ISO 25237로 이해하는 의료정보 비식별화와 가명화

의료정보에서 가명화가 필요한 이유

ISO-25237은 개인의료정보를 보호하기 위한 비식별화 처리의 원칙과 요구사항을 정의한 국제표준이다. 2017년 제정된 건강정보학 가명화 표준으로, 의료정보의 특성을 고려해 식별 데이터와 데이터 대상 사이의 연관관계를 제거하는 방법을 다룬다.

핵심은 의료정보의 활용 가치를 보존하면서 개인정보 보호 수준을 확보하는 데 있다. 연구, 분석, 기관 간 정보 교류처럼 데이터를 써야 하는 상황에서 비식별화 수준과 활용 목적을 함께 판단하는 기준이 된다.

비식별화와 가명화는 같은 말이 아니다

비식별화는 데이터 집합에서 특정 개인을 식별할 가능성을 낮추거나 제거하는 일반적인 과정이다. 데이터와 개인을 잇는 연결고리를 끊되, 가능한 한 데이터 활용 가치는 남기는 것이 목적이다.

가명화는 그 방법 가운데 하나다. 원본 식별자를 가명으로 바꾸고, 원본 식별자와 가명 사이의 매핑 정보는 별도로 보관한다. 이 매핑 정보가 있으면 필요 시 재식별할 수 있다는 가역성이 있으며, ISO-25237은 이 방식을 중점적으로 다룬다.

⤢✕

표준이 요구하는 운영 원칙과 구조

비식별화 수준은 데이터 활용 목적과 위험에 비례해야 한다. 처리 과정과 방법은 문서화하고 공개할 수 있어야 하며, 특정 기술에 종속되지 않는 접근을 권장한다. 기술 발전과 환경 변화에 따라 효과성을 정기적으로 검토하는 일도 포함된다.

가명화 아키텍처는 원본 식별자를 가명으로 변환하는 가명화 서비스, 가명화 정보를 저장하는 데이터베이스, 원본 식별자와 가명의 관계를 보관하는 매핑 테이블, 그리고 전체 과정을 관리·감독하는 관리 서비스로 구성된다.

⤢✕

식별자 특성에 맞춘 처리 기법

직접 식별자는 개인을 바로 특정할 수 있는 값이다. 완전히 제거하는 삭제, 의미 없는 값으로 바꾸는 대체, 단방향 암호화 함수를 이용하는 해싱, 토큰으로 전환하는 토큰화, 일부만 가리는 마스킹을 적용할 수 있다.

간접 식별자는 단독으로는 개인을 특정하지 않더라도 다른 정보와 결합될 때 식별 가능성을 높일 수 있다. 정확한 나이를 연령대로 바꾸는 일반화, 수치의 근사값을 쓰는 라운딩, 노이즈를 더하는 랜덤화, 일부 데이터를 없애는 부분 삭제, 데이터셋 안에서 값을 바꾸는 스와핑이 여기에 해당한다.

프라이버시 모델도 처리 수준을 판단하는 기준이 된다. K-익명성은 최소 K명이 같은 특성을 공유하도록 하며, L-다양성은 민감 정보가 최소 L개의 서로 다른 값을 갖도록 한다. T-근접성은 민감 정보의 분포가 전체 분포와 유사하게 유지되는지를 본다.

준비부터 재평가까지 이어지는 가명화 운영

가명화에 앞서 직접 식별자와 간접 식별자를 분류하고, 데이터 유출 시의 위험을 평가해야 한다. 그 결과를 바탕으로 활용 목적에 맞는 비식별화 수준과 기술적·관리적 보호조치를 정한다.

구현 단계에서는 가명화 알고리즘을 선택해 시스템을 구축하고, 매핑 테이블에 보안 조치를 적용한다. 이후 시험 운영을 거쳐 효과성을 검증한다. 운영 중에는 보안 이벤트를 모니터링하고 접근 통제와 감사를 수행하며, 기술 발전에 따른 재식별 위험을 정기적으로 다시 평가해 방법론을 개선한다.

⤢✕

의료데이터 활용에서의 적용 맥락

의학 연구에서는 임상시험 데이터를 연구자 사이에 공유할 때 가명화를 적용할 수 있다. 환자 식별자는 연구ID로 대체하고, 매핑 정보는 임상시험 주관기관만 보유한다. 국제 다기관 임상시험에서는 환자 데이터를 익명화한 뒤 분석기관에 제공하는 사례가 있다.

의료 빅데이터 분석에서는 국가 건강보험 데이터를 비식별화할 수 있다. 주민등록번호는 임의 ID로 바꾸고, 주소는 시·군·구 수준으로 일반화한다. 한국 건강보험공단의 표본코호트DB 구축이 사례다.

의료기관 간 정보 교류에서는 환자 의뢰를 위한 정보 공유에 가명화를 적용할 수 있다. 인구통계학적 정보와 진료정보를 분리 저장하며, 지역 의료정보교류체계에서 환자정보 보호에 활용된다.

구현 시 함께 검토할 통제 항목

국가별 개인정보보호법과의 정합성을 확보하고 의료법 및 생명윤리법을 준수해야 한다. 환자 동의의 획득 여부와 범위를 검토하며, 윤리위원회(IRB) 심의 필요성도 판단한다.

기술적으로는 가명화 알고리즘의 강도와 성능 사이의 균형, 시스템의 확장성과 유연성, 데이터 품질 유지 방안을 검토한다. 긴급 상황에서 재식별이 필요한 경우를 위한 절차도 마련해야 한다.

운영 책임자와 조직을 지정하고, 교육 및 인식 제고 프로그램, 문서화와 감사 체계를 갖춘다. 재식별 시도를 탐지하고 대응하는 방안 역시 관리 범위에 포함된다.

보호 수준은 재식별 위험과 유용성을 함께 평가한다

효과성 평가는 단일 레코드, 표본, 인구통계학적 정보에 따른 재식별 위험을 살피고 위험 임계치를 설정해 모니터링하는 일에서 시작한다.

동시에 통계적 정확성이 유지되는지, 데이터 품질이 얼마나 저하되는지, 본래 목적을 달성할 수 있는지와 사용자 피드백을 확인해야 한다. 프라이버시와 유용성의 트레이드오프를 분석해 상황별 비식별화 수준과 위험 수용 수준을 정하고, 이를 지속적으로 개선하는 프로세스로 연결한다.

의료데이터 활용 환경의 변화

AI 기반 비식별화 기술, 차등 프라이버시(Differential Privacy), 연합학습(Federated Learning)처럼 데이터를 공유하지 않고 분석하는 기법의 적용이 확대될 수 있다. 블록체인 기반 동의 관리와 접근 통제도 활용 방향으로 제시된다.

GDPR과 같은 강화된 개인정보보호 규제가 확산되고, 비식별화 국제표준을 통일하려는 움직임도 이어지고 있다. 의료데이터 활용을 촉진하기 위한 규제 샌드박스와 국가 간 데이터 이전 규제의 조화도 주요 과제다.

정밀의료를 위한 대규모 의료데이터 통합, 인공지능 의료기기 학습데이터, 질병 예측과 조기 경보 시스템, 공중보건 위기 대응을 위한 데이터 공유는 이러한 체계가 다뤄야 할 활용 영역이다. ISO-25237은 환자 프라이버시를 보호하면서 의료데이터의 활용 가치를 다루기 위한 체계적 프레임워크를 제공한다.