의료인 또는 의료기관 개설자는 전자의무기록에 대한 전자적 침해행위로 진료정보가 유출되거나 의료기관의 업무가 교란·마비되는 등 대통령령으로 정하는 사고가 발생한 때에는 누구에게 통지해야 하는가?

핵심 해설 이 문제는 의료법에 따른 진료정보 침해사고 통지 의무를 묻고 있어요. 의료기관에서 전자의무기록(EMR) 해킹, 내부 유출 등으로 환자의 민감한 진료정보가 유출되는 사고가 발생했을 때, 누구에게 가장 먼저 보고해야 하는지 그 법적 책임 소재를 아는 것이 핵심이에요.

핵심 개념 분석 (Key Concept): 의료법 제23조의3(진료정보 침해사고의 통지)은 정보 주체인 환자 보호와 국가 차원의 신속한 사고 대응 체계 마련을 위해 만들어졌어요. 단순히 병원 내부의 행정 문제로 끝나는 것이 아니라, 국민 건강과 직결된 문제이기 때문에 보고 체계가 중앙 정부 부처로 바로 연결되는 구조예요.

정답 근거 (Answer Rationale): 의료법 제23조의3에 따르면, 의료인 또는 의료기관 개설자는 전자의무기록에 대한 전자적 침해행위로 진료정보 유출 등의 사고가 발생하면 보건복지부장관에게 즉시 그 사실을 통지해야 해요. 핵심! 보건복지부장관은 의료정책을 총괄하는 중앙 행정기관의 장으로, 의료 정보 보호와 국가적 보건 위기 대응의 최종 책임자이기 때문이에요.

오답 분석 (Distractor Analysis): 혼동 주의! ① 보건소장과 ④ 시장·군수·구청장은 지역 보건 행정을 책임지는 기초자치단체장이에요. 감염병 신고 등 일반적인 보건 사무는 이들에게 하지만, '진료정보 침해사고'는 국가 차원의 개인정보 보호 및 보안 정책과 직결되므로 상급 기관인 보건복지부장관에게 직접 통지해요. ② 시·도지사 역시 광역자치단체장으로, 법에서 정한 통지 대상이 아니에요. ⑤ 국민건강보험공단 이사장은 보험 재정 및 자격 관리를 담당하는 기관장으로, 의료기관의 정보 보안 사고에 대한 직접적인 감독 권한이 없어요.

연관 개념 정리 (Related Concepts): 이 조항은 개인정보 보호법과도 연계되어 생각해야 해요. 의료정보는 민감정보로 분류되며, 유출 시 정보 주체인 환자에게도 반드시 통지해야 하는 의무가 별도로 발생해요. 또한, 의료법 제19조(비밀 누설 금지)와의 연관성도 함께 기억해두면 좋아요. 고의적인 유출뿐 아니라 관리 소홀로 인한 침해 사고 역시 법적 책임을 질 수 있어요. 개념 정리

구분	신고 대상	관련 법적 근거
진료정보 침해사고	보건복지부장관	의료법 제23조의3
감염병 발생 신고	관할 보건소장	감염병의 예방 및 관리에 관한 법률
의료기관 개설 신고	시장·군수·구청장	의료법 제33조

한눈에 비교! 혼동 주의! 진료정보 침해사고는 보건복지부장관에게, 일반적인 개인정보 유출 사고는 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고하는 것과 구별해서 기억해야 해요. 의료 분야는 특별법인 의료법이 우선 적용돼요. 국시 빈출 포인트 물리치료사 국가고시 의료관계법규 파트에서는 각종 신고·보고 의무의 주체를 묻는 문제가 빈출돼요. 특히 보건소장, 시장·군수·구청장, 시·도지사, 보건복지부장관 중 누구에게 보고하는지를 정확히 구분하는 것이 중요해요. 진료정보 침해사고 통지는 행정 체계상 상위 기관에 직접 보고하는 특별한 사례로 꼭 암기해두세요. 기출 변형 주의! 단순히 '누구에게 통지하는가'를 묻는 것에서 나아가, '통지해야 하는 사유'를 구체적인 사례로 제시하는 문제가 출제될 수 있어요. 예를 들어, "내부 직원이 환자의 진료 기록을 무단으로 USB에 복사하여 외부로 유출한 경우, 의료기관 개설자는 누구에게 통지해야 하는가?"와 같은 임상 사례형으로 변형될 수 있어요.

임상 실무 가이드 임상 시나리오 (Clinical Scenario): 물리치료실에서 일하는 물리치료사 A씨는 전자의무기록(EMR) 시스템을 통해 환자의 과거 병력과 영상 자료를 열람하고 있었어요. 점심시간에 잠시 자리를 비운 사이, 누군가 A씨의 로그인 세션을 이용해 여러 환자의 진료 기록을 무단으로 열람하고 인쇄해 갔다는 사실을 뒤늦게 알게 되었어요. 이는 단순한 개인정보보호 위반을 넘어 의료법 상 '진료정보 침해사고'에 해당될 수 있어요.

평가 및 중재 전략 (Assessment & Intervention): 이러한 사고가 발생했을 때 가장 먼저 해야 할 일은 병원 내 정보보호 담당자나 개설자에게 즉시 알리는 거예요. 개설자는 법에 따라 보건복지부장관에게 지체 없이 통지해야 하며, 동시에 정보가 유출된 환자에게도 그 사실과 피해 최소화 방안을 안내해야 해요. 물리치료사는 평소 핵심! 로그인 정보를 절대 공유하거나 메모해두지 말아야 하며, 업무 외 목적으로 환자 정보를 열람하는 행위는 절대 금물이에요.

환자 안전 및 주의사항 (Precautions): 위험신호! 의료인 개인의 태만으로 인한 진료정보 유출 사고도 법적 책임을 면할 수 없어요. 의료법 제19조에 따른 비밀 누설 금지 위반으로 형사 처벌을 받을 수 있으며, 면허 정지 등 행정 처분의 대상이 될 수도 있어요. 항상 화면 보호기 설정, 로그아웃 생활화, 비밀번호 주기적 변경 등 기본적인 보안 수칙을 준수해야 해요.
환자교육 프로토콜: 환자에게 진료정보 유출 사실을 통보할 때는 당황하지 않고 정확한 사실과 향후 대응 계획을 설명해야 해요. "개인정보가 유출되어 불편을 끼쳐드린 점 사과드립니다. 현재 기관 차원에서 보건복지부에 신고하고 개인정보보호위원회의 지침에 따라 피해 확산을 막기 위한 조치를 취하고 있습니다."와 같은 투명한 소통이 신뢰 회복의 첫걸음이에요.
선배 물리치료사의 한마디: "국시 문제를 풀 때, 왜 하필 보건복지부장관일까? 생각해보면 좋아요. 동네 병원의 작은 해킹 사고 하나가 전국적인 의료 정보 시스템에 대한 불신으로 번질 수 있기 때문에, 정부는 이를 심각한 사회적 위험으로 인식하고 중앙에서 직접 관리하는 거예요. 우리는 환자의 몸뿐 아니라 소중한 개인 정보까지 지키는 전문가라는 책임감을 항상 가져야 해요!"