ISO 25237 가명처리: 의료 데이터를 식별자와 분리해 연계하는 법

다기관 임상연구에서 여러 병원의 데이터를 하나로 모으려면, 환자를 재식별할 수 있는 여지는 남기되 평상시에는 누구인지 알 수 없게 만들어야 한다. 이 모순처럼 보이는 요구를 표준화한 것이 의료정보 국제표준 ISO 25237(Health Informatics — Pseudonymization)이다. 환자 식별정보와 임상데이터의 분리·연계를 안전하게 달성하는 가명처리 프레임워크를 규정하며, GDPR·각국 개인정보보호법·연구윤리 규정과의 정합성 확보에 기여한다. 최신 개정본 여부는 ISO 카탈로그 확인이 필요하며 일반적으로 2017년판을 기준으로 삼는다.

지우는 게 아니라 감추는 것

개인식별정보(PII)와 임상 속성정보를 분리하고 가명식별자(토큰)로 치환하는 절차와 통제를 정의하며, 재식별이 필요할 때는 엄격한 승인과 기술적·관리적 통제 하에 복원 가능하도록 설계한다. 가명처리(Pseudonymization)는 동일 개인에게 일관된 가명식별자를 부여해 종단 간 연계성을 유지한다는 점에서, 재식별 경로 자체가 없는 비가역 익명화와 다르다. 도메인 분리(Domain Separation)는 식별자 도메인과 속성 도메인을 물리·논리적으로 격리하고 신뢰기관(TTP) 또는 가명처리 서비스(Pseudonymization Service)를 통해 매핑을 관리한다. 거버넌스와 감사성은 재식별 승인, 접근통제, 키·소금(salt) 관리, 접근 이력 감사, 사고 대응 절차를 포함한다.

누가 무엇을 만들고 누가 승인하는가

도메인·역할 모델은 데이터 관리자(Data Controller), 가명처리 서비스(PS), 데이터 수요자(Research/Analytics), 신뢰기관(TTP)의 역할을 분리해 교차 권한을 최소화하고 승인 체계를 확립한다. 토큰 생성 메커니즘은 결정적 토큰(HMAC/키드 해시) 또는 비결정적 토큰(난수·서명 기반) 중에서 선택하며, 충돌 처리와 다중 가명(프로젝트별 토큰)·영역별 키 회전 정책을 규정한다.

재식별 통제 절차는 사전 정의된 합법적 근거와 최소 2인 승인, 시간 제한·사유 기록, 세분화된 접근권한을 요구한다. 비상 사용(break-glass) 시에는 강화된 감사와 사후 심사를 적용한다. 키·비밀 관리는 HSM/KMS를 쓰고 키 분할·이중통제, 키 수명·교체 주기를 정의하며 전송·저장 구간 암호화와 서명·무결성 검증을 적용한다. 로깅·감사는 전 과정 감사 로그와 변경 이력을 불변 저장(예: WORM/Append-only)하고, 연결성 위험(Linkage Risk)·재식별 가능성을 정기 DPIA로 평가한다.

⤢✕

전제조건은 법적 근거·윤리 심의 체계, 키 관리 인프라(KMS/HSM), 네트워크 분리·접근통제 체계다. 절차는 입력(PII+임상데이터 수집, FHIR·LOINC 등 메타데이터 표준화)에서 시작해, 처리 단계에서 가명토큰 생성(결정·비결정 방식 선택, 충돌 검사, 키·소금 관리)과 도메인 분리 저장(매핑테이블은 TTP·PS 전용 볼트), 생성·조회·실패 로그의 불변 감사기록으로 이어지고, 출력은 분석·연구용 가명 데이터셋 배포와 데이터 계약·사용정책 첨부다. 예외·에러 처리는 충돌 발생 시 재시도·대체 토큰 발급, 키 만료 시 회전과 과거 버전 검증 경로 유지, 승인 실패 시 자동 차단 및 알림이다.

임상연구 통합에서 리콜 대응까지 쓰이는 자리

다기관 임상연구 데이터 통합에서는 기관별로 로컬 가명처리를 한 뒤 신뢰기관에서 교차 매핑하고, 프로젝트별 가명 발급으로 데이터 최소화와 연계성을 동시에 확보한다. 데이터 레이크·클라우드 분석 환경에서는 원천 PII를 온프레미스에 격리하고 분석용 영역에는 가명 데이터만 반출하며, 역할 기반 접근제어와 작업공간 단위 키 분리를 적용한다. 의료 AI 학습 데이터셋 구축에서는 장기 추적이 필요한 코호트에 결정적 가명을 쓰고, 드리프트 모니터링·라벨 갱신 시 재식별 경로를 차단하며 승인형 재연결만 허용한다. 환자 안전·리콜 대응에서는 통계적 신호 탐지 후 합법적 근거와 절차에 따라 제한적 재식별을 수행하고 환류 프로세스와 사고 대응을 표준화한다.

익명화·암호화와 어떻게 다른가

항목	가명처리(ISO 25237)	익명화	암호화
성능	중간: 토큰 생성·충돌 검사 비용 존재	중간~높음: 일반화·노이즈 처리 비용	높음: 스트리밍 암복호 최적화 가능
확장성	높음: 분산 토큰 서비스·캐시로 수평 확장 용이	중간: 데이터 유틸리티 손실 증가 시 확장 한계	높음: 키 관리 체계 전제
일관성	높음: 결정적 토큰으로 종단 일관성 확보	낮음: 비가역 처리로 링크 어려움	높음: 동일 키·IV 관리 시 일관
안정성	높음: 키·정책 관리로 예측 가능	중간: 재식별 불가로 운영 유연성 제한	높음: 성숙한 암호 라이브러리
운영 편의	중간: 거버넌스·키 관리 필요	높음: 반출 이후 추가 통제 적음	중간: 키 분실·교체 리스크

모범사례는 프로젝트별 가명 도메인 분리, 키 회전과 과거 버전 접근의 시간 제한, PS·TTP의 네트워크·계정 분리와 2인 통제, 전 과정 감사로그의 불변 저장이다. 트레이드오프는 유틸리티와 재식별 위험 사이에 있다. 결정적 토큰은 링크가 쉬운 대신 연결성 위험이 올라가고, 비결정적 토큰은 유틸리티가 줄어들 수 있으며, 어느 쪽이든 키 관리 복잡성과 운영 비용이 늘어난다.

이 표준을 채택하면 사례 기준으로 반출 승인 리드타임이 표준화된 절차와 자동화 덕분에 30~60% 단축되고, 키 분리·접근통제를 적용하면 재식별 사고 확률(내부 오용 사건률)이 대폭 감소하며, 스키마 검증·충돌 처리로 데이터 유실률이 1% 미만 수준으로 유지된다. 정성적으로는 법규·윤리 정합성이 강화되고 대외 신뢰가 높아지며, 연구·AI 팀의 데이터 접근성·재현성이 향상되고 다기관 협업과 데이터 재사용성이 늘어난다. 도메인 분리, 결정·비결정 토큰 설계, 키·거버넌스 체계가 채택의 핵심이며 기관 규모와 규제 환경을 고려한 단계적 도입과 주기적 DPIA 병행이 필요하다.