환자 데이터 신탁: 권리는 있고 그릇은 없다 | 데이터 거버넌스·마이데이터 종합정리 (2026.07.02)

작성 2026년 7월 2일 · 2026년 10월 제도 현황 보강 · 데이터 거버넌스와 의료 마이데이터에 관한 스터디 자료를 보고서로 옮긴 글

한국은 내 데이터를 내가 원하는 곳으로 보내라고 요구할 권리를 이미 법으로 갖고 있다. 그런데 그 권리를 실제로 굴릴 그릇은 아직 없다. 특히 의료 데이터에서 이 간극이 가장 크다. 환자의 데이터는 이미 상품이 되어 유통되고 있지만, 그 수익이 데이터의 원천인 환자에게 돌아오는 경로는 어느 법에도 없다. 이 글은 그 빈자리를 환자 편에 선 수탁 기관, 곧 환자 데이터 신탁으로 메울 수 있는지 살펴본다. 규제 지형, 해외 사례, 수탁 기관이 갖춰야 할 조건, 운영 구조를 차례로 다룬다.

1. 환자 데이터는 이미 유통되지만, 원천에는 분배가 없다

환자 데이터의 가치사슬을 그려 보면 이렇다. 환자가 진료를 받으며 데이터를 만든다. 병원과 플랫폼이 그것을 모아 보관한다. 비식별 처리를 거친 데이터는 제약사, 보험사, AI 기업으로 흘러간다. 수익은 이 흐름을 따라 발생하지만, 환자에게 되돌아오는 몫은 없다. 클라우드 데이터 마켓플레이스에는 비식별 처리한 환자의 실사용 데이터가 상품으로 올라와 있고, 미국 연방거래위원회(FTC)는 아마존의 원메디컬 인수 과정에서 환자 데이터 활용에 대해 경고한 바 있다. 비식별화를 방패로 한 상업적 환자 데이터 시장은 이미 현재진행형이다.

이 문제를 어떻게 규정하느냐가 중요하다. '거래를 금지하라'고 주장하면 곧바로 혁신을 막는다는 반론에 부딪힌다. 그보다 '거래는 인정하되 수익의 분배를 강제하라'고 주장하는 편이 설득력이 있다. 비식별화하면 동의가 필요 없고, 동의가 필요 없으면 대가 없이 써도 된다는 논리의 약한 고리를 겨냥하는 것이다. 환자는 단순한 제공자가 아니라 데이터의 원천이자 공동 생산자다.

2. 데이터가 기록에서 원형으로 바뀔 때

현행 법은 데이터를 행위의 디지털 흔적, 곧 기록으로 본다. 그래서 프라이버시를 지키는 보호와 산업에 쓰는 활용을 저울질하는 구도가 생기고, 익명화하면 더는 개인정보가 아니므로 권리도 사라진다는 논리가 성립한다. 개인정보보호법과 생명윤리법이 모두 이 전제 위에 서 있다.

유전체와 바이오 데이터에서 이 전제가 무너진다. 유전체 데이터는 무엇의 기록이 아니라 그 자체가 생명의 설계도다. 합성생물학의 발전으로 디지털 염기서열 정보(DSI)만 있으면 생명체를 다시 만들 수 있는 시대가 됐다. 데이터와 물질의 경계가 사라지는 것이다. 생물다양성협약과 나고야의정서의 '유전자원' 정의는 물질을 전제로 하고 있어 이런 데이터를 제대로 포섭하지 못한다. 데이터가 원형이 되는 순간, 소유와 동의, 개인과 집합에 대한 개념을 처음부터 다시 써야 한다.

새로운 틀은 두 가지를 함께 다뤄야 한다. 하나는 분배다. 재런 러니어와 글렌 웨일이 2018년 하버드 비즈니스 리뷰에서 제안한 '데이터 존엄' 논의처럼, 데이터를 만든 사람이 보상을 받아야 한다는 흐름이다. 데이터 배당, 협동조합, 수탁 모델이 여기서 나온다. 다른 하나는 존엄이다. 개인정보를 인격의 연장으로 보고, 민감한 속성은 상품으로 환원할 수 없다는 입장이다. 이 흐름은 거래가 허용되는 범위를 규율한다.

두 입장을 잇는 열쇠는 소유권과 수익권을 나누어 보는 것이다. 익명화와 비식별화는 데이터 주체의 청구권을 법적으로 끊는 장치로 작동한다. 그 결과 수익은 생기는데 원천에 대한 분배는 없는 구조가 반복된다. 대안은 개인이 자기 데이터를 낱개로 파는 것이 아니라, 결사체가 집합적으로 통제권을 갖고 수익을 기금 형태로 되돌리는 것이다. 데이터를 공유부로 관리하고 배당하는 방식이다.

3. 한국의 법제: 파이프는 깔렸지만 분배와 수탁은 비어 있다

한국은 2023년 개인정보보호법 개정으로 개인정보 전송요구권(제35조의2)의 근거를 만들었다. 2025년 3월부터 본격 시행됐고, 2026년 8월 20일부터 공공 분야를 시작으로 전 분야로 확대됐다. 일정 규모 이상의 민간 전송자에게는 2027년 2월 20일부터 적용된다. 금융 분야는 이보다 앞서 2020년 신용정보법으로 마이데이터를 도입했다. 의료 분야에서는 보건복지부의 건강정보 고속도로(마이헬스웨이)가 2025년 말 기준 1,269개 의료기관과 연계됐고, 상급종합병원 47곳은 모두 연결됐다.

권리는 서류상 완성됐다. 그러나 실제 유통은 다른 이야기다. 금융 마이데이터는 누적 가입 1억 6천만 건(2025년 5월)을 넘겼지만 수익 모델을 찾지 못해 라이선스를 반납한 사업자가 9곳이 넘는다. 의료기관의 건강정보 고속도로 참여는 의무가 아니라 자발적이고, 대다수 병·의원은 여전히 전송 의무 밖에 있다. 법적 권리가 곧 실제 유통 가능성은 아니다.

관련 법제를 하나씩 보면 공백이 겹쳐 있다. 개인정보보호법은 전송 권리를 만들었지만 분배 기준이 없다. 신용정보법의 금융 마이데이터는 수익 모델이 무너졌다. 마이헬스웨이에는 보상 배분 장치가 없다. 2026년 1월 시행된 AI 기본법은 산업 진흥과 고지 의무 중심이어서 학습 단계의 데이터 이용은 거의 다루지 않는다. 생명윤리법은 DSI 같은 새로운 유형의 데이터를 포섭하지 못한다. 협동조합기본법이나 규제자유특구법은 우회로가 될 수 있지만, 데이터 신탁의 지위를 따로 정하지는 않는다.

정리하면 세 겹의 공백이 있다. 첫째는 분배의 공백이다. 데이터 유통 수익을 어떻게 나눌지 정한 법이 없다. 둘째는 집합적 권리의 공백이다. 법은 개인 단위의 동의와 전송만 규정하고, 신탁이나 협동조합이 여러 사람을 대신해 동의하고 교섭할 지위는 없다. 셋째는 새로운 유형의 데이터에 대한 공백이다. 유전체처럼 데이터가 원형이 되는 경우를 다룰 틀이 국내법에도 국제 규범에도 없다.

4. 디지털헬스케어법: 입법은 빨라졌지만 환자 환류는 없다

의료 데이터 활용의 근거가 될 디지털헬스케어법 제정안은 20년 가까이 표류하다 2026년 들어 속도가 붙었다. 보건복지부는 의료 마이데이터, 가명처리, 건강정보 고속도로의 법적 근거를 담은 제정안을 추진하고 있고, 2026년 6월에는 공청회가 잇따라 열렸다. 그러나 9월 16일 국회 보건복지위원회에서는 의료정보의 활용과 보호, 데이터 유상 거래 가능성, 이해 상충에 대한 우려가 나와 계속 심사로 넘어갔다. 복지부는 11월 심사 재개 뒤 통과를 목표로 하고 있다.

이해관계의 구도도 드러났다. 병원협회는 의료기관의 데이터 제공에 대한 보상과 거부권, 면책 규정을 보완해 달라고 요구했다. 의사협회는 법안이 산업적·상업적 활용에 치우쳤다며 반대하고, 의료인과 환자의 데이터 생산자 권리를 보장하라고 주장한다. 시민사회와 환자단체는 동의 없는 가명정보 활용과 중앙 집적형 구조를 비판해 왔다.

병원은 보상을 요구하고, 의사는 생산자 권리를 요구한다. 그런데 정작 데이터의 원천인 환자에게 수익을 되돌리는 조항은 어느 쪽의 요구에도, 제정안에도 뚜렷하지 않다. 겉으로는 데이터 주권을 말하지만 실질은 산업 개방에 가깝다. 법안이 최종 확정되기 전, 이 '환자 환류' 조항이 바로 입법 과정에서 짚어야 할 지점이다.

5. 해외 사례: 국가 주도 자산화에서 공유부 배당까지

해외 모델은 한쪽 끝에 국가 주도의 데이터 자산화, 다른 쪽 끝에 시민 결사체의 통제와 배당을 놓고 그 사이에 펼쳐져 있다.

상하이 데이터거래소(SDE)는 2021년 11월 설립된 국유 거래소로, 의료 데이터 자산화를 앞장서 추진하고 있다. 데이터 상품을 재무제표에 자산으로 올리고, 담보 대출과 토큰화까지 시도한다. 2024년 10월에는 상하이 제1인민병원의 데이터 상품이 상장됐다. 원본 데이터는 밖으로 내보내지 않고 연산 결과만 쓰게 하는 '신뢰 데이터 공간' 기술도 도입했다. 그러나 익명화한 파생 데이터는 개인정보가 아니라는 논리로 거래를 합법화하기 때문에, 환자는 수익 분배 사슬에서 완전히 빠져 있다. 권리 귀속 문제와 재식별 위험도 해결되지 않았다. 한국형 신탁은 이런 거래소와 경쟁하기보다, 거래소 앞단에서 환자 편에 서는 문지기로 보완 관계를 이룰 수 있다.

EU는 집합적 권리를 담을 법적 그릇을 이미 만들었다. GDPR 제20조의 데이터 이동권은 한국 전송요구권의 원형이다. 2023년 9월부터 적용된 데이터 거버넌스법(DGA)은 데이터 중개 서비스와 데이터 이타주의 조직에 법적 지위를 주었다. 신탁형, 협동조합형 중개 기관이 들어갈 자리다. 2025년 발효된 유럽보건데이터공간법(EHDS)은 보건데이터 접근기구(HDAB)가 2차 활용을 심사하고 허가하는 체계를 단계적으로 도입한다. 다만 HDAB는 공적 기관이 대신 판단하는 구조여서 환자가 직접 참여하지는 않는다. 핀란드(Findata, 2019)와 독일(2024)은 보건데이터 특별법을 갖췄다.

시민 결사체 모델도 있다. 2015년 스위스에서 출범한 MIDATA는 비영리 협동조합으로 회원의 데이터를 수탁 관리한다. 배당 없이 수익을 재투자하는 원칙을 따른다. 2017년 바르셀로나의 Salus Coop은 시민이 통제권을 유지하면서 연구 목적의 공유를 촉진하는 건강 데이터 협동조합이다. 그리고 2025년 출범한 칼리 기금(Cali Fund)은 생물다양성협약 제16차 당사국총회 결정에 따라, DSI를 상업적으로 쓰는 기업이 이익이나 매출의 일부를 내고, 그 절반을 원주민과 지역 공동체에 배분하도록 설계됐다. 원형 데이터에서 나온 수익을 원천으로 되돌리는, 현재 작동하는 거의 유일한 공유부 배당 모델이다.

MIDATA의 무배당 원칙과 칼리 기금의 배당 원칙은 충돌하는 것처럼 보인다. 이 충돌은 데이터의 유형과 쓰임에 따라 정당화 논리를 나누면 풀린다. 생활 기록이나 연구 기여는 비영리 기여 모델이 맞다. 상업적 AI나 제약 개발에 쓰여 초과 수익을 낳는 경우에는 배당이 정당하다. 음악 저작권의 집중관리단체가 수많은 창작자를 대신해 일괄 라이선스를 맺고 사용료를 나누는 방식, 알래스카 영구기금과 노르웨이 국부펀드처럼 공동 자원의 수익을 기금으로 관리해 나누는 방식도 참고할 만한 원형이다.

6. 빈자리는 권리가 아니라 권리를 행사할 인프라다

여기까지 보면 필요한 것은 새로운 권리가 아니다. 권리는 이미 있다. 빠진 것은 그 권리를 실제로 굴릴 인프라다. 권리와 개별 앱만으로는 조회 앱이 난립하다가 반납되는 금융 마이데이터의 전철을 밟게 된다. 필요한 것은 두 가지다. 하나는 환자 편에 서는 수탁 기관이고, 다른 하나는 병원들이 함께 데이터를 내놓고 유통시키는 공동 체계다.

수탁 기관의 법적 지위는 새 법을 만들지 않고도 찾을 수 있다. 개인정보보호법 시행령은 전송받은 정보를 관리·분석하는 개인정보관리 전문기관을 두고 있고, 그중 보건의료정보 같은 민감 정보를 다루는 특수 전문기관이 있다. 이 업무 정의는 신탁 운영체가 하려는 일과 거의 겹친다. 지정 요건은 기술 수준과 전문성, 안전성 확보 조치, 안정적 운영을 위한 재정 능력이다. 정보주체에게 맞지 않는 계약을 권하지 못하게 한 조항은 수탁자 의무의 싹으로 볼 수 있다. 다만 비영리 조직이나 협동조합이 지정받을 수 있는지, 정량 요건이 무엇인지는 실무로 확인해야 한다.

기술 요건은 네 층으로 정리된다. 맨 아래는 표준 전송 계층으로, 국가가 깔아 둔 FHIR 기반 의료 데이터 표준과 건강정보 고속도로의 표준 항목 위에 올라탄다. 그 위에 보안·인증 계층이 있다. 세 번째는 원본을 밖으로 내보내지 않고 연산 결과만 반출하는 계층이다. 연합학습, 동형암호, 다자간 연산, 차분 프라이버시 같은 기술이 여기에 쓰인다. 맨 위는 모든 접근 기록을 남기고 공개하며 목적 외 사용을 막는 감사 계층이다. 이 가운데 핵심은 세 번째 층이다. 데이터가 병원 밖으로 나가지 않는다는 점이 병원을 설득하는 동시에 환자를 보호하기 때문이다.

진짜 병목은 기술이 아니라 유인이다. 물리적인 파이프는 이미 상당 부분 깔렸다. 그러나 병원에게 데이터를 정제하고 전송하는 일은 순전히 비용이고, 의무도 보상도 없다. 움직이지 않는 것이 합리적인 선택이다. 그래서 병원이 받을 것(수익 지분, 비용 보전, 연구 접근권)과 환자가 앉을 자리(상품화 승인과 분배 결정)를 함께 설계해야 한다. 지금 건강정보 고속도로에서 환자는 이용자일 뿐 거버넌스 밖에 있고, 의료데이터 중심병원에서는 원천이지만 심의에 참여하지 못한다. SDE에서는 익명화로 청구권이 사라지고, EHDS에서는 공적 기관이 대신한다. 환자가 공동 결정권자가 되는 구조는 아직 어디에도 없다.

이런 반론이 나올 수 있다. 그건 정부 플랫폼이 할 일이 아닌가. 그러나 정부 플랫폼은 데이터를 나르는 파이프이지, 누군가의 이익을 위해 행동할 법적 의무를 지는 주체가 아니다. 중계기관은 전송을 나르고, 병원은 자기 데이터를 지키고, 사업자는 자기 수익을 좇는다. 정보주체의 이익을 최우선으로 하는 주체는 없다. 오히려 국가 파이프가 잘 깔릴수록, 그 파이프를 환자 이익 방향으로 쓰는 수탁 주체의 가치는 더 커진다.

7. 운영 구조 설계안

구조의 골격은 두 개의 조직이다. 하나는 환자 조합원이 데이터를 출자하고 1인 1표로 의사를 결정하는 협동조합이다. 이 조직이 주권을 갖고 상품화 승인권을 쥔다. 다른 하나는 협동조합으로부터 수탁을 위임받아 데이터 정제, 보안, 라이선싱, 정산을 맡는 신탁 운영체다. 이 조직이 특수 전문기관 지위를 노린다. 거래소가 유통 인프라라면, 이 구조는 데이터 주체 쪽의 협상력을 만드는 장치다. 동의와 라이선싱, 분배의 방식은 규제자유특구에서 2~4년 시범 운영으로 검증할 수 있다. 현행법의 조합만으로도 시작할 수 있다는 점이 장점이다.

거버넌스의 원칙은 세 가지다. 첫째, 수탁자는 데이터 제공자의 이익을 최우선으로 할 법적 의무를 진다. 둘째, 이용 현황과 계약 조건, 분배 내역을 정기적으로 공개한다. 셋째, 제공자는 언제든 라이선싱 동의를 철회할 수 있다. 이미 학습에 쓰인 부분은 이후 이용을 정지하는 방식이다. 이사회는 데이터 주체와 시민사회 대표가 과반을 차지하도록 구성하고, 기술 전문가와 정부 대표가 견제하며, 기업은 의결권 없는 옵서버로만 참여한다. 데이터를 쓰려는 기업은 자격 심사와 제안서 평가를 거쳐 기간과 범위가 정해진 라이선스를 받고, 위반하면 단계적으로 제재를 받는다.

수익은 라이선싱 수수료, 쿼리 단위의 이용료, 데이터를 활용한 제품 매출에 연동한 로열티 등에서 나온다. 이 가운데 지속성의 핵심은 로열티다. 데이터가 쌓일수록 한 단위의 가치는 떨어지기 때문에, 일회성 수수료만으로는 배당을 오래 유지하기 어렵다. 수익의 상당 부분은 데이터 제공자 배당과 시민 공유부 기금으로 돌려 원천에 환류시킨다.

8. 예상되는 반론과 답

데이터를 재산처럼 다루면 존엄을 해친다는 반론이 있다. 이 구조는 개인이 데이터를 낱개로 파는 것이 아니라 집단이 기금으로 함께 되돌려 받는 것이다. 무상으로 협력하는 편이 낫다는 반론에는 데이터 유형을 나누어 답한다. 연구는 비영리로, 상업적 초과 수익에는 배당으로. 누구의 데이터가 얼마나 기여했는지 추적할 수 없다는 반론에는 상류에서 기여받고 하류에서 분배하는 다자 기금과 집단 라이선싱이 이미 작동하고 있다는 사례로 답한다. 혁신을 막는다는 반론에는 합법적이고 안정적인 데이터 공급이 오히려 혁신을 지속시킨다고 답한다. 데이터를 모으면 감시가 된다는 우려에는 당사자와 시민이 과반을 차지하는 이사회, 접근 기록 공개, 독립 감사로 답한다. 푼돈 배당으로 면죄부를 주는 것 아니냐는 비판도 있다. 그러나 상품화는 이미 진행 중이고, 문제는 그 안에서 원천의 몫을 확보하느냐다. 배당 수준을 당사자가 정하도록 이사회 과반을 당사자에게 주는 이유가 여기에 있다.

9. 남은 과제

정리하면, 권리는 완성됐고 파이프는 미완이다. 그 사이의 간극을 메울 환자 편 수탁 인프라와 병원 공동 체계가 필요하다. 전송요구권이 단계적으로 확대되고 디지털헬스케어법이 국회에 올라 있는 지금이 분배 조항을 요구할 시점이다. 앞으로 확인할 것은 특수 전문기관 지정의 실무 요건, 비영리 조직과 협동조합의 지정 가능성, 데이터 유형별로 어떤 정당화 논리를 적용할지에 대한 정리, 그리고 해외 수치와 사례의 원출처 검증이다.

노동자의 몸이, 환자의 데이터가 만들어 낸 가치는 그것을 만든 사람에게 돌아가야 한다.

참고 자료

• 개인정보보호법 제35조의2 및 시행령, 개인정보보호위원회 「마이데이터 전 분야로 확대」 보도자료(2026.2.10)
• 재정경제부 「이렇게 달라집니다」 본인전송요구권 전 분야 확대 시행(2026.8.20)
• 보건복지부·한국보건의료정보원, 건강정보 고속도로 현황(2025)
• 경기메디뉴스, 「의료 AX 기반 '디지털헬스케어법' 제정안, 국회 우려 속 계속심사」, 2026.9.27
• Lanier, J. & Weyl, E. G., "A Blueprint for a Better Digital Society", Harvard Business Review, 2018
• EU Data Governance Act(2022/868), European Health Data Space Regulation(2025)
• CBD COP16 결정 16/2 및 Cali Fund 자료
• MIDATA, Salus Coop, 상하이 데이터거래소 공개 자료