개인정보위 "서울대병원 사망 환자 데이터 연구, 행정조치 대상 아냐"

송경희 개인정보보호위원회 위원장이 지난 12일 세종시 정부세종컨벤션센터에서 열린 과학기술정보통신부·개인정보보호위원회 업무보고에서 발언하고 있다. /사진=뉴시스

개인정보보호위원회(이하 개인정보위)가 지난 26일 서울대병원이 사전 질의한 사망 환자 데이터 연구가 개인정보보호법(이하 보호법)상 행정조치 대상에 해당하지 않는다는 의견을 냈다고 28일 밝혔다.

'가명정보 비조치의견서' 제도의 1호 회신 사례다. 가명정보는 개인정보 일부를 삭제·대체하는 등 처리해 추가 정보와 결합하지 않으면 누구인지 식별할 수 없는 정보를 말한다. 통계작성, 과학적 연구, 공익적 기록 보전 등에 정보 주체 동의 없이 활용할 수 있으나 현업에서는 가명정보에 해당하는지, 행정조치 대상인지 여부를 판단하기 어렵다는 목소리를 냈다.

가명정보 비조치의견서 제도는 신청인이 가명정보 처리 행위의 구체적인 내용을 제출하면 개인정보위가 법령위반 여부를 검토해 '행정조치 대상인지'를 통지하는 제도다. 기업, 기관 등은 이 제도로 행정조치 대상인지 여부를 사전에 판단 받을 수 있게 됐다.

서울대병원은 사망이 확인된 환자의 의료데이터를 가명처리해 연구·교육 목적으로 활용하는 것이 보호법 적용 대상인지 여부를 질의했다. 개인정보는 '살아있는 개인'에 관한 정보로 사망자 관련 정보는 개인정보에 해당하지 않는 것이 원칙이나, 유족과의 관계를 알 수 있는 경우 개인정보에 해당할 수 있다.

개인정보위는 유족과의 관련성이 실질적으로 제거됐는지 여부와 오남용·유출 위험이 있는지 등을 중점적으로 검토했다. 서울대병원은 유족 관련 정보를 일괄 삭제하고, 유족과의 관련성을 유추할 수 없도록 처리해 자체 데이터심의위원회(DRB)의 심의·승인을 받았다.

또 서울대병원은 환자 정보, 모든 날짜·시간, 진단 코드 등을 가명처리하고 기관 생명윤리위원회 심의를 거쳐 최소 위험 연구로 승인받았다. 아울러 이 데이터를 병원 내부의 자체 구축 플랫폼에서만 처리하고 무단 외부 반출이 불가능하게 하는 등 이용자 통제방안도 마련했다.

개인정보위는 서울대병원의 사망 환자 정보 처리 행위가 보호법 적용 범위에 포함되지 않고, 높은 수준의 보안과 윤리적 안전장치를 갖췄다고 판단했다.

가명정보 비조치의견서 회신 사례는 공개가 원칙이다. 가명정보 지원 플랫폼 내 '가명정보 비조치의견서' 메뉴에서 확인할 수 있다. 가명 정보 처리 행위에 대해 현행 법령 및 가이드라인의 해석·적용이 어려운 경우 누구든지 신청할 수 있다.

송경희 개인정보위 위원장은 "사망환자 정보는 그간 보호법 적용 대상이 아님에도 유족 식별 위험성, 모호한 법령 해석 등으로 현장에서 활용되기 어려웠다"며 "이번 사례는 구체적인 판단과 활용 사례를 제시했다는 점에서 의미가 있다"고 강조했다.

한편 개인정보위는 복지부와 사망환자 정보 활용을 위한 가명처리 기준과 심의 절차 등을 구체화한 후 연내 관련 가이드라인을 개정해 반영할 계획이다.

이찬종 기자 coldbell@mt.co.kr

Copyright ⓒ 머니투데이 & mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.