[PEDIEN] 서울의 한 대학병원에서 항암치료를 받던 환자가 "본인 혈액에서 뽑아 키운 면역세포로 치료해 보자"는 말을 들었다고 하자.
국내에서 그 치료를 받으려면 길게는 2~3년이 걸리는 선행 임상연구가 끝나기를 기다려야 했다.
세포가 급한 환자에게 2~3년은 선택지가 아니다.
그래서 일부는 일본행 비행기를 알아봤다.
정부가 10월 23일 관계부처 합동으로 내놓은 「바이오 분야 경쟁국 수준 규제합리화 방안」은 이 장면을 바꾸겠다는 것이다.
핵심은 안전성이 입증된 자가면역세포 치료의 위험도를 지금의 '중위험'에서 '저위험'으로 내리는 데 있다.
그러면 2~3년짜리 선행 임상연구 없이 문헌자료를 내고 첨단재생바이오 심의위원회의 치료계획 심의만 통과하면 바로 치료할 수 있게 된다.
정부는 2025년 바이오 수출이 279억 달러로 역대 최대였고, 세계 시장은 2024년 2조9,300억 달러에서 2030년 4조900억 달러로 커진다는 전망(한국보건산업진흥원)을 근거로 들었다.
방안 곳곳에는 일본은 이렇게 한다, 미국은 저렇게 한다, 영국·미국은 이런 환경을 제공한다는 비교가 붙어 있다.
정부 표현으로는 "경쟁국 수준"이다.
그런데 그 나라들의 규칙은 저마다의 토대 위에 서 있다.
숫자와 틀만 떼어 오면 한국에서는 다르게 작동할 수 있다.
일본의 '저위험'은 신고제 위원회 위에 놓여 있다
일본은 2014년 시행한 재생의료등안전성확보법으로 재생의료를 제1종·제2종·제3종 세 단계로 나눈다. iPS세포나 타인 유래 세포처럼 경험이 적고 위험이 큰 것이 제1종, 자가·동종 체성줄기세포가 제2종, 가공이 크지 않은 자가세포가 제3종이다.
환자 본인의 혈액에서 키운 암 면역세포 치료—활성화 림프구나 수지상세포 요법—는 가장 낮은 제3종으로 분류돼 있다.
후생노동성의 제3종 심사 지침 문서가 이를 명시한다.
제3종이라고 아무 관문이 없는 건 아니다.
의료기관은 '제공계획'을 만들어 인정재생의료등위원회의 심사를 받고 지방후생국에 신고해야 한다.
다년간의 선행 임상연구는 요구되지 않지만, 위원회라는 문턱은 남아 있다.
한국이 '중위험→저위험'으로 내리면서도 치료계획을 심의위원회에서 보겠다고 한 것과 구조가 닮았다.
다른 점도 있다.
일본의 심사는 민간의 여러 인정위원회가 나눠 맡는데, 교토대 iPS세포연구소(CiRA)는 2022년 "치료로 제공되는 재생의료의 안전성·유효성에 의문이 있고 법에 구조적 과제가 있다"고 지적했다.
효과가 검증되지 않은 자유진료가 제3종 틀을 타고 환자에게 팔려 나간다는 것이다.
한국은 단일한 국가 심의위원회가 보는 쪽이어서, 오히려 일본식 난립을 피할 여지가 있다.
대신 그만큼 심의 적체를 감당할 인력과 속도가 관건이 된다.
일본은 2024년 법을 고쳐 유전자치료까지 규제 대상에 넣었고 관련 고시는 2025년에 시행됐다.
틀 자체가 계속 움직인다는 뜻이다.
미국의 비식별은 'HIPAA'라는 전용 법 위에 있다
정부는 가명처리 기준도 미국식 '목록 방식'으로 통일하겠다고 했다.
이름·전화번호·주소 같은 주요 식별자를 지우면 적정하게 비식별된 것으로 일괄 인정하는 방식이다.
미국의 근거는 분명하다.
건강정보보호법(HIPAA) 프라이버시 규칙 45 CFR 164.514(b)의 '세이프하버'는 이름, 주보다 작은 지역, 연도를 뺀 날짜 요소, 전화·이메일·사회보장번호 등 18개 식별자를 제거하고 남은 정보로 개인을 알아볼 수 없다는 점에 '실제 인지가 없을 것'을 조건으로 비식별을 인정한다.
중요한 건 이 목록이 보건의료 데이터만을 겨냥한 전용 연방법 위에 있다는 점이다.
HIPAA는 병원·보험자 같은 '적용 대상기관'에 적용된다.
한국에는 그런 보건의료 전용 프라이버시법이 없다.
가명정보는 개인정보보호법이, 연구 윤리는 생명윤리법이 나눠 맡는다.
토대가 다른 위에 목록만 옮겨 오는 셈이다.
그래도 한국안이 더 나은 지점이 있다.
지금은 병원마다 데이터심의위원회(DRB)가 제각각 기준을 들이대 적정성 검토에만 수개월이 걸린다는 게 정부가 든 문제다.
국가 공통 목록을 깔면 이 혼선이 줄어든다.
미국이 세이프하버와 전문가판단 두 길을 두고 다투는 것과 달리, 한 가지 공통 기준으로 밀어붙이는 건 오히려 단순하고 예측 가능할 수 있다.
'동의 없이 쓴다'가 아니라 '포괄동의+제한 심의'다
가명 의료정보 연구를 기관생명윤리위원회(IRB) 심의에서 빼겠다는 대목, 수집해 둔 데이터를 재동의 없이 2차로 쓰도록 포괄동의를 도입하겠다는 대목도 미국을 들었다.
미국은 2018년 개정된 연구윤리 공통규칙(Common Rule)에서 식별이 불가능하게 처리된 2차 연구는 '인간대상연구' 밖으로 뺀다.
포괄동의를 받아 보관·재이용하는 경우도 별도 면제 범주를 두되, 그때마다 IRB의 '제한적 검토'를 거치게 한다.
미국도 "그냥 동의 없이 쓴다"가 아니라는 뜻이다.
비식별이면 규율 밖, 식별 가능하면 포괄동의와 최소한의 심의가 따라붙는 구조다.
한국안도 거부권 보장 같은 요건을 달았다는 점에서 결이 비슷하다.
이 분야는 한국에도 토대가 있다.
IRB에 해당하는 기관생명윤리위원회가 이미 돌아가고 있기 때문이다.
관건은 '안전한 가명정보'의 경계를 누가, 어떤 책임으로 긋느냐다.
영국·미국 클라우드 밑엔 50만·86만명 코호트가 있다
마지막은 원격 분석환경이다.
지금 국내 연구자는 데이터 유출을 막기 위해 보유기관의 폐쇄분석실을 직접 찾아간다.
지방 연구자가 서울 대형병원을 매번 방문하는 식이다.
정부는 "영국·미국의 대표 연구 데이터베이스처럼" 클라우드 기반 원격 분석환경 기준을 만들겠다고 했다.
그 '대표 데이터베이스'가 무엇인지는 분명하다.
영국 UK바이오뱅크는 2021년 9월 참여자 50만명의 데이터를 내려받지 않고 클라우드에서 분석하는 연구분석플랫폼을 열었다.
미국 국립보건원의 올오브어스(All of Us)는 데이터를 내려받지 못하게 하고 '리서처 워크벤치' 안에서만 분석하게 한다. 2025년 5월 기준 86만명 넘게 참여했고 1,100여 기관의 연구자 1만7천여 명이 등록했다.
영국은 2023년 10월 NHS가 "데이터 공유에서 데이터 접근으로" 정책을 바꿔, 원자료는 환경 밖으로 못 나가고 표·그래프 같은 결과만 반출하도록 했다.
이 환경의 토대는 '데이터를 한곳에 모아 둔 대규모 국가 코호트'와 'NHS 같은 단일 보건체계'다.
영국은 전 국민이 한 체계 안에 있고, 미국은 연방 예산으로 코호트를 쌓았다.
반면 한국의 임상·유전체 데이터는 병원마다 흩어져 있다.
클라우드 기준을 만든다고 흩어진 데이터가 저절로 한곳에 모이지는 않는다.
UK바이오뱅크조차 2024년 중반 개인단위 데이터 다운로드를 금지했는데도 승인 연구자가 내려받은 데이터가 2026년 유출·판매된 사실이 드러나 플랫폼을 닫고 보안을 다시 손봤을 만큼, '데이터가 나가지 않게 하는' 일은 기준만으로 끝나지 않는다.
한국의 토대는 '단일보험'과 지금 짓는 '100만명'이다
그렇다고 한국에 토대가 없는 건 아니다.
전 국민이 하나의 국민건강보험에 묶여 있다는 사실 자체가 여러 나라가 부러워하는 자산이다.
정은경 보건복지부 장관이 "세계 최고 수준의 한국 의료데이터"라고 한 말의 근거이기도 하다.
클라우드 원격분석이 겨냥하는 연구용 코호트도 한국이 짓고 있다.
국가통합바이오빅데이터 구축사업은 2032년까지 100만명의 건강·유전체·임상 정보를 모으는 게 목표다. 1단계는 2028년 말까지 일반인 58만5천·중증질환 14만·희귀질환 4만7천명 등 77만2천명을 모으고, 2단계(2029~2032년)에 100만명까지 늘리는 설계다.
UK바이오뱅크 50만, 올오브어스 86만과 견줘도 작지 않은 규모다.
다만 2026년 10월 현재 확보된 인원은 약 17만명으로, 정은경 장관이 직접 채혈에 참여하며 참여 문턱을 낮추는 단계다.
토대는 완성된 게 아니라 짓는 중이다.
남은 건 법 개정, 토대는 언제 세우나
이번 방안은 발표로 끝나지 않는다.
자가면역세포 위험도 조정과 제대혈·배아줄기세포 외부 활용은 첨단재생바이오법을, 포괄동의 도입은 생명윤리법을 고쳐야 한다.
가명정보 연구의 IRB 면제는 생명윤리법 시행규칙 개정 사안이다.
국회 심의와 행정예고 절차가 남아 있다는 뜻이다.
장관도 "안전 관리와 오남용 방지를 철저히 하겠다"고 했다.
질문은 거기서 나온다.
위험도를 내리면서 일본이 겪은 '검증 안 된 자유진료' 문제를 한국은 어떻게 막을 것인가.
가명정보를 IRB 심의에서 빼면 재식별 위험의 책임은 누가 지는가.
병원마다 흩어진 데이터를 실제로 한 클라우드에 올릴 거버넌스와 100만명 코호트는 제때 채워질 것인가.
틀을 경쟁국에 맞췄다는 선언보다, 그 틀을 받칠 토대를 언제까지 어떻게 세울지가 다음 숙제다.
취재에 참고한 자료
대한민국 정책브리핑에 실린 보건복지부 등 관계부처 합동 보도자료 「바이오 분야 경쟁국 수준 규제합리화 방안」(2026년 10월 23일)에서 한국 측 수치와 개편 내용을 옮겼다.
일본 제도는 후생노동성의 재생의료등안전성확보법 설명자료와 인정재생의료등위원회 심사 지침(제3종 암면역세포 치료용), 재생의료 갱신정보 페이지(2024년 개정·2025년 시행)를, 미국 제도는 건강정보보호법 프라이버시 규칙 45 CFR 164.514(세이프하버 18개 식별자)와 2018년 개정 연구윤리 공통규칙(45 CFR 46)을 확인했다.
원격 분석환경은 영국 UK바이오뱅크 연구분석플랫폼(2021년 출범, 참여자 50만명)과 미국 국립보건원 올오브어스 리서처 워크벤치, 영국 NHS의 안전한 데이터환경 정책(2023년 10월)을, 한국 코호트는 국가통합바이오빅데이터 구축사업(2032년 100만명 목표, 2026년 10월 현재 약 17만명)을 각국 공공기관 자료와 관련 보도로 확인했다.
교토대 iPS세포연구소의 2022년 지적은 해당 기관 공개자료를 참고했다.
다만 나라마다 위험도 분류 기준, 심사 방식(신고제와 심의제), 데이터 거버넌스 단위가 달라 표의 한 칸을 일대일로 맞춰 비교하는 데는 한계가 있다.
편집국