의료법 제19조는 의료행위 과정에서 알게 된 타인의 정보를 누설하거나 발표하지 못하도록 규율합니다. 이 조항의 핵심은 단순히 ‘의료인’만이 아니라, 의료기관 또는 의료 관련 업무 구조 안에서 환자 정보에 접근할 수 있는 일정한 지위에 있는 사람을 폭넓게 포섭한다는 점입니다. 따라서 시험에서는 “누가 정보 누설 금지 의무를 지는가”보다 “누가 그 적용 대상에서 빠지는가”를 묻는 방식으로 자주 출제됩니다.
의료법상 정보 누설 금지의 기본 구조
의료법 제19조 제1항은 의료업에 종사하는 의료인, 의료기사, 의무기록사, 간호조무사 등 의료기관 종사자에게 “의료행위 또는 그 밖의 업무상 알게 된 다른 사람의 정보”를 누설하거나 발표하지 못하도록 정하고 있습니다. 여기서 중요한 것은 ‘업무상 알게 된’이라는 문언입니다. 단순히 의료기관에 방문했다는 사실만으로 의무가 생기는 것이 아니라, 의료기관의 업무 구조 안에서 환자 정보를 취급하는 지위에 있어야 한다는 뜻입니다.
보기 1번의 ‘의료 업무에 종사하는 의료인’과 보기 2번의 ‘의료기관에 근무하는 종사자’는 법문에 직접 열거된 적용 대상입니다. 보기 4번의 ‘비대면진료 중개 업무에 종사하였던 자’와 보기 5번의 ‘의료기관 인증에 관한 업무에 종사하는 자’도 각각 의료법 제34조의2, 제58조의4 등에서 정보 누설 금지 의무를 별도로 규정하고 있어 적용 대상에 포함됩니다. 특히 ‘종사하였던 자’라는 표현에 주목해야 하는데, 퇴직 후에도 재직 중 알게 된 정보에 대한 비밀유지의무가 유지된다는 점을 묻는 함정이 자주 등장합니다.
환자 보호자가 적용 대상이 아닌 이유
보기 3번의 ‘의료기관을 이용한 환자의 보호자’는 정보 누설 금지의 적용 대상이 아닙니다. 의료법 제19조가 규율하는 주체는 어디까지나 의료기관 또는 의료 관련 업무에 종사하는 사람입니다. 환자의 보호자는 의료기관의 업무 수행자가 아니므로, 설령 진료 과정에서 환자나 다른 사람의 정보를 알게 되더라도 의료법상 정보 누설 금지 조항의 직접적인 규율 대상이 되지 않습니다.
다만 보호자라고 해서 정보를 마음대로 유출해도 된다는 뜻은 아닙니다. 보호자가 알게 된 정보를 무단으로 유출한 경우에는 의료법이 아니라 민법상 불법행위 책임이나 개인정보 보호법 위반, 명예훼손 등 다른 법리에 따라 책임을 질 수 있습니다. 의료법 제19조의 적용 ‘대상’을 묻는 문제에서는 이러한 법 적용의 경계를 정확히 구분하는 것이 중요합니다.
실무적 관점에서의 함의
의료기관에서 근무하다 보면 환자 보호자가 진료 정보를 사진으로 찍거나 SNS에 공유하는 상황을 접할 수 있습니다. 이때 보호자는 의료법상 정보 누설 금지의 적용 대상이 아니므로, 의료기관 차원에서는 개인정보보호법상 개인정보처리자로서의 관리 의무, 내원 시 고지한 주의사항, 진료 협조 과정에서의 비밀유지 요청 등을 통해 간접적으로 대응하게 됩니다. 반면 의료기관 종사자가 개인 메신저로 환자 정보를 공유하는 행위는 의료법 위반에 해당할 수 있어, 최근 연구에서도 병동 간 WhatsApp 사용이 환자 기밀 유지와 데이터 보안 측면에서 우려를 낳는다는 지적이 제기된 바 있습니다
[1]. 이는 정보 누설 금지 의무가 의료기관 내부의 모든 직종과 퇴직자, 인증업무 종사자에게까지 폭넓게 적용된다는 점을 보여줍니다.