개인정보보호위원회는 28일 서울대병원이 사망이 확인된 환자의 의료데이터를 가명처리해 연구·교육 목적으로 활용한 사례에 대해 “개인정보 보호법상 행정조치 대상에 해당하지 않는다”고 판단했다. 이는 개인정보위가 지난달 시범 도입한 ‘가명정보 비조치의견서’ 제도의 1호 회신 사례다.
개인정보위는 “사망자에 대한 정보는 원칙적으로 개인정보에 해당하지 않으나 사망자 정보라 하더라도 유족과의 관계를 알 수 있는 정보인 경우에는 유족의 개인정보에 해당해 보호법이 적용될 수 있다”며 “유족과의 관련성이 실질적으로 제거됐는지 여부와 오남용·유출 위험이 있는지 등을 중점적으로 검토했다”고 설명했다.
서울대병원은 연구 활용 전 사망환자 정보 중 유족과 관련될 수 있는 정보를 일괄 삭제하고 유족과의 관련성을 유추할 수 없도록 처리했다. 환자번호, 날짜, 시간, 진단코드 등에 대해서도 가명처리를 수행했으며, 기관 생명윤리위원회의 심의를 거쳐 최소 위험 연구로 승인받았다. 해당 데이터는 병원 내 자체 구축 플랫폼을 통해만 처리되고, 무단 외부 반출이 불가능하게 되어 있다.
개인정보위는 이러한 점을 종합적으로 고려해 서울대병원 사례를 보호법 적용 범위에 포함하지 않는다고 판단했다. 보호법상 보호 대상이 아님에도 높은 수준의 보안과 윤리적 안전장치를 갖췄다고 평가했다.
송경희 개인정보위 위원장은 “이번 사례는 그간 법적으로 보호법 적용 대상이 아님에도 모호한 법령 해석으로 현장에서 활용에 어려움을 겪은 사망환자 정보에 대해 구체적인 판단과 활용 사례를 제시했다는 점에서 의미가 있다”며 “현장에서 느끼는 데이터 활용의 어려움을 적극 개선하겠다”고 했다.
향후 개인정보위는 복지부와 협력해 사망환자정보 활용을 위한 가명처리 기준과 심의 절차 등을 구체화해 연내에 관련 가이드라인을 개정 및 반영할 방침이다.
@Meerae AI 빅데이터 연구소 meerae.info@gmail.com