국립암센터 ISMS-P 인증, AI 의료데이터 환경에서 개인정보 보호체계 구축 사례

핵심 요약

- 국립암센터, 암 빅데이터·AI 정밀의료 환경에서 ISMS-P 인증 획득으로 개인정보 보호체계 검증 - 공공데이터 개방과 활용 확대 속에서도 균형 있는 개인정보 보호 관리체계 구축 성과 - 의료 AI 데이터 환경에서 신뢰성 있는 정보보호 체계 구현으로 공공의료기관 모범 사례 제시

주요 내용

국립암센터가 2026년 7월, 암 빅데이터 기반 정밀의료 및 AI 활용 환경에서 개인정보 보호 관리체계를 균형 있게 실현하고 있음을 인증받았다. 국립암센터 관계자는 "신뢰할 수 있는 데이터 환경을 확대해 공공데이터 개방과 활용을 선도하겠다"며 암 빅데이터 기반의 정밀의료와 AI 발전을 위한 기반을 강화하겠다는 의지를 밝혔다.

의료 분야에서 AI 활용이 급증하면서 민감정보인 의료데이터의 보안 중요성이 더욱 커지고 있다. 특히 암 환자의 유전체 정보, 진료기록, 영상데이터 등은 개인정보보호법상 민감정보이자 가명정보 처리 시에도 재식별 위험을 관리해야 하는 고위험 데이터다. 국립암센터는 이러한 데이터를 AI 학습 및 정밀의료 연구에 활용하면서도 ISMS-P 인증 기준을 충족하는 관리체계를 구축한 것으로 평가된다.

공공의료기관이 AI 기반 정밀의료를 추진하면서 개인정보 보호와 데이터 활용의 균형을 맞추는 것은 쉽지 않은 과제다. 데이터 최소수집 원칙, 목적외 이용 제한, 안전성 확보조치 등 법적 요구사항을 준수하면서도 의료 AI 개발에 필요한 충분한 데이터를 확보해야 하기 때문이다. 국립암센터는 이번 인증을 통해 개인정보 영향평가, 접근통제, 암호화, 비식별 조치 등 종합적인 보호체계를 갖췄음을 입증했다.

이번 성과는 향후 공공의료기관들이 AI 의료기술을 도입하면서도 개인정보 보호 의무를 이행하는 모델로 작용할 전망이다. 특히 2025년 AI 기본법 시행 이후 AI 시스템의 개인정보 처리에 대한 감독이 강화되는 시점에서, 공공기관이 선제적으로 보호체계를 구축한 사례로 의미가 크다.

전문가 시각

의료 AI 환경에서 ISMS-P 인증은 단순한 컴플라이언스를 넘어 데이터 신뢰성 확보의 핵심 수단이다. 암 빅데이터는 환자의 유전정보, 진단·치료이력 등 매우 민감한 건강정보를 포함하므로, AI 학습 데이터 구축 시 ①가명·익명처리 적정성 검토 ②데이터 접근권한 관리 ③학습모델 출력값의 재식별 위험 평가 ④제3자 제공 시 안전성 검증 등 다층적 통제가 필요하다. 특히 AI 모델이 학습데이터를 기억(memorization)하여 개인정보를 유출할 위험에 대비한 기술적 보호조치가 중요하다.

공공의료기관은 개인정보보호법 제58조에 따라 개인정보 영향평가 대상이며, AI 시스템 도입 시 개인정보처리방침 공개, 정보주체 권리 보장, 처리 목적 명확화 등 엄격한 법적 책임을 진다. 국립암센터 사례는 의료 AI 개발 초기 단계부터 개인정보 보호를 설계에 내재화(Privacy by Design)하고, 지속적인 모니터링과 개선 체계를 운영하는 것이 실무적으로 가능함을 보여준다. 향후 민간 의료기관과 AI 헬스케어 스타트업도 이러한 통합 관리체계 구축을 벤치마킹할 필요가 있다.

CPPG·ISMS-P 연계 포인트

ISMS-P 인증심사 기준: 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증은 정보통신망법과 개인정보보호법에 따라 정보보호 관리과정(104개 항목)과 개인정보 처리단계별 요구사항(22개 항목 또는 64개 항목)을 통합 심사한다. 의료기관은 민감정보 처리 특성상 암호화, 접근통제, 안전성 평가 등 강화된 보호조치 적용이 필수다.

개인정보 영향평가 제도: 공공기관이 5만명 이상의 민감정보 또는 100만명 이상의 개인정보를 처리하는 정보시스템 구축·운영 시 개인정보보호법 제33조 및 시행령 제35조에 따라 개인정보 영향평가를 의무적으로 수행해야 한다. AI 의료시스템은 데이터 수집·이용·제공 전 과정에서 침해요인 분석과 위험도 평가가 요구된다.