안녕하세요, 유유테이진 건강지킴이입니다.

CT·MRI·X선 같은 의료영상에 AI 분석을 도입할 때 보안 검토는 단순히 파일을 외부 서버에 업로드할 수 있는지 판단하는 절차가 아닙니다. 의료영상에는 화면에서 바로 보이지 않는 DICOM 헤더의 메타데이터가 포함될 수 있으며, 영상 자체와 연결된 정보의 조합도 검토 대상이 됩니다. 특히 클라우드 연동, 제조사 원격 분석, 해외 인프라 사용이 예정돼 있다면 비식별화 방식과 계약상 책임을 함께 확인해야 합니다.

TL;DR

• DICOM 비식별화는 일부 헤더 항목의 삭제 여부만 확인하는 업무가 아닙니다. 영상 자체와 메타데이터를 함께 고려해 재식별 가능성을 평가해야 합니다.
• 보건복지부는 의료영상정보를 단일한 ‘영상정보’로 보고, 연구 목적 등을 고려해 개인 식별성을 판단하는 가명처리 기준을 안내하고 있습니다.
• 외부 AI 기업이 업로드·변환·분석·보관을 수행한다면 개인정보 처리위탁 여부를 검토하고, 계약서에 목적 외 처리 금지와 보호조치를 구체적으로 담아야 합니다.
• 해외 클라우드 또는 해외 AI 사업자에게 정보가 이전되는 구조라면 이전 항목, 국가, 보유 기간, 거부 방법, 사고 대응 책임을 별도로 확인해야 합니다.

먼저 구분할 일: “헤더 삭제”와 “재식별 위험 평가”

의료영상 AI 도입 검토에서는 DICOM 헤더의 일부 식별 항목을 삭제하는 작업에 집중하기 쉽습니다. 그러나 보건복지부의 「보건의료데이터 활용 가이드라인」 관련 안내는 의료영상정보의 가명처리에서 개인 식별자나 신체 부위를 일률적으로 삭제하기보다, 연구 목적 달성 가능성 등을 고려해 개인 식별 가능성을 판단하도록 설명합니다.

따라서 병원은 “어떤 필드가 제거되는가”만 확인하기보다 다음 사항을 함께 검토할 필요가 있습니다. 원본 영상과 변환본 중 무엇이 AI 사업자에게 전달되는지, 영상 내 정보와 DICOM 헤더 메타데이터가 어떤 경로로 처리되는지, 여러 정보가 결합됐을 때 재식별 가능성을 누가 어떤 기준으로 검토했는지입니다.

이는 단순한 기술 설정 확인이 아니라 데이터 흐름 전체의 위험을 평가하는 과정입니다.

도입 전 확인할 DICOM 비식별화 질문

제조사 또는 솔루션 제공사에 다음 사항을 문서로 요청해 두면 실무에 도움이 됩니다.

1. 처리 범위는 어디까지인가?
   영상 업로드, 형식 변환, AI 분석, 결과 반환, 로그 생성, 보관 등 어느 단계에서 개인정보 또는 가명처리된 의료영상이 처리되는지 확인합니다.

2. 비식별화 설계는 무엇인가?
   DICOM 헤더 처리 방식뿐 아니라 영상 자체와 메타데이터를 포함한 재식별 가능성 평가 문서가 있는지 확인합니다. 분석 목적에 비해 과도한 정보가 전달되지 않는지도 검토 대상입니다.

3. 원본과 분석용 데이터는 각각 어디에 남는가?
   병원 내부, 사업자 시스템, 클라우드 등 저장 위치와 보관·삭제 절차를 구분해 확인합니다. “분석 후 삭제”라는 설명만으로는 충분하지 않을 수 있으므로 계약서와 운영 문서의 내용을 함께 대조해야 합니다.

4. 내부 심의 절차는 갖췄는가?
   보건복지부는 의료영상정보 가명처리 방법 등의 적정성을 데이터심의위원회(DRB)의 판단을 통해 결정할 수 있다고 안내합니다. 개발·검증·운영을 위해 외부 활용이나 제공이 필요한 경우, 병원 내부 절차 또는 DRB 검토 적용 여부를 확인하는 것이 바람직합니다.

처리위탁 계약에서 빠지면 안 되는 항목

AI 솔루션 기업이 병원을 대신해 영상 업로드·변환·분석·보관 같은 개인정보 처리업무를 수행한다면, 처리위탁 구조인지 검토해야 합니다. 개인정보 보호법 제26조에 따르면 위탁계약에는 위탁업무 목적 외 처리 금지와 기술적·관리적 보호조치가 포함돼야 합니다. 또한 위탁업무의 내용과 수탁자는 정보주체가 쉽게 확인할 수 있도록 공개해야 합니다.

계약 검토 시에는 “AI 분석 제공”처럼 포괄적으로 적힌 문구보다 실제 처리 단계를 구체적으로 확인하는 것이 중요합니다. 수탁사가 데이터를 목적 외로 사용하지 않는지, 보안조치의 책임 주체가 누구인지, 위탁업무와 수탁자 공개가 개인정보 처리방침에 반영되는지를 함께 살펴야 합니다.

도입 이후 기능, 저장 위치 또는 분석 방식이 바뀌는 경우에는 계약 내용과 공개 사항도 다시 검토할 필요가 있습니다.

해외 서버를 사용한다면 국외 이전을 별도로 점검하세요

AI 분석 서버나 클라우드가 해외에 있다면, 국내 병원 시스템에서 접속한다는 사실만으로 국내 처리라고 단정하기 어렵습니다. 개인정보 보호법 제28조의8은 정보주체 동의를 근거로 개인정보를 국외 이전하는 경우, 이전되는 개인정보 항목, 이전 국가·시기·방법, 이전받는 자의 명칭과 연락처, 이용 목적과 보유·이용 기간, 이전 거부 방법·절차·효과를 미리 알리도록 규정하고 있습니다.

병원은 DICOM 영상 또는 이에 연결된 환자정보가 국외 인프라로 전달되는지 확인하고, 해당 구조라면 법정 고지 항목이 마련됐는지 점검해야 합니다. 또한 개인정보 보호법 시행령 제29조의10은 국외 이전 시 안전성 확보조치, 침해 고충처리 및 분쟁 해결 조치 등 정보주체 보호조치를 이전받는 자와 미리 협의하고 계약 내용 등에 반영하도록 규정합니다.

사고 발생 시 연락 창구와 책임 분담이 계약서에 명확히 기재돼 있는지 확인해야 하는 이유입니다.

운영 단계의 보안 점검표

개인정보보호위원회가 게시한 「개인정보의 안전성 확보조치 기준 안내서」는 최신 개인정보 처리 환경을 반영한 자료입니다. 병원은 이를 참고해 접근권한, 저장·전송 환경, 수탁사 관리 기준을 정할 수 있습니다.

운영 전에는 다음 항목을 담당 부서별로 확인해 보세요.

• 누가 영상 업로드와 분석 결과 조회 권한을 갖는가
• 권한 부여·변경·회수 절차는 문서화돼 있는가
• 병원과 외부 시스템 사이의 저장·전송 환경은 어떻게 관리되는가
• 수탁사의 보호조치 이행 여부를 병원이 어떤 방식으로 확인하는가
• 보안사고나 환자 문의가 발생했을 때 병원과 사업자의 대응 역할은 무엇인가
• 계약 종료 또는 서비스 중단 시 데이터 반환·삭제 확인 절차는 있는가

자주 묻는 질문

Q. DICOM 헤더에서 식별정보를 지우면 외부 AI 분석에 바로 사용해도 되나요?

일부 헤더 항목 삭제만으로 적정성을 단정하기는 어렵습니다. 의료영상 자체와 메타데이터를 포함한 처리 설계에서 개인 식별 가능성과 활용 목적을 함께 평가해야 합니다. 외부 활용 전에는 병원의 내부 심의 절차 또는 DRB 검토 적용 여부도 확인하는 것이 좋습니다.

Q. 제조사가 클라우드를 사용한다고만 설명하면 국외 이전 여부를 알 수 있나요?

알 수 없습니다. 실제 저장·분석 서버의 위치와 개인정보가 이전되는 경로를 별도로 확인해야 합니다. 국외 이전이 있다면 법에서 정한 사전 고지 항목과 보호조치의 계약 반영 여부를 검토해야 합니다.

Q. AI 분석 결과가 진료에 쓰이면 개인정보 검토보다 성능 검토가 우선인가요?

둘 중 하나로 대체할 수 없습니다. 개인정보 처리 구조와 보안은 도입의 기본 요건이며, AI 결과의 사용 목적, 해석 책임, 오류 대응 체계도 별도로 검토해야 합니다. AI 분석 결과의 실제 진료 적용 범위는 전문의와 병원 내 관련 부서가 함께 결정해야 합니다.

본문에 언급된 타사 의료 AI 제품·서비스는 정보 제공 목적의 사례이며, 유유테이진의 판매·임대·상담 대상이 아닙니다. 제품·도입 문의는 해당 제조사·공식 판매처 또는 의료기관에 확인해 주세요.