 제공

[자문 핵심 요약]

  • 의뢰인: AI 기반 의료정보 분석 솔루션을 개발·운영하는 기술기업
  • 주요 쟁점: AI 분석 결과의 책임범위, 환자 민감정보의 처리위탁 및 재위탁, 개인정보 국외이전과 보관·파기, 마케팅 정보 수신 동의의 적법성
  • 자문 내용: 서비스 이용약관, 개인정보 처리방침, 개인정보 처리위탁계약서 및 마케팅 동의서의 법률검토·수정과 클린본 작성

AI 의료정보 분석 플랫폼의 서비스 운영 관련 법률자문

법무법인 민후(現 법무법인 원)는 AI 기술을 활용한 의료정보 분석 플랫폼을 개발·운영하는 기업으로부터 서비스 운영에 필요한 주요 법률문서의 검토를 요청받았습니다.

의뢰기업은 의료 관련 기관의 담당자가 데이터를 업로드하면 AI가 이를 분석하고 판단 근거와 함께 평가 초안을 제공하는 서비스를 준비하고 있었습니다.

이 과정에서 이용자의 계정정보뿐 아니라 의료정보에 포함된 제3자의 건강정보가 처리될 수 있어, 서비스 제공기업과 이용기관 사이의 법적 책임을 명확히 할 필요가 있었습니다.

법무법인 민후(現 법무법인 원)는 이용약관, 개인정보 처리방침, 개인정보 처리위탁계약서 및 마케팅 정보 수신 동의서를 종합적으로 검토하고 수정문안을 반영한 클린본을 작성하였습니다.

AI 분석 결과의 법적 성격과 책임범위 검토

AI 의료정보 분석 서비스에서는 AI가 생성한 결과를 최종적인 전문적 판단으로 볼 수 있는지가 중요한 문제입니다.

법무법인 민후(現 법무법인 원)는 AI 산출물이 이용자의 검토를 위한 초안이라는 점을 명확히 하고, 최종 판단 및 관련 보고에 대한 책임을 구분하도록 이용약관을 검토하였습니다.

또한 AI 결과에 오류나 누락이 발생할 가능성과 사람에 의한 검토 필요성을 반영하고, 산출물을 확정된 판단으로 오인하거나 정해진 목적 외에 이용하지 않도록 관련 조항을 정비하였습니다.

아울러 서비스 중단, 계약해지, 데이터 삭제 및 손해배상책임 제한에 관한 조항도 함께 검토하였습니다.

회원정보와 환자 개인정보의 처리 주체 구분

AI 기반 의료정보 분석 플랫폼에서는 서비스에 가입한 회원의 개인정보와 분석자료에 포함된 환자의 개인정보를 구분하여 처리할 필요가 있습니다.

특히 회원의 계정정보는 서비스 운영기업이 직접 처리하는 반면, 이용기관이 업로드한 환자정보는 위탁받은 업무를 수행하는 과정에서 처리될 수 있습니다.

법무법인 민후(現 법무법인 원)는 이러한 개인정보 처리구조를 분석하여 개인정보처리자와 수탁자의 역할을 구분하고, 각 정보의 처리 목적과 보유·파기 기준을 개인정보 처리방침에 반영하였습니다.

또한 건강정보 등 민감정보의 적법한 처리 근거와 위탁기관의 책임, 수탁자의 안전성 확보 의무를 검토하였습니다.

외부 AI 서비스 이용과 개인정보 재위탁·국외이전 검토

AI 분석 플랫폼은 클라우드 및 외부 AI 서비스 제공업체의 기술을 활용하는 경우가 있습니다.

이때 외부 사업자가 개인정보 처리업무의 일부를 수행한다면 재위탁에 해당하는지, 개인정보가 국외로 이전되는지 등을 검토해야 합니다.

법무법인 민후(現 법무법인 원)는 재수탁자의 업무범위와 사전 승인절차, 국외이전 관련 사항을 검토하여 개인정보 처리위탁계약서의 관련 조항을 정비하였습니다.

특히 위탁받은 개인정보를 서비스 제공 목적 외에 사용하거나 AI 모델의 학습·개선에 활용하지 않도록 제한하는 내용을 반영하였습니다.

아울러 개인정보의 안전한 관리를 위한 접근통제, 암호화, 접속기록 관리 및 재수탁자 감독에 관한 의무를 검토하였습니다.

개인정보 보관·파기 및 정보주체 권리보호 검토

의료정보 분석 과정에서는 원본 데이터 외에도 변환 자료와 분석 결과, 처리기록 등이 생성될 수 있습니다.

따라서 이용자가 자료 삭제를 요청하거나 서비스 계약이 종료된 경우 어느 범위까지 파기해야 하는지 명확히 해야 합니다.

법무법인 민후(現 법무법인 원)는 원본 자료와 분석 과정에서 생성되는 정보의 파기범위를 검토하고, 법령에 따라 보존해야 하는 접속기록과 구분하여 관리하도록 관련 조항을 정비하였습니다.

또한 개인정보 열람·정정·삭제 및 처리정지 요구와 관련하여 위탁기관과 수탁기업의 협력범위를 검토하였습니다.

마케팅 개인정보 수집 및 정보 수신 동의서 검토

서비스 운영과 별개로 뉴스레터나 신규 기능 안내 등 마케팅 정보를 발송하려면 그 목적에 맞는 개인정보 처리 근거와 수신 동의체계를 갖추어야 합니다.

법무법인 민후(現 법무법인 원)는 마케팅 목적의 개인정보 수집·이용 동의와 광고성 정보 수신 동의를 구분하여 관련 문서를 검토하였습니다.

특히 선택적 동의를 거부하더라도 기본적인 서비스 이용이 제한되지 않도록 하고, 이용자가 수신 동의를 철회할 수 있는 절차를 명확히 하였습니다.

AI 의료정보 플랫폼 법률자문의 의의

법무법인 민후(現 법무법인 원)는 이번 자문을 통해 AI 의료정보 분석 플랫폼의 이용약관과 개인정보 보호 관련 문서를 종합적으로 검토·수정하였습니다.

특히 AI 분석 결과에 관한 책임범위, 회원정보와 환자정보의 구분, 개인정보 처리위탁·재위탁 및 국외이전, 데이터 파기와 마케팅 동의에 관한 법적 쟁점을 정리하였습니다.

이번 사례는 AI 기반 의료정보 서비스를 운영할 때 이용약관과 개인정보 처리방침뿐 아니라 위탁계약 및 동의서를 일관된 체계로 정비해야 한다는 점에서 의미가 있습니다.

자주 묻는 질문(Q&A)

Q. AI가 의료정보를 분석한 결과에 대해 서비스 제공기업이 모든 책임을 부담하나요?

반드시 그렇지는 않습니다. 서비스의 기능과 계약내용에 따라 책임범위가 달라질 수 있습니다. 다만 약관에서 AI 산출물의 성격을 명확히 하더라도 서비스 제공기업의 법정 의무까지 일률적으로 면제되는 것은 아닙니다.

Q. 의료기관이 업로드한 환자정보를 외부 AI 서비스로 처리하려면 별도의 계약이 필요한가요?

개인정보 처리위탁 및 재위탁 관계에 해당하는지 검토해야 합니다. 위탁업무의 목적과 범위, 재위탁 승인, 안전조치 및 국외이전 관련 사항을 법령에 맞게 문서화할 필요가 있습니다.

Q. 서비스 가입 시 마케팅 정보 수신 동의를 필수로 받아도 되나요?

마케팅 동의가 서비스 제공에 필수적이지 않다면 선택적으로 구분해야 합니다. 이용자가 동의를 거부하더라도 기본 서비스를 이용할 수 있도록 하고, 광고성 정보 수신 동의와 철회방법도 명확히 안내해야 합니다.

관련 법조문

개인정보 보호법 제15조

개인정보의 수집·이용에 관한 규정입니다.

개인정보 보호법 제23조

건강정보 등 민감정보의 처리 제한에 관한 규정입니다.

개인정보 보호법 제26조

업무위탁에 따른 개인정보의 처리 제한과 수탁자 관리·감독에 관한 규정입니다.

개인정보 보호법 제28조의8

개인정보의 국외이전 요건과 관련된 규정입니다.

개인정보 보호법 제29조

개인정보의 안전한 처리를 위한 안전조치의무에 관한 규정입니다.

개인정보 보호법 제30조

개인정보 처리방침의 수립 및 공개에 관한 규정입니다.

개인정보 보호법 제37조의2

자동화된 결정에 대한 정보주체의 권리 등에 관한 규정입니다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제50조

영리목적의 광고성 정보 전송 제한에 관한 규정입니다.

관련 업무분야

기업자문 / 계약서 / 약관 / 개인정보 / 정보보안 / IT / SW / 신기술 / 바이오헬스

최근 유사 업무사례
더보기 +