De-identification

De-identification은 DICOM 데이터에 포함되어 있는 많은 정보들을 삭제 혹은 변경하여 환자, 의사, 병원 등의 정보를 식별하지 못하게 하는 것입니다.

 

비식별화가 필요한 이유는, 예를 들어 미국의 경우는 HIPAA라는 법안을 근거로 환자의 데이터를 환자의 동의 없이 수정, 삭제 또는 임의로 사용을 하지 못하도록 제한하고 있습니다. 이러한 법안의 근거는 모든 환자의 의료 정보 데이터의 소유자는 병원이 아니라 환자 본인이라는 인식에서 비롯됩니다. 유럽의 GDPR 과 중국의 네트워크 안전법도 크게 다르지는 않습니다.

 

DICOM표준도 대표적으로 임상 시험에서 획득한 환자 정보를 비식별화 하는 방법에 대한 profile을 제시하고 있습니다.

https://www.dicomstandard.org/News-dir/ftsup/docs/sups/sup142.pdf

 

이 문서의 “Application Level Confidentiality Profile Attributes” 테이블에는 De-identification과 관련 있는 Attributes를 보여주고 있고 또 그것들이 얼마나 많이 있는지 알 수 있습니다.

 

이 테이블에는 “Basic profile” column이 있습니다.

어떤 분들이 간혹 질문을 합니다. De-identification을 하려면 만족해야 하는 기준과 방법이 무엇인가요? 라고 말이죠.

언뜻 보기에는 Basic profile에 Basic이라는 단어 때문에 최소한 이것만 만족하면 되지 않나요? 하고 생각하는 분들도 있습니다. 당연히 Basic profile 이 제시하는 대로 Attributes를 삭제 또는 수정하면 De-identification이 됩니다.

 

그런데 말이죠 과연 De-identification을 하는 이유가 무엇인지를 우선 고민해 보아야 합니다.

만약 De-identification된 DICOM 영상의 용도가 단순히 이미지를 보기만 하기 위해서라면 basic profile이 제안하는 대로 대부분의 Attributes를 삭제 혹은 수정하면 됩니다.

그런데 어떤 경우는 DICOM 영상 이미지를 이용해서 측정, 계산 및 다양한 조작을 해보고 임상적 의미를 찾기 위해서 De-identification을 하는데요. 이렇게 임상적 의미를 찾기 위한 경우에는 대부분 환자의 성별, 키, 몸무게를 비롯한 기본 정보가 필요하게 되는데, Basic profile 은 이러한 모든 정보를 삭제하게 되어 있기 때문에 적절하지 않게 됩니다.

 

즉, Basic Profile은 De-identification을 충족하지만 필요한 거의 대부분의 데이터를 삭제, 수정하기 때문에 무조건 이 profile대로 구현하는 것은 배보다 배꼽이 더 큰 경우가 될 수 있습니다.

 

그러면 도대체 어떻게 하라는 말인 거죠?

이렇게만 하면 모두 만족한다? 라고 얘기할 수 있는 profile은 없습니다. 당연히 환자의 식별이 가능한 PatientID, Name등의 Attributes는 삭제해야 하지만 나머지 Attributes들은 전문가의 review 후 목적에 따라 삭제 혹은 수정이 되도록 구현해야 하며 해당 Application이 지원하는 De-identification의 자세한 방법을 Application level Confidentiality profile 및 Conformance Statement로 작성해 두고 De-identification 기능에 대한 근거를 요청하는 경우에 해당 문서를 제출하는 방식이 주로 사용됩니다.

 

De-identification은 환자의 정보를 삭제해야 하는 경우도 있지만 예를 들어 특정 DICOM 데이터를 다른 곳으로 이동할 때에 도중에 탈취당하는 경우를 대비하여, DICOM 데이터를 식별하지 못하게 할 수도 있을 것입니다.

이런 경우는 DICOM attributes의 값들을 암호화하여 Encrypted Attributes Sequence (0400,0500) Attribute에 넣어두었다가 필요한 경우에 복호화 하는 방법이 있습니다.