환자 개인정보·진료정보 유출

직원의 무단 열람인지, 외부 공격인지, 업무상 실수로 잘못 보낸 것인지에 따라 대응이 다릅니다. EMR 접속기록으로 열람한 계정과 시각, 화면을 확인하고 해당 직원의 진술을 받아 둡니다. 접속기록은 시간이 지나면 덮어쓰일 수 있으니 바로 보존하세요.

직원 개인의 일탈이라도 병원이 업무별로 접근 권한을 나누지 않았거나 공용 아이디를 써 왔다면 안전조치 의무 위반이 함께 문제 될 수 있습니다.

유출 사실을 알게 되면 피해 환자에게 유출 항목, 시점과 경위, 피해를 줄이는 방법, 병원의 조치와 연락처 등을 알려야 합니다. 정보의 종류와 규모에 따라 개인정보보호위원회 등에 신고할 의무가 생기고, 해킹으로 EMR이 침해됐다면 보건복지부 통지도 해야 합니다.

통지 문구는 이후 손해배상과 형사 절차에서 그대로 증거가 됩니다. 사실관계가 다 밝혀지지 않았다면 확인된 범위만 적고 추가로 확인 중이라고 밝히는 편이 안전합니다.

무단 열람·유출한 직원은 의료법과 개인정보 보호법 위반으로 처벌될 수 있고, 의료법 위반은 피해 환자의 고소가 있어야 합니다. 병원은 양벌규정에 따라 함께 벌금을 받을 수 있지만, 위반을 막기 위해 상당한 주의와 감독을 했다면 면책됩니다.

그래서 평소의 교육 기록, 보안 서약서, 계정 관리 내역이 중요합니다. 사고 뒤 직원 징계는 근로기준법 절차에 맞게 밟아야 해고 다툼이 따로 생기지 않습니다.