"정신병·성병·희귀병 데이터는 동의 받고 써야"

보건·의료 현장에서 수집된 데이터에 대한 빅데이터 분석이 활성화될 전망이다. 정보 주체가 드러나지 않게 처리한 '가명정보'로서 보건·의료 데이터를 활용할 수 있다는 정부 지침이 나왔기 때문이다.

다만 정신질환이나 성병, 희귀질환, 후천성면역결핍증(AIDS), 학대 및 낙태 정보 등 민감도가 큰 정보에는 예외사항을 뒀다. 가명정보는 기본적으로 정보 주체 동의 없이 활용할 수 있지만, 이 정보들은 활용 전 정보 주체의 동의를 받게 했다.

유전체 정보의 활용도 제한했다. 부모, 조상, 형제, 자매, 자손, 친척 등 제3자 정보를 포함하고 있을 가능성이 있기 때문이다. 이 때문에 향후 적절한 가명처리 방식이 개발되기 전까지 가명처리 허용을 유보했다.

대신 ▲널리 알려진 질병에 관한 유전자 변이 유‧무 또는 변이 유형 ▲생식세포 변이 정보를 제거한 신생물(종양) 고유의 신규 변이 정보에 대해서는 정보 주체 식별 가능성이 없거나 거의 낮다고 판단, 정보 주체의 동의를 받고 활용할 수 있게 했다.

보건복지부와 개인정보보호위원회가 25일 공개한 '보건·의료 데이터 활용 가이드라인'에는 이같은 내용이 담겼다.

개인정보 보호법 개정에 따른 생명윤리법 유권해석(출처=보건·의료 데이터 활용 가이드라인)

이번 가이드라인은 보건·의료 데이터(건강정보)의 가명처리 기준과 방법, 절차 등을 제시해 가명처리 시 오·남용을 방지하고 현장의 혼란을 최소화하고자 했다. 정보 주체의 권리 보호를 위해 가명처리 과정 전반에 걸친 운영체제, 안전조치와 윤리적 조치사항 등도 제시했다.

가이드라인에 따르면, 보건·의료 분야 개인정보처리자는 보호위에서 지난 1일 발표한 ‘가명정보 처리 가이드라인’에서 제시하고 있는 개인정보 처리 기본원칙을 따르게 된다.

개인정보처리자가 데이터를 가명처리해 활용하고자 하는 경우, 그 목적과 적절한 가명처리 방법, 처리환경에 대해 데이터 심의위원회 승인을 받아야 한다.

데이터 심의위원회는 가명정보를 기관 내에서 활용하거나 외부로 제공하는 경우, 처리 목적과 가명처리 방법 및 수준, 그 결과에 대한 적정성 검토 등을 심의하기 위해 개인정보처리자가 설치하게 된다. 정보 주체를 대변하지는 자와 의료 분야 데이터 활용 전문가, 정보보호 또는 법률전문가 등이 포함된 5인 이상으로 구성돼야 한다.

가명처리 후에는 가명처리가 적절하게 수행됐는지, 특정한 개인이 재식별될 가능성은 없는지 살필 수 있도록 심의위원회의 적정성 검토를 거치도록 했다.

가이드라인에서는 ▲체중·심전도 등 측정수치 정보 ▲의료인 관찰·입력 정보 ▲엑스레이·웨어러블 기기 등에서 알고리즘이 생산한 건강정보 ▲체내·외 촬영 영상 정보 ▲단층촬영·3D이미지 정보 ▲음성정보 등으로 데이터 유형을 분류하고 각각에 따른 가명처리 방법과 절차를 안내했다.

가명처리 과정에서 식별 가능성이 높은 보험가입자번호, 환자번호 등 식별자는 삭제하거나 일련번호로 대체하게 했다. 그 외 정보는 재식별 가능성 등을 감안해 유형별로 적절한 가명처리 방법을 제시했다.

개인정보처리자가 가명정보를 처리할 경우 준수해야 하는 안전성 확보조치 기준과 재식별 방지를 위한 추가 조치도 소개했다.

개인이 본인 정보를 가명처리해 활용하는 것을 원하지 않을 경우 이를 개인정보처리자에게 요구할 수 있고, 이 경우 가명처리 대상에서 제외할 수 있다고 규정했다.

임인택 보건복지부 보건산업정책국장은 “보건·의료 데이터가 의약품, 의료 기기 개발 등을 포함한 과학적 연구에 안전하게 활용될 수 있도록 이번 가이드라인을 보호위와 공동으로 마련했다”며 "개인정보보호법 개정 취지에 따라, 데이터의 사회적 활용과 개인의 사생활 보호가 균형을 이룰 수 있도록 제도적 장치와 근거를 마련했다”고 강조했다.