의사가 전자진료기록 방식 변경 시, 환자 개인정보를 보호 없이 서버에 업로드했다. 위반 항목은?

전자기록·서버 업로드는 개인정보보호법의 적용을 받는다.

Case Analysis 본 사례는 의료인이 전자진료기록(Electronic Medical Record, EMR)을 서버에 업로드할 때 환자의 개인정보를 보호 조치 없이 처리한 상황입니다. 이는 의료 행위 자체보다는 개인정보 처리 과정에서 발생한 위반에 해당합니다. 의료법은 의료인의 자격, 의료기관 운영, 진료 행위 등에 관한 기본 법률이며, 정신건강복지법, 응급의료법, 국민건강보험법(건보법)은 각각 특정 영역(정신건강, 응급의료, 건강보험)에 관한 특별법입니다. 반면, 개인정보보호법은 모든 산업과 분야에서 개인정보를 처리하는 모든 사업자(의료기관 포함)에게 적용되는 일반법으로, 개인정보의 수집, 이용, 제공, 파기 등 전 과정에 대한 보호 의무를 규정합니다. 따라서, 의료 정보를 포함한 개인정보를 전자적으로 처리(업로드)하면서 적절한 기술적·관리적 보호조치(예: 암호화)를 하지 않은 것은 바로 개인정보보호법 위반에 해당합니다.

Prof's Note 의료 현장에서 법률 적용을 생각할 때는 "행위의 성질"을 먼저 보세요. 의료 행위(진단, 치료)와 관련된 문제는 의료법이 우선 적용됩니다. 하지만, 그 과정에서 발생한 "정보"의 관리, 유출, 오남용 문제는 개인정보보호법의 영역입니다. EMR, PACS 등 디지털 정보화가 일반화된 현대 의료에서는 두 법률을 모두 숙지해야 합니다.

Management 이러한 위반 사항이 발생했을 경우, 의료기관은 즉시 다음 조치를 취해야 합니다. 1. 사고 조치 및 보고: 개인정보 유출 사실을 인지한 즉시 내부 조사를 실시하고, 법정 신고 기한(24시간 이내) 내에 개인정보보호위원회 및 해당 환자에게 통지해야 합니다. 2. 피해 최소화: 해당 서버 접근 차단, 불법 업로드된 정보 삭제 등 추가 피해 확산을 방지합니다. 3. 재발 방지 대책: 전자정보 업로드 시 반드시 암호화를 적용하는 기술적 조치와, 직원 교육을 강화하는 관리적 조치를 마련해야 합니다.
Critical Warning "의료 정보니까 의료법만 적용된다"는 생각은 치명적 오해입니다. 환자의 주민등록번호, 진료기록, 상병명 등은 모두 엄연한 개인정보이며, 이를 부적절하게 처리하면 개인정보보호법에 따른 과태료 부과 및 형사처벌의 대상이 될 수 있습니다. 의료법 위반과 별개로 중복 처벌받을 수 있음을 명심하세요.