데이터심의위원회의 역할과 연구자의 책임: 의료 데이터의 가명정보 활용

아주대학교 의과대학 소화기내과 김순선

1. 법적 배경

2020년 8월, 데이터 3법 개정으로 인해 개인정보의 가명처리를 통해 데이터 활용이 가능해졌다. 개정된 개인정보보호법은 기존에 보호의 대상으로만 여겨지던 개인정보를 가명처리할 경우 통계작성, 과학적 연구, 공익적 기록보존 등을 목적으로 정보주체의 동의 없이 사용할 수 있는 근거를 마련하였다. 특히, 이 법 개정은 의료 및 과학 연구에서 가명정보를 안전하게 활용할 수 있는 기틀을 제공하며, 다양한 연구 및 산업 분야에서 의료 데이터를 적극적으로 활용할 수 있는 환경을 조성하게 되었으며, 주요 용어에 대한 정의는 표와 같다.

표. 개인정보 관련 용어 정의

용어	정의
개인정보	성명, 주민등록번호 및 영상 등 개인을 알아볼 수 있는 정보 해당 정보만으로 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보
익명정보	시간·비용·기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보 (예, 이름/성별/연령/주소: OOO/여자/40대/서울)
가명정보	해당 정보만으로는 특정 개인을 알아볼 수 없더라도 추가정보가 있다면 개인의 식별이 가능한 정보 (예, 이름/성별/연령/주소: 김O희/여자/1957년생/서울 서초구 서초동)
가명처리	개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것
추가정보	개인정보의 전부 또는 일부를 대체하는 가명처리 과정에서 생성 또는 사용된 정보로서 특정 개인을 알아보기 위하여 사용·결합될 수 있는 정보 (예, 매핑테이블 정보)

법 개정 이후, 개인정보보호위원회와 보건복지부는 각각의 가이드라인을 발표하여 연구자들이 데이터를 가명처리하고 안전하게 사용할 수 있도록 구체적인 지침을 제공하고 있다. 개인정보보호위원회는 2024년 2월 「가명정보 처리 가이드라인」을, 보건복지부는 2024년 1월 「보건의료데이터 활용 가이드라인」을 최신 개정하였으며, 개인정보처리자가 가명정보처리 시, 가명처리 적정성 검토 등을 위해 데이터심의위원회(Institutional Healthcare Data Review Board, DRB)를 구성·운영할 수 있도록 하였다.

2. 개인정보의 가명처리 단계 및 DRB의 역할


그림. 개인정보의 가명처리 단계별 절차도

개인정보의 가명처리는 그림과 같은 5단계로 이루어지며, 1단계는 가명정보 처리 목적 설정 및 계약서, 개인정보 처리방침, 활용(연구) 계획서, 내부 관리계획 등 필요한 서류를 작성하는 단계이다. 2단계는 가명처리 대상 개인정보 항목을 선정한 뒤, 데이터의 식별 위험성을 분석 및 평가하여 가명처리 방법 및 수준에 반영하는 절차이다. 예를 들어, 개인정보처리자가 직접 활용하거나 기관 내 다른 부서에 제공하는 경우, 제3자에게 제공하는 경우, 다른 정보와 결합하는 경우에 따라 개인 식별 위험성이 달라질 수 있다. 3단계에서는 실제 항목별 가명처리 계획을 설정 및 수행하게 되며, 이 때 생성되는 추가정보(예, 매핑테이블)는 원칙적으로 파기하고 필요한 경우 가명정보와 분리하여 별도로 저장하여야 한다. 4단계는 적정성 검토이며, 1, 2, 3단계의 가명처리 수행 내역에 대한 적정성을 최종 검토하는 절차로 기관은 DRB를 구성하여 적정성 검토 등의 업무를 수행할 수 있다. 5단계는 안전한 관리로, 제공된 가명정보는 기술적·관리적·물리적 보호조치가 이행되어야 한다.

DRB는 개인정보 보호 및 정보보안 업무 경력과 전문성을 갖춘 외부위원 1명과, 정보주체 또는 그 관점에서 이익을 대변할 수 있는 외부위원 1명(예, 환자)을 포함하여 5인 이상으로 이루어지며, 정보보호팀이 주도하여 운영하는 경우가 가장 많고, 기관생명윤리위원회(IRB) 혹은 기관 내 다른 위원회에서도 검토할 수 있다. DRB의 심의 대상은 개인정보가 포함된 연구용 데이터와 데이터의 외부 반출 또는 결합이 필요한 경우이며, 다기관 공동연구나 AI 전문기관과의 협업을 통한 데이터 반출이 대표적인 예이다. 관련한 정보주체의 동의를 받아 가명정보를 수집하여 실시하는 과학적 연구는 해당하지 않는다. DRB를 이용하는 내부 프로세스는 기관별로 다를 수 있으나, 연구자는 데이터 활용에 앞서 연구계획서를 가지고 IRB 승인을 받은 후, 조건부 승인 결과에 따라 DRB에 심의 요청을 하여 평가를 받기도 하고, DRB 심의결과서를 먼저 득한 뒤에 IRB 승인을 받게 되는 기관도 있다.

3. 개인 연구자가 개인정보를 이용한 연구 시 주의사항

개인 연구자가 개인정보를 포함한 의료 데이터를 활용하여 연구를 진행할 때는 다음 사항에 유의해야 한다.

첫째, 데이터 종류에 따라 적절한 가명처리 방법을 사용하여야 한다. 정형 데이터, 의료영상데이터, 유전체 데이터, 유전체 데이터를 제외한 오믹스 데이터, 자유입력 데이터, 음성 데이터 등 데이터 유형별로 가명처리 방법 및 수준을 검토하여야 한다. 대표적인 방법은 개인정보를 삭제하거나 일부 또는 전부 대체하는 것이며, 동영상파일이나 오디오파일 등의 비정형 데이터는 별도의 SW가 필요할 수 있다. 또한 최근 자유입력 데이터(Free-text)와 같은 비정형 데이터를 이용하는 연구의 경우, 자유입력 데이터는 현재까지는 개인 식별 정보이므로 반드시 정형화한 뒤 반출해야 한다.

둘째, 가명정보의 안전한 보호를 위하여 내부 관리계획, 개인정보 처리방침 수립, 실행 및 공개와 같은 관리적 보호, 추가정보 분리 보관, 접근권한 분리, 가명정보 처리 관련 기록 작성 및 보관과 같은 기술적 보호, 잠금장치 또는 출입 통제와 같은 물리적 보호조치를 다할 수 있도록 해야 한다. 특히, 외부 연구기관이나 AI 전문업체와 협력하여 데이터를 반출하거나 결합하는 경우, 데이터 재식별 가능성을 최소화하는 조치가 필수적이며, 안전하게 데이터를 전달 및 관리해야 한다.

마지막으로, 연구자는 개인정보를 이용한 연구를 수행할 때 IRB 심의 외에 DRB 심의까지 받아야 하는 번거로움이 있지만, 향후에는 개인정보를 포함한 데이터 활용의 안전성은 유지하면서, 절차는 간소화하여 연구자의 부담이 줄어들기를 기대한다.

참고문헌
        1. 보건복지부. 보건의료데이터 활용 가이드라인. 2024년 1월
        2. 개인정보보호위원회. 가명정보 처리 가이드라인. 2024년 2월