○○병원이 의무기록 접근 권한을 설정하려고 한다. 권한 관리의 원칙으로 옳은 것은?

접근 권한은 업무 수행에 필요한 최소한의 범위로 제한하는 것이 원칙이다. 「의료법」 제23조는 전자의무기록의 안전한 관리를 위한 접근권한자 지정과 접속기록 보관을 요구한다.

의료기관에서 의무기록은 환자의 진료 정보와 민감한 개인정보가 집약된 핵심 데이터입니다. 따라서 접근 권한을 설정할 때는 ‘누가, 어디까지, 왜 접근해야 하는가’를 명확히 구분하는 통제 원칙이 가장 중요합니다. 보건행정과 의료관계법규 영역에서 권한 관리는 단순한 시스템 설정 문제가 아니라, 환자 프라이버시 보호와 의료정보 보안이라는 법적·윤리적 의무를 실현하는 절차로 이해해야 합니다.

최소 권한의 원칙
정답인 ‘필요한 최소한의 범위로 제한한다’는 정보보안과 의료정보 관리에서 기본이 되는 최소 권한의 원칙(principle of least privilege)을 반영합니다. 의무기록 접근 권한은 직무상 실제로 필요한 범위까지만 허용해야 하며, 같은 병원 안에서도 직종, 부서, 진료 참여 여부에 따라 접근할 수 있는 정보의 종류와 깊이가 달라져야 합니다. 예를 들어 원무과 직원은 보험 청구에 필요한 최소한의 행정 정보만 조회할 수 있어야 하고, 진료에 직접 참여하지 않는 타 진료과 의사가 환자의 전체 기록을 열람하는 것은 제한되어야 합니다.

세분화된 접근 통제
근거 자료에서 제시된 세분화된 접근 제어(granular access control) 개념은 이 원칙을 구체화한 것입니다. 블록체인 기반 전자의무기록 시스템을 다룬 연구에서는 접근 권한을 단순히 ‘있거나 없거나’의 이분법으로 두지 않고, 여러 수준의 세분화된 권한 부여가 가능하도록 설계해야 한다고 설명합니다 ^[1]. 이는 의료기관 현장에서도 동일하게 적용됩니다. 동일한 의무기록이라도 진단명, 검사 결과, 투약 기록, 사회력 등 항목별로 접근 권한을 달리 설정할 수 있어야 하며, 열람만 가능한 권한과 수정까지 가능한 권한도 구분되어야 합니다.

역할 기반 접근 제어
또 다른 연구에서는 역할 기반 접근 제어(role-based access control, RBAC) 모델을 적용하여 의료 데이터 접근 과정에서 발생할 수 있는 프라이버시 유출 문제를 해결하고자 했습니다 ^[2]. RBAC는 개인별로 권한을 일일이 부여하는 대신, 직무 역할(role)에 따라 권한을 묶어 관리하는 방식입니다. 의사, 간호사, 약사, 원무 담당자, 의무기록사 등 역할마다 접근할 수 있는 데이터 범위와 허용되는 행위를 사전에 정의해 두면, 인사이동이나 신규 채용 시에도 일관된 권한 정책을 유지할 수 있습니다. 이는 보기 1번의 ‘모든 직원에게 동일한 권한 부여’가 왜 위험한지 보여줍니다. 동일 권한은 접근이 불필요한 직원에게까지 환자 정보를 노출시켜 유출 위험을 높이고, 내부 감사 시에도 누가 어떤 목적으로 기록을 열람했는지 추적하기 어렵게 만듭니다.

환자 중심의 권한 설정과 그 한계
환자가 자신의 의료정보 공유 범위를 직접 통제할 수 있도록 설계한 플랫폼도 연구되고 있습니다. iAgree 시스템은 환자가 여러 의료기관에 흩어진 전자의무기록 데이터를 연구자와 공유할지 여부를 본인의 동의(consent)에 따라 관리할 수 있게 합니다 ^[3]. BlockCare 역시 환자가 자신의 건강 데이터를 저장하고 관리하며 접근을 통제할 수 있는 구조를 제안합니다 ^[4]. 그러나 이러한 환자 중심 모델은 연구 목적의 데이터 공유나 개인 건강 기록(PHR) 환경에서 의미가 있는 것이지, 병원 내부의 의무기록 접근 권한 전체를 환자가 지정한다는 의미는 아닙니다. 의료법상 의무기록은 의료기관이 작성·보관하는 법정 기록물이며, 진료의 연속성과 의료 질 향상을 위해 의료진은 환자의 직접적인 개별 동의 없이도 진료 목적 범위 안에서 기록에 접근할 수 있어야 합니다. 따라서 보기 5번처럼 ‘환자 본인이 직접 권한을 지정한다’는 것은 병원 내부 권한 관리의 일반 원칙으로 적절하지 않습니다.

권한 관리의 실무 적용
보기 3번의 ‘의사에게만 접근 권한을 부여한다’는 것도 옳지 않습니다. 의무기록은 의사뿐 아니라 간호사, 약사, 의무기록사, 보험심사 담당자 등 여러 직종이 각자의 업무 범위 안에서 접근해야 정상적인 의료서비스 제공과 행정 처리가 가능합니다. 다만 접근 범위는 역할에 따라 달라야 하며, 그 범위는 최소 권한 원칙에 따라 제한되어야 합니다. 보기 4번의 ‘별도의 권한 관리는 필요하지 않다’는 의료법상 의무기록 보존·관리 의무와 개인정보보호법상 안전조치 의무를 모두 위반하는 태도입니다. 의료기관은 접근 권한을 설정하고, 접근 기록을 보존하며, 정기적으로 권한을 점검하는 체계를 갖추어야 합니다.

결국 의무기록 접근 권한 관리의 핵심은 직무상 필요에 따라 최소 범위로 제한하고, 역할별로 세분화하여 통제하며, 접근 내역을 추적 가능하게 관리하는 것입니다. 이는 단순한 기술적 설정이 아니라 환자 프라이버시 보호와 의료정보 신뢰성 유지를 위한 보건행정의 기본 원칙입니다 ^[1][2][3][4].