보건의료정보관리사가 의무기록을 열람할 수 있는 적법한 사유가 아닌 것은?

의무기록 열람은 진료, 연구, 관리 등 합법적 목적과 절차에 따라 이루어져야 한다. 개인적 호기심은 환자의 프라이버시를 침해하는 명백한 위법 행위이다.

보건행정 핵심 해설 이 문제는 개인정보보호법과 의료법에서 규정하는 의무기록 열람 및 이용의 적법한 사유를 구분하는 능력을 평가해요. 보건의료정보관리사는 환자의 소중한 개인정보를 관리하는 수탁자로서, 정보 접근에 대한 엄격한 법적 기준을 숙지하고 준수해야 하는 핵심 직무를 담당하고 있어요. 핵심 개념 분석 (Key Concept): 의무기록 열람의 적법성은 핵심! '목적의 정당성'과 '절차의 적법성' 두 축으로 판단해요. 목적이 진료, 연구, 병원 경영, 법적 의무 이행 등 합법적이어야 하며, 그 목적을 위해 필요한 최소한의 정보에만 접근해야 하는 '최소 필요 원칙'도 함께 적용돼요. 또한, 환자 본인이나 법정대리인의 동의, 또는 법률에 명시된 특별한 사유가 있어야 해요. 정답 근거 (Answer Rationale): 정답인 ③번 '개인적인 호기심으로 동료 의사의 진료 내용 확인'은 명백한 위법 행위에요. 이는 '목적의 정당성'과 '절차의 적법성' 어느 것도 갖추지 못했어요. 개인적 호기심은 업무와 무관한 사적 목적이며, 환자의 동의나 법적 근거도 전혀 없어요. 개인정보보호법 제18조(개인정보의 이용·제공 제한)와 의료법 제22조(비밀 누설 금지)를 위반하는 행위로, 엄격히 금지되고 있어요. 오답 분석 (Distractor Analysis): - ①번 '연구자가 익명화된 자료를 요청한 경우': 혼동 주의! 연구 목적의 자료 이용은 적법한 사유에 포함돼요. 핵심은 익명화(Anonymization) 또는 가명처리(Pseudonymization)를 통해 개인을 식별할 수 없도록 조치한 후, 연구윤리심의위원회(IRB)의 승인을 받는 절차를 거쳐야 해요. 이 조건을 충족하면 적법해요. - ②번 '환자의 진료를 담당하는 의사의 요청': 이는 진료의 연속성을 위한 필수적인 업무 목적이에요. 환자를 직접 진료하는 의사는 해당 환자의 기록에 접근할 정당한 권한과 필요성이 인정돼요. - ④번 '환자의 법정대리인이 정보제공 동의서를 제출한 경우': 환자 본인의 동의가 원칙이지만, 미성년자나 의사능력이 부족한 환자 등의 경우 법정대리인의 동의로도 열람이 가능해요. 이때는 대리인 관계를 증명하는 서류와 함께 서면동의서가 필요해요. - ⑤번 '병원 내부 감사 목적으로 관리부서의 요청': 이는 병원 경영 및 질 관리(Quality Improvement)를 위한 정당한 업무 목적이에요. 내부 감사, 진료 질 평가, 재정 감사 등은 병원 운영에 필수적이며, 이 경우에도 접근 권한이 부여된 지정된 직원만 최소한의 정보에 접근할 수 있어요. 연관 개념 정리 (Related Concepts): '의무기록 열람'과 유사하지만 다른 개념인 '의무기록 사본 교부'도 함께 정리해야 해요. 열람은 병원 내에서 정보를 보는 행위라면, 사본 교부는 정보를 외부로 반출하는 것이에요. 사본 교부는 더 엄격한 요건(환자 본인 신분증 확인, 수수료 납부 등)이 적용되며, 전자의무기록(EMR) 시스템에서의 접근 로그 기록은 두 경우 모두 반드시 남겨져 법적 분쟁 시 증거로 활용돼요. 개념 정리

구분	적법한 사유 (예시)	필수 조건/근거
진료 목적	담당 의사, 간호사의 접근	직접 진료 연관성, 업무 필요성
연구 목적	익명화된 자료를 활용한 연구	IRB 승인, 익명화/가명처리 완료
관리 목적	내부 감사, 질 관리, 코딩 검증	공식적 업무 요청, 최소 정보 접근 원칙
환자/대리인 요청	정보제공 동의 후 열람 또는 사본 교부	본인 확인(신분증), 서면 동의서(대리인 시 관계 증명)
법적 의무	법원 제출 명령, 수사 기관의 요청	공문서(영장, 제출 명령서) 수령

한눈에 비교!

구분	열람 (Access)	사본 교부 (Disclosure/Copy)
정의	병원 내에서 기록 내용을 확인	기록의 사본을 환자 등에게 제공
주요 법적 근거	개인정보보호법, 의료법, 병원 내부 규정	의료법 제21조(진료기록부 등의 열람·사본 교부 청구)
환자 동의	필요 (단, 진료 목적 등 일부 예외)	필수 (본인 또는 법정대리인)
수수료	일반적으로 없음	의료법 시행규칙에 따라 징수 가능
보건의료정보관리사의 역할	접근 권한 관리, 로그 모니터링	신분 확인, 동의서 확인, 사본 작성 및 제공

실무 포인트 - 접근 로그 관리: 전자의무기록(EMR) 시스템은 누가, 언제, 어떤 기록에 접근했는지에 대한 상세 로그를 자동 생성하고, 이를 정기적으로 점검해야 해요. 불필요하거나 의심스러운 접근은 즉시 보고 체계를 통해 조사해야 해요. - 권한 부여 원칙: 역할 기반 접근 제어(Role-Based Access Control, RBAC)를 적용해, 직무에 꼭 필요한 기록만 볼 수 있도록 권한을 최소화해야 해요. (예: 회계팀은 진료 내용이 아닌 청구 정보만 접근) - 법적 위반 시 제재: 개인적 호기심으로 기록을 열람하는 것은 5년 이하의 징역 또는 5천만 원 이하의 벌금(개인정보보호법 제71조)에 처해질 수 있는 중대한 위법 행위예요. 암기 팁 "적법한 열람은 '진연관법동'"이라고 외우세요! - 진: 진료 목적 - 연: 연구 목적 (IRB 승인 필수!) - 관: 병원 관리/감사 목적 - 법: 법적 의무 이행 (법원, 수사기관) - 동: 환자 또는 법정대리인의 동의 이 다섯 가지 범주 안에 들어가지 않으면 대부분 적법하지 않은 접근이에요. 국시 빈출 포인트 의무기록 열람의 적법성은 매년 빠지지 않고 출제되는 핵심! 고정 출제 영역이에요. 특히 '연구 목적(익명화 조건)', '법정대리인 요건', '개인적 호기심의 위법성'을 구체적인 사례에 적용하는 문제가 많아요. 보기에서 가장 명백히 위법한 한 가지를 고르는 형태로 출제돼요. 기출 변형 주의! 이 개념은 다음과 같이 변형 출제될 수 있어요: 1. 사례형: "간호사 A씨가 유명 연예인 B의 진료 기록을 호기심에 열람했다. 이 행위와 관련된 설명으로 옳은 것은?" → 개인정보보호법 위반, 징계 사유, 민·형사상 책임을 종합적으로 묻는 문제. 2. 복수 정답형: "의무기록 열람이 적법한 경우를 모두 고르시오." → 위의 '진연관법동' 범주에 속하는 보기들을 여러 개 제시하고 고르게 함. 3. 절차 중심형: "연구자를 위해 익명화된 의무기록을 제공하기 전에 반드시 거쳐야 할 절차는?" → IRB 승인, 정보주체 동의 예외 규정 등을 묻는 문제.

보건행정 실무 가이드 실무 시나리오 (Clinical Scenario): "보건의료정보관리사인 당신은 EMR 시스템 모니터링 중, 외래 진료와 무관한 내과 C선생님이 정형외과에 입원 중인 특정 환자의 상세 검사 결과와 주소 정보를 반복적으로 열람한 로그를 발견했습니다. 동료에게 물어보니 C선생님은 그 환자가 자기 친구라는 이야기를 흘렸다고 합니다." 행정 중재 전략 (Admin Intervention): 1. 상황 파악 & 초기 대응: 단순 실수나 업무 목적 가능성을 배제하지 않으면서, 우선 해당 접근 로그의 세부 내역(접근 시간, 조회한 정확한 화면, 접근 IP/단말기)을 확보하고 저장해요. 당사자에게 직접 확인하기 전에 사실 관계를 정리해요. 2. 법적/규정 검토: 병원의 '개인정보 처리 방침' 및 '의무기록 접근 관리 규정'을 확인해, 해당 행위가 명백히 위반 사항인지 확인해요. 개인적 관계를 이유로 한 접근은 어떤 경우에도 정당화될 수 없어요. 3. 보고 및 대응: 핵심! 즉시 상사(정보관리실장 또는 원무과장)와 개인정보보호 책임자(Chief Privacy Officer, CPO)에게 서면으로 보고해요. 병원은 내부 조사를 실시하고, 해당 의사에게 사유 설명을 요청해야 해요. 4. 사후 조치 및 기록: 위반 사실이 확인되면, 병원 규정에 따른 징계 절차를 진행하고, 필요시 개인정보보호위원회(PIPC)에 신고할 수도 있어요. 모든 과정은 문서화하여 추적 가능하도록 관리해야 해요. 환자에게는 피해 발생 여부를 확인하고, 발생 시 법에 따라 통지해야 해요. 법적 안전 및 주의사항 (Precautions): - 절대 금지! 당신이 직접 의사에게 "왜 보셨나요?"라고 추궁하거나, 다른 직원들 앞에서 이 사실을 공개적으로 논의해서는 안 돼요. 이는 오히려 명예훼손이나 업무 방해 소지가 있으며, 공식적인 보고 체계를 무너뜨려요. - 로그 자료는 증거로서 변조되거나 삭제되지 않도록 안전하게 보관해야 해요. - 병원은 이러한 사건을 예방하기 위해 정기적인 개인정보 보호 교육과 무단 접근 시뮬레이션 훈련을 실시해야 해요. 업무 프로토콜 의심스러운 접근 로그 발견 시 대응 프로토콜: 1. 발견 및 기록: EMR 감사 로그에서 이상 접근 패턴 발견 → 화면 캡처 또는 시스템 리포트 출력. 2. 내부 보고: 24시간 이내에 지정된 보고서 양식으로 상급자 및 CPO에게 보고. 3. 예비 검토: 해당 직원의 직무와 접근 기록의 관련성, 빈도, 접근 시간대 등을 분석. 4. 공식 조사: 개인정보보호 위원회(또는 해당 위원회)가 조사 개시, 관계자 면담. 5. 조치 및 후속: 규정에 따른 징계 결정, 재발 방지 교육 강화, 시스템 접근 권한 재조정. 6. 문서화 및 보관: 모든 과정의 문서를 5년 이상 보관. 선배의 한마디 "보건의료정보관리사는 병원 정보의 '문지기(Gatekeeper)' 역할을 해요. 우리의 업무는 단순히 기록을 정리하는 것을 넘어, 환자의 가장 사적인 정보를 지키는 책임 있는 일이에요. '개인적 호기심'이라는 작은 실수가 의사 개인과 병원 전체에 큰 법적·재정적 리스크를 초래할 수 있다는 점을 늘 마음에 새기세요. 원칙을 지키는 것이 결국 동료와 병원을 보호하는 길이에요."