사망자 의료정보 연구 활용 법제화 추진… 개인정보보호법 '과학적 연구' 범위 쟁점

핵심 요약

- 개인정보보호법상 '과학적 연구'에 기술 개발·실증·민간 투자 연구 포함, 신약 개발 및 의료AI 성능 개선도 연구로 인정 가능 - 사망자 의료 데이터의 연구 활용을 위한 법제화 추진, 치료법 개발 등 공익적 목적 달성 기대 - 과학적 연구 범위 일탈 방지를 위한 데이터 접근 권한 통제 등 안전장치 마련 필요

주요 내용

2026년 현재 정부는 사망자의 의료 정보를 연구 목적으로 활용할 수 있도록 하는 법제화 작업을 본격 추진하고 있다. 현행 개인정보보호법 제28조의2는 '과학적 연구' 목적의 개인정보 처리에 대해 특례를 인정하고 있으며, 이 범위에는 기술 개발과 실증, 민간 기업의 투자 연구 등이 포함된다. 이에 따라 신약 개발이나 의료 인공지능(AI) 성능 개선 연구도 과학적 연구로 인정받을 수 있는 법적 근거가 마련되어 있다.

사망자 의료 데이터는 질병의 진행 과정, 치료 반응, 사망 원인 등 귀중한 임상 정보를 담고 있어 희귀질환 연구, 신약 효능 검증, AI 진단 모델 학습 등에 활용 가치가 높다. 특히 장기간 추적 관찰이 필요한 만성질환이나 암 연구에서 사망자 데이터는 질병의 전체 경과를 파악할 수 있는 유일한 자료원이 되기도 한다. 이번 법제화는 이러한 데이터를 체계적으로 활용해 난치병 치료법 개발과 의료 기술 혁신을 가속화하려는 목적을 갖고 있다.

다만 사망자 정보라 하더라도 무분별한 이용은 유족의 정보자기결정권 침해와 사회적 신뢰 훼손으로 이어질 수 있다는 우려가 제기된다. 이에 정부는 과학적 연구의 범위를 벗어난 상업적 이용이나 목적 외 활용을 차단하기 위한 안전장치 마련에 주력하고 있다. 데이터 접근 권한을 연구자 자격, 연구 목적, 보안 수준 등에 따라 차등 부여하고, 비식별 조치 수준을 강화하며, 연구 종료 후 데이터 파기 절차를 명확히 하는 방안 등이 검토되고 있다.

개인정보보호위원회와 보건복지부는 2026년 하반기 중 관련 법령 개정안을 마련하고, 의료계·시민단체·개인정보보호 전문가 등이 참여하는 공청회를 통해 사회적 합의를 도출한다는 계획이다. 특히 사망자 정보의 법적 지위, 유족 동의 요건, 연구기관 책임성 확보 방안 등이 핵심 쟁점으로 다뤄질 전망이다.

전문가 시각

ISMS-P 심사 현장에서 의료기관의 연구 데이터 관리 실태를 점검해 보면, '과학적 연구' 목적이라는 이유로 개인정보 처리 근거와 안전조치가 느슨해지는 사례를 종종 발견한다. 사망자 데이터 활용 법제화가 추진되는 지금, 의료기관과 연구기관은 연구 목적의 정당성만큼이나 데이터 처리 전 과정의 투명성과 책임성 확보에 집중해야 한다. 연구계획서에 명시된 범위 내에서만 데이터를 활용하고, 접근 권한은 최소화 원칙에 따라 부여하며, 모든 데이터 접근 이력을 로깅하여 사후 검증이 가능하도록 해야 한다.

특히 의료AI 개발 과정에서 사망자 데이터를 학습 데이터로 활용할 경우, 개인 식별 가능성을 최소화하는 비식별 조치와 함께 AI 모델 내부에 민감정보가 기억되는 현상(model memorization)을 점검하는 기술적 검증이 필수적이다. 개인정보 영향평가(PIA) 수행 시 사망자 정보의 특수성—법적 보호 수준, 유족 권리, 사회적 민감도 등—을 반영한 위험 분석을 실시하고, 연구윤리위원회(IRB) 심의를 통해 윤리적 타당성도 확보해야 한다. 연구 종료 후에는 데이터 파기 증명과 함께 연구 결과의 공개 범위를 신중히 결정하여, 데이터 주체의 존엄성이 손상되지 않도록 유의해야 한다.

CPPG·ISMS-P 연계 포인트

과학적 연구 목적 처리 특례 (개인정보보호법 제28조의2)
통계작성, 과학적 연구, 공익적 기록보존 목적으로 개인정보를 처리할 경우 정보주체 동의 없이 목적 외 이용·제공이 가능하나, 가명처리 등 안전조치와 당초 수집 목적과의 관련성, 개인정보 처리 맥락, 정보주체 이익 침해 가능성 등을 종합 고려해야 한다. 사망자 정보는 원칙적으로 개인정보보호법 적용 대상이 아니나, 유족의 권리와 사회적 윤리를 고려한 처리 기준 수립이 요구된다.

개인정보 영향평가(PIA) 수행 의무 (개인정보보호법 제33조)
고유식별정보·민감정보를 처리하는 의료기관과 연구기관은 개인정보파일 운용으로 인한 위험 요인 분석 및 개선 방안 도출을 위해 개인정보 영향평가를 수행해야 한다. 사망자 의료 데이터 연구 활용 시에는 비식별 조치 적정성, 접근 통제 수준, 제3자 제공 절차, 연구 종료 후 파기 계획 등을 평가 항목에 포함하여 체계적으로 점검해야 한다.