국제사회보장리뷰Global Social Security Review

가. 사회적 데이터연계 환경(SDLE) 소개

캐나다 통계청은 범캐나다의 사회경제적 통계 연구를 촉진하기 위해 사회적 데이터연계 환경^(SDLE) 프로그램을 개발하였다. 사회적 데이터연계 환경^(SDLE)는 대규모 통합 데이터베이스^(DB)가 아니라 데이터 연계 환경을 의미한다. 이는 기존 캐나다 통계청 조사^(survey) 관련성 증가와 행정 데이터 활용 증가의 환경적 변화와 개인정보 보호 및 데이터 보안 표준 준수, 연계 과정과 방법의 표준화된 접근 개발의 기술적 요소를 담고 있다. 사회적 데이터연계 환경^(SDLE)은 캐나다인들의 재정, 사회, 경제 관련 정보 격차를 해소할 수 있는 연구들을 가능하게 한다. 데이터 연계 방식이라 새로운 데이터 수집에 따른 비용 및 응답 부담이 없어 사회 데이터 분석에서 중요한 연구자의 욕구^(needs)를 충족시킬 수 있다. 또한, 사회적 데이터연계 환경^(SDLE)은 처리 시스템과 데이터 연계 결과를 보존하기 때문에 데이터 연계 비용을 절감할 수 있어 효율적이다.

나. 사회적 데이터연계 환경(SDLE) 프로세스

사회적 데이터연계 환경^(SDLE)의 핵심은 캐나다 통계청 데이터 파일에 있는 개인의 종단 데이터베이스^(DB)인 파생된 기록 보관소^{(DRD: Derived Record Depository)}이며, 기본적인 개인식별자만 포함하고 있다. 파생된 기록 보관소^(DRD)는 고유한 개인 목록을 생성하기 위해 개인식별자가 있는 인덱스 파일^{(source index files)}을 연결하여 만든다. 파생된 기록 보관소^(DRD) 구축에 사용되는 인덱스 파일로는 세금 정보, 아동 세제 혜택 정보, 출생 및 사망 정보, 이민자 정보 등이 있다. 파생된 기록 보관소^(DRD)에 저장된 개인식별자는 성, 이름, 생년월일, 성별, 보험 번호, 부모 이름, 결혼 여부, 주소(우편번호 포함), 전화번호, 이민 날짜, 사망 날짜 정보이다. 데이터 연계 방법은 동일한 개체를 찾는 정확매칭^{(exact matching)}과 유사한 개체를 찾는 통계적 매칭^{(statistical matching)}으로 나뉘며, 정확매칭에는 결정 연계^{(deterministic linkage)}(모든 공통 식별변수들의 값이 완전히 같을 경우에 연계하는 방법)와 확률 연계^{(probabilistic linkage)}(각 식별변수 값의 일치와 불일치에 대한 가중치를 계산하여 두 레코드의 연계를 결정하는 방법)가 있다. 사회적 데이터연계 환경^(SDLE)의 데이터 연계 방법은 결정 연계를 기본으로 하며 이름, 성별, 생년월일 및 우편번호 정보를 활용하여 확률 연계로 동일인을 추정한다. 활용되는 데이터 파일로는 캐나다 암 등록 자료^{(Canadian cancer registry)}, 온타리오 정신건강 보고 시스템^{(Ontario Mental Health Reporting System)}, 노동 및 소득 동태 조사^{(Survey of Labour and Income Dynamics)}, 전국 인구 건강 조사^{(National Population Health Survey: Household Component, Longitudinal)}, 중고등학생 정보 시스템^{(Postsecondary Student Information System)} 등 행정 자료 및 조사 데이터가 포함되어 있다. 캐나다 통계청은 데이터 세트를 안전하게 저장 및 처리하고 승인된 연구를 수행하는 데 필요한 분석 파일을 제공할 책임이 있다. 사회적 데이터연계 환경^(SDLE) 연구 프로젝트는 데이터 연계를 포함하기 때문에 데이터 연계에 관한 캐나다 통계청의 지침에 따라 통계청 고위 경영진의 연구별 승인도 필요하다. 실제 분석 환경에서는 개인정보 식별 위험을 줄이고 연계의 효율성과 품질을 향상시키기 위해 별도의 키 정보를 관리하며, 분석 데이터 파일은 개인식별자 없이 제공된다.

새창으로 보기

그림 1.

사회적 데이터연계 환경(SDLE) 프로세스

자료: Statistics Canada, Social Data Linkage Environment. (SDLE). Retrieved from https://www.statcan.gc.ca/eng/sdle/overview/ 에서 Figure 1. Social Data Linkage Environment overview diagram 발췌.

가. 인구 데이터 소개

캐나다 브리티시컬림비아주의 인구 데이터 BC^{(PopData: Population Data BC)}는 건강, 웰빙 등의 연구를 위해 만들어진 개인 단위의 비식별화된 데이터로서 교육, 데이터 연계 등을 지원하는 여러 대학 데이터 및 교육 자원이다. 인구 데이터 BC는 2009년에 만들어졌지만 1980년대에 브리티시컬럼비아주 보건부와의 협력으로 데이터 연계 체계 및 정책을 만든 ‘BC 연계된 건강 데이터 세트^{(BCLHD: BC Linked Health Data set)}’가 전신이다. 행정 데이터의 활용성을 높이고 많은 연구 요구를 충족시킬 수 있는 데이터 인프라를 구축하기 위해 1980년대 후반부터 90년대 중반까지 BC주 연계된 건강 데이터 세트^(BCLHD)는 BC주 의료서비스, BC주 암협회^{(BC Cancer)} 및 산재보험 기관인 워크세이프BC^(WorkSafeBC)의 데이터를 통합하였고, 1996년부터 연구자들이 데이터를 활용할 수 있도록 하였다. 이 서비스를 시작하기 전에는 공식적인 연계 데이터 제공 절차가 없었다. 이 초기 서비스 모델은 연구에 개인 건강 정보를 사용하는 것에 대한 허용을 포함하는 「BC 정보의 자유 및 개인정보 보호법^{(FIPPA: BC Freedom of Information and Protection of Privacy Act)}」의 선언 시기와도 일치한다. 인구 데이터^(PopData)는 정보의 자유 및 개인정보 보호법^(FIPPA) 및 BC E-Health^{(Personal Health Information Access and Protection of Privacy)} Act3에 있는 개인정보의 수집, 사용 및 공개에 관한 BC주 입법 요구 사항을 반영하였고 이에 적합한 정책과 절차를 구현하였다.

인구 데이터^(PopData)는 의료서비스, 인구 건강 및 여러 데이터를 기반으로 브리티시컬럼비아주 주민에 대한 개인 수준의 익명화된 종단 데이터를 제공한다. 이 데이터 세트는 주로 행정 데이터이지만 조사 데이터 및 지역사회, 환경을 나타내는 데이터도 포함된다. 인구 데이터^(PopData)는 개인정보의 일차적인 수집을 하지 않으며, 다른 공공기관이나 개인이 처음에 수집한 개인정보의 2차 이용이나 2차 공개에만 관여한다. 정보의 자유 및 개인정보 보호법^(FIPPA) 제33조에 따라 지정된 공공단체는 인구 데이터^(PopData)에 개인정보를 공개할 수 있다. 그리고 정보의 자유 및 개인정보 보호법^(FIPPA) 35조에 따라, 지정된 공공기관이 수집한 데이터에 대한 접근 승인 권한을 가진 인구 데이터^(PopData) 및 연구자는 연구와 통계 목적을 위해 해당 데이터를 사용할 때 개별적인 동의를 구하지 않아도 된다.

인구 데이터^(PopData) 서버의 물리적인 공간은 브리티시컬럼비아대학에 있으며, 연구자 및 데이터 관계자가 포함된 자문위원회의 지원으로 운영된다. 운영 예산은 BC주 압협회^{(BC Cancer)}, BC주 보건부^{(BC MoH)} 및 산재보험 기관인 워크세이프BC^(WorkSafeBC) 등의 데이터 제공 기관으로부터 지원받고 있다.

나. 연계 데이터

인구 데이터^(PopData)의 데이터 연계 방식은 주 및 연방 개인정보 관련 입법 정책을 따르며, 데이터 제공 기관으로부터 주로 연간 데이터를 제공받아 한번에 데이터 연계를 실시한다. 외부 데이터와의 연계를 원하는 연구자는 모든 관련 데이터 제공자들의 승인 후에 직접 식별자를 조합하여 연계할 수 있다. 인구 디렉토리^{(Population Directory)}는 인구 데이터^(PopData)가 관리하는 핵심 연결 파일로 이름, 주소, 생년월일, 기타 관련 식별 정보 등 개인정보뿐만 아니라 암호화된 식별자^{(Linkage ID)} 정보도 포함하고 있다. 인구 디렉토리는 의료서비스 계획 등록 및 프리미엄 청구 데이터^{(Medical Services Plan(MSP) Registration & Premium Billing (R&PB))}를 활용하여 구축되는데, 의료서비스 계획^(MSP)은 브리티시컬럼비아주의 건강보험 계획이고 브리티시컬럼비아주의 모든 주민은 개인건강번호^{(PHN: Personal Health Number)}의 유일한 식별번호를 발급받기 때문에 인구 데이터^(PopData)는 개인건강번호^(PHN), 성, 이름, 생년월일, 성별, 우편번호가 포함된, 거주자의 가장 큰 대표 커버리지 데이터 세트를 제공한다고 볼 수 있다.

인구 데이터^(PopData)는 결정 연계와 확률 연계 방법을 이용하여 동일한 개인의 정보를 매칭한다. 데이터 연계를 수행하는 데 사용되는 변수는 데이터 세트마다 다르며 그 변수들은 데이터의 목적에 따라 다양하다. 데이터 연계를 실시할 때는 유일한, 인구학적 식별자 변수만을 사용한다.

다. 연구 데이터 제공 프레임워크

인구 데이터^(PopData)의 데이터 제공 요건은 인구 데이터^(PopData)와 정보의 자유 및 개인정보 보호법^(FIPPA)을 준수하는 모든 데이터 관계자 파트너가 개발하고 승인한 문서인 연구 데이터 활용 프레임워크^{(RDAF: Research Data Access Framework)}에 의해 관리된다.

연구 데이터 활용 프레임워크^(RDAF)에서 데이터 요청이 승인되기 위해 충족되어야 하는 기준은 다음과 같다.

연구 데이터 활용 프레임워크^(RDAF)에 기재된 데이터 요청 승인을 위한 연구과제 요건 외에 연구자가 반드시 충족해야 하는 기준도 있다.

위 조건을 만족한 연구자만이 캐나다 안에서 인구 데이터^(PopData)의 데이터를 분석할 수 있는 자격이 주어진다.

가. 임상평가과학연구소(ICES) 소개

임상평가과학연구소^(ICES)는 온타리오주에서 헬스케어 시스템 연구를 위해 1992년에 설립된, 독립적인 비영리 연구소이다. 임상평가과학연구소^(ICES)는 온타리오주의 헬스케어 행정 데이터 자료에 대한 접근을 가능하게 하였다. 임상평가과학연구소^(ICES) 초기에는 병원 서비스 체계, 보건 정책 개발을 목적으로 하였으나, 온타리오주의 7개 물리적 사이트 네트워크를 통해 지역 기반의 건강서비스 분석, 보건 정책, 건강의 사회적 결정요인, 데이터 과학 등의 연구로 확장되었다. 임상평가과학연구소^(ICES) 데이터는 캐나다에서 가장 큰 주인 온타리오주에 거주하는 1340만 명의 정보를 포함하며 온타리오주 주민이 주 이외의 곳에서 의료서비스를 받을 때 관련 정보를 제공받는다.

나. 연계 데이터

임상평가과학연구소^(ICES) 데이터는 현재 90여 개의 서로 다른 데이터를 보유하고 있다. 온타리오 건강보험 플랜^{(OHIP: The Ontario Health Insurance Plan)}은 온타리오주 주민 대부분에게 제공되는 건강보험 시스템으로 10자리의 고유식별번호가 있는 온타리오 건강보험 플랜^(OHIP) 카드가 있다. 이 카드는 의료서비스를 받을 때 활용되며 사망한 경우나 이민자인 경우 폐기된다.

RPDB^{(Registered Persons Database)}에는 온타리오 건강보험 플랜^(OHIP)을 발급받은 모든 개인의 정보가 포함되어 있다. 원자료는 온타리오 보건장기요양부^{(MOHLTC: Ontario Ministry of Health and Long-Term Care)}의 특정 데이터 공유 계약에 의해 임상평가과학연구소^(ICES)에 제공된다. RPDB에는 개별 건강 카드 번호뿐만 아니라 성, 이름, 성별, 생년월일, 거주지 우편번호, 최근 헬스케어 시스템 자료 등의 정보가 포함되어 있다. RPDB는 임상평가과학연구소^(ICES)의 데이터 연계를 위한 연계 키 변수로, 데이터베이스^(DB)로 매달 업데이트된다. 온타리오 건강보험 플랜^(OHIP) 번호 자체는 수집되거나 제공되지 않으며, 임상평가과학연구소^(ICES)에서 사용되는 데이터 연계는 Fellegi-Sunter 방법으로 확률적 연계를 실시한다. 임상평가과학연구소^(ICES) 데이터는 90여 개의 데이터에 1407개의 데이터 테이블을 보유하고 있다. 1986년부터 온타리오주 주민의 건강 기록 행정 자료와 임상 데이터, 의료서비스 및 비의료 데이터에 저장된 200억 개의 기록이 있어 코호트 연구가 가능하다.

다. 임상평가과학연구소(ICES) 데이터 접근 유형

임상평가과학연구소^(ICES)는 현재 두 가지 유형의 데이터와 분석 서비스를 제공하고 있다. 하나는 과학자와 교육생이 수행하는 내부 접근권을 가지는 임상평가과학연구소^(ICES) 프로젝트, 다른 하나는 외부 연구자가 수행한 프로젝트에 대한 외부 접근권(임상평가과학연구소^(ICES) 데이터 및 분석 서비스) 프로젝트이다. 임상평가과학연구소^(ICES) 프로젝트는 연구윤리위원회 승인 없이 보건 시스템의 평가, 계획 및 모니터링을 지원하기 위한 분석 목적으로 데이터에 접근할 수 있다. 모든 임상평가과학연구소^(ICES) 연구자는 보안 교육을 받고 기밀 유지 계약에 서명한다. 각 임상평가과학연구소^(ICES) 프로젝트는 개인건강정보보호법^{(PHIPA: Personal Health Information Protection Act)}, 임상평가과학연구소^(ICES) 정책 및 절차 또는 데이터 파트너와의 계약 의무에 따라 데이터 요청이 허용되는지 확인하기 위해 임상평가과학연구소^(ICES) 개인정보 보호 규정 및 법무 사무소가 수행하는 개인정보 영향 평가를 받는다.

개인정보 영향 평가^{(PIA: Privacy Impact Assessment)}는 데이터 보유 근거에 기반하여 프로젝트 목표와 요청한 데이터 세트를 검토하고, 임상평가과학연구소^(ICES) 연구자들은 민감성을 제하고 연구 고유 목적으로 활용되는 것으로 결정된 이후에 데이터에 접근할 수 있다. 프로젝트 결과는 외부로 공개되기 전에 임상평가과학연구소^(ICES) 책임연구자가 재식별 위험 평가를 실시하여 문서화해야 한다. 재식별 위험 평가는 적은 수의 셀 병합과 재식별할 수 없음을 확인하는 작업으로 이루어진다. 임상평가과학연구소^(ICES)에 있는 데이터와 외부 데이터를 연계하여 프로젝트를 수행하는 경우, 개인식별정보를 포함하지 않은 데이터에 대해 임상평가과학연구소^(ICES) 개인정보 보호 규정 및 법률 부서 검토 후 데이터 공유 요청 양식을 작성하여 사용 약관을 준수하도록 한다. 개인식별정보가 포함된 데이터에 대해서는 임상평가과학연구소^(ICES)와 데이터 관리자 간에 데이터 공유 계약^{(DSA: Data Sharing Agreement)}을 수립해야 한다. 데이터 통합은 임상평가과학연구소^(ICES) 직원이 직접 수행한다. 임상평가과학연구소^(ICES) 데이터 및 분석 서비스^{(DAS: Data & Analytic Services)}는 외부 연구자가 수행하는 프로젝트를 지원한다. 데이터 및 분석 서비스^(DAS)는 임상평가과학연구소^(ICES)의 데이터 접근, 분석 지원, 데이터 분석 및 보고서 작성 서비스 등을 제공한다. 연구자는 데이터 및 분석 서비스^(DAS)의 서비스 접근을 위해 임상평가과학연구소^(ICES) 웹사이트에서 이용할 수 있는 프로젝트 요청서를 제출한다. 데이터 및 분석 서비스^(DAS)는 적격성 및 사업 타당성을 평가한 후 사업 목표와 일정 등을 검토하기 위한 협의를 거치고, 연구자는 프로젝트에 대한 연구윤리위원회 승인을 받아야 한다. 데이터 분석 후에 데이터 및 분석 서비스^(DAS)는 재식별 위험을 평가하여 결과값을 연구자에게 이메일로 전송한다. 프로젝트가 완료되면 연구자는 데이터 및 분석 서비스^(DAS)에 프로젝트 완료를 알려야 하며, 데이터 분석을 위한 접속 권한은 종료된다.