관련 규정
개인정보 보호법 제23조는 건강정보 등 민감정보의 처리 제한과 예외, 안전성 확보를 다룹니다. 관련 동의 또는 법령 근거 등 해당 요건을 확인합니다.
ICH E6(R3)는 시험대상자 비밀 보호와 자료 관리·시스템 책임을 다룹니다. 국제 가이드라인 준수만으로 국내 개인정보 처리 요건이 모두 충족되지는 않습니다.
업무를 시작하기 전에 알아둘 점
임상시험 개인정보 관리는 동의서에 문구를 넣는 것보다 수집·이용·제공·위탁·이전·보관·파기의 실제 흐름을 통제하는 일입니다. 시험대상자 코드를 붙였다는 사실만으로 익명정보가 되지는 않습니다. 재식별 가능성과 연결키의 보유·접근을 고려하고 업무 목적에 필요한 최소 자료만 적절한 권한으로 사용합니다.
현장에서 쓰는 말
| 용어 | 뜻 | 언제 쓰나 |
|---|---|---|
| 가명처리 | 추가 정보 없이 식별 못 하게 처리 | 시험대상자 번호로 관리 |
| 식별번호(Subject ID) | 시험대상자 번호 | 이름 대신 CRF에 사용 |
| 민감정보 | 건강 정보 등 | 처리에 별도 동의·근거 필요 |
| 국외 이전 | 해외 의뢰자로 자료 전송 | 동의서에 이전 사항 안내 |
| 접근 권한 | 시스템 계정 관리 | 퇴사·역할 변경 시 즉시 회수 |
실무에서는 이렇게 나누어 운영해요
같은 업무라도 회사와 시험 규모에 따라 운영 방식이 갈려요. 많이 쓰는 방식을 비교하면 이렇습니다.
| 운영 방식 | 구체적인 모습 | 장점 | 주의할 점 |
|---|---|---|---|
| 기관 보유·코드 전달 | 식별키는 기관에 두고 코드 자료를 전달합니다. | 중앙의 직접 식별정보 노출을 줄입니다. | 코드 자료도 재식별 위험과 적용 요건을 검토해야 합니다. |
| 허용된 직접 열람 | 승인·동의·계약 범위에서 필요한 기록을 열람합니다. | 자료 확인 목적을 달성하기 좋습니다. | 불필요한 복사·전송과 접근 범위 확대를 막아야 합니다. |
| 통제된 자료 환경 | 권한·로그·반출 검토를 갖춘 환경을 사용합니다. | 접근과 자료 이동을 통제하기 좋습니다. | 분석 편의만으로 식별정보를 추가 반입하지 않아야 합니다. |
목적과 법적 근거를 먼저 확인해요
개인정보 보호법 제23조는 건강정보 등을 민감정보로 다룹니다. 수집·이용, 제3자 제공, 위탁, 국외 이전의 적용 요건은 각각 확인해야 합니다.
번호로 바꿨다고 자동으로 익명정보가 되진 않아요
시험대상자 코드와 재식별 가능성을 고려하고 역할별 접근과 보안·보존·파기 절차를 정합니다. 직접 식별자를 불필요하게 쿼리나 외부 파일에 추가하지 않습니다.
자료 흐름을 따라 처리 관계를 확인합니다
기관의 원자료, 의뢰자·CRO로 전달되는 코드화 데이터, 중앙 검사·영상·설문·안전성 자료의 경로를 그려봅니다. 어떤 정보가 누구에게 어떤 목적으로 넘어가는지, 위탁·제3자 제공·국외 이전 등 검토할 관계를 구분합니다. 회사 이름이나 서버 위치 하나만으로 처리 관계를 확정하지 않습니다.
코드화와 익명화를 혼동하지 않습니다
직접 이름을 지웠더라도 코드·연결키·다른 자료와의 결합으로 개인을 알아볼 수 있는지 고려해야 합니다. 안전성 서술·진료 기록·영상·파일명에도 식별 단서가 남을 수 있습니다. 분석이나 대조에 필요하지 않은 직접 식별자를 메일·쿼리·공유 폴더로 확대하지 않습니다.
처리 권한과 자료 보존을 실제 운영에 반영합니다
동의 설명과 계약·자료 흐름이 맞는지, 역할에 필요한 최소 접근인지, 담당 변경 시 접근 회수가 되는지 확인합니다. 보존·철회·정정·파기 요청은 적용 근거와 의무를 함께 검토하고 무조건 삭제 또는 무조건 유지로 단정하지 않습니다. 실제 자료의 위치와 복제본을 알아야 후속 대응도 가능합니다.
실제 작업은 이런 순서로 진행해요
- 자료 흐름도에는 무엇을 누가 어떤 목적으로 어디에 보내고 보관하는지 표시합니다. 기관·의뢰자·벤더의 법적 역할을 단순히 계약 명칭으로 정하지 않고 실제 처리 관계에 맞춰 검토합니다.
- 양식·메일·회의 화면·첨부 문서에서 직접 식별정보가 유출되기 쉽습니다. 자료 전송 전 불필요한 식별 부분을 적절히 가리고 필요한 안전한 경로와 접근 제한을 사용합니다.
- 종료 시 보관 의무와 이용 목적, 접근 권한·백업·파기를 연결합니다. 개인 기기에 남은 사본과 계정 회수, 벤더의 반환·삭제 증거까지 포함해야 실제 처리가 끝납니다.
| 담당 | 시점 | 수행 내용 | 전달·협업 | 산출물·기록 |
|---|---|---|---|---|
| 기관·의뢰자·보호 담당 | 설계 시 | 목적·정보·처리 관계와 법적 근거 확인 | 계약·운영팀 | 자료 흐름·검토 기록 |
| 자료 책임자 | 수집·전달 전 | 최소 항목·식별·접근·전달 경로 정의 | 사용자·벤더 | 사양·권한 |
| 기관·기능팀 | 운영 중 | 수집·공유·사용과 보안 이슈를 확인 | 책임자 | 이력·조치 |
| 담당 책임자 | 요청·사고 인지 시 | 사실·범위·의무와 영향 평가 | 관련 처리 주체 | 대응 결정·기록 |
| 보관·운영 책임자 | 종료·변경 시 | 자료·복제본·접근·보존 근거 관리 | 이관·보관 대상 | 인계·처분 기록 |
회사·시험마다 달라지는 부분
위탁·제공·이전
계약상의 명칭만으로 법적 관계를 확정하지 않습니다. 실제 결정·처리·접근 구조를 확인하고 각 관계에 필요한 내용이 문서·동의·통제에 반영되었는지 전문 검토를 거칩니다.
자료 종류
직접 식별 가능 원자료와 코드화한 임상 DB, 영상·유전정보·안전성 서술은 위험과 필요한 통제가 다를 수 있습니다. 동일한 익명 처리 한 번으로 모든 자료가 안전하다고 보지 않습니다.
이런 상황이라면 어떻게 진행할까요?
가상의 시험에서 기관이 질의 답변에 진료 기록 전체를 첨부하려 합니다. CRA는 필요한 사실이 무엇인지 기관과 정리하고 허용된 열람·전송 범위를 확인합니다. 불필요한 식별정보를 포함하지 않는 방식으로 자료를 준비하고 지정 경로로 전달합니다. 수신팀은 접근을 제한하고 보관 목적과 위치를 기록합니다. 편의를 위해 전체 자료를 여러 메일 수신자에게 보내지 않는 상황입니다.
공유 파일을 보내기 전
파일 본문뿐 아니라 이름·속성·주석·첨부·숨긴 열과 자유서술에 식별 단서가 남는지 살펴봅니다. 필요한 정보만 전달하고 승인된 경로·권한·수신 대상을 확인합니다. 암호를 걸었다는 사실만으로 적법한 처리 근거와 수신 권한의 검토를 대신할 수는 없습니다.
권한 변경의 실제 확인
담당자가 바뀌면 새 계정의 승인·교육과 이전 계정의 접근 회수를 연결합니다. 메일·공유 폴더·벤더 시스템·출력본 등 자료가 남는 위치가 다를 수 있으므로 실제 범위를 확인합니다. 종료 시 자료의 보존 근거와 필요 접근을 유지하면서 불필요한 권한·사본이 확산되지 않게 관리합니다.
국내 임상시험 자료 보존의 기산점
| 대상 | 숫자와 기산점 | 적용 조건 |
|---|---|---|
| 제조판매·수입 품목허가 목적 시험 | 품목허가일부터 3년간 | 변경허가 포함. 기관 종료 방문일을 기산점으로 사용하지 않음 |
| 그 외 시험 | 시험 완료일부터 3년간 | 목적과 완료 정의를 확인 |
의뢰자·실시기관·검체분석기관의 장에게 적용되는 조항입니다. 다른 법령·국가·계약·분쟁 보존 등 추가 의무가 있으면 별도 검토합니다. 이 기간만 경과했다고 일괄 폐기할 수 있다는 뜻은 아닙니다.
실무 체크리스트
- 목적·수집 항목·처리 주체·전달 경로를 설명할 수 있는가
- 건강정보·직접 식별자·재식별 가능성을 구분했는가
- 처리 관계와 필요한 근거·동의·계약이 맞는가
- 역할별 최소 접근과 변경·회수를 관리하는가
- 파일·서술·영상에 불필요한 식별정보가 없는가
- 보존·권리 요청·사고 대응의 책임과 절차가 있는가
자주 하는 실수
- 시험대상자 코드만 쓰면 개인정보가 아니라고 보는 것
- SOP가 있다는 이유로 처리 근거 검토를 생략하는 것
- 기관 설명 없이 원자료 전체를 외부로 전달하는 것
- 모든 권리 요청을 자동 삭제 버튼으로 처리하는 것
실무에서 자주 묻는 질문
시험대상자 코드가 있으면 개인정보가 아닌가요?
연결 가능한 정보와 재식별 가능성에 따라 개인정보일 수 있습니다. 익명·가명·코드화라는 표현을 혼용하지 않고 실제 자료와 처리 구조를 검토합니다.
동의하면 무엇이든 수집해도 되나요?
목적·필요성·최소 수집과 별도의 적용 요건을 함께 봐야 합니다. 동의 문구를 넓게 썼다는 이유로 무제한 처리할 수 있다고 보지 않습니다.
시험 종료 뒤 모두 삭제하나요?
적용되는 보존 의무와 목적·계약을 검토해야 합니다. 보존해야 하는 자료와 불필요한 사본을 나누고 통제된 접근·파기 기록을 유지합니다.
다음 담당자에게 넘길 것
인계 자료에는 개인 자료 자체보다 처리 범위·위치·권한·책임과 미결 요청을 우선 정리합니다. 계약 종료나 시스템 이전에서도 필요한 보호와 보존이 이어지는지 확인하고 접근을 넘길 때는 승인된 계정 절차를 사용합니다.