가명 처리한 사망환자 정보를 활용한 연구 사례가 개인정보 보호법상 행정조치 대상에 해당하지 않는다는 개인정보보호위원회의 판단이 나왔다.

 개인정보위는 이러한 내용의 비조치의견서를 신청인에게 회신했다고 28일 밝혔다.

 이 회신은 서울대병원이 사망이 확인된 환자의 의료데이터를 가명 처리해 연구·교육 목적으로 활용한 것에 대해 해당 처리 행위가 보호법 적용 대상에 해당하는지 여부에 대한 답변이다.

 다만 사망자의 정보라고 하더라도 유족과의 관계를 알 수 있는 정보인 경우에는 유족의 개인정보에 해당해 보호법이 적용될 수 있다.

 개인정보위에 따르면 서울대병원은 연구 활용에 앞서 사망한 환자 정보 중 유족과 관련된 정보를 일괄 삭제하고 유족과의 관련성을 유추할 수 없도록 처리했다. 이후 이를 자체 데이터심의위원회를 통해 심의·승인받았다.

 환자번호, 날짜, 시간, 진단코드 등에 대해서도 가명처리를 수행했고 기관 생명윤리위원회의 심의를 거쳐 최소 위험 연구로 승인받았다. 해당 데이터는 병원 내에서 자체적으로 구축한 플랫폼을 통해서만 처리되고, 무단 외부 반출이 불가능하게 하는 등 이용자 통제방안도 마련했다.

 개인정보위는 이러한 점을 종합적으로 고려해 서울대병원 사례는 보호법 적용 범위에 포함되지 않는다는 결론을 내렸다. 보호법상 보호 대상이 아닌데도 높은 수준의 보안과 윤리적 안전장치를 갖췄다고 판단했다.

 이번 사례는 개인정보위가 지난달 시범 도입한 '가명정보 비조치의견서' 제도의 1호 회신 사례다. 이 제도는 신청인이 수행하려는 가명정보 처리 행위의 구체적인 내용을 제출하면, 개인정보위가 법령위반 여부를 검토한 후 행정조치 대상 여부를 통지하는 제도다.

 송경희 개인정보위원장은 "이번 사례는 그간 법적으로 보호법 적용 대상이 아님에도 모호한 법령 해석으로 현장에서 활용에 어려움을 겪은 사망환자 정보에 대해 구체적인 판단과 활용 사례를 제시했다는 점에서 의미가 있다"며 "현장에서 느끼는 데이터 활용의 어려움을 적극 개선하겠다"고 했다.