병원 데이터를 AI 업체와 나눌 때 — 가명처리를 행정이 확인하는 법

AI 업체가 “저희 모델을 병원 데이터로 한번 검증해보고 싶습니다”라고 제안하는 일이 늘고 있습니다. 이때 행정의 첫 반응은 둘 중 하나입니다. “개인정보라 절대 안 됩니다” 또는 “환자 동의를 다 받아 오세요.” 그런데 두 답 모두 실무에서는 막다른 길입니다. 수천, 수만 건의 데이터를 다루는 연구·검증에 개별 동의를 일일이 받는 건 현실적이지 않고, 그렇다고 무조건 막으면 병원 데이터로 우리 환자군에 맞게 검증된 도구를 못 쓰게 됩니다. 이 둘 사이에 법이 마련해 둔 제3의 길이 가명처리입니다. 무엇이고, 행정은 무엇을 확인하면 되는지 정리합니다.

동의 없이도 되는 경우 — 가명정보라는 예외

개인정보보호법은 원칙적으로 개인정보 처리에 정보주체의 동의를 요구합니다. 다만 예외가 있습니다. 개인정보의 일부를 삭제하거나 다른 값으로 대체해 “추가 정보 없이는 특정 개인을 알아볼 수 없게” 처리한 것을 가명정보라고 하는데, 개인정보보호법 제28조의2는 통계작성, 과학적 연구, 공익적 기록보존 등의 목적이면 정보주체 동의 없이 가명정보를 처리할 수 있도록 정하고 있습니다. AI 모델을 우리 병원 환자 데이터로 검증하는 작업 대부분이 여기서 말하는 “과학적 연구”에 해당할 수 있다는 뜻입니다. 다만 이건 “가명처리만 제대로 했다면”이라는 전제가 붙습니다. 그 전제를 확인하는 게 행정의 실제 일입니다.

가명처리, 어떻게 하는지는 정해져 있다

“그냥 이름만 지우면 되는 거 아니냐”는 생각은 위험합니다. 이름을 지워도 생년월일, 입원일, 진단명, 담당과 조합만으로 특정 환자가 재식별될 수 있기 때문입니다. 보건복지부는 이런 위험을 다루기 위해 2024년 1월 「보건의료데이터 활용 가이드라인」을 내놓았고, 여기서 가명처리의 구체적 방법과 기준을 제시하고 있습니다. 즉 “어느 정도까지 지워야 안전한가”는 담당자의 감이 아니라 공개된 기준이 있는 문제입니다. AI 업체가 “저희가 알아서 안전하게 처리하겠습니다”라고만 말한다면, “그 가이드라인의 어떤 절차를 따랐는지” 되물을 근거가 여기에 있습니다.

행정이 실제로 확인할 4가지

첫째, 목적입니다. “통계작성·과학적 연구·공익적 기록보존” 중 어디에 해당하는지 계약서나 협약서에 명시되어 있어야 합니다. 목적이 모호하면 가명정보 처리의 근거 자체가 흔들립니다.

둘째, 처리 주체입니다. 가명처리를 병원이 직접 하는지, AI 업체가 원본 데이터를 받아서 하는지에 따라 위험이 크게 달라집니다. 가능하면 가명처리는 병원 쪽에서 마치고, 이미 처리된 데이터만 넘기는 방식이 안전합니다.

셋째, 재식별 방지 조치입니다. 가명처리 후에도 남는 재식별 위험을 낮추는 절차(접근 권한 제한, 재식별 시도 금지 조항 등)가 계약에 들어 있는지 확인합니다.

넷째, 처리 종료 후 절차입니다. 연구·검증이 끝난 뒤 데이터를 반환하는지 파기하는지, 파기라면 그 증빙을 받을 수 있는지를 미리 정해 둡니다.

이 네 가지는 법률 검토라기보다 계약서에 실제로 적혀 있는지 확인하는 실무 점검입니다. 확인이 어려우면 병원 개인정보보호 담당 부서나 법무 검토를 거치는 것이 안전합니다.

핵심 요약

• AI 업체와의 데이터 공유는 “무조건 금지”와 “전원 동의”의 양자택일이 아니라, 가명처리라는 법이 마련한 절차를 따르면 됩니다(개인정보보호법 제28조의2).
• 가명처리의 구체적 방법은 보건복지부 「보건의료데이터 활용 가이드라인」(2024.01)에 정리되어 있어, 업체의 설명을 검증할 기준으로 쓸 수 있습니다.
• 행정은 목적·처리 주체·재식별 방지 조치·종료 후 절차 네 가지를 계약서에서 확인하면 됩니다.
• 판단이 애매하면 병원 개인정보보호 담당·법무 부서의 검토를 먼저 받으세요.