HIPAA와 연구 개인정보 보호 (HIPAA Research Privacy Rule)
쉽게 풀면
HIPAA는 미국의 의료정보 보호법으로, 병원이나 연구자가 환자의 건강정보를 다룰 때 지켜야 할 규칙을 정하고 있어요. 연구에 건강정보를 사용하려면 원칙적으로 환자의 별도 승인이 필요하지만, 위험이 낮고 개인정보 보호 계획이 충분한 경우에는 IRB나 프라이버시위원회가 이 요건을 면제해줄 수 있어요. 식별정보를 제거한 자료라면 HIPAA의 규제를 받지 않는 경우도 있어요. 미국 밖의 연구자도 미국 기관과 공동연구를 하거나 미국 자료를 다룰 때 이 규정을 알아야 할 때가 많아요.
왜 중요한가
의료 빅데이터와 전자건강기록(EHR)을 활용한 연구가 늘어나면서, 환자 개인정보를 어떻게 보호하며 연구에 활용할 것인가는 임상연구·역학·보건정보학 전반에서 핵심적인 방법론적 쟁점이 되었습니다. HIPAA 연구 프라이버시 규정은 미국 내 임상연구뿐 아니라 국제 공동연구에서도 데이터 공유와 접근 절차를 결정하는 기준으로 작용하기 때문에, 논문의 방법론 섹션에서 자료 수집·이용 절차의 정당성을 밝히는 근거로 자주 인용됩니다. 또한 이 규정은 IRB 심의 요건과 맞물려 있어 연구윤리 준수 여부를 판단하는 실무적 기준으로도 기능합니다.
논문에서는 이렇게 쓰입니다
미국 기반 또는 미국 데이터를 활용한 연구의 개인정보 보호 절차를 설명할 때 쓰인다.
역학·보건의료 연구에서 대규모 의무기록 기반 후향적 연구를 수행할 때 승인 절차를 설명하는 문장입니다.
보건정보학·다기관 공동연구에서 기관 간 데이터를 공유할 때의 절차를 설명하는 표현입니다.
조금 더 깊게 보면
HIPAA는 연구 목적의 건강정보 이용을 크게 세 가지 경로로 나눕니다. 개인을 식별할 수 있는 18가지 항목(이름, 주소, 날짜 정보 등)을 모두 제거한 '비식별화된 자료'는 아예 규정 적용 대상에서 벗어나고, 일부 식별정보만 남긴 '제한적 데이터셋'은 데이터이용계약 체결을 조건으로 사용할 수 있으며, 식별정보가 포함된 완전한 자료는 환자의 승인이나 프라이버시위원회의 승인 면제가 필요합니다. 논문을 읽을 때는 저자들이 이 세 경로 중 어느 것을 택했는지에 따라 연구에서 다룰 수 있는 변수의 상세도와 재식별 위험 수준이 달라진다는 점을 함께 살펴보는 것이 도움이 됩니다.
주의할 점
HIPAA는 미국 법률이므로 다른 국가에서는 자료의 비식별화나 자국의 개인정보보호법이 적용된다.