ISO 25237로 설계하는 의료정보 익명화와 가명화
ISO 25237의 의료정보 익명화·가명화 원칙과 재식별 위험 관리, 의료 데이터 활용 시 고려할 보안·윤리 요소를 정리한다.
2026-08-14 · 최초 발행 2025-05-23
의료정보 활용은 식별 가능성의 경계에서 시작된다
ISO 25237은 의료 분야의 개인정보 보호를 위한 국제 표준으로, 건강정보를 익명화하거나 가명화할 때의 원칙과 요구사항을 다룬다. 의료 데이터는 연구, 통계, 교육에 활용할 가치가 있지만 개인의 프라이버시와 분리해 생각할 수 없다. 이 표준은 데이터 활용과 보호 사이에서 판단할 기준을 제공한다.
개인 의료정보(PHI: Personal Health Information)를 보호해야 한다는 요구는 의료 데이터 기반 연구와 분석이 늘면서 더 커졌다. 국가와 기관을 넘어 적용할 수 있는 건강정보 보호 기준도 필요해졌다. ISO 25237은 2008년 처음 발표된 뒤 디지털 헬스케어의 발전에 맞춰 지속적으로 개정되고 있다.
익명화와 가명화가 남기는 식별 가능성
익명화(Anonymization)는 개인을 식별할 수 있는 정보를 완전히 제거해 재식별이 불가능하도록 만드는 처리다. 반면 가명화(Pseudonymization)는 직접 식별자를 대체 값으로 바꾸는 방식이며, 적절한 키가 있으면 다시 식별할 수 있다. 두 방식을 구분하지 않으면 데이터 제공 범위와 통제 수준을 잘못 설정할 수 있다.
가명처리는 고유 식별자를 다른 값으로 치환하는 기법이다. 예를 들어 환자 이름과 ID를 임의의 코드로 바꾸고, 필요할 때 재식별할 수 있도록 매핑 테이블을 별도로 보관한다.
데이터의 세밀함을 조절하는 처리 기법
총합처리 또는 평균값 대체(Aggregation)는 개인별 값을 제공하는 대신 그룹 단위의 통계값을 제공하는 방식이다. 개별 환자의 혈당 수치 대신 나이대별 평균 혈당을 제공하는 경우가 여기에 해당한다. 이때 충분한 표본 크기(k-anonymity)를 확보해 개인 식별을 막아야 한다.
데이터 삭제(Data Suppression)는 식별 가능한 필드를 완전히 없앤다. 이름, 주민번호 같은 직접 식별자뿐 아니라 우편번호나 희귀질환처럼 상황에 따라 식별에 쓰일 수 있는 간접 식별자도 대상이 된다. 의료기록에서 환자 연락처, 주소, 보험번호를 삭제하는 방식이 예다.
범주화(Generalization)는 구체적인 값을 더 넓은 범위로 바꾸는 처리다. 정확한 생년월일을 30-40대로 표시하거나 상세 주소를 서울시로 일반화할 수 있다.
마스킹(Masking)은 데이터 일부를 특수문자 등으로 대체하는 방법이다. 주민번호 123456-1234567을 123456-******처럼 표시하면 일부 정보는 유지하면서 식별 위험을 줄일 수 있다.
재식별 위험을 평가하는 기준
익명화된 데이터도 다른 정보와 결합되면 개인을 다시 식별할 가능성이 있다. ISO 25237은 이 위험을 평가하기 위한 방법론을 제시한다.
- k-익명성(k-anonymity)은 최소 k명의 개인이 동일한 특성을 갖도록 보장한다.
- l-다양성(l-diversity)은 각 동질 그룹에서 민감한 속성이 최소 l개 이상의 다양한 값을 갖도록 한다.
- t-근접성(t-closeness)은 동질 그룹의 민감 속성 분포와 전체 데이터셋의 분포 차이가 t 이하가 되도록 한다.
의료 데이터가 공유되는 환경
병원 임상데이터는 직접 식별자를 제거하고 날짜 정보를 일반화하며 희귀질환을 범주화해 의학 연구용 데이터셋으로 구축할 수 있다. 한국보건의료정보원에서 구축한 보건의료 빅데이터는 ISO 25237 기반으로 익명화 처리 후 제공된 실제 사례다.
국민건강보험공단의 청구데이터를 정책 연구에 활용할 때는 가입자 정보를 가명처리하고, 진료내역은 범주화하며, 특이 사례에는 총합처리를 적용할 수 있다. 개인정보를 보호하면서 국가 의료정책 수립에 필요한 통계자료를 제공하는 방식이다.
제약회사가 임상시험 원자료를 다른 연구기관과 공유하는 경우에도 같은 원칙이 적용된다. 환자 식별자는 가명처리하고 날짜는 상대적 시간으로 변환하며 희귀질환은 일반화한다. 이를 통해 추가 연구와 약물 안전성 검증이 가능해진다.
활용 목적에 맞춰 통제 수준을 정한다
익명화 수준이 지나치게 높으면 데이터 품질이 떨어지고, 반대로 처리가 충분하지 않으면 개인정보 노출 위험이 남는다. 데이터의 활용 목적에 따라 적절한 익명화 수준을 정해야 한다.
완벽한 익명화는 이론적으로 불가능하며, 기술 발전에 따라 재식별 위험은 계속 커질 수 있다. 따라서 익명화 외에도 접근 제한, 이용 약정 같은 추가 보안 조치가 필요하다.
국가별 개인정보보호법과의 관계도 검토해야 한다. 한국에서는 개인정보보호법, 생명윤리법 등을 함께 고려하며, 정보주체의 권리와 처리의 투명성을 확보해야 한다. 의료정보 활용에 관한 사회적 합의와 신뢰 역시 기술적 처리만으로 대체할 수 없다.
의료 데이터 환경과 함께 변하는 익명화
의료 데이터의 양과 다양성이 늘면서 익명화 기술의 중요성도 커지고 있다. AI 기반 분석에서는 개인정보 보호와 데이터 활용의 균형이 더 민감한 문제가 되며, 정밀의료는 세밀한 데이터의 필요성과 프라이버시 보호라는 과제를 동시에 안고 있다.
데이터를 공유하지 않고 분석하는 연합학습(Federated Learning), 통계적 익명성을 보장하는 차등 프라이버시(Differential Privacy), 블록체인 기반 의료정보 관리 시스템과의 연계도 이 흐름에 포함된다.
ISO 25237은 의료정보를 보호하면서도 의학 연구, 공중보건, 의료정책 수립에 활용할 수 있도록 하는 기준이다. 가명처리, 총합처리, 범주화, 마스킹 같은 기법은 데이터의 목적과 위험 수준에 따라 선택해야 하며, 프라이버시 보호는 기술적 처리와 운영 통제를 함께 갖출 때 성립한다.