보건복지부·개인정보보호위, 보건의료 데이터 활용 가이드라인 공개

보건복지부와 개인정보보호위원회가 개정된 개인정보 보호법 시행에 따른 후속조치로 '보건의료 데이터 활용 가이드라인'을 25일 공개했다.

보호위가 마련한 가명정보 처리 가이드라인 골자에, 의료분야의 특성을 반영한 내용이다.

가이드라인에 따르면 개인정보처리자는 '가명정보 처리 가이드라인'에서 제시하고 있는 개인정보 처리 기본원칙을 따르되, 보건의료 데이터에 대해서는 이 가이드라인에서 제시하고 있는 방법 및 절차를 준수해 가명처리를 진행해야 한다.

개인정보처리자가 보건의료 데이터를 가명처리하여 활용하고자 하는 경우, 그 목적과 적절한 가명처리 방법, 처리환경에 대해 데이터 심의위원회 승인을 받아야 한다.

또 가명처리 후 가명처리가 적절하게 수행되었는지, 특정한 개인이 재식별될 가능성은 없는지 살필 수 있도록 심의위원회의 적정성 검토를 거치도록 했다.

아울러 가이드라인에서는 개인정보처리자가 데이터 유형별로 적절한 가명처리 방법과 절차를 통해 변환해 활용할 수 있도록 제시하되, 정신질환·성매개감염병·후천성면역결핍증(AIDS)·희귀질환·학대 및 낙태 정보 등 재식별 시 개인 인권에 중대한 피해를 야기할 수 있는 정보에 대해서는 원칙적으로 동의를 받아 활용하도록 했다.

또 가명처리 과정에서 개인을 식별할 가능성이 높은 보험가입자번호, 환자번호 등 식별자는 삭제하거나 일련번호로 대체하되, 그 외의 정보는 재식별 가능성 등을 감안해 유형별로 적절한 가명처리법을 택하도록 했다. 

유전체정보 등 안전한 가명처리 방법이 아직 개발되지 않은 경우에는 개인의 동의를 받아 활용하도록 했다. 

개인정보처리자는 가명정보를 처리하는 경우, 안전성 확보조치 기준을 준수해야 하며 재식별을 방지하기 위한 추가 조치도 해야 한다. 또 개인이 본인 정보를 가명처리해 활용하는 것을 원하지 않을 경우 이를 개인정보처리자에게 요구할 수 있고, 이 경우 가명처리 대상에서 제외할 수 있도록 했다. 

임인택 보건복지부 보건산업정책국장은 "보건의료 데이터가 의약품·의료기기 개발 등을 포함한 과학적 연구에 안전하게 활용될 수 있도록 가이드라인을 마련했다"며 "개인정보 보호법 개정 취지에 따라, 데이터의 사회적 활용과 개인의 사생활 보호가 균형을 이룰 수 있도록 한 것"이라고 밝혔다. 

<'보건의료 데이터 활용 가이드라인' 개요>

□ 적용범위 및 대상
(적용범위) 개인정보 중 "건강"에 관한 정보(법 제23조)
(적용대상) 의료기관·연구자·기업·공공기관·정부 등 모든 주체
(우선순위) 건강정보와 관련하여서는 동 가이드라인이 우선 적용되며, 그 외의 경우 개보위 공통 가이드라인(가명정보 처리 가이드라인) 적용

□ 가명처리 방법
(원칙) 안전한 가명처리 방법이 있을 경우, 가명처리 후 활용하나, 그렇지 않을 경우 가명처리 방법 개발 시까지 가명처리 활용 유보

○ 주요유형별 가명처리 방법
(식별자) 개인을 식별할 수 있으므로, 삭제 또는 일련번호 대체
(인적사항) 주소, 생년월일 등은 부분 삭제하여, 식별력 감소
(측정수치 및 의료인 관찰·입력, 알고리즘 생산 정보) 원칙적으로 별도 조치 없이 활용(의도적 결합을 제외하고는 개인 식별 불가능)
(체외·체내영상) 삭제·모자이크 등 가명처리 후 활용 가능
(유전체) 널리 알려진 질병에 관한 유전자 변이 유·무 또는 변이 유형 등 일부 유형을 제외하고, 개인의 동의를 받아 활용 가능
(인종·민족) 별도 조치 없이 활용 가능

□ 가명처리 및 결합 절차
(가명처리) 내부·외부 요청 시, 기관 자체(심의위원회) 심의를 거쳐 가명처리 후 제공, 활용

(결합) 서로 다른 기관 간 데이터 결합을 위해, 결합 전문기관을 통해 결합 후 반출심사를 거쳐 제공, 활용

□ 보건의료분야 결합 전문기관 지정
민감한 보건의료 데이터 특성을 고려하여, 보건의료분야 가명정보의 결합·반출을 수행할 결합 전문기관 지정 추진
-고시 제정(9.1)에 따라 산하 공공기관 대상 수요조사(9.10~17), 결합테스트 및 현장실사, 지정심사위원회 심사를 거쳐 전문기관 지정(9월말 목표)

□ 안전·보호조치
(분리보관) 가명정보는 그 외 정보와 상호 분리보관 권장
(기록관리) 가명정보 접근 및 처리, 이동 등 일체의 작업 기록을 보관
(교육·관리) 내부관리계획을 수립, 가명정보 취급 절차 관리 및 정기 교육
(공개) 가명정보 처리의 목적·항목·이용내역 및 제공 등을 기록·공개
(처리정지) 정보 주체의 요구 시, 개인정보의 가명처리 정지(OPT-OUT)
(활용 후 파기) 활용이 종료된 가명정보는 파기 권장

고신정 기자 다른기사 보기