모든 주요 약국 체인, 정부에 영장 없이 의료 기록 제공

 (techdirt.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 미국 주요 약국 체인들이 법 집행기관의 요청에 민감한 의료 기록을 넘기면서 영장을 요구하지 않는 관행이 의회 조사로 드러남
  • CVS Health, Walgreens Boots Alliance, Cigna, Optum Rx, Walmart, Kroger, Rite Aid, Amazon Pharmacy는 처방약 사용 이력과 의료 상태가 포함될 수 있는 정보를 소환장만으로 제공할 수 있음
  • CVS, Kroger, Rite Aid는 정부기관 소환장에 대해 법무 검토도 하지 않는다고 답해, 요청의 적법성을 따지는 절차가 특히 약함
  • HIPAA는 사적 당사자에 대한 무단 공개를 막지만, 법 집행기관 요청은 required by law 예외로 처리될 수 있어 영장 없는 제공을 막기 어려움
  • Ron Wyden 상원의원, Pramila Jayapal·Sara Jacobs 하원의원은 HHS가 HIPAA 규정을 강화해 약국이 영장을 요구하도록 해야 한다고 촉구함

제3자 원칙이 만든 의료 기록 사각지대

  • 미국 수정헌법 4조 보호는 Third Party Doctrine 앞에서 약하게 작동하는 경우가 많음
  • 개인이 민간 기업과 공유한 정보는 자발적 공유 여부와 관계없이 정부가 영장 없이 확보할 수 있는 경우가 있음
  • 이 때문에 앱이 수집한 휴대전화 위치 데이터에 수정헌법 4조 보호를 추가하려는 법안과, 제3자 원칙을 조정하려는 법원·의회 논의가 이어져 왔음
  • 정부는 사법 심사를 거치지 않고 가능한 많은 정보를 얻으려 하고, 민간 기업은 정부 요청을 법정에서 다투기보다 제공하는 쪽이 비용상 유리하다고 판단할 수 있음

주요 약국 체인의 영장 없는 제공 관행

  • Ars Technica가 다룬 의회 조사에서, 미국 주요 소매 약국 사업자들이 실제 영장을 요구하지 않은 채 정부에 민감한 의료 데이터를 제공해 온 것으로 확인됨
  • 조사 대상 약국은 다음 8곳임
    • CVS Health
    • Walgreens Boots Alliance
    • Cigna
    • Optum Rx
    • Walmart Stores, Inc.
    • The Kroger Company
    • Rite Aid Corporation
    • Amazon Pharmacy
  • 이들 모두 법 집행기관이 개인의 처방약 사용 이력이나 의료 상태가 포함될 수 있는 기록을 요구할 때 영장을 필요로 하지 않는다고 답함
  • 대신 정부기관이 발부할 수 있고 판사의 검토나 승인을 요구하지 않는 소환장만으로도 정보를 제공함

법무 검토 여부의 차이

  • CVS, Kroger, Rite Aid는 정부기관 소환장에 대해 법무 검토를 하지 않는다고 의회에 답함
  • 이들 체인은 정부 명의가 붙은 요청이면 유효한 요청으로 간주하는 것으로 보임
  • 다른 약국 체인들은 데이터 요청 처리 과정에서 최소한 변호사를 관여시키고 있음

HIPAA가 충분한 방어막이 되지 못하는 이유

  • HIPAA는 의료 정보가 허가받지 않은 사적 당사자에게 동의 없이 공개되는 것을 막는 법임
  • 법 집행기관에서 온 요청은 대체로 required by law 예외에 들어가는 것으로 취급됨
  • 약국 회사 변호사가 요청을 검토하지 않았거나, 민감한 의료 정보 요구가 실제로 정당한지 확실하지 않아도 이 예외가 작동할 수 있음
  • 법률 개정 없이도 HHS가 HIPAA 규정을 바꿔 해당 데이터에 프라이버시 추정을 부여하는 방식이 해결책으로 거론됨

HHS에 대한 의원들의 요구

  • Ron Wyden 상원의원, Pramila Jayapal 하원의원, Sara Jacobs 하원의원은 HHS 장관 Xavier Becerra에게 서한을 보내 HIPAA 규정 강화를 요구함
  • 서한은 약국이 영장을 요구하고, 법 집행기관이 소환장만으로 환자 의료 기록을 요구할 경우 법원에 집행을 요청하도록 해야 한다고 밝힘
  • 2010년 이메일 프라이버시 사례도 비교 대상으로 제시됨
    • 한 연방 항소법원이 이메일에 대한 합리적 프라이버시 기대를 인정한 뒤, Google, Yahoo, Microsoft 같은 주요 무료 이메일 제공업체들이 이메일 공개 전에 영장을 요구하기 시작함
  • 의원들은 2022년 6월 Dobbs 결정 이후, 피임 제품을 얻은 사람이 기소되는 것을 막기 위해 HHS가 더 강한 보호를 마련해야 한다고 7월에 Becerra에게 처음 알렸음

투명성 약속과 남은 쟁점

  • 일부 기업은 정부 협조에 대해 더 투명해지겠다고 약속함
    • CVS, Walgreens, Kroger는 정부의 데이터 요청에 관한 정기 보고서를 발행하겠다고 약속함
    • Amazon은 정부가 고객 데이터를 요구할 때 고객에게 알리는 방식으로 한 단계 더 나아감
  • 처방 기록은 환자가 명시적으로 허용하지 않은 다른 사람에게는 연방법으로 보호되는 정보임
  • 정부가 제3자 원칙을 이유로 고객의 처방 기록을 공개된 책처럼 취급해서는 안 된다는 문제가 남아 있음
  • 변화는 약국과 정부의 자발적 조치 또는 입법 명령을 통해 가능함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 마약성 진통제 전용 수사에서 일했는데, 처방약이 본래의 진짜 의료 목적이 아닌 데 쓰이면 모두 대상이었음
    의사가 처방약을 비의료 목적으로 팔기도 하고, 의료진이 훔치기도 했지만 가장 큰 비중은 처방전 사기였음
    의사 처방전을 훔치거나 위조하는 사례였고, 20대 건강한 사람이 Oxycodone 30mg 90정을 받으러 오면 보통 “극심한 통증이고 아마 죽어가는 중”에 가까운 처방이라 약국이나 의사가 확인 전화를 했음
    주정부는 이미 Prescription Monitoring Program을 통해 모든 처방 정보를 갖고 있었고, 의사는 자기 이름으로 최근 N일간 조제된 처방 목록을 스프레드시트로 받을 수 있었음
    Adams 의사가 Bill에게 처방한 적이 없다고 하면 Bill을 조회해 Charles, Daniels 명의의 비슷한 의심 처방을 찾고, 그 의사들도 환자가 아니라고 확인하면서 더 많은 위조 처방을 추적하는 식이었음
    남용 가능성은 있지만, 합법적으로도 약국에 들어가 임의 문서를 요구하거나 PMP에서 아무 이름이나 조회할 수는 없었고, 보통 의사나 약사가 의심 정황을 제보한 뒤 주 기록을 확인하고 의사에게 검증받고 이미 거짓임을 아는 내용의 종이 증거를 확보했음
    몇 번은 빨간불이 떠서 의사에게 전화했더니 “정상 처방”이라고 해서 끝났고, 환자가 왜 마약성 약물을 쓰는지는 알 필요 없고 사기인지 아닌지만 확인하면 됐음
    주법상 영장 없이 처방전과 수령 기록 같은 약국 기록을 요청할 권한이 있었고, 대부분의 약사는 바로 제공했으며 일부는 HIPAA 위반인지와 합법인지 확인하려 했음
    다만 몇 번은 내가 신분을 밝히기도 전에 직원이 문서를 내주기 시작해서 걱정스러웠음
    요약하면, 범죄에 대한 구체적이고 진정한 의심 없이 누군가의 의료 기록을 무작정 들여다보는 건 매우 불법이고, 기록을 볼 이유가 있다면 의료 현장의 누군가가 의심스러운 점을 보고했기 때문이었음

    • “범죄에 대한 구체적이고 진정한 의심 없이 의료 기록을 보면 불법”이라는 설명은 안심이 안 됨
      법집행기관이 법을 자주 어긴다는 건 충분히 문서화되어 있고, 오히려 수정헌법 4조와 환자 사생활 침해 절차가 얼마나 정상화됐는지 보여주는 듯함
    • 영장 없이 처방전과 수령 기록을 요청할 수 있었다는 점을 알게 된 건 유용함
      이 구조를 바꿔 영장을 요구하자는 제안이 있는데, 특정 기관이 성실했다 해도 미국에는 약 1만8천 개의 법집행기관이 있고, 적지 않은 기관은 과도하고 부적절한 기록 접근 이력이 길게 남아 있음
      사적이고 기밀인 정보에 접근할 때는 사법적 감독이 들어가는 영장이 합리적인 기본값임
    • 반대로 보자면, “범죄에 대한 구체적이고 진정한 의심”이 반드시 판사가 승인한 문서화된 사유를 뜻하지는 않는 듯함
      그렇다면 남용 여지가 너무 큰 것 아닌가 싶음
    • 관련 분야에서 분석가로 일했을 때, 상업 데이터베이스와 법으로 통제되는 정부 데이터베이스의 취급 차이가 인상적이었음
      LexisNexis 같은 상업 데이터베이스는 돈이 드니 검색을 낭비하지 말라는 정도였지만, 범죄경력 조회 같은 정부 시스템은 정당한 법적 사유 없이 조회하는 것이 불법이라는 교육을 강하게 받았고, 모든 조회 사유를 기록하라고 했음
      교육 자료에는 범죄경력 데이터베이스를 부당하게 사용해 수감된 전직 경찰 기사도 들어 있었고, 1년에 한 번 감사에서 일부 조회에 대해 정당성을 설명해야 했음
      모든 시스템은 오류가 있고 악의적 행위자에게 오용될 수 있으며 비용-편익 분석 대상이지만, 적절한 상황과 법, 견제와 균형 아래에서 법집행이 민감하고 비공개인 정보에 접근할 수 있는 체계 자체는 타당하다고 봄
    • 통제물질 전자처방 의무화가 있으면 이런 과정이 전부 불필요해지는 것 아닌가 싶음

  • 전직 연방 법집행관으로서 오래전에 영장 없이 의료 기록에 접근한 적이 있음
    모든 기관을 대변할 수는 없지만, 2000년대 초 몇 차례 했던 일은 HN 사람들 대부분도 합리적이라고 여겼을 가능성이 큼
    Coast Guard 장교였고 공공안전과 형사, 두 법 체계 아래에서 법집행 권한이 있었음
    연방 수로에서 큰 사고가 나면 먼저 공공안전 위협을 조사하는 일이었고, 여기에는 소환장 발부 권한이 따라왔음
    사고 뒤 NTSB나 FAA가 하는 일에 가깝고, 운송회사가 초등학교 옆 늪지에 Xylene 가득한 바지선을 쏟을 수 있는 일을 하고 있다면 정부가 공공 위협을 파악할 공익이 충분해 수정헌법 4조가 장벽이 되지 않는다고 봄
    다만 공공안전 조사가 “공공 위험 파악”을 넘어 개인의 형사책임 가능성으로 이동하면, 당사자에게 형사수사로 전환됐음을 고지해야 하고 그때부터 수정헌법 4조와 영장 요건이 다시 적용됐음
    실제로는 사고 관련자가 “약을 빼먹어서 그렇지 술 취한 게 아니다”라며 현장 조사를 늦추거나, 다친 선원이 병원에 있다는 경우가 몇 번 있었음
    병원에 가서 진술을 듣고 부상 여부를 확인해야 했고, 중상은 조사 수준과 필수 투입 자원을 높였으며, 선원이 실제로 어떤 일이 있었는지 봤는지 확인해야 했음
    회사들이 자기 실수 조사를 늦추려고 병원이나 의사에게 있다는 핑계를 댄 적도 여러 번 있었고, 그런 맥락에서는 병원에 전화해 “어젯밤 누구 입원했나요?”라고 묻는 건 완전히 합리적이었다고 봄
    그래도 이런 권한이 자주 남용되지 않는다고 보기는 어렵고, 법집행 공동체 대부분이 그저 자기 일을 하려는 것이라 해도 의심을 거두지 않는 편이 맞음

    • 그런 사례들이 정보 접근의 정당한 이유를 보여주긴 하지만, 왜 영장 요건을 둘 수 없는지에 대한 설득력 있는 이유는 아님
      제3자 원칙은 지나치게 넓어졌고, 사람들이 제3자와 정보를 공유하면서도 그 정보에 대한 사생활권을 기대하고 누릴 자격이 있는 상황이 많음
      HIPAA가 의사나 약사와 공유한 정보에 대해 합리적 사생활 기대를 제공하지 않는다는 건 터무니없고, 법이 법집행 예외를 명시했더라도 합리적 사생활 기대는 헌법상 권리이므로 그런 예외는 위헌으로 봐야 함
      민간 개인정보보호법상 회사가 보호해야 하는 정보라면 제3자 원칙에서 제외하고 영장을 요구하도록 전반적으로 사생활 보호법을 확장해야 함
    • 이건 법집행관들이 권력 남용을 축소하거나 방어할 때 쓰는 전형적인 방식임
      일을 쉽게 만든다고 해서 정당해지는 것은 아니며, 헌법상 권리, 개인정보보호법, 판례는 경찰 권한을 제한하기 위해 만들어졌음
      경찰이 영장을 전혀 필요로 하지 않으면 더 쉬운 건 맞지만, 그게 영장을 우회할 타당한 논거는 아님
      마찬가지로 법집행관이 Miranda 고지가 필요 없는 상호작용으로 증인을 유도하거나 요구를 무시하면서 자기책임 진술을 끌어내는 일이 흔하다고 해서 법적으로나 윤리적으로 정당화되지는 않음
      “대부분의 법집행관은 그냥 자기 일을 하려 한다”는 전제도 경찰권의 구조적 남용에 대한 자료가 많은 상황에서는 의문이고, 설령 그렇다 해도 정부가 명시적으로 둔 제약을 우회할 방어 논리가 되지 않음
    • 견제와 균형은 미국식 정부 운영의 핵심임
      법집행기관은 헌법을 따라야 하고, 이는 영장을 받는 견제를 감수해야 한다는 뜻임
      사유가 정말 설득력 있다면 판사나 치안판사를 납득시키는 데 문제가 없을 것임
    • 관심사는 과거에 어떻게 쓰였는지보다 앞으로 어떻게 쓰일지에 더 가까움
      낙태와 트랜스젠더 권리 관련 법 환경이 바뀌면서, 어떤 주의 열성적인 검사가 낙태약이나 호르몬 차단제 기록을 소환해 사람들을 괴롭히거나 기소하는 데 쓸 수 있다는 걱정은 타당함
      검사가 현재 호르몬 차단제를 처방받는 모든 환자 명단을 요구하고, 주 전체의 모든 가족을 상대로 아동복지 사건을 여는 것도 가능해 보임
    • 왜 이 Xylene 사고가 루이지애나 남부에서 벌어졌을 것 같은 느낌이 들지

  • 지난주에도 큰 스레드가 있었음
    https://news.ycombinator.com/item?id=38719918
    지지난주에도 있었음
    https://news.ycombinator.com/item?id=38615841

  • TechDirt의 글은 이 상원 재무위원회 문서에서 나온 것임: https://www.finance.senate.gov/imo/media/doc/hhs_pharmacy_su...

  • 이게 처방약 재판매업자 말고 누구에게 나쁜지 설명해줬으면 함

  • 아마 그 정보는 다른 방법으로도 세 가지쯤 더 얻을 수 있을 것 같음

  • 정부는 제3자를 거치기만 하면 권리를 침해할 수 있음

  • 의료 산업의 통합은 평생 본 것 중 가장 끔찍한 변화 중 하나였음
    이 모든 것의 최종 상태가 뭘지 궁금함

    • 어쩌면 단일 지불자 제도로 갈 수도 있음
      다만 그 단일 지불자가 이윤 동기를 가진 존재일 것임
    • 한 회사가 모든 걸 소유하는 것 아닐까
      공정하게 말하면 일부 통합은 의사와 약사가 독립적으로 운영할 수 없을 만큼 사업 비용이 올라간 탓도 있음
      막대한 학자금 빚, IT 서비스와 규정준수 요건, 어디서나 미친 듯한 부동산 비용까지 겹쳤음
      이 나라는 기업이 사람을 소유하는 사이버펑크식 결말로 향하는 듯함
    • 의료 서비스가 가치 기반 가격 책정으로 이동하고 있고, 가격이 우리 생명의 가치에 대응하게 되는 방향임
답변달기