직원이 지인의 진료기록을 몰래 봤을 때 병원의 책임

EMR 계정만 있으면 누구의 기록이든 열어 볼 수 있는 병원이 아직 적지 않습니다. 아는 사람이 진료받았다는 소식에 호기심으로 기록을 열어 본 일이 몇 달 뒤 환자의 항의로 돌아오기도 합니다. 직원 한 명의 일탈처럼 보이지만, 그 병원이 평소 무엇을 해 왔는지가 함께 심사됩니다.

직원 개인이 지는 책임

의료인과 의료기관 종사자는 업무 중 알게 된 다른 사람의 정보를 누설할 수 없고(의료법 제19조), 환자가 아닌 사람에게 환자 기록을 열람하게 하거나 사본을 내줄 수 없습니다(제21조 제2항). 위반하면 3년 이하 징역이나 3천만원 이하 벌금이고, 이 죄는 피해자의 고소가 있어야 공소를 제기할 수 있습니다.

개인정보 보호법은 더 무겁습니다. 업무상 알게 된 개인정보를 누설하거나 권한 없이 이용·유출하면 5년 이하 징역 또는 5천만원 이하 벌금입니다(제71조). 건강에 관한 정보는 민감정보로 분류돼 별도의 동의나 법령 근거가 있어야 처리할 수 있습니다.

호기심 열람만 문제 되는 것은 아닙니다. 보호자라는 말만 믿고 전화로 검사 결과를 알려 주는 것도 제21조 제2항 위반이 될 수 있습니다. 가족이 기록을 확인하려면 환자의 동의서와 친족관계를 증명하는 서류 등 법이 정한 서류가 필요하므로, 접수와 전화 응대 원칙을 미리 정해 두어야 합니다.

병원이 지는 책임

병원은 양벌규정에 따라 함께 벌금을 받을 수 있지만, 위반을 막기 위해 상당한 주의와 감독을 했다면 면책됩니다. 손해배상에서도 개인정보 보호법은 처리자가 고의나 과실이 없음을 증명하지 못하면 책임을 지게 합니다. 결국 병원이 내밀 수 있는 것은 평소에 남겨 둔 기록입니다.

• 업무별로 나눈 EMR 접근 권한
• 개인별 계정 사용과 공용 아이디 금지
• 보안 서약서와 정기 교육 기록
• 접속기록을 주기적으로 점검한 내역

접근 권한을 나누지 않고 공용 아이디를 써 왔다면, 직원 개인의 일탈이라도 병원의 안전조치 의무 위반이 함께 문제 될 수 있습니다. 사고가 난 뒤 급히 받은 서약서는 이 점에서 큰 도움이 되지 않습니다.

알게 된 뒤의 조치가 책임을 정합니다

유출을 알게 되면 피해 환자에게 지체 없이 알려야 하고, 정보의 종류와 규모에 따라 개인정보보호위원회 등에 신고해야 합니다(개인정보 보호법 제34조). 해킹으로 전자의무기록이 침해됐다면 보건복지부장관에게도 통지해야 합니다(의료법 제23조의3). 통지 문구는 이후 소송에서 증거가 되므로 확인된 사실 범위만 적고, 추가로 확인 중인 부분은 그렇다고 밝히는 것이 안전합니다.

접속기록은 시간이 지나면 덮어쓰일 수 있으니 사고를 안 날 바로 보존하세요. 해당 직원의 징계는 근로기준법 절차에 맞춰야 합니다. 사고를 서둘러 수습하려다 해고 다툼이라는 두 번째 분쟁을 만드는 경우가 있습니다. 퇴사하는 직원이 환자 명단이나 연락처를 가지고 나가는 일도 같은 법리로 다뤄지니, 퇴사 절차에 계정 삭제와 자료 반납 확인을 넣어 두세요.