보건복지부장관은 진료정보 침해사고의 통지를 받거나 그 발생 사실을 알게 되면 어떻게 하여야 하는가?

핵심 해설 이 문제는 의료법(Medical Service Act)에 따른 진료정보 침해사고 발생 시 보건복지부장관의 법적 의무를 묻고 있어요. 단순히 정보가 새어나간 사고 자체에 대한 대응보다, 사고 발생을 인지한 후 누구에게 알려야 하는지 그 통보 대상을 정확히 아는 것이 핵심이에요. 핵심 개념 분석 (Key Concept): 의료법 제23조의3은 진료정보 침해사고의 통지 및 보고 체계를 규정하고 있어요. 의료기관이나 전자의무기록시스템(EMR) 사업자 등이 침해사고를 인지하면 보건복지부장관에게 즉시 통지해야 하고(1항), 그 통지를 받은 보건복지부장관은 다시 관계 행정기관에 통보해야 할 의무가 있어요(2항). 여기서 '관계 행정기관'이란 침해사고의 원인 규명, 피해 확산 방지, 재발 방지 등의 행정적 조치를 취할 수 있는 기관을 의미해요. 정답 근거 (Answer Rationale): 핵심! 의료법 제23조의3 제2항은 "보건복지부장관은 제1항에 따라 진료정보 침해사고의 통지를 받거나 진료정보 침해사고가 발생한 사실을 알게 되면 이를 관계 행정기관에 통보하여야 한다"라고 명시하고 있어요. 따라서 보건복지부장관의 1차적인 후속 조치는 통보임을 명확히 기억해야 해요. 오답 분석 (Distractor Analysis): 혼동 주의! ①번 경찰에 고발: 진료정보 침해가 개인정보보호법 등 다른 법률 위반 소지가 있어 수사가 필요할 수 있지만, 의료법이 보건복지부장관에게 직접 부여한 의무는 '고발'이 아니라 '통보'예요. 혼동 주의! ②번 즉시 과태료 부과: 보건복지부장관에게 행정처분 권한이 있으나, 침해사고 통지를 받은 즉시 '과태료를 부과'하는 것이 법에 규정된 절차는 아니에요. 사실관계 확인 등 선행 절차가 필요해요. 혼동 주의! ③번 건강보험공단에 보고: 건강보험공단은 보험자로서 진료정보를 다루지만, 침해사고 발생 시 보건복지부장관이 1차적으로 통보해야 할 '관계 행정기관'의 범위에 건강보험공단이 특정되어 있지는 않아요. 통상적인 보고 체계와 혼동하지 않아야 해요. 혼동 주의! ⑤번 개인정보보호위원회에 이첩: 개인정보보호위원회는 개인정보 보호 총괄 기관으로, 침해사고 시 신고 및 통지 대상이 될 수 있어요. 하지만 이는 개인정보보호법상의 절차이고, 의료법은 보건복지부장관으로 하여금 '관계 행정기관'에 통보하도록 하고 있어요. 이첩은 사건 자체를 넘겨 관할을 이전하는 의미가 강해, 통보보다 더 적극적인 용어라 이 문맥에는 적절하지 않아요. 연관 개념 정리 (Related Concepts): 진료정보 침해사고 대응 체계에서 의료기관의 통지 의무와 보건복지부장관의 통보 의무는 연결되어 있어요. 통지 대상자의 규모, 통지 시기, 통지 방법 등도 함께 알아두면 좋아요. 개념 정리

구분	의무 주체	법적 근거
1차 통지	의료기관장, 전자의무기록시스템 사업자 등	의료법 제23조의3 제1항
2차 통보	보건복지부장관	의료법 제23조의3 제2항

한눈에 비교!

용어	주체	대상	법률
통지	의료기관 등	정보주체(환자), 보건복지부장관	의료법 제23조의3 제1항
통보	보건복지부장관	관계 행정기관	의료법 제23조의3 제2항
신고	개인정보처리자	개인정보보호위원회, 한국인터넷진흥원(KISA)	개인정보보호법 제34조

암기 팁 "의료기관은 통지, 복지부장관은 통보!"라고 주체와 행위를 연결해서 외워보세요. 장관이 직접 수사기관에 고발하거나 과태료를 매기는 것이 아니라, 관련 기관에 상황을 알리는(통보) 첫 단추 역할을 한다고 기억하면 쉬워요.
국시 빈출 포인트 의료법상 진료정보 침해사고 관련 조항은 정보보호 이슈가 중요해지면서 국시에 점점 더 자주 등장하는 추세예요. 특히 1차 통지 의무자(의료기관)와 2차 통보 의무자(보건복지부장관)의 구분, 그리고 통지/통보 시기(예: 1천 명 초과 시 5일 이내 공지 등)까지 세부적으로 묻는 문제가 나올 수 있어요.
기출 변형 주의! "다음 중 보건복지부장관이 아닌 의료기관장의 의무인 것은?" 또는 "진료정보 침해사고 통지 및 통보 시기에 대한 설명으로 옳은 것은?" 식으로 변형되어 출제될 수 있어요. 행위의 주체를 정확히 구분하는 것이 중요해요.

임상 실무 가이드 임상 시나리오 (Clinical Scenario): 당신이 근무하는 재활병원의 EMR 시스템이 해킹을 당해 3,000명의 환자 진료정보가 유출된 사실을 알게 되었어요. 시스템 관리팀은 즉시 병원장에게 보고했고, 병원장은 이 사실을 보건복지부장관에게 통지했어요. 이때 보건복지부장관은 이 사실을 바탕으로 어떤 행정적 조치의 첫 단계를 밟을까요? 평가 및 중재 전략 (Assessment & Intervention): 이 상황에서 보건복지부장관은 법에 따라 한국인터넷진흥원(KISA)이나 경찰청 등 관계 행정기관에 통보하여 침해 원인을 분석하고 추가 피해를 막도록 해야 해요. 병원 입장에서는 장관의 통보가 이루어질 것이라는 사실을 인지하고, 유출된 환자들에게 직접 개별 통지를 준비하고, 5일 이내에 병원 홈페이지 등에 사과문과 유출 사실을 공지하는 등의 후속 조치를 병행해야 해요. 환자 안전 및 주의사항 (Precautions): 진료정보 유출은 환자의 사생활을 심각하게 침해하는 중대한 사고예요. 병원은 단순히 장관에게 통지하는 것으로 의무가 끝나는 것이 아니에요. 환자에게 지체 없이 유출된 정보의 내용, 대응 조치, 피해 구제 절차 등을 알려야 하며, 이를 소홀히 할 경우 별도의 과태료 처분을 받을 수 있어요.
선배 물리치료사의 한마디 물리치료사도 진료 기록을 매일 다루는 의료인으로서 환자 정보 보호의 중요성을 항상 마음에 새겨야 해요. 단순히 법 조항을 암기하는 것을 넘어, '내 환자의 소중한 정보가 유출되면 어떤 과정으로 처리되는지'에 대한 흐름을 이해하는 것이 전문가로서의 첫걸음이에요. 국시에 나오는 의료법은 이렇게 임상과 연결 지어 생각하면 훨씬 친근하게 다가온답니다!