earticle

영어

Article 28(2) of the Personal Information Protection Act of 2020 stipulates that “a personal information processor may process pseudonymised information without the consent of the data subject for statistical compilation, scientific research, public record keeping, etc.”. On the other hand, the Act on Bioethics and Safety (hereinafter referred to as the Bioethics Act) stipulates that research on human subjects or research on human derivatives must be conducted. In addition, the Healthcare Data Utilisation Guidelines (hereinafter referred to as the Guidelines) have been established to apply the pseudonymisation exception of the Personal Information Protection Act to the healthcare sector. This study analyses the methods of interpretation and the limitations of each law. This study is limited in that it is not an interpretation of the entire legislation, but an interpretation of the use of medical information for the purposes of the study, and it is based on a literal interpretation. However, as there are ongoing discussions in the areas of legislation, interpretation and application, the following points need to be considered in future legislation. First, it is necessary to clarify the scope of human subjects research and the scope of scientific research. The current definition of human subjects research includes information that can directly or indirectly identify an individual, which could be interpreted to include pseudonymised information in research that uses indirectly identifiable information. This is because, if we stick to the literal interpretation, pseudonymised data can still be re-identified by combining it with other information (despite the penalties for re-identification). While human subjects research already requires IRB review after consent is obtained to provide information for human subjects research purposes, pseudonymisation for scientific research purposes is different because it is done without consent. The IRB or Data Review Board (DRB) must consider the appropriateness of the anonymisation method and procedure in light of the purpose of the research. Second, in the long term, it is necessary to review the classification and use of information according to the level of risk. The conflicting terminology in the legislative history of the Bioethics Act and the Personal Data Protection Act may lead to various confusions in practice. In particular, while there is no significant technical difference between anonymisation and pseudonymisation in terms of identifiability, there is a difference in the consent and use procedures between anonymisation under the Bioethics Act and pseudonymisation under the Personal Information Protection Act. Therefore, in the long run, medical information should be classified according to the degree of risk, such as identifiability, and simplified for low-risk information, but improved by clarifying procedures for high-risk information. In the same vein, the concepts of anonymisation and pseudonymisation need to be used in a more detailed way within the process, according to the level of risk and in line with the purpose of the research.

한국어

2020년 ｢개인정보 보호법｣ 제28조의2에서 “개인정보처리자는 통계작성, 과학적 연 구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다”고 규정하였다. 한편, ｢생명윤리 및 안전에 관한 법률｣(이하 ｢생명윤리법｣이라 한다.)은 인 간대상 연구 또는 인체유래물 연구를 수행하도록 규정하고 있다. 또한 개인정보 보호법 의 가명처리 특례를 보건의료 분야에서 적용하기 위한 ｢보건의료데이터 활용 가이드라 인｣(이하 가이드라인 이라 한다.)이 제정되어 활용되고 있다. 본 연구에서는 각 법률에 대한 해석 방법과 한계에 대하여 분석해 보았다. 본 연구는 전체 입법에 대한 해석이 아니 라 연구목적에 따른 의료정보의 활용 방법에 대한 해석이며, 문리적 해석을 전제하였다 는 점에서 한계가 있다. 그러나 입법과 법해석, 적용 영역에서 지속적인 논의가 이루어진 다는 점을 고려할 때, 추후 입법에서는 다음과 같은 점을 고려할 필요가 있다. 첫째, 인간대상 연구의 범위와 과학적 연구의 범위를 구체화할 필요가 있다. 현행 인간 대상 연구의 정의 중 개인을 식별할 수 있는 정보는 개인을 직간접적으로 식별할 수 있는 정보를 포함하고 있으므로, 간접적으로 개인을 식별할 수 있는 정보를 이용하는 연구에 가명정보가 포함된다고 해석될 수 있다. 문언해석에 충실할 경우, 가명정보는 (재식별할 경우 처벌규정이 있음에도 불구하고) 다른 정보를 결합하여 재식별할 가능성이 남아 있 기 때문이다. 인간대상 연구의 경우 이미 인간대상 연구 목적으로 정보를 제공하는 것에 대한 동의를 획득한 후 IRB 심의를 거쳐야 하지만, 가명처리 후 과학적 연구 목적으로 정보를 제공하는 경우 동의를 받지 않고 제공하게 되므로 그 절차에서 차이가 있다. 기관 생명윤리심의위원회(IRB) 또는 데이터심의위원회(DRB)에서 연구의 목적을 고려하여 익명조치의 방법과 활용절차의 타당성을 심의할 필요가 있다. 둘째, 장기적으로 리스크 정도에 따른 정보 분류와 활용 체계의 마련을 검토할 필요가 있다. ｢생명윤리법｣과 ｢개인정보 보호법｣의 제정 연혁에서 나타난 용어의 충돌 문제는 실무에서는 여러 가지 혼란을 불러일으킬 수 있다. 특히 익명화와 가명처리의 식별가능 성 등에 관한 기술적 차이가 크지 않은 반면, ｢생명윤리법｣ 상 익명화와 ｢개인정보 보호 법｣ 상 가명처리는 동의와 활용절차에는 차이가 있다. 따라서 장기적으로 의료정보를 식별가능성 등 리스크 정도에 따라 분류하여 리스크가 낮은 정보에 대해서는 활용 절차를 간소화하되, 리스크가 높은 정보에 대해서는 절차를 명확히 하는 방식으로 개선하여 야 할 것이다. 같은 맥락에서 익명화와 가명처리의 개념도 리스크의 정도에 따라 절차 내에서 보다 세부적 연구목적에 부합되게 활용되도록 할 필요가 있다.