연구에 있어서 피험자의 건강정보보호를 위한 HIPAA Privacy Rule의 적용

Abstract

HIPAA 프라이버시룰은 개인건강정보를 보호하기 위해 새로운 연방기준을 정립해서 제공하고 있다. 프라이버시룰은 보호된 건강정보(PHI)가 어떻게 사용되고 공개되어야 하는지 또는 정보주체가 자신의 건강정보를 통제할 수 있는 권리를 어떻게 행사해야 하는지에 관한 방법을 구체적으로 정립해 두고 있는 것이다. 연구와 관련하여, 특히, 프라이버시룰은 연구를 수행하는데 있어서 장애물이 되어서는 안될 것이다. 오히려, 프라이버시룰은 연구자들로 하여금 연구목적을 달성하는데 필요한 핵심 정보에 적절하게 접근할 수 있는 방법을 제공하여 연구자들을 보호하고 연구수행의 효율성을 고양하는데 기여해 오고 있다 할 것이다. 예컨대, 비록 연구에서 피험자의 보호된 건강정보를 사용하거나 공개하기 위해 피험자로부터 서면승인을 획득하는 것이 일반원칙이라고 하더라도, 만약 그 서면승인을 획득하는 것이 현실적이지 않다면, 임상시험심사위원회나 프라이버시보호위원회가 그 서면승인을 면제하거나 변경할 수 있다. 프라이버시룰은 또한 서면승인을 획득하는 것에 대한 대안들을 제공하기도 한다. 그 대안들은 limited data sets를 연구에서 사용하도록 허용하거나 연구에서 필요하다고 증명하는 경우 사망한 자의 보호된 건강정보를 사용하도록 허용하는 것이 될 것이다. 이에 더하여, 프라이버시룰은 적용대상인 정보처리자에게 프라이버시룰을 위반할 경우 강제집행규칙에 따라 민사벌과 형사벌을 부과할 수 있는 실질적 강제력도 가지고 있다. 이에 비해, 우리는 개인정보보호법을 작년에 제정하여 시행하고 있지만, 연구에 있어서 피험자의 건강정보를 보호하기에는 충분하지 않다는 것이 여러 측면에서 지적될 수 있다. 그래서, 이 논문에서는 우리 개인정보보호법이 연구에서 보호된 건강정보의 사용 내지는 공개를 연구수행을 방해하지 않고서 적절하게 규제할 수 있는 몇 가지 방안을 제시한다.

HIPAA Privacy Rule has provided the new federal wide standards to protect individual health information by establishing the methods how to PHI should be used or disclosed and how to individuals yield rights to control their own health information. In relation to research, especially, Privacy Rule has not been an obstacle to conduct research. Rather it has attributed to protect researchers and to enhance efficiency of conducting research by way of providing proper access to the core information necessary to achieve the goals of research. For example, even though it's the general rule to obtain written authorization from human research subjects in order to use or disclose PHI in research, if it's not practicable to obtain it, IRB or Privacy Board can waiver or change authorization. Privacy Rule also provides the alternatives of obtaining authorization by allowing to use limited data sets or to demonstrate representations in research. In addition, Privacy Rule has real teeth by imposing civil and criminal penalties under Enforcement Rule on CE who violates it. Enforcement Rule was amended by HITECH Act. In contrast, Korean government enacted Personal Information Protection Act (PIPA) last year. However, it's not enough to protect individual health information in research in several aspects.