PDF Download
PubReader
Export Citation
Share Facebook
Share Twitter
Cited by 0 Article
Metrics (View:12)
Ⅰ. 서설
생명윤리 및 안전에 관한 법률(이하 “생명윤리법”이라 한다)에 따라 인간대상연구자, 인체유래물연구자가 소속된 교육·연구 기관 또는 병원 등이 생명윤리 및 안전의 확보를 위해 설치해야 하는 기관생명윤리위원회(이하 “기관위원회"라 한다)의 업무에는 “연구대상자등으로부터 적법한 절차에 따라 동의를 받았는지 여부, 연구대상자등의 안전에 관한 사항, 연구대상자등의 개인정보 보호 대책” 등에 관한 심의가 포함되고, 인간대상연구자 등이 연구 전에 대상자로부터 받아야 하는 서면동의서에는 “개인정보 보호 및 제공 등 처리에 관한 사항”이 포함되어야 한다. 그리고 개인정보제공에 관하여 대상자의 동의를 받은 인간대상연구자는 기관위원회의 심의를 거쳐 제3자에게 개인정보를 제공할 수 있다.1) 또한 약사법에 따라 대상자의 권리·안전·복지를 위해 임상시험실시기관이 설치·운영할 의무가 있는 임상시험심사위원회(이하 “심사위원회"라 한다)는 시험책임자가 제출한 임상시험 관련 문서를 심사하여 그 결과를 통보해야 하는데, 그 문서에는 “대상자 서면동의서 서식, 대상자에게 제공되는 서면 정보(시험대상자설명서를 포함한다)”등이 포함된다.2)
이와 같이 기관위원회 또는 심사위원회3)는 대상자의 개인정보보호 및 처리에 관한 사항을 심의하게 되는데, 기관위원회 별로 이에 관한 심사가 균질적이지 못한 문제가 있다. 그로 인해 연구자는 동의서 서식 등을 준비할 때 어려움을 겪게 될 뿐만 아니라 기관위원회에 대한 신뢰가 저하되는 문제가 있다. 기관위원회별 또는 동일한 기관위원회 내 각 패널별 심사의 비균질성은 비단 개인정보보호 및 처리에 관한 심사에만 국한되는 것은 아니나 개인정보보호 및 심사에 관한 사항이 관련 법령의 내용이나 논의의 다층성이라는 측면에서 더욱 도드라지는 것으로 보인다. 따라서 인간대상 또는 임상시험연구자 동의서 서식을 마련하거나 각 기관위원회가 표준 동의서 서식을 마련할 때 또는 기관위원회의 심사위원이 개인정보보호 및 처리에 관하여 심사할 때 참고하거나 주의해야 할 사항 등에 관한 공통된 문제의식 공유를 위한 논의를 전개할 필요가 있다. 이에 본 논문에서는 기관위원회의 심사 과정에서 논의될 수 있는 사항들에 대해 관련법령을 기준으로 검토한다.
Ⅱ. 선행연구 및 연구범위
인간대상연구에서 개인정보보호 및 처리와 관련해서는 생명윤리법에 따른 연구참여동의와 개인정보 보호법에 따른 개인정보처리동의를 비교·대조하여 인간대상연구에서의 개인정보처리 동의 및 동의 철회의 문제를 검토하거나,4) 개인정보와 관련하여 개인정보 보호법과 생명윤리법을 일반법과 특별법의 관계로 보고 인간대상연구에서의 개인정보보호에 관한 생명윤리법 규정의 문제점 및 개선방안을 검토한 연구,5) 미국의 Common Rule, HIPPA(Health Insurance Portability and Accountability Act) 및 EU의 GDPR(General Data Protection Regulation)과 비교하여 생명윤리법 상 익명화의 개선방안에 관해 검토하거나,6) 미국 HIPPA, HITECH(Health Information Technology for Economic and Clinical Health Act) 등 미국의 보건의료데이터의 규제를 살펴보고 시사점을 도출한 연구,7) 연구목적의 의료정보 활용 논의 필요성과 국내 법제 현황을 검토하거나,8) 보건의료데이터의 활용 및 법체계 정합성 보완을 중심으로 법제 개선방안을 검토한 연구,9) GDPR과 비교하여 정보주체의 동의 없는 가명처리 및 개인정보의 2차적 사용에 관하여 검토한 연구10) 등을 비롯한 여러 선행연구가 있다. 그러나 위 각 선행연구들은 주로 비교법적 또는 국내 법령 상호간 정합성 개선방안 등을 검토한 연구로서 기관위원회에서 임상시험과 관련한 개인정보보호와 제공에 관하여 심사하면서 논의될 수 있는 구체적 사항들에 대하여 검토한 연구는 찾아보기 어렵다.11)
따라서 본 논문에서는 인간대상연구를 규율하는 생명윤리법령, 약사법령과 개인정보보호 및 처리를 규율하는 개인정보 보호법령을 기준으로, 연구자가 동의서를 마련할 때나 심사자가 심사할 때 구체적으로 유의하고 준수 또는 논의해야 할 사항을 구체적으로 검토한다. 그리고 인간대상연구 중 사회행동연구(Social Behavior Research)보다는 인체유래물연구, 의료기기 임상시험, 첨단재생연구, 체외진단의료기기 임상시험, 의료행위와 관련한 임상시험 등 의료와 관련한 인간대상연구인 임상시험(Clinical Research or Clinical Trial)을 대상으로 논의하되, 임상시험의 상당부분을 차지하고 있는 의약품 임상시험을 주로 염두에 두고 논의한다.12) 이하에서는 먼저 연구대상자로부터 개인정보처리 동의획득이 면제되는 경우(III.)를 먼저 살펴본 후, 개인정보처리 동의 획득과 관련한 기관위원회의 구체적 심사사항(IV.)을 검토한다.
Ⅲ. 연구대상자로부터 개인정보처리동의 획득이 면제되는 경우
개인정보란 해당 정보만으로 또는 다른 정보와 쉽게 결합하거나 추가정보13)의 사용·결합을 통해 개인을 알아볼 수 있는 정보를 의미하므로,14) “시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보”인 익명정보는 개인정보가 아니어서 익명정보15)에는 개인정보 보호법이 적용되지 않는다.16)
또한 “개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리”(가명처리)한 가명정보는 “통계작성, 과학적 연구, 공익적 기록보존 등”을 위해서는 개인정보처리자가 정보주체의 동의 없이 처리할 수 있다.17)18) 그리고 ‘과학적 연구’는 “기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구”를 의미하는데,19) 일반적으로 여기에는 자연과학적 연구뿐만 아니라 역사적 연구나 공중보건분야에서의 공익목적 연구뿐만 아니라 산업적 목적의 연구도 포함되는 것으로 보고 있다.20) 따라서 임상시험 수행을 위해 익명정보나 가명정보를 처리하는 경우에는 정보주체의 동의획득이 면제된다고 할 것이다.
개인정보 보호법 제15조제3항 및 제17조제4항, 같은 법 시행령 제14조의2 제1항은 개인정보처리자는 “당초 수집 목적과 관련성이 있는지 여부”, “개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부”, “정보주체의 이익을 부당하게 침해하는지 여부”, “가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부”를 고려하여 “당초 수집 목적과 합리적으로 관련된 범위에서 정보주체의 동의 없이” 개인정보를 이용하거나 제공할 수 있다고 각 규정하고 있다. 개인정보에 대해 가명처리 등 익명화 조치를 한 경우에는 정보주체의 동의 없이 임상시험 수행과정에서 개인정보를 처리할 수 있음은 당연하나 익명화 조치를 하지 않은 채 임상시험을 하게 되는 경우에는 당초 수집목적과의 합리적 관련성의 획정이 중요한 요소가 될 것이다. 이 경우 개인정보의 추가적 이용이나 제공에 대한 정보주체의 동의는 면제되더라도 대상자가 임상시험에 참여하기 위해 연구참여동의를 하는 때에 개인정보가 합리적인 범위 내에서 이용하거나 제공될 수 있다는 가능성에 대한 설명은 하는 것이 바람직할 것이다. 추가적 이용 및 제공에 대한 고려사항으로 그 예측가능성 여부를 들고 있기는 하지만, 이와 같은 가능성에 대한 설명은 대상자의 연구참여동의 여부에 영향을 줄 수는 있는 사항으로 볼 수도 있기 때문이다. 다만, 의약품 등의 안전에 관한 규칙 제30조제1항 [별표 4] 임상시험관리기준 7. 다. 3)은 “시험책임자는 대상자의 동의를 받아 해당 주치의에게 대상자의 임상시험 참여 사실을 알릴 수 있다”고 규정하고 있는데, 대상자의 “급박한 생명, 신체, 재산의 이익을 위하여” 알릴 필요가 명백한 경우라든지 그 밖의 개인정보 보호법이 정한 사유에 해당한다고 보일 경우에는 대상자의 동의 없이도 주치의에게 임상시험 참여 사실을 알릴 수 있을 것이다.
생명윤리법 제15조제2항, 같은 법 시행규칙 제13조는 취약한 환경에 있는 시험대상자를 대상으로 하지 않으면서 “연구대상자 및 공공에 미치는 위험이 미미한 경우로서 일반 대중에게 공개된 정보를 이용하는 연구 또는 개인식별정보를 수집·기록하지 않는” 일정한 연구들은 기관위원회의 심의면제가 가능하다고 규정하고 있다. 공개된 개인정보에 대해서도 개인정보자기결정권이 인정되기는 하나21) “이미 공개된 개인정보를 정보주체의 동의가 있었다고 객관적으로 인정되는 범위 내에서 수집·이용·제공 등 처리를 할 때는 정보주체의 별도의 동의는 불필요하다고 보아야” 할 것이고,22) 개인식별정보를 수집·기록하지 않는다면 해당 정보는 익명정보 또는 가명정보에 해당하여 정보주체의 동의가 없어도 처리가 가능할 것이다. 따라서 기관위원회의 심의면제의 요건을 충족하여 심의가 면제되는 것으로 인정된다면 통상적으로는 개인정보처리에 관한 동의취득도 면제된다고 볼 수 있을 것이다.23)
생명윤리법 제16조제3항은 “연구대상자의 동의를 받는 것이 연구 진행과정에서 현실적으로 불가능하거나 연구의 타당성에 심각한 영향을 미친다고 판단되는 경우”와 “연구대상자의 동의 거부를 추정할 만한 사유가 없고, 동의를 면제하여도 연구대상자에게 미치는 위험이 극히 낮은 경우”라는 요건을 모두 갖춘 경우, 기관위원회의 승인을 받으면 연구대상자의 서면동의를 면제할 수 있으나 대리인의 서면동의는 면제하지 않는다고 규정하고 있다.26) 이와 같은 요건을 충족한 임상시험의 대상자가 만 14세 미만 아동이라면 개인정보처리에 관하여 법정대리인의 동의를 받으면 될 것이다.27) 대상자가 만 18세 미만의 아동일 경우에는 연구대상자의 의사에 어긋나지 않는 범위에서 대리인의 서면동의를 받아야 하므로28), 대상자인 아동의 연구참여의사를 확인할 수 있는 경우라면 그 의사를 확인하면서 개인정보처리 동의를 받으면 될 것이다. 한편, 대상자가 만 18세 이상이면서 위와 같은 요건을 모두 갖춘 연구에 참여하는 경우에 연구참여에 대한 서면동의는 면제되는데, 개인정보처리에 대한 동의도 면제되는 것일까?
먼저 연구참여에 대한 서면동의면제 요건을 갖춘 임상시험의 경우에 그 임상시험을 수행하는 과정에서 개인정보를 처리하는 것이 개인정보 보호법이 정보주체의 동의가 없어도 개인정보를 처리할 수 있도록 규정한 사유인 “공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우”, “명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우”, “개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우”, “공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우” 등에 해당한다면 정보주체의 동의가 없더라도 개인정보의 처리가 가능할 것이다.29) 그러나 위 사유에 해당하지 않는 경우라면 어떻게 보아야 할까? 연구참여에 대한 동의와 개인정보처리에 대한 동의는 별개이므로 연구참여동의가 면제된다고 하여 개인정보처리에 동의까지 면제되는 것은 아니라고 볼 수도 있을 것이다. 그러나 위 서면동의면제 요건은 연구의 실행가능성과 타당성 측면, 연구대상자의 보호 측면을 모두 충족할 것을 요구하는 것으로서 개인정보처리의 측면에서도 연구대상자에게 미치는 위험이 극히 낮은 경우를 상정한 것으로 볼 수 있고, 연구자가 대상자로부터 연구 전에 받아야 하는 서면동의에는 “개인정보 보호에 관한 사항”과 “개인정보의 제공에 관한 사항”이 포함되어야 하는데30) 그와 같은 서면동의를 면제한다는 것은 개인정보처리에 관한 동의도 포함하여 면제하는 것이라고 할 수 있을 것이므로, 서면동의면제의 요건을 충족한 경우에는 개인정보처리동의 취득의 면제요건도 충족한 것이라고 볼 수도 있을 것이다.31) 즉, 위와 같은 생명윤리법의 동의면제에 관한 조항을 개인정보 보호법 제15조제1항제2호와 제17조제1항제2호의 “법률에 특별한 규정이 있는 경우”로 보아 기관위원회의 승인을 조건으로 개인정보처리에 관한 대상자의 동의가 면제된다고 할 수 있을 것이다.32) 다만, 이 경우에도 동의능력이 없거나 불완전한 사람33)을 위한 대리인의 서면동의는 면제되지 않으므로 그와 같은 대리인의 서면동의에는 개인정보 보호법이 요구하는 절차와 방식을 준수하고, 내용에는 개인정보의 보호 및 제공에 관한 사항이 포함되어 있어야 할 것이다. 그리고 서면동의면제의 요건을 갖추었다고 하여 기관위원회가 반드시 서면동의를 면제해야 하는 것은 아니므로, 만약 대상자의 개인정보의 처리에 관한 동의가 필요하다고 판단한 경우라면, 기관위원회는 연구참여에 대한 대상자의 서면동의를 요구하거나 연구참여에 대한 서면동의는 면제하되 대상자의 개인정보를 익명화할 것을 요구해야 할 것이다.
Ⅳ. 임상시험 대상자의 개인정보처리 동의 획득과 관련한 구체적 심사사항
임상시험은 누가 주도하느냐에 따라 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)과 연구자 주도 임상시험(Investigator Initiated Trial, IIT)으로 구분할 수 있는데, 의약품 임상시험은 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)의 비율이 높은 실정이다.36) 그런데 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)에서 시험책임자를 개인정보처리자와 개인정보취급자 중 어느 지위에 해당한다고 보는지에 따라 그 심사내용이 상당히 달라질 수 있다. 이를 구체적으로 살펴보면 다음과 같다. 먼저 개인정보 보호법 제2조제4호는 “개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)”을 “개인정보파일”로, 같은 조 제5호는 “업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등”을 “개인정보처리자”로 각 규정하고 있다. 그리고 제28조는 제1항에서 “임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자”를 “개인정보취급자”라고 하여 개인정보처리자와 구분하고, 제2항에서 “개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다”고 규정하여 개인정보처리자에게 개인정보취급자에 대한 정기적인 교육실시의무를 부과하고 있다. 따라서 의뢰자 주도 임상시험(SIT)에서 시험책임자가 개인정보처리자가 아니라 의뢰자나 임상시험 실시기관의 장의 개인정보취급자에 불과하다면 시험담당자, 코디네이터 등도 모두 의뢰자나 임상시험 실시기관의 장의 개인정보취급자에 해당하여 시험책임자에게는 그들에 대한 정기적인 교육의무가 없을 것이다. 또한 시험책임자가 의뢰자나 임상시험 실시기관의 장에게 대상자의 개인정보를 제공하는 것은 개인정보의 제3자 제공에 해당하지 않을 것이고37), 의뢰자나 임상시험 실시기관의 장이 임상시험 수행을 위해 시험책임자에게 대상자의 개인정보를 이전하는 경우에도 이는 “개인정보처리자의 업무처리와 이익을 위하여 내부적으로 개인정보를 이용”하는 것으로서 시험책임자는 ‘개인정보처리자로부터 개인정보를 제공받은 자’에 해당하지 않을 것이다.38)
그렇다면 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)에서 시험책임자는 개인정보처리자에 해당하는 것으로 보아야 하는가 아니면 개인정보취급자에 해당한다고 보아야 하는가?
의뢰자 주도의 의약품 임상시험을 살펴보면, 임상시험계약은 의뢰자와 임상시험실시기관의 장이 문서로써 체결해야 하고, 임상시험 계약서에는 “업무의 위임 및 분장에 관한 사항”, “의뢰자와 임상시험실시기관의 장의 의무사항” 등이 포함되어야 한다.39) 그리고 임상시험실시기관의 장은 심사위원회 설치 및 심사위원회 위원 위촉, 심사위원회의 업무 수행을 위한 표준작업지침서 작성, 임상시험의 실시에 필요한 임상시험실·설비 및 전문인력 구비, 모니터링 및 점검 등의 협조, 관리약사 지정, 기록 및 자료보관, 임상시험 조기종료 및 일시중지의 통지 및 사유서 제출 등의 의무를 부담하고, 수행된 임상시험의 품질 및 윤리성 등에 대한 모든 책임을 진다.40) 또한 의뢰자는 임상시험의 품질보증 및 임상시험자료의 품질관리에 관한 표준작업지침서 마련, 임상시험자료에 대한 품질관리 실시, 임상시험의 관리, 자료의 처리, 기록 보관, 시험책임자 선정, 임무의 배정, 대상자에 대한 보상, 임상시험 계획서에 대한 식품의약품안전처장의 승인, 심사위원회 심사사항의 확인, 임상시험용 의약품에 관한 정보 제공, 임상시험용 의약품의 제조, 포장, 표시기재 및 코드화, 임상시험용 의약품의 공급 및 취급, 임상시험 관련 자료의 열람, 임상시험용 의약품의 안전성과 관련한 사항, 약물이상반응의 보고, 모니터링, 점검, 위반사항에 대한 조치, 임상시험의 조기종료 또는 중지의 보고, 다기관임상시험 시 확인사항 등에 관한 의무를 부담한다.41)
위와 같이 임상시험계약 체결 주체가 의뢰자와 임상시험실시기관의 장이라는 점 및 임상시험의 내용 및 수행과정에 대한 임상시시험실시기관의 장과 의뢰자의 권리의무 내용이 임상시험 전반에 걸쳐 매우 구체적이라는 점 등을 고려하면, 얼핏 임상시험실시기관의 장이나 의뢰자가 임상시험과 관련하여 대상자의 개인정보처리자가 되고 시험책임자는 의뢰자나 임상시험실시기관의 장의 개인정보취급자에 해당하는 것으로 보이기도 한다.
그러나 개인정보취급자는 개인정보처리자의 지휘·감독을 받아 개인정보처리자의 의사에 따라 개인정보처리 업무를 수행하므로, “개인정보처리에 관한 독자적 이익을 위하여 개인정보를 이용하거나 제3자에게 이를 제공할 수 있는 지위에 있지 않”42)다는 점을 고려하면, 개인정보처리자에 해당하는지 아니면 개인정보취급자에 불과한지 여부는 개인정보처리에 독자적 이익을 갖는지, 개인정보처리 업무의 수행이 타인의 의사에 따라 이루어지는 것으로 볼 수 있는지 등에 따라 판단해야 할 것이다.
그런데 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)에서 시험책임자는 의뢰자와 합의한 등록기간 내에 대상자의 등록이 가능성에 대한 증명, 임상시험 실시에 필요한 인원·장비·시설 확보, 지원기관으로부터 배치받은 인력에 대한 감독 및 교육실시, 대상자 보호, 심사위원회의 심사 및 보고, 임상시험 계획서 준수, 임상시험용 의약품의 관리, 무작위배정 및 눈가림해제, 대상자의 동의, 기록 및 보고, 진행상황 보고, 임상시험의 안전성과 관련한 보고, 임상시험의 조기종료 또는 중지, 임상시험 완료보고 등에 관한 의무가 있다.43) 이와 같은 시험책임자의 의무를 살펴보면 시험책임자는 임상시험의 시작부터 종료까지 시험책임자가 매우 구체적이고 능동적인 역할과 지위에 있고, 임상시험의 수행이나 그 결과와 관련하여 의뢰자와 다른 측면에서 주도적인 지위에 있을 뿐만 아니라 대상자에 대해서도 직접적인 보호의무를 부담하는 주체의 지위에 있음을 알 수 있다. 따라서 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)에서 시험책임자는 대상자의 개인정보처리에 관한 독자적 이익을 위하여 임상시험 수행 전반에 걸쳐 주도적으로 대상자의 개인정보를 처리하는 것으로 볼 수 있고, 이를 두고 의뢰자나 임상시험실시기관의 장의 의사에 따라 개인정보처리업무를 수행하는 것이라고 볼 수는 없으므로, 의뢰자 주도 임상시험(Sponsor Initiated Trial, SIT)에서 시험책임자는 개인정보취급자가 아니라 개인정보처리자에 해당한다고 보아야 할 것이다. 따라서 심사위원회도 의뢰자 주도 임상시험의 계획서 및 동의서 등의 적정성 여부를 심사하는 경우에 의뢰자나 임상시험실시기관의 장뿐만 아니라 시험책임자 역시 개인정보처리자에 해당한다는 전제에서 검토해야 할 것이다.
개인정보 보호법 제23조제1항 및 같은 법 시행령 제18조는 “사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 유전자검사 등의 결과로 얻어진 유전정보, 범죄경력자료에 해당하는 정보, 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보, 인종이나 민족에 관한 정보”(이하 ‘민감정보’라고 한다)를 개인정보처리자가 처리하기 위해서는 “정보주체에게 제15조제2항44) 각 호 또는 제17조제2항45) 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우”이거나 “법령에서 민감정보의 처리를 요구하거나 허용하는 경우”일 것을 요구하고 있다. 또한 제24조제1항 및 같은 법 시행령 제19조는 “주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호”(이하 ‘고유식별정보’라고 한다)를 처리하기 위해서는 민감정보와 같이 “정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우”이거나 “법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우”이어야 한다고 규정하고 있다. 따라서 민감정보나 (구체적으로) 고유식별정보의 처리를 요구하거나 허용하는 경우로 볼 수 있는 법령 규정이 있다고 볼만한 임상시험이 아니라면 민감정보나 고유식별정보의 처리를 위해서는 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받아야 할 것이다. 이와 관련하여 개인정보 보호법 제22조제1항은 본문에서 개인정보처리에 대한 동의는 “각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야” 한다고 하면서, 단서 및 제5호, 제6호에서는 민감정보나 고유식별정보의 처리를 위한 동의를 받는 경우에는 “동의 사항을 구분하여 각각 동의를 받아야” 한다고 규정하고 있다.
한편 고유식별정보 중 주민등록번호의 경우에는 개인정보 보호법 제24조의2 제1항이 개인정보처리자는 주민등록번호를 처리할 수 없다고 하면서 주민등록번호를 처리할 수 있는 예외적인 경우로서 “법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우”, “정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우”, “제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우”만을 규정한 채 “정보주체로부터 별도의 동의를 받은 경우”를 규정하지 않고 있으나, 생명윤리법 제2조제17호 및 제18호, 제16조가 결합되어 주민등록번호 처리에 관하여 ‘정보주체의 동의를 받은 경우에는 “구체적으로 주민등록번호의 처리를 요구하거나 허용”한 법률 규정’으로 볼 수 있으므로, 주민등록번호의 경우에도 정보주체의 동의를 받아 처리할 수 있다고 할 것이다.46)
따라서 민감정보나 주민등록번호를 포함하여 고유식별정보를 처리하기 위해서는 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받아야 하므로,47)48) 일반 개인정보뿐만 아니라 민감정보나 고유식별정보를 처리하려는 경우에는 개인정보처리자는 일반 개인정보, 민감정보, 고유식별정보를 구분하여 제시하고,49) 동의란을 구분하는 등의 방법으로 각각 별도의 동의를 받아야 할 것이다.
개인정보처리에 관한 동의를 받는 경우에는 일정한 사항을 정보주체에게 알려야 하는데, 그와 같이 알려야 하는 사항 중에 “개인정보의 보유 및 이용기간”이 있다. 정보주체 입장에서는 개인정보처리자가 자신의 개인정보를 보유하고 이용하는 기간에 따라 사생활이나 개인정보의 침해 가능성의 정도가 달라질 수 있으므로, 개인정보의 보유 및 이용기간의 제한은 매우 중요한 사항이라고 할 수 있다. 또한 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 사생활 침해를 최소화하는 방법으로 적합하게 개인정보를 처리해야 하는데,50) 필요한 최소 기간동안 개인정보를 보유하고 이용하는 것이 사생활 침해를 최소화하는 방법의 하나에 해당한다는 점에서 위 개인정보의 처리 목적에 필요한 범위에는 시간적 범위도 포함된다고 보아야 하므로, 개인정보의 보유 및 이용기간의 제한은 필수적이라고 할 수 있다. 바꾸어 말하면 임상시험 목적을 달성하기 위해 일정기간 대상자의 개인정보를 보유 및 이용할 필요성이 인정됨은 모두가 수긍할 수 있을 것이지만, 대상자의 개인정보를 계속하여 보관하면 개인정보의 유출 및 악용가능성, 이로 인한 정보주체의 개인정보침해, 사생활 침해의 가능성이 커지게 되므로, 개인정보의 보유 및 이용기간은 임상시험 목적에 부합하는 최소한의 기간이 되어야 할 것이다.51) 개인정보 보호법 제21조제1항도 개인정보 보유기간이 경과한 경우 뿐만 아니라 개인정보의 처리목적이 달성되어 그 개인정보가 불필요하게 되었을 경우에는 지체없이 그 개인정보를 파기하여야 한다고 규정하고 있다. 따라서 대상자에게 개인정보처리자의 보유 및 이용기간을 ‘영구’나 ‘준영구’ 등으로 알리는 것은 대상자의 해당 개인정보에 대한 자기결정권 또는 지배관리권을 개인정보처리자에 대한 관계에서 사실상 형해화시키는 것일 뿐만 아니라 개인정보의 보유 및 이용기간의 제한을 무력화하는 것이므로 허용될 수 없다고 할 것이다.
그렇다면 개인정보의 보유 및 이용기간을 ‘목적 달성 시까지’로 알리는 것은 괜찮을까? 개인정보 처리 목적 달성 시까지로 알리는 것은 얼핏 합리적인 것으로 보일지 모르나, 이는 정보주체인 대상자가 ‘처리 목적 달성 시점’을 대략적으로라도 예상하기 어렵다는 점에서 타당하다고 보기 어렵다. 시험책임자나 의뢰자 등 개인정보처리자는 임상시험 전반을 계획하고 주도적으로 수행한다는 점에서 임상시험을 위한 개인정보 처리 목적의 달성 시점을 합리적으로 예견할 수 있는 위치에 있다고 할 수 있으므로, 그와 같이 예상되는 시점을 개인정보 보유 및 이용기간의 최대 한도로 제시하는 것이 적절할 것이다. 이는 ‘임상시험 종료 시부터 최대 ∼ 년의 범위 안에서 목적 달성 시까지’ 등으로 제시할 수 있을 것이다. 이와 같은 점에서 개인정보의 보유 및 이용기간을 ‘임상시험 종료 시부터 최소 ∼년’과 같은 방식으로 제시하여서는 안 될 것이다.
다국가 의약품 임상시험의 경우 통상 의뢰자인 제약사의 본사나 검체분석기관 등이 해외에 소재하는 경우가 많다. 이러한 경우 대상자의 개인정보나 검체 등이 국외로 이전되는 경우가 대부분인데,52) 대상자의 개인정보가 이전되는 국가의 개인정보보호 관련 법령이나 보호수준은 동일하지 않다. 이와 같은 경우에 대상자의 개인정보 국외이전과 관련하여 한국의 개인정보보호수준보다 더 낮은 수준의 국가로 개인정보가 이전될 수 있다고 설명하고 그에 기반하여 개인정보처리에 관한 동의를 받는 경우가 있다. 이러한 설명은 대상자에게 개인정보 국외이전에 관한 정보를 제공하는 것이고, 대상자에게 개인정보의 국외이전에 관한 정보를 제공한 후 그에 기반하여 동의를 받는 것이므로 괜찮은 것일까?
개인정보의 국외이전과 관련하여 개인정보 보호법 제28조의8 제1항53)은 개인정보처리자는 일정한 경우를 제외하고는 개인정보를 국외로 이전해서는 안된다고 하면서 개인정보를 국외로 이전할 수 있는 예외적인 사유의 하나로 제1호에서 “정보주체로부터 국외 이전에 관한 별도의 동의를 받은 경우”를 들고 있다. 그리고 제2항에서 위와 같은 동의를 받을 때에는 “이전되는 개인정보 항목, 개인정보가 이전되는 국가, 시기 및 방법, 개인정보를 이전받는 자의 성명(법인인 경우에는 그 명칭과 연락처를 말한다), 개인정보를 이전받는 자의 개인정보 이용목적 및 보유·이용 기간, 개인정보의 이전을 거부하는 방법, 절차 및 거부의 효과”를 정보주체에게 미리 알려야 한다고 규정하고 있다. 그리고 이어 제5항에서 “개인정보처리자는 이 법을 위반하는 사항을 내용으로 하는 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다”고 규정하고 있다. 또한 개인정보 보호법 제59조제1호는 “거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보처리에 관한 동의를 받는 행위”를 금지하고 있다.54)
따라서 개인정보처리자가 정보주체에게 일정한 사항을 미리 알리고 대상자로부터 개인정보의 국외이전에 관한 별도의 동의를 받으면 그것만으로 충분한 것이 아니라 개인정보의 국외이전에 관한 계약의 내용에 개인정보 보호법을 위반하는 사항이 있어서는 안될 것이다. 그런데 개인정보처리자가 대상자의 개인정보를 국외로 제공한 이후 국외에서 대상자의 개인정보가 처리되는 과정에서의 한국의 개인정보 보호법 준수 여부는 대상자의 개인정보를 국외로 제공한 개인정보처리자와는 무관하다고 보아 그 개인정보처리자가 개인정보를 국외로 제공하는 그 부분만 개인정보 보호법에 위반되지 않으면 괜찮은 걸까? 표면적으로 보면 그렇게 볼 여지도 있을 것이나 개인정보 보호법 제28조의8제1항에서 개인정보의 “이전”은 개인정보를 국외로 “제공(조회를 포함),·처리위탁·보관”하는 것을 포괄하는 개념이라는 점, 개인정보의 국외이전이 가능한 예외적인 사유로 인정되는 사유로 제4호에서 개인정보를 이전받는 자가 개인정보보호위원회가 정하여 고시한 인증을 받고 “개인정보 보호에 필요한 안전조치 및 정보주체 권리보장에 필요한 조치, 인증받은 사항을 개인정보가 이전되는 국가에서 이행하기 위하여 필요한 조치”를 모두 한 경우55)를 들고 있다는 점, 제5호에서 “개인정보가 이전되는 국가 또는 국제기구의 개인정보 보호체계, 정보주체 권리보장 범위, 피해구제 절차 등이 이 법에 따른 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 보호위원회가 인정하는 경우”56)를 들고 있다는 점 등을 고려하면 개인정보가 이전된 국외에서의 개인정보의 처리도 개인정보 보호법이 정한 개인정보 보호 수준과 실질적으로 동등한 수준을 갖추었다고 평가받을 수 있어야 할 것이다. 따라서 개인정보를 이전받은 국가의 개인정보 보호법령이 부재하거나 보호 수준이 낮은 경우에는 개인정보처리자는 별도의 정보보호계약 등57)을 통해 개인정보가 이전된 국가에서의 개인정보처리가 개인정보 보호법이 정한 개인정보 보호수준과 실질적으로 동등한 수준을 갖도록 해야 할 것이다.58)
이와 관련하여 추가로 개인정보 보호법 제28조의8 제1항제3호에서 “정보주체와의 계약의 체결 및 이행을 위하여 개인정보의 처리위탁·보관이 필요한 경우”로서 제2항에서 정한 일정한 사항을 개인정보보호방침에 공개하거나 정보주체에게 알린 경우에도 예외적으로 개인정보의 국외이전이 가능하다고 정하고 있으므로, 개인정보의 국외이전과 관련하여 정보주체의 별도의 동의를 받으면 개인정보처리자가 개인정보를 국외로 이전하는 것 외에 개인정보를 이전받은 제3자가 해당 국가에서 개인정보를 처리하는 과정에서의 개인정보 보호수준까지 담보할 필요는 없는 것이 아닌가 하는 의문을 가질 수도 있다. 그러나 “개인정보의 ‘제3자 제공’은 본래의 개인정보 수집·이용 목적의 범위를 넘어 정보를 제공받는 자의 업무처리와 이익을 위하여 개인정보가 이전되는 경우”임에 반해 “개인정보의 ‘처리위탁’은 본래의 개인정보 수집·이용 목적과 관련된 위탁자 본인의 업무 처리와 이익을 위하여 개인정보가 이전되는 경우를 의미”59)하므로, 위 제3호에서 정한 예외사유는 개인정보처리자가 정보주체와의 계약의 체결 및 이행을 위해 개인정보의 처리를 위탁하거나 보관하는 경우로서 제3자에게 개인정보를 제공하는 것이라기보다는 개인정보취급자를 통해 자신의 개인정보처리를 하는 경우를 규정한 것이라고 보아야 할 것이다. 따라서 위 제3호에 해당하여 개인정보의 국외이전이 이루어지는 경우에는 개인정보취급자를 통한 개인정보처리자의 개인정보처리가 되어 해당 국가에서 개인정보를 처리하는 과정에서 한국의 개인정보 보호법령이 준수되게 될 것이다.
또 다른 한편으로는 정보주체가 법정 고지사항을 고지받고 개인정보 국외이전에 관한 별도의 동의를 했다는 점만으로, 이전대상국의 개인정보보호수준과는 관계없이 정보주체의 개인정보자기결정권이 실질적으로 보장된 것으로 볼 수 있을지도 의문이다. 정보주체가 자신의 개인정보가 이전되는 국가 등을 고지받았다는 것만으로 해당 국가의 개인정보 보호수준까지 알기는 어렵고, 특히 한국의 개인정보보호수준보다 낮은 보호수준의 국가로 개인정보가 이전될 수 있다는 추상적인 설명만으로 개인정보처리에 관한 위험을 제대로 고지받았다고 하기는 어려운 점60), 개인정보의 이전을 거부할 권리가 있기는 하나 그 권리를 행사할 경우에는 임상시험에 참여할 수 없는 불이익이 있어 임상시험 참여를 원하는 대상자의 입장에서는 그와 같은 권리를 실질적으로 행사하기 어렵다는 점에 더해 의뢰자 등의 입장에서는 별도의 개인정보 보호계약 등을 통해 개인정보의 이전대상국에서의 개인정보 보호수준을 한국의 개인정보 보호법과 같은 수준으로 유지할 수단이 존재한다는 점을 고려하면 단순히 별도동의를 통해 정보주체의 개인정보자기결정권이 보장된 것이므로 문제가 없다고 단정지을 수는 없을 것이다.61)62)
첨단재생의료 임상연구의 경우에 첨단재생의료실시기관으로 지정을 받은 자(이하 “재생의료기관”이 한다)는 첨단재생의료 임상연구를 하기 전에 연구대상자로부터 동의서에 서명을 받아야 하는데, 그 동의서에는 장기추적조사 등 사후조치에 관한 사항도 포함되어 있어야 한다.64) 그리고 첨단재생의료안전관리기관의 장은 첨단재생의료 및 첨단바이오의약품 심의위원회가 장기추적조사가 필요하다고 심의·의결한 첨단재생의료 임상연구에 대하여 장기추적조사를 실시하여야 하고, 연구대상자와 재생의료기관은 장기추적조사 실시와 관련하여 안전관리기관의 장의 지시에 따라야 한다.65) 그리고 안전관리기관의 장은 “연구대상자의 건강상태, 이상반응 발생 여부” 등이 포함된 장기추적보고서를 매년 말까지 보건복지부장관에게 제출해야 한다.66)
또한 식품의약품안전처장이 장기추적조사 대상으로 지정한 첨단바이오의약품에 대하여 약사법에 따라 임상시험계획 승인을 받은 자는 장기추적조사계획을 수립하여야 하는데,67) 위 장기추적조사계획에는 ‘조사대상자에 관한 사항’이 포함되어야 하고68) 위 조사대상자에 관한 사항에는 ‘조사대상자의 동의서 서식’이 포함되어야 하며,69) 위 조사대상자의 동의서 서식에는 “장기추적조사 참여 및 투여내역 등록에 대한 동의 여부, 개인정보 수집, 이용 및 제공 동의 여부 및 비밀 보장”도 포함되어야 한다.70) 그리고 장기추적조사 대상 첨단바이오의약품을 취급하는 의사·치과의사·약사는 투여 대상자로부터 “투여 받는 첨단바이오의약품이 장기추적조사 대상이 되는 첨단바이오의약품이라는 사실, 투여 대상자의 인적사항과 투여 내역이 규제과학센터에 등록된다는 사실, 서면동의의 철회 방법 및 절차 등에 관한 사항, 개인정보의 보호에 관한 사항”이 포함된 서면동의를 받아 투여 대상자의 인적사항과 투여 내역을 첨단바이오의약품 규제과학센터에 등록하여야 한다.71)72) 이때 장기추적조사 기간은 줄기세포치료제는 5년, 유전자치료제는 15년, 동물의 조직·세포 등을 포함하는 첨단바이오의약품은 30년의 기간 이내에서 정할 수 있다.73) 임상시험계획 승인을 받은 자는 이와 같이 수립한 장기추적조사계획을 실시하면서 중대한 이상사례가 발생한 사실을 알게 된 경우에는 이를 조사·분석하여 식품의약품안전처장에게 보고해야 하는데,74) 위 중대한 이상사례에는 사망, 악성종양 등이 포함되고 투여환자가 사망한 경우에는 보고된 사망원인, 부검 여부 및 부검 시 입증된 사망원인 등을 보고하도록 되어 있다.75)
한편, 위와 같은 첨단바이오의약품이 아닌 의약품 임상시험의 경우에도 임상시험 종료 후에 대상자에게 이상반응 발생했는지 여부 및 대상자의 사망 여부 등을 추적할 필요가 있다.76) 통상적으로 의약품 임상시험의 경우에는 스크리닝기간을 거쳐 임상시험 참여에 적합한 대상자인지를 검사하고, 선정기준을 충족하여 임상시험에 참여하게 된 대상자들에게 시험약 및 대조약 등을 투여하는 투여기간을 거친 뒤 시험약 등의 투여가 종료된 뒤 일정기간 동안 추적관찰기간을 갖는데, 추적관찰기간이 종료된 뒤에도 대상자의 이상반응 발생 및 사망 여부나 사망원인 등을 확인할 필요가 있는 것이다.
위와 같은 연구종료 후 추적관찰에 동의한 대상자가 연락이 되는 경우라면 큰 문제는 없을 것이다. 그러나 대상자가 위와 같은 연구 종료 후 추적관찰에 대한 동의를 철회하지도 않고 연락도 되지 않는 경우에는 어떻게 해야 하는가? 이런 경우를 대비해서 위와 같은 정보를 수집할 목적으로 연구 참여 시에 대상자의 가족, 지인 등로부터 그들의 개인정보처리에 관한 동의를 받아 두었다면, 그 정보를 이용하여 대상자의 가족, 지인 등에게 연락을 취하여 대상자의 건강상태나 생존여부 등을 확인할 수 있을 것이다. 그런데 그와 같이 확보해 둔 대상자나 가족, 지인 등의 연락처 등이 변경되어 연락이 되지 않는 경우도 있다. 이러한 예외적인 경우에 대상자의 생존을 확인할 필요가 있다면 시험책임자 등이 대상자의 생존 여부를 확인하기 위해 취할 수 있는 방법이 무엇이 있을까?
만약 대상자가 아직 임상시험이 시행된 의료기관에서 정기적으로 진료를 받고 있다면 대상자의 동의에 터잡아 병록번호 등을 이용하여 원내 의무기록팀을 통해 건강상태나 생존여부 등을 추적할 수 있을 것이다.77) 또한 대상자로부터 통계청을 통한 사망여부 및 사망원인 확인에 관하여 동의를 받았다면 시험책임자 등은 통계법 제31조, 같은 법 시행령 제47조, 인가된 통계자료 이용절차 등에 관한 규정 등에 따른 통계청의 마이크로데이터(MDIS) 서비스(사망원인 자료연계 서비스)를 이용할 수 있을 것이다.78) 한편 다국적 임상시험의 경우에 연구참여에 대한 동의를 받기 위한 설명을 하면서 연구종료 후에도 대상자의 생존 여부 등을 확인하기 위해 대상자에게 연락할 수 있고 대상자와의 연락이 되지 않을 때는 사설탐정을 고용하여 대상자의 건강상태나 생존 여부를 확인하기 위해 기존의 개인정보를 이용할 수 있다고 설명하는 경우가 있는데, 이와 같은 설명 및 동의는 괜찮을까? 외국에서는 사설탐정이 적법하게 활동할 수 있으므로 이와 같은 설명 및 동의가 문제되지 않을 수 있으나, 한국에서는 아직 사설탐정에 관한 법률이 제정되어 있지 않고 적법하게 활동할 수 있는 범위가 어디까지인지가 명확하지 않은 상황이어서 이와 같은 방법은 스토킹 등에 해당하여 대상자의 사생활을 침해할 소지가 있고 자칫 법위반으로 처벌받을 가능성이 있다.79) 따라서 이와 같은 방법은 한국에서는 법적, 윤리적으로 적절하지 않은 방법으로서 연구종료 후 대상자의 생존 등 추적확인을 위한 방법으로 허용되지 않는다고 보아야 할 것이다.
의약품 임상시험에서 시험약이 생식독성 또는 태아독성이 있거나 또는 그 독성 여부가 분명하지 않은 경우에는 임신가능성이 있는 여성 대상자들에게는 임상시험 참여기간 및 임상시험 종료 후 일정기간 동안 난자를 제공하거나 임신해서는 안 된다는 것과 적절한 피임방법을 안내한 후 이에 동의한 경우에 한하여 임상시험에 참여가 가능하다는 점을 설명한다. 또한 남성 대상자들에게도 위 기간 동안 정자를 제공하거나 파트너가 임신해서는 안 된다는 것과 적절한 피임방법 및 임상시험 참여를 위해서는 이와 같은 점에 대한 동의가 필요하다는 것을 설명한다. 그럼에도 대상자 또는 파트너가 위 기간 동안 임신을 하게 되는 경우가 있을 수 있는데, 이와 같은 경우에는 임신부의 임신정보나 태아의 건강상태 등을 면밀히 추적해야 할 필요가 있다. 그리고 이와 같은 정보 등은 모두 민감정보에 해당하므로 이를 처리하기 위해서는 정보주체로부터 별도의 동의를 받아야 하는데, 임신부가 임상시험에 참여하고 있는 대상자라면 임상시험에 참여하는 시점에 동시에 별도의 동의를 받는 것도 가능할 것이다. 그러나 임상시험에 참여하고 있는 남성 대상자의 파트너가 임신한 경우라면 이 경우에는 정보주체인 파트너로부터 별도의 동의를 받아야 할 것이다. 이와 같은 남성 대상자의 파트너의 임신과 관련한 개인정보처리동의서 서식에 대한 심의는 임상시험계획서와 동의서 서식 등을 심의할 때 같이 받아도 되고, 나중에 사용하게 되는 경우에 추가로 받아도 무방하나, 추후 사용하게 될 때 심의를 받지 않은 서식을 사용해서는 안 될 것이다.
한편 개인정보를 처리하기 위해서는 정보주체의 동의를 받아야 한다는 점에서 태아의 건강상태 등에 관한 정보의 정보주체를 누구로 보아야 할지 문제될 수 있다. 즉 태아의 건강상태 등에 관한 정보의 처리에 대한 동의의 경우에는 태아가 정보주체에 해당한다고 할지, 또는 임신한 상태이므로 태아에 관한 정보도 결국 임신부의 정보에 해당하여 임신부가 정보주체에 해당한다고 보아야 할지, 아니면 태아와 임신부 둘 다 정보주체에 해당한다고 할지 문제될 수 있다. 이와 관련하여 태아는 형성 중의 인간으로서 헌법상 생명권의 주체가 되기는 하나,80) 태아의 생명권은 일정한 조건이 충족되면 임신한 여성의 자기결정권의 보장을 위해 제한될 수도 있는 점,81) 개인정보는 살아 있는 개인에 관한 정보인데, 민법 제3조는 사람은 생존한 동안 권리의무의 주체가 된다고 하고 있고, 민법 제762조는 “태아는 손해배상의 청구권에 관하여는 이미 출생한 것으로 본다.”고 규정하는 등 태아에게 일반적인 권리능력이 인정되지 않는 점 등을 고려하면 태아의 개인정보주체성이 인정될 수 있을지 불분명하다고 할 것이다. 또한 태아에게 개인정보자기결정권이 인정된다고 할지라도 결국 그 행사는 법정대리인을 통하여 행사될 수밖에 없어서 결국 임신부의 동의를 받아야 할 것이므로,82) 태아의 정보주체성 여부가 동의를 누구로부터 받아야 하는지와 관련해서는 다른 결론을 도출하기는 어려울 것이다.
또한 대상자나 대상자의 파트너가 임신한 경우에 산부인과 주치의와 소통할 필요가 있어 주치의의 성명, 연락처 등 개인정보를 필요로 하는 경우도 있을 수 있다. 이에 따라 주치의의 개인정보처리에 대한 동의가 필요한지가 문제될 수 있는데, 통상적으로 주치의 정보는 공개된 정보로서 환자의 건강상태를 면밀히 관찰하고 필요한 처치를 할 목적으로 한 주치의의 개인정보를 처리하는 것은 정보주체인 주치의의 동의가 있었다고 객관적으로 인정되는 범위 내의 처리라고 볼 수 있을 것이므로, 주치의의 별도의 동의가 필요하지 않다고 볼 여지가 많을 것이다.83) 그러나 주치의의 개인정보처리에 대한 동의를 임신부로부터 받아서는 안 될 것이다.
V. 결어
위에서 본 바와 같이 임상시험 수행을 위한 대상자의 개인정보보호와 제공에 관한 기관위원회의 심사와 관련하여 대상자의 개인정보처리 동의가 면제되는 경우와 동의가 면제되지 않는 경우에 기관위원회가 심사하고 논의해야 할 사항들에 대해 현행법령을 토대로 여러 관점에서 검토하였다. 그러나 실정법령이 규율하는 내용은 원칙적으로 최대한의 규율이 아니라 최소한의 규율에 해당한다는 점을 염두에 두고 뉘른베르크 강령(Nuremberg Code, 1947), 헬싱키 선언(Declaration of Helsinki, 1964), 벨몬트 보고서(Belmont Report, 1979), CIOMS (Council for International Organizations of Medical Sciences) 가이드라인, ICH-GCP (International Conference on Harmonisation - Good Clinical Practice) 등이 제시하고 있는 생명윤리원칙에 비추어 대상자의 안녕과 복지, 권리가 최대한 보장되면서 임상시험의 목적을 달성할 수 있는 방향으로 심사가 이루어져야 할 것이다. 또한 위에서 검토한 사항 및 내용은 현재 시점에서 관련 법령 등에 따른 검토라는 성격이 강하므로, 사회의 인식과 기술, 제도 및 법령의 변화에 따라 논의사항 및 내용의 변화, 발전을 위한 논의가 계속 이어짐으로써 일정 수준으로 기관위원회 심사의 균질성을 확보하고 유지하는데 보탬이 되기를 기대한다.
