[현장] 가명정보 제도 5년에도 ‘절차 장벽’ 호소… 정부, 활용 확대·개선 의지

[천지일보=황해연 기자] “가명정보가 도입된 후 생각만큼 가명정보 결합이 활성화되지 않은 건 사실이지만 여러 가지 어려운 여건 속에서도 저희가 충분히 연구하고 있고 제도적 개선을 많이 했습니다. 특히 의료 데이터 가명정보는 굉장히 어려운 문제고 한계가 있습니다.”

지난 11일 최장혁 개인정보보호위원회 부위원장이 강원 원주시에 위치한 국민건강보험공단(건보공단) 본부를 방문해 이같이 밝혔다.

가명정보는 기존의 데이터 가치는 최대한 유지하면서도 개인정보의 일부 또는 전부를 삭제·대체해 추가 정보 없이는 특정 개인을 알아볼 수 없도록 한 것을 의미한다.

가명정보 제도는 지난 2020년 8월 AI·신기술 개발이 확산되면서 신성장 동력인 데이터의 안전한 활용을 위해 도입됐다. 개인정보 보호법에 의하면 개인정보처리자는 ▲통계작성 ▲과학적 연구 ▲공익적 기록보전 등의 목적에 한해 정보주체의 동의 없이 활용이 가능하다.

가명정보 처리 특례가 도입됨에 따라 데이터 연계를 통한 부가가치 창출을 위해 서로 다른 개인정보처리자 간의 가명정보 결합이 가능해졌다. 이러한 가명정보 결합을 수행하는 ‘가명정보 결합전문기관’은 안전성 확보를 위해 관계 중앙행정기관이 지정한 결합전문기관만 가능하며 지난 6월 기준 총 22개가 운영 중이다.

결합전문기관의 주요 기능은 ▲서로 다른 개인정보처리자 간의 가명정보 결합 수행 ▲결합 정보의 안전한 가명 처리를 위한 공간·시설 제공 및 전문 자문 제공 ▲반출 심사위원회 구성·운영을 통해 결합된 정보의 반출 여부 결정 등이다.

결합전문기관으로 지정될 수 있는 기준은 ▲3명의 전문가를 상시 고용한 8인 이상의 담당조직 ▲결합·추가 가명처리·반출 등을 위한 공간 및 시설·시스템 구축 ▲데이터 및 네트워크에 대한 보안 조치 마련 ▲개인정보 안전성 확보 조치 기준에 따른 내부 관리계획 수립 ▲자본금 50억원 이상 ▲최근 3년 내 보호법 제66조에 따른 법령 위반 사실이 없을 것 등이다.

이날 강원 원주·춘천에 위치한 건보공단과 개인정보 이노베이션 존 등 현장을 방문했다. 개인정보 보호와 혁신적인 데이터 활용 간의 균형을 맞추기 위해 개인정보 보호의 최전선에서 활동하는 전문가들을 만나 가명정보 결합 및 데이터 활용 사례뿐 아니라 현장의 애로사항을 청취했다.

건보공단은 국내에서 보건의료 분야 최다 데이터를 보유한 기관으로 보건복지부로부터 지난 2020년 10월 가명정보 결합전문기관으로 지정된 후 2023년 10월에 재지정됐다.

박상용 건보공단 빅데이터사업실 팀장은 건보공단이 운영 중인 사업 및 가명정보 결합 사례 소개에 나섰다.

박 팀장은 “결합전문기관 입장에서 기본적으로 하는 발표 심사에 대한 것도 있지만 보건의료 데이터가 사실 굉장히 민감하기도 하고 데이터에 대한 목적성 등을 조금 더 면밀하게 봐야한다”며 “저희는 공단이 보유한 자료를 다른 기관과 자료를 결합하는 자체 결합 사례가 대부분”이라고 설명했다.

그는 “반출 심사와 함께 앞에 결합 적정 심의 절차를 두고 서류에 대한 검토 등을 저희 내부뿐 아니라 외부 전문가를 통해 검토하고 심의하는 절차를 통해 더욱더 공정하고 객관적으로 심의할 수 있도록 운영 중”이라고 강조했다.

실제 건보공단은 보건의료 분야 결합전문기관 중 42건이라는 최다 결합·반출 사례를 창출했다. 2021년 3건에서 2022년 5건, 2023년 9건, 2024년 16건, 2025년 7월 기준 9건 등이다.

건보공단은 지난해부터 본격적으로 가명정보 결합 큐레이팅을 하고 있다. 실제 결합 연구에 대한 수요가 있는 연구자들을 대상으로 건보공단이 직접 발굴하고 그 연구자들이 계획 단계부터 진행에 있어 교육·컨설팅하기 시작하면서 성과도 드러나고 있다는 것이 회사 측 입장이다.

올 상반기부터는 서울대학교병원을 방문해 연구진들을 만나 가명정보 결합 큐레이팅을 진행하기도 했다.

해당 건물 9층에는 결합을 위한 ‘데이터 결합실’과 가명 처리 등을 위한 ‘데이터 비식별실’, 반출 심사를 위한 ‘데이터 반출심사실’이 마련돼 있었다. 데이터 결합실·비식별실에는 각각 PC 2대와 4대가 놓여 있었고 이곳에서 반출 심사 전 가명 처리 절차를 거친다.

가명정보 결합 사례와 관련해 잠재적인 수요는 증가하나 제도를 이용하는 데 대한 부담감이 많다고 지적했다. 그는 “연구자들이 결합 제도 이용 절차가 길다고 생각해 진입 자체에 어려움을 느끼는 경우도 있고 데이터 이용 편의성 향상에 대한 요구도 굉장히 많다”며 “데이터를 활용하고 싶어도 막상 어떻게 이 데이터를 보호할지에 대한 계획은 없는 경우도 있다”고 했다.

이어 안전한 데이터 처리의 최종적 관문인 결합전문기관의 역할이 중요하다고 짚었다. 안전한 반출정보 이용뿐 아니라 결합 제도 활성화를 위한 데이터 큐레이터로서의 역할이 필요하다는 것이다.

다음으로 방문한 곳은 강원 춘천시 더존ICT그룹 강촌캠퍼스에 위치한 더존비즈온이다. ‘정밀의료 분야 특화 개인정보 안심구역’을 운영 중이며 ▲가명처리 수준 완화 및 다양한 결합키 활용 등을 통한 데이터 품질 향상 ▲가명정보 장기 활용 및 재사용을 통한 연구 정합성 향상 등 맞춤형 첨단의료 및 기업 데이터 혁신 서비스를 발굴, 지원하고 있다.

현재 강원특별자치도와 정밀의료 빅데이터 서비스 플랫폼 사업을 진행 중이다. 이로써 클라우드 기반으로 구축된 빅데이터 플랫폼을 통해 의료 분야 연구를 외부 반출 없이 검증된 보안 환경에서 유기적으로 진행할 수 있게 됐다.

이서용 더존비즈온 데이터플랫폼개발 유닛장은 “플랫폼 구축 후 개별 병원들의 데이터만 활용할 수 있었고 병원들의 데이터를 결합하려면 결합 제도가 필요했다”며 “수많은 병원이 개인정보위와 한국인터넷진흥원(KISA)과 함께 시스템화시키고 병원들 간 데이터 결합에 장벽을 낮춰 안전하게 데이터를 활용하는 것을 목표로 했다”고 말했다.

더존비즈온은 ‘개인정보 이노베이션 존’으로 지정·운영되고 있다. 가명정보 제도가 도입됐음에도 AI 연구개발 및 데이터 학습 측면에서 한계가 있고 동시에 ‘프라이버시 향상 기술(PET, Privacy Enhancing Technology)’이 빠르게 발전하고 있으나 이러한 기술을 실제 현장에서 적용·활용할 수 없었다.

이에 개인정보 이노베이션 존을 도입·운영해 ‘제로트러스트’ 원칙을 기반으로 데이터 활용 환경의 안전성을 높여 가명 처리된 개인정보를 보다 유연하게 활용할 수 있도록 한 것이다.

이 유닛장은 “이제 가명정보를 개인정보 이노베이션 존 내에 5년까지 장기 보관해 두고 재사용할 수 있도록 제도들이 편의 위주로 개편될 것”이라고 전했다.

개인정보위 관계자는 “가명정보는 목적을 달성하면 파기하도록 돼 있는데 이곳은 파기하지 않고 재사용할 수 있도록 활용하고 있고 그 부분에서 개인정보위가 깊게 관여하고 있다”며 “현장에서 시도해 보지 못했던 부분이나 어려움이 있는 것들을 여기서는 철저한 보안이 확보된 상황에서 실증하도록 시도하는 곳”이라고 설명했다.

더존비즈온은 개인정보와 관련한 데이터들을 안전하게 보호하기 위한 ‘D-클라우드 센터’를 운영 중이다. 약 42대의 모니터를 활용해 서비스 운영이 잘 되는지 확인하고 장애 처리나 외부에서 들어오는 해킹·디도스 등을 감시하고 모니터링하는 곳이다.

관계자는 “해킹 등의 사태는 한 번도 나지 않은 걸 봐선 그만큼 관리·유지를 잘하고 있는 것”이라며 “화재 등 사고에 자료 훼손 등을 대비해 관로를 이중화로 해 놨다”고 말했다.

개인정보 이노베이션 존은 ▲데이터 열람·분석이 가능한 ‘데이터 분석실’ ▲출입 통제 및 감시 시스템이 통합 운영되는 ‘통합관제실’ ▲데이터 반입·반출 지원, 비인가 전자장비의 통제, 관리대장 기록 등 방문자 업무를 지원하는 ‘관리자 공간’ 등으로 이뤄졌다.

지난해 12월 개인정보 이노베이션 존으로 지정돼 아직 성과는 없는 상태다.

이서용 유닛장은 전산으로 일부 네트워크를 개방해 클라우드 기반의 데이터를 반입할 수 있도록 개선해야 한다고 토로했다. 그는 “저희는 클라우드 기반으로 데이터를 반입할 수 있는 기능이 없고 저희 쪽에서 나눠주는 보안 USB에 데이터를 담아 담당자가 직접 이곳까지 와야 한다. 반입된 데이터는 두 번 다시 나갈 방법이 없다”며 “많은 분이 이용 방법을 문의하고 돌아가는 사유가 이 부분”이라고 털어놨다.

한편 지난 11일 고학수 개인정보위원장은 폭발적으로 늘어나는 의료 데이터 활용 수요에 맞춰 규제 개선은 물론 공공기관도 적극적으로 데이터를 개방하도록 유인책을 마련하겠다고 밝힌 바 있다. 특히 대표적인 지원 정책으로는 비정형데이터 가명처리 기준 마련, 보건의료 합성데이터 활용 기준, 규제샌드박스, 사전적정성 검토제 등을 언급하기도 했다.

단순 개인정보 보호 모니터링과 규제뿐 아니라 데이터 활용에 초점을 맞춰 보건의료 산업 육성 지원을 강화하겠다는 목표다.