The Legal Structure of Medical Record Portability: Interpreting Korea’s Personal Information Protection Act and the Case for Sector-Specific Healthcare Legislation

2023년 개정으로 신설되어 2025년 3월부터 시행된 ｢개인정보 보호법｣ 제35조의2는 정보주체에게 전송요구권을 부여하면서, 제1항 제2호에서 “개인정보처리자가 수집한 개인정보를 기초로 분석 ∙ 가공하여 별도로 생성한 정보”를 전송 대상에서 제외한다. 이 정보기원 요건의 경계를 어떻게 획정할 것인지가 본고의 핵심 해석 과제이다. 이 논문은 먼저 GDPR 제20조가 법적 처리근거 요건과 정보기원 요건의 결합으로 데이터 이동권의 범위를 획정하는 구조를 분석하고, 그 정보기원 요건(‘provided by the data subject’)이 추론 ∙ 파생 데이터를 배제함으로써 특히 의료 분야에서 이동권을 사실상 형해화하였으며, EU가 이를 GDPR 개정이 아니라 분야별 보완 입법으로, 특히 의료 분야에서는 EHDS라는 별도 입법으로 대응하였음을 확인한다. 이어서 개인정보 보호법 제35조의2 제1항의 구조를 GDPR과 비교한다. 제1호는 다목을 통해 법령 근거 처리까지 포섭하여 ‘전 분야 마이데이터’를 지향함으로써 GDPR을 의식적으로 넘어섰으나, 제2호의 배제 요건은 그 확장에 상응하는 조정 없이 GDPR의 사상을 이식한 결과 두 요건 사이에 긴장이 내재한다. 제2호 문언에 대하여는 문리적 광의 해석(제1설), 의미론적 한정 해석(제2설), 본질적 업무 기준 해석(제3설)이 가능하다. 비교법적 맥락과 체계적 정합성에 비추어 비확률적 ∙ 기계적 처리의 산출물을 전송 대상에 포섭하는 제2설이 일반론으로서 가장 합리적인 균형점을 제공한다. 그러나 진단 ∙ 판독 ∙ 처방 등 의료인의 전문가적 판단이 본질적으로 개입된 진료기록에 대하여는 제2설을 포함한 어느 해석론도 만족스러운 해답을 주지 못한다. 따라서 진료기록 전송은 일반법의 해석론이나 시행령 ∙ 고시 수준의 보완만으로는 안정적으로 해결되기 어렵고, 정보기원 요건과 의료 데이터의 구조적 부정합, 규율체계의 분산, 상호운용성 확보의 요청을 논거로 의료분야 특별입법이 요구된다. 21대․22대 국회 발의안을 검토한 결과, 개인정보 보호법 제35조의2의 권리를 단순 차용하는 방식보다는, 전송 대상을 법률에서 직접 획정하되 정보기원 유형의 배제요건을 두지 않고 의료인의 판단이 개입된 정보의 핵심 항목을 법률에 명시하며 상호운용성을 함께 담보하는 규율이 바람직하다.