보건의료정보관리사가 업무 중 우연히 유명인의 진료 기록을 접하게 되었다. 가장 올바른 행동은?

업무 범위를 벗어난 정보에 접근했을 경우, 정보 유출을 방지하고 책임소재를 분명히 하기 위해 즉시 상급자에게 보고하는 것이 전문직 윤리와 내부 통제 절차에 부합한다.

보건행정 핵심 해설 이 문제는 개인정보보호법과 의료법에서 규정하는 의료정보 접근 및 관리의 원칙과 보건의료정보관리사의 전문직 윤리를 종합적으로 평가하는 문제예요. 핵심 개념 분석 (Key Concept) 보건의료정보관리사의 핵심 업무 중 하나는 환자의 의료정보(Medical Information)를 안전하게 관리하고 보호하는 것이에요. 이는 단순한 업무 규칙이 아니라 개인정보보호법, 의료법에 명시된 법적 의무입니다. 특히, '업무 중 우연히' 접근했다는 것은 핵심! 해당 정보에 대한 정당한 업무상 접근 권한이 없었을 가능성이 높다는 뜻이에요. 이는 최소접근의 원칙(Principle of Least Privilege) 위반에 해당할 수 있어요. 정답 근거 (Answer Rationale) 정답인 ③번 '접근 권한이 없는 기록임을 확인하고 즉시 상사에게 보고한다.'가 옳은 이유는 다음과 같아요. 1. 법적 준수: 개인정보보호법 제18조(개인정보의 이용·제공 제한) 및 의료법 제21조(비밀 누설 금지)에 따라, 의료인 및 의료기관 종사자는 정당한 사유 없이 환자의 비밀을 누설해서는 안 돼요. 우연한 접근 자체가 이미 '접근'이라는 행위가 발생했으므로, 이를 은폐하거나 방치하는 것은 잠재적 위반 행위를 묵인하는 것일 수 있어요. 2. 핵심! 내부 통제 및 사고 대응 절차: 모든 조직은 정보 보안 사고(우연한 접근 포함) 발생 시 이를 신속히 보고하고 대응할 수 있는 체계를 갖추고 있어요. 상사에게 보고하는 행위는 개인의 판단에 맡기지 않고 조직적, 제도적으로 문제를 해결하기 위한 첫걸음이에요. 이를 통해 추가적인 정보 유출을 차단하고, 시스템 상의 접근 권한 오류를 점검할 수 있는 기회를 만들죠. 3. 전문직 윤리: 한국보건의료정보관리사협회의 윤리 강령에도 환자 정보의 비밀 보장과 책임 있는 행동이 명시되어 있어요. 보고는 자신의 직업적 청렴성을 증명하고, 기관의 신뢰를 지키는 행동이에요. 오답 분석 (Distractor Analysis) 혼동 주의! ① '기록 내용을 외부에 유출하지 않고 업무에만 활용한다': 가장 교묘한 오답이에요. '업무에 활용'한다는 것이 문제의 시작이에요. 접근 권한이 없는 정보이므로, 어떤 형태로든 '활용'하는 행위 자체가 무단 접근 및 이용에 해당할 수 있어요. 또한, '우연히 접한' 정보를 본인의 업무에 사용할 정당한 이유가 없어요. ② '기록 내용을 소셜미디어에 익명으로 공유한다': 이는 명백한 개인정보 유출 행위로, 개인정보보호법 위반에 따른 형사처벌(5년 이하 징역 또는 5천만 원 이하 벌금) 및 의료법 위반에 따른 징계(면허 정지 또는 취소) 대상이에요. ④ '직장 동료들에게 흥미로운 사실로 이야기한다': 이는 업무 외부가 아닌 '내부'에서의 공유이지만, 마찬가지로 비밀 누설에 해당해요. 동료에게 공유하는 순간 정보 통제가 불가능해지고, 2차, 3차 유출로 이어질 위험이 큽니다. ⑤ '기록을 무시하고 본인의 업무에 집중한다': '무시'하는 것은 문제를 인지하고도 조직에 알리지 않는 은폐 행위로 볼 수 있어요. 접근 로그 등이 남아 있을 경우, 나중에 문제가 발견되면 '왜 보고하지 않았는가'라는 책임 소재가 발생할 수 있어요. 최선의 행동은 문제를 해결하는 것이지, 눈감아 주는 것이 아니에요. 연관 개념 정리 (Related Concepts) - 정보보안 3대 요소: 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability). 이 문제는 '기밀성' 위반 상황을 다루고 있어요. - 최소 권한의 원칙: 업무 수행에 필요한 최소한의 정보 접근 권한만을 부여하는 원칙. - 개인정보 영향평가 제도(PIA): 개인정보 파일을 운용할 때 유출 위험 등을 미리 분석·평가하는 제도로, 병원에서도 중요한 정보보호 관리 체계예요.
개념 정리

개념	내용	관련 법률
의료정보 비밀보호 의무	의료인 및 종사자는 환자의 진료 정보 등 비밀을 누설해서는 안 됨.	의료법 제21조
개인정보 처리자의 의무	개인정보를 처리하는 자는 그 정보를 안전하게 관리해야 하며, 유출 시 신속히 조치·통지해야 함.	개인정보보호법 제29조, 제34조
내부 통제(Internal Control)	조직 내 부정·오류를 방지하고 효율성을 제고하기 위한 제도. 불시점검, 접근 로그 관리, 보고 체계 포함.	각 기관 내부 규정
보건의료정보관리사 윤리	환자 정보 보호, 정확한 기록 관리, 전문성 유지, 공공의 복지 증진.	협회 윤리 강령

한눈에 비교!

행동	법적/윤리적 판단	결과
접근 후 즉시 보고	올바른 절차 준수	문제 조기 발견, 시스템 개선, 개인 책임 면제
접근 후 무시/은폐	은폐 행위, 내부 통제 위반	나중에 발각 시 중징계, 법적 책임 가중
접근 후 (내/외부) 공유	명백한 비밀 누설 및 유출	형사처벌, 민사배상, 면허 정지/취소

실무 포인트 - 발견 즉시: 본인의 접근 권한 확인 → 직속 상사 또는 정보보호 담당 부서(정보보안팀)에 구두 및 서면(이메일 등)으로 즉시 보고. - 보고 내용: 언제, 어떤 경로로(어떤 시스템), 어떤 정보를 접근했는지, 정보를 복사·저장·인쇄하지 않았음을 명시. - 기록: 보고 내역은 반드시 본인이 보관하여 추후 증거로 활용. - 주의: 보고를 꺼려하는 조직 문화가 있어도, 법적 책임은 최종 실행자에게 있음을 명심하세요.
암기 팁 "우연히 봤다? 당황하지 말고 보고하라!"
R.U.L.E.로 기억하세요: Recognize(인식) → Unauthorized(권한 없음 확인) → Log(기록) → Escalate(상급 보고).
국시 빈출 포인트 의료정보 보안과 윤리는 매년 필수 출제되는 고득점 영역이에요. '가장 올바른 행동', '전문직 윤리에 부합하는 행동', '법을 위반하는 행동' 등으로 꾸준히 출제됩니다. 사례 중심으로, 구체적인 행동 선택지를 묻는 패턴이 많아요.
기출 변형 주의! - 변형 1 (계산/책임형): "의료정보를 유출한 직원에게 적용될 수 있는 제재를 모두 고르시오." → 행정처분, 형사처벌, 민사배상 등을 묻는 문제. - 변형 2 (사례 심화형): "유명인의 가족이 진료 기록 열람을 요구했을 때의 처리 절차"로 바뀌어 출제될 수 있어요. 이때는 의료법 시행규칙상의 동의서 요건 등을 적용해야 해요.

보건행정 실무 가이드 실무 시나리오 (Clinical Scenario) "당신은 대형 병원 전자의무기록(EMR) 시스템에서 '최근 접속 환자' 리스트를 확인하던 중, 방송에 자주 나오는 A 씨의 이름을 발견했어요. 호기심에 클릭했더니 과거 입원 기록이 열렸고, 본인은 해당 병동의 보건의료정보관리사가 아닙니다. 어떻게 해야 할까요?" 행정 중재 전략 (Admin Intervention) 1. 상황 파악 & 즉시 중단: "아차, 권한이 없는 기록이다!"라고 인지하는 순간, 즉시 해당 기록 창을 닫습니다. 절대 스크롤을 내리거나 내용을 읽지 마세요. 이미 본 내용은 어쩔 수 없지만, 추가적인 접근을 중단하는 것이 첫걸음이에요. 2. 법적/규정 검토: 병원 내부의 '정보보안 관리 규정' 또는 '개인정보 처리 지침'을 상기합니다. 대부분 '부당한 접근 발견 시 즉시 보고' 조항이 있을 거예요. 3. 대응 및 처리: - 핵심! 직속 상사 보고: "팀장님, 방금 OO시스템에서 제 업무 권한과 무관한 A 씨의 기록을 실수로 클릭하여 열게 되었습니다. 추가 조치는 하지 않았으며, 즉시 창을 닫았습니다."라고 구두로 보고합니다. - 공식 보고서 작성: 상사의 지시에 따라, 또는 병원 규정에 따라 사건 보고서(Incident Report)를 작성해 제출합니다. 보고서에는 일시, 시스템명, 환자명(또는 차트번호), 접근 경로, 취한 조치 등을 객관적으로 기록합니다. - 협조: 정보보안팀의 조사(접근 로그 분석 등)에 성실히 협조합니다. 4. 사후 기록/보고: 본인의 보고 내역과 처리 결과를 개인적으로 간략히 메모해 두어, 향후 어떤 문의가 들어와도 명확히 대답할 수 있도록 준비합니다. 법적 안전 및 주의사항 (Precautions) - 혼동 주의! '호기심'이나 '우연'은 법적 책임을 면제해 주지 않아요. 시스템 상의 오류나 권한 설정 미스였더라도, 접근한 사실 자체는 변하지 않습니다. - 보고하지 않고 방치했다가, 나중에 해당 유명인의 정보가 유출되는 사고가 발생하면, 당신의 접근 로그가 발견될 경우 제1의 용의자가 될 수 있어요. - 보고는 징계를 피하기 위한 수단이 아니라, 전문가로서의 의무라는 마음가짐이 중요해요.
업무 프로토콜 부당한 정보 접근 발견 시 대응 프로토콜 1. 접근 중단: 즉시 창 닫기, 로그아웃(필요 시). 2. 1차 보고: 직속 상사에게 구두 보고 (발생 후 30분 이내 권장). 3. 공식 보고: 지정된 서식(정보보안 사고 보고서)에 따라 작성, 제출 (당일 근무 시간 내). 4. 사후 조치: 정보보안팀의 지시에 따름, 필요 시 재교육 이수. 5. 기록 보관: 보고서 사본 또는 확인 메일 보관.
선배의 한마디 "보건의료정보관리사는 병원 정보의 문지기와 같은 역할이에요. 문지기는 허가받지 않은 사람이 들어오는 것을 막는 것도 중요하지만, 실수로 문이 열렸을 때 이를 바로 잡고 보고하는 것도 똑같이 중요해요. 한 번의 작은 보고가 병원의 신뢰를 지키고, 여러분의 커리어를 지켜줄 거예요. 두려워하지 말고 정직하게 보고하는 문화를 만드는 것이 진정한 전문가의 길이에요!"