개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 25일 정부서울청사에서 보건복지부, 질병관리청, 한국보건의료정보원, 건강보험심사평가원, 국민건강보험공단 등 주요 보건의료기관과 함께 ‘의료 마이데이터 활성화 및 개인정보 보호 강화’를 주제로 관계기관 협력회의를 개최했다.

이번 회의는 올 3월부터 전 분야로 확대 시행한 마이데이터 제도의 안정적인 정착을 위한 후속 조치 일환으로, 정보주체의 자기정보 통제권을 실질적으로 보장하면서 홈페이지 등을 통한 개인정보 전송 요구 시 유․노출 사고를 예방하기 위한 기술적·제도적 방안을 논의하기 위해 마련됐다.

회의에서는 최근 급증하고 있는 크리덴셜 스터핑(credential stuffing) 등 개인정보 침해 위협에 대응하기 위해, 기존의 스크래핑(scraping) 방식 등을 이용한 과도한 개인정보 수집으로 인한 침해를 예방하고, 신뢰성과 안전성을 갖춘 개인정보관리 전문기관(이하 ‘전문기관’)의 역할을 확대하는 방안이 중점적으로 논의됐다.

■ "제 3자가 정보주체에서 인증정보 위임받아 자동화 도구로 정보 수집 경우 취약점 발생 가능성 있어"

개인정보위는 발제를 통해, 제3자에게 개인정보를 전송하도록 요구하는 ‘제3자전송요구’는 이미 표준 API(애플리케이션 프로그래밍 인터페이스)를 기반으로 안전한 전송체계를 구축한 반면, 정보주체가 직접 다운로드할 수 있는 ‘본인전송요구’ 중 제3자가 정보주체로부터 인증정보를 위임받아 자동화 도구(스크래핑 등)를 통해 정보를 대리해 수집할 경우에는 기술적·관리적 취약점이 발생할 수 있으며, 이를 예방하기 위해 정보전송자의 협력이 필요함을 강조했다. API(application Programming Interface)는 소프트웨어 애플리케이션 간 서로 통신할 수 있도록 정해진 명세 또는 인터페이스를 말한다.

정보전송자는 개인정보를 전송하기 전 정보주체 본인 여부 또는 정당한 대리인인지 여부를 반드시 확인해야 하며, 자동화 도구를 통한 무차별 대입 공격 등 정보주체 확인이 어려운 상황에 대비한 보안 조치가 필수적이다. 특히, 본인전송요구는 정보전송자의 홈페이지를 통해 처리되는 만큼, 웹사이트를 통한 개인정보 유출 방지를 위한 기술적·관리적 보호조치 이행이 무엇보다 중요하다.

이와 관련하여 참석기관들은 캡차(CAPTCHA) 적용, 다중 인증(MFA) 도입, 비정상 로그인 시도 탐지 및 차단 등 보안기능 강화를 위한 기술적 조치와 함께, 웹사이트 운영자가 사전협의를 거쳐 안전하고 신뢰할 수 있다고 판단되는 경우에 한해 자동화 도구 접근을 허용하는 방식으로 서비스의 이용약관을 개정하는 등 제도적 장치 도입을 검토하기로 했다.

캡차(CAPTCHA)는 사용자가 사람인지 자동화된 기계인지 구분하기 위해 문자, 숫자 등을 활용해 인증하는 방식을 말하고, 다중 인증은 사용자 신원 확인을 위해 두 가지 이상의 인증 수단을 제공하는 방식을 말한다.

■하승철 마이데이터추진단장 "국민이 안심할 수 있는 신뢰 기반 데이터 생태계 조성"

아울러, 개인정보위는 신뢰성과 안전성을 갖춘 전문기관 역할을 확대, 정보주체가 본인전송요구 또는 제3자전송요구를 보다 안전하고 효율적으로 수행할 수 있도록 지원할 계획이다. 전문기관은 API(애플리케이션 프로그래밍 인터페이스) 연계 또는 암호화된 스크래핑 방식 등 기술적 보호조치가 확보된 환경에서 자동화 도구를 활용한 대리 수집을 제한적으로 허용할 수 있게 협의체계를 구축한다.

예를 들어, 정보전송자가 전문기관으로부터 본인전송요구를 받은 경우 ① API(애플리케이션 프로그래밍 인터페이스) 직접 연계 ② 중계전문기관을 통한 API(애플리케이션 프로그래밍 인터페이스) 연계 ③ 한시적으로 허용하는 암호화된 스크래핑 방식 등 다양한 방식을 통해 개인정보를 전송할 수 있도록 관계기관 간 협의를 검토하는 방식이다.

하승철 범정부 마이데이터 추진단장은 "국민의 의료데이터에 대한 자기결정권을 실질적으로 보장하기 위해서는 무엇보다 개인정보의 안전한 관리와 책임 있는 활용이 중요하다"면서 "관계기관들과의 지속적인 협력을 통해 국민이 안심할 수 있는 신뢰 기반의 데이터 생태계를 조성해 나가겠다.”라고 밝혔다.

한편, 이날 논의한 주요 내용은 4월 말 발간 예정인 ‘(전 분야 마이데이터) 개인정보 전송요구권 제도 안내서’에 반영할 예정이며, 관계기관과의 협의를 통해 구체적인 전송 방안 등을 마련할 계획이다.