가명처리한 진료데이터엔 '처리 정지' 요구가 통하지 않는다는 대법원 판단 — 병원에 의미하는 것
가명정보 처리는 개인정보 처리정지 요구권의 대상이 아니라는 대법원 판결이 나왔고, 개인정보보호위원회도 가명정보 처리 가이드라인을 위험도 기반 체계로 개정했습니다. 두 변화가 병원의 진료데이터 활용에 어떤 의미인지, 그리고 여전히 지켜야 할 것은 무엇인지 정리합니다.
병원은 진료 과정에서 방대한 데이터를 쌓습니다. 이 데이터를 통계 작성이나 임상연구, AI 개발에 쓰고 싶어도 “나중에 환자가 못 쓰게 해달라고 하면 어쩌나” 하는 불안 때문에 활용을 망설이는 경우가 많았습니다. 최근 이 불안의 상당 부분을 정리해 줄 두 가지 소식이 나왔습니다. 대법원 판결 하나와 정부 가이드라인 개정 하나입니다. KHF 2026 강연에서도 개인정보 규제의 무게중심이 “보호에서 활용으로” 옮겨가고 있다는 진단이 나왔습니다. 병원 행정·기획 담당자가 알아 두면 좋을 내용을 정리합니다.
가명정보란 무엇인가
먼저 용어부터 짚습니다. ‘가명정보’는 이름이나 주민등록번호처럼 특정 개인을 바로 알아볼 수 있는 정보를 지우거나 다른 값으로 바꿔서, 별도로 보관된 추가 정보 없이는 원래 누구인지 되돌릴 수 없게 만든 데이터를 말합니다. 개인정보보호법은 통계 작성, 과학적 연구, 공익적 기록 보존 같은 목적이라면 환자 개인의 동의 없이도 가명정보를 쓸 수 있도록 허용하고 있습니다.
대법원, “가명처리는 처리정지 요구 대상이 아니다”
2026년 6월 5일, 대법원은 SK텔레콤 가입자들이 회사의 가명처리를 멈춰 달라고 낸 소송에서 회사 손을 들어 줬습니다. 1심과 2심은 가입자 쪽 주장을 받아들였지만, 대법원은 이를 뒤집고 사건을 돌려보냈습니다. 판결 요지는 이렇습니다. 개인정보보호법 제37조가 보장하는 ‘처리정지 요구권’은 이름 등이 그대로 남아 있는 일반적인 개인정보 처리에 적용되는 권리이고, 가명처리는 오히려 식별 위험을 낮추는 조치이므로 이 권리의 대상과는 구별된다는 것입니다. 대법원은 AI·클라우드 같은 신기술 활용과 데이터 산업 활성화 필요성도 판단 근거로 함께 언급했습니다.
가이드라인도 손을 봤습니다 — 위험도 3단계 체계
같은 흐름에서 개인정보보호위원회도 2026년 3월 31일 「가명정보 처리 가이드라인」 개정판을 내놨습니다. 핵심은 가명정보 처리를 저위험·중위험·고위험 3단계로 나눠 절차를 다르게 적용하는 것입니다. 기관 내부에서만 쓰고 외부에 제공하지 않는 저위험 활용(예: 병원 자체 이용 통계)은 별도 위원회 심의 없이 담당자 검토만으로 처리할 수 있게 했습니다. 제3자에게 제공하되 처리 환경을 통제할 수 있으면 중위험, 통제하기 어려우면 고위험으로 분류해 더 까다로운 절차를 적용합니다. 이번 개정으로 관련 서식도 24종에서 10종으로 줄었고, AI 개발·고도화에 필요한 기간만큼 가명정보를 계속 활용할 수 있도록 처리기간 기준도 유연해졌습니다.
그렇다고 다 되는 건 아닙니다
두 변화 모두 “가명처리를 제대로 했다면”이라는 전제가 붙습니다. 재식별 위험이 남아 있을 정도로 가명처리가 부실했다면 여전히 개인정보보호법 위반 소지가 있습니다. 처리정지 요구 대상이 아니라는 대법원 판단도 가명처리 자체의 적법성을 따로 문제 삼지 않는다는 뜻일 뿐, 병원이 아무렇게나 데이터를 다뤄도 된다는 뜻은 아닙니다. 병원이 지금 할 일은 우리 병원의 통계·연구 목적 데이터 활용이 저위험·중위험·고위험 중 어디에 해당하는지 개인정보보호책임자·기획실과 함께 먼저 점검해 보는 것입니다. 목적을 명확히 적어 두고, 가명처리 절차를 문서로 남겨 두는 기본기가 여전히 가장 중요합니다.
핵심 요약
- 2026년 6월 5일 대법원은 가명처리가 개인정보보호법상 ‘처리정지 요구권’의 대상이 아니라고 판단했습니다(SK텔레콤 관련 소송, 1·2심 파기환송).
- 2026년 3월 31일 개인정보보호위원회는 가명정보 처리를 저위험·중위험·고위험 3단계로 나눈 개정 가이드라인을 발표했습니다. 서식이 줄고, AI 개발에 필요한 기간만큼 가명정보를 계속 쓸 수 있는 근거도 마련됐습니다.
- 두 변화는 병원의 진료데이터를 통계·연구·AI 개발에 활용할 여지를 넓혀 주지만, 가명처리 자체가 부실하면 여전히 법 위반이 될 수 있습니다.
- 우리 병원의 데이터 활용이 어느 위험도 단계에 해당하는지 개인정보보호책임자·기획실과 함께 점검해 보는 것이 첫걸음입니다.
출처: ‘가명정보 가이드라인’ 전면 개정…위험도 기반 체계 도입, 대한민국 정책브리핑(2026.03.) · SK텔레콤, 개인정보 가명처리 소송 최종 승소…대법원 “처리정지 대상 아냐”, 이지경제(2026.06.) · “내 정보 가명처리 말라”는 SKT 가입자들…대법원 “처리정지 대상 아냐”, 더시사법률(2026.06.) · “보호에서 활용 개념 전환된 의료 데이터…규제 전환점”, 메디칼타임즈(2026.08.19, KHF 2026)