개인정보보호위원회는 지난 12월 26일, 가명처리된 사망환자 의료정보를 활용한 국제 공동연구에 대해 「개인정보 보호법」상 행정조치 대상에 해당하지 않는다는 내용의 ‘비조치의견서’를 회신했다고 밝혔다.

이번 사례는 개인정보위가 지난달부터 시범 운영을 시작한 ‘가명정보 비조치의견서 제도’의 첫 번째 회신 사례다. 해당 제도는 가명정보 처리 행위에 대해 사전에 법령 위반 여부를 검토한 뒤 위법성이 없다고 판단되면 행정조치 대상이 아님을 공식적으로 알려주는 제도다.

비조치의견서를 받은 기관은 서울대병원으로 사망이 확인된 환자의 의료데이터를 가명처리해 연구·교육 목적으로 활용하고자 하면서 해당 행위가 개인정보 보호법 적용 대상에 해당하는지 여부를 개인정보위에 사전 질의했다.

개인정보 보호법상 개인정보는 ‘살아 있는 개인’에 관한 정보로 정의되며 원칙적으로 사망자 정보는 개인정보에 해당하지 않는다. 다만 사망자 정보라 하더라도 유족과의 관계를 알 수 있는 경우에는 유족의 개인정보로 보호 대상이 될 수 있다. 이에 개인정보위는 이번 사안에서 유족과의 관련성이 실질적으로 제거됐는지 또는 정보의 오남용이나 유출 위험은 없는지를 중점적으로 검토했다.

서울대병원은 연구 활용에 앞서 사망환자 정보 중 유족과 관련될 수 있는 항목을 일괄 삭제하고 유족과의 연관성을 추정할 수 없도록 조치했다. 이후 자체 데이터심의위원회(DRB)의 심의·승인을 거쳤으며 환자번호와 날짜·시간 정보, 진단코드 등에 대해서도 가명처리를 수행했다. 또한 기관 생명윤리위원회(IRB) 심의를 통해 최소 위험 연구로 승인받았고 해당 데이터는 병원 내부 시스템에서만 활용되도록 제한해 외부 반출이 불가능하도록 하는 등 이용자 통제 방안도 마련했다.

개인정보위는 이러한 조치를 종합적으로 고려해 서울대병원의 사망환자 정보 처리 행위는 개인정보 보호법의 적용 범위에 포함되지 않는다고 판단했다. 아울러 법적 보호 대상이 아님에도 불구하고 높은 수준의 보안과 윤리적 안전장치를 갖춘 점을 긍정적으로 평가했다.

비조치의견서 회신 사례는 원칙적으로 공개되며 ‘가명정보 지원 플랫폼(dataprivacy.go.kr)’ 내 ‘가명정보 비조치의견서’ 메뉴에서 확인할 수 있다. 가명정보 처리와 관련해 법령 해석이나 적용에 어려움이 있는 경우 누구나 신청할 수 있다.

한편 개인정보위는 보건복지부와 협력해 사망환자 정보 활용을 위한 가명처리 기준과 심의 절차를 보다 구체화하고 이를 반영한 관련 가이드라인을 연내 개정할 계획이다.

송경희 개인정보위 위원장은 “이번 사례는 그동안 법 적용 대상 여부가 불분명해 활용에 어려움이 있었던 사망환자 정보에 대해 구체적인 판단 기준과 활용 사례를 제시했다는 점에서 의미가 크다”며 “앞으로도 관계 부처와 긴밀히 협력해 현장의 데이터 활용 애로사항을 적극 개선해 나가겠다”고 밝혔다.