퇴직 예정인 정보관리사 A씨가 근무 기간 중 수집한 주요 환자 정보를 개인 USB에 저장해 가려고 한다. 이에 대한 가장 올바른 판단은?

의료기관에서 업무상 접근한 환자 정보는 개인의 소유물이 아닌 기관의 중요한 자산이며, 무단 반출은 개인정보보호법 및 업무상 비밀누설에 해당하는 중대한 위법 행위이다. 연구 활용을 위해서는 정해진 절차에 따라 기관 차원에서 익명화된 자료를 제공받아야 한다.

보건행정 핵심 해설 이 문제는 개인정보보호법과 의료법 하에서 의료정보의 소유권 및 관리 책임에 대한 기본 원칙을 묻고 있어요. 보건의료정보관리사는 환자의 민감한 개인정보를 다루는 핵심 직종으로, 정보 보안과 윤리에 대한 이해가 필수적입니다. 핵심 개념 분석 (Key Concept) 의료기관에서 생성·수집·처리되는 모든 환자 정보는 핵심! 병원(의료기관)의 관리 하에 있는 중요한 자산이에요. 이는 단순한 데이터가 아니라 의료법 제21조(진료기록부 등의 작성 및 보관)에 따라 작성·보관 의무가 있는 법정 기록물이며, 개인정보보호법에 의해 엄격히 보호되는 개인정보입니다. 직원은 업무 수행을 위해 '접근 권한'을 부여받았을 뿐, 그 정보의 '소유권'을 가지거나 임의로 처분할 수 없어요. 정답 근거 (Answer Rationale) 정답인 ①번은 이 원칙을 가장 정확히 표현하고 있어요. 무단 반출은 다음과 같은 다중 법적 위반에 해당합니다. 1. 개인정보보호법 제18조(개인정보의 이용·제공 제한) 위반: 정당한 권한 없이 개인정보를 외부로 반출하는 행위. 2. 의료법 제66조(비밀누설 금지 등) 위반: 업무상 알게 된 비밀을 누설하는 행위. 벌칙으로 1년 이하의 징역 또는 1천만 원 이하의 벌금에 처해질 수 있어요. 3. 업무상 배임 또는 재산상 손해 배상 책임: 병원의 중요한 자산(데이터)을 무단으로 반출함으로써 병원에 손해를 끼칠 수 있어요. 오답 분석 (Distractor Analysis) 혼동 주의! ②번 '연구 목적 + 환자 동의'는 충분 조건이 아니에요. 연구를 위해서는 반드시 기관생명윤리위원회(IRB)의 심의 승인을 받고, 기관의 공식 절차에 따라 익명화/가명처리된 자료를 제공받아야 해요. 환자 개별 동의만으로 직원의 개인 반출을 허용하는 것은 절대 없어요.
③번 '상급자 구두 허가'는 법적 효력이 없어요. 정보 반출과 같은 중대한 사항은 반드시 서면으로 된 공식 절차와 승인이 필요합니다.
④번 '익명화 + 병원 승인'은 부분적으로 맞는 말처럼 보이지만, 문제의 맥락은 "개인 USB에 저장해 가려고 한다"는 점이에요. 병원의 승인을 받은 연구라면 기관이 공식적인 안전한 경로(암호화된 전송 등)로 자료를 제공해야 하며, 개인이 물리적 저장매체에 담아 가는 방식은 일반적으로 승인되지 않아요.
⑤번 '본인이 생성한 자료'는 가장 큰 오해의 소지가 있어요. 직원이 업무 시간에, 병원의 자원을 이용해, 병원의 업무로서 생성한 모든 산출물은 업무상 저작물에 해당하며, 저작권은 원칙적으로 고용주(병원)에게 귀속됩니다. 따라서 개인의 소유라고 주장할 수 없어요. 연관 개념 정리 (Related Concepts) 연구를 위한 자료 활용 정식 경로는 다음과 같아요: 연구계획서 작성 → 기관생명윤리위원회(IRB) 심의 신청 및 승인 → 병원 정보관리부서(의무기록실)에 공식 요청 → 가명처리 또는 익명화 수행 → 안전한 전송 경로로 자료 제공 → 자료 사용 후 파기 증빙. 이 과정에서 연구자는 보안 서약서를 작성해야 해요. 개념 정리

핵심 원칙	내용	근거 법령
정보의 소유권	의료기관 내 환자 정보는 병원의 관리 자산. 직원은 접근 권한만 보유.	의료법, 개인정보보호법
무단 반출 금지	개인 저장매체(USB, 이메일)를 통한 반출은 엄격히 금지. 법적 제재(징역, 벌금) 대상.	개인정보보호법 제18조, 의료법 제66조
연구용 자료 활용	IRB 승인 필수. 기관의 공식 절차를 통한 가명/익명 처리 후 제공.	생명윤리 및 안전에 관한 법률
업무상 저작물	근무 중 생성한 모든 기록/데이터의 저작권은 고용주(병원)에게 귀속.	저작권법 제9조

한눈에 비교!

구분	무단 반출 (불법)	정식 연구 자료 제공 (합법)
주체	개인 직원	의료기관 (공식 부서)
경로	개인 USB, 개인 이메일 등	암호화된 전송, 안전한 포털 등
전제 조건	없음 (본인 판단)	IRB 승인, 기관 내부 승인
정보 상태	원본 데이터 또는 가공 데이터	의무적으로 익명화/가명처리된 데이터
법적 근거	개인정보보호법 위반, 비밀누설	생명윤리법, 정보통신망법 준수

실무 포인트

• 퇴직 시 필수 절차: 퇴사 시 반드시 모든 정보 접근 권한(시스템 ID/PW)을 반납하고, 개인적으로 보관한 업무 관련 자료(서류, 전자파일)를 완전히 삭제/반납해야 합니다. 많은 병원에서 퇴사 시 보안 서약서 재작성을 요구해요.
• 담당 부서: 정보보안 위반 사건 발생 시, 병원의 정보보호담당관 또는 개인정보보호책임자가 초기 대응 및 내부 조사를 진행하며, 필요한 경우 개인정보보호위원회에 신고해야 해요.
• 기록 관리: 모든 자료 반출 요청과 승인 내역은 반드시 접수대장에 기록하여 추적 가능성을 확보해야 해요.

암기 팁 "병원 정보, 내 것 아님! 무단 반출, 바로 범죄!"
- 병원 정보: 소유권은 병원에 있다.
- 내 것 아님: 본인이 생성했더라도 업무상 저작물이다.
- 무단 반출: 개인 USB, 이메일로 가져가는 행위.
- 바로 범죄: 개인정보보호법, 의료법(비밀누설) 위반. 국시 빈출 포인트 이 주제는 사례형으로 매우 자주 출제돼요. "퇴직 직전", "연구를 위해", "상급자의 허락을 받아" 등의 유혹적인 조건을 붙여 정당화하려는 상황을 제시하고, 법적 원칙을 흔들리지 않고 적용할 수 있는지를 평가합니다. 항상 "기관의 공식 절차"와 "개인의 임의 행위"를 구분하는 것이 핵심이에요. 기출 변형 주의!

• 계산형 변형: 정보 유출로 인한 벌금액수 또는 징역 기간을 묻는 문제.
• 복합 사례형: "환자 동의 + IRB 승인 + 익명화" 모두를 충족했지만, 직원이 개인 노트북에 저장한 경우의 적법성을 묻는 문제. (정답: 여전히 기관의 안전한 경로를 통하지 않았으므로 위법)

보건행정 실무 가이드 실무 시나리오 (Clinical Scenario) "의무기록실에서 10년간 근무한 B 선생님이 퇴사를 앞두고 있습니다. B 선생님은 평소 관심 있던 특정 희귀질환 환자군에 대한 데이터를 오랜 시간 정리해왔고, 퇴직 후 대학원에서 해당 주제로 연구를 이어가고 싶어 합니다. 동료들에게 '내가 모은 자료인데, 연구만 할 거니까 USB에 좀 담아가도 되지 않을까?'라고 말하며 고민을 털어놓습니다. 당신은 같은 부서의 보건의료정보관리사로서 어떻게 조언해야 할까요?" 행정 중재 전략 (Admin Intervention) 1. 상황 파악 및 공감: 먼저 B 선생님의 연구에 대한 열정과 기여도를 인정하며 공감해주세요. "선생님께서 오랜 기간 정성껏 자료를 모으신 점은 정말 존경스러워요." 2. 법적/규정 명확히 전달: 이후 단호하지만 예의 바르게 법적 원칙을 설명합니다. "핵심! 하지만 그 자료는 병원의 소중한 자산이자 환자의 개인정보입니다. 제가 USB에 담아 가신다면, 이는 개인정보보호법과 의료법을 위반하는 중대한 행위가 되어 선생님께서 법적 책임을 지게 될 뿐만 아니라, 병원과 환자에게도 큰 피해를 줄 수 있어요." 3. 대안 제시 및 처리 경로 안내: 문제를 함께 해결할 방법을 제시합니다. "대신, 병원의 공식 절차를 통해 안전하게 자료를 받으실 수 있어요. 먼저 연구계획서를 작성하시고 기관생명윤리위원회(IRB)에 심의를 신청하세요. 승인을 받으시면, 의무기록실에 공식 요청서를 제출하시면 돼요. 저희 부서에서 가명처리(Pseudonymization)를 완료한 후, 암호화된 파일로 안전하게 전달해 드릴 거예요." 4. 사후 기록: 만약 B 선생님이 공식 요청을 한다면, 모든 과정을 접수대장에 철저히 기록하여 추적 가능성을 관리해야 합니다. 법적 안전 및 주의사항 (Precautions) - 감시 및 보고 의무: 만약 동료의 무단 반출 시도를 목격했다면, 이는 단순한 인간관계 문제가 아닌 법적 위반 사안입니다. 내부 규정에 따라 상사 또는 정보보호담당관에게 즉시 보고해야 할 의무가 있을 수 있어요. 보고하지 않으면 동조자로 간주될 위험이 있습니다. - 벌칙 모니터링: 개인정보 무단 반출 시, 병원은 내부 징계(해고)를 할 수 있으며, 동시에 개인정보보호위원회에 과태료 부과 또는 검찰에 고발할 수 있습니다. 이는 개인의 경력에 치명적인 손상을 줍니다. 업무 프로토콜 연구자료 공식 제공 절차 1. 요건 확인: 연구자의 IRB 승인서, 연구계획서, 자료요청서 수령. 2. 접수 및 심사: 요청서 검토 (필요 자료 범위 적정성 확인). 내부 승인 절차 진행. 3. 자료 추출 및 처리: 전자의무기록(EMR) 시스템에서 대상 자료 추출 → 가명처리(식별정보 대체) 또는 익명화(식별정보 완전 삭제) 수행. 4. 전달 및 보안: 암호화된 매체 또는 안전한 파일 전송 시스템을 통해 제공. 연구자에게 보안 서약서 작성 요구. 5. 기록 관리: 제공 일자, 자료 범위, 연구자 정보, 자료 파기 예정일 등을 대장에 기록. 파기 증빙 자료 후속 관리. 선배의 한마디 "보건의료정보관리사는 병원 정보의 문지기이자 수호자예요. 우리 손을 거치는 정보 하나하나가 환자의 인권과 병원의 신뢰, 나아가 국가 보건의료 체계의 기반이 됩니다. '편의'나 '개인의 선의'로 법적 원칙을 훼손해서는 절대 안 돼요. 때로는 동료에게 불편한 말을 해야 할 때도 있지만, 그게 바로 우리 전문직의 소명이자 책임이라고 생각해요. 튼튼한 윤리관으로 무장하세요!"