개인정보위 "가명처리한 사망환자 정보, 개인정보법 적용대상 아냐"

[서울=뉴시스] 신효령 기자 = 개인정보보호위원회가 사망한 환자의 의료정보를 가명처리해 연구에 사용하는 것은 개인정보 보호법상 행정조치 대상에 해당하지 않는다는 판단을 내렸다고 28일 밝혔다.

이번 판단은 개인정보위가 지난달 시범 도입한 '가명정보 비조치의견서' 제도가 처음 적용된 사례다. 가명정보 비조치의견서는 가명정보 처리와 관련해 법 위반 여부가 명확하지 않은 경우, 개인정보위가 사전에 검토해 위법성이 없다고 판단하면 행정조치 대상에 해당하지 않음을 통지하는 제도다.

질의한 곳은 서울대병원이다. 이미 사망한 환자의 의료데이터를 연구·교육 목적으로 활용하는 행위가 개인정보 보호법 적용 대상인지 여부를 개인정보위에 사전 질의했다.

개인정보 보호법에서 말하는 개인정보는 '살아 있는 사람'에 관한 정보를 의미한다. 이에 따라 사망자 정보는 원칙적으로 개인정보 보호법상 개인정보에 해당하지 않는다. 다만 사망자 정보라도 유족과의 관계를 알 수 있는 경우에는 유족의 개인정보로 볼 수 있어 개인정보 보호법이 적용될 수 있다.

개인정보위는 이번 사안에서 ▲유족과의 관련성이 실질적으로 제거됐는지 ▲정보가 오·남용되거나 외부로 유출될 위험은 없는지 중점적으로 살펴봤다.

서울대병원은 연구에 앞서, 사망한 환자 정보에서 유족과 관련될 수 있는 내용을 모두 삭제했다. 환자번호와 모든 날짜·시간 정보, 진단 코드 등도 가명처리했다. 또한 해당 데이터는 병원 내부에 구축된 전용 시스템에서만 처리되며, 외부로 무단 반출이 불가능하도록 접근 통제 등 보안 장치도 마련했다.

개인정보위는 이러한 조치를 종합적으로 검토한 결과, 서울대병원의 이번 사망환자 정보 처리 행위는 개인정보 보호법 적용 대상에 해당하지 않는다고 판단했다. 아울러 법적으로 보호 대상이 아님에도 불구하고, 높은 수준의 보안과 윤리적 안전장치를 갖췄다고 평가했다.

개인정보위는 보건복지부와 사망환자정보 활용을 위한 가명처리 기준과 심의 절차 등을 구체화한 후 연내 관련 가이드라인을 개정 반영할 계획이다.

송경희 개인정보보호위원회 위원장은 "이번 사례는 그간 개인정보 보호법 적용 대상이 아님에도 불구하고, 유족 식별 위험성이나 모호한 법령 해석으로 현장에서 활용에 어려움을 겪어온 사망환자 정보에 대해 명확한 판단 기준을 제시했다는 점에서 의미가 있다"며 "앞으로도 보건복지부 등 관계 부처와 협력해 데이터 활용의 어려움을 개선해 나가겠다"고 말했다.


◎공감언론 뉴시스 [email protected]