법무법인 엘케이파트너스

▲ 7일부터 진료예약을 할 때 주민등록번호를 수집하는 것이 금지됨에 따라 대형병원 외래 창구의 혼란이 예상된다. <사진은 본문 기사와 관련 없음>

부산 A병원은 최근 인터넷을 통한 진료예약을 일시 중단했다. 오는 8월 7일부터 주민등록번호를 수집하지 못하도록 '개인정보 보호법'이 강화됨에 따라 주민등록번호 대신 다른 대체수단을 마련하기 위해 내린 고육지책이다.
정부는 카드사와 은행권의 개인정보가 대량 유출되는 사태가 잇따라 발생하자 지난해 8월 정부는 사회 전 분야에서 주민등록번호를 수집하지 않는 환경을 구축하겠다며 '개인정보 보호법'을 대폭 강화했다.

법 개정 이전까지 정보 주체로부터 별도의 동의를 받은 경우 개인정보 수집을 허용해 왔으나 △법령에서 구체적으로 허용한 경우 △정보 주체 또는 제3자의 급박한 생명·신체·재산 이익을 위해 명백히 필요하다고 인정된 경우 △안전행정부령으로 정하는 경우 이외에는 원칙적으로 주민등록번호 수집을 금지키로 했다. 시행일은 1년 뒤인 2014년 8월 7일로 잡았다.

벌칙도 대폭 강화했다. 주민등록번호 수집 규정을 위반한 경우 3000만원의 과태료를, 개인정보 유출시 안전성 확보 조치를 하지 않았을 경우 최대 5억원의 과징금을 부과키로 했다.

이미 보유하고 있는 주민등록번호 중 법령상 근거가 없는 경우에는 법 시행 후 2년(2016년 8월 6일) 이내에 파기하도록 했다.

의료계는 정부가 개인정보 보호법을 강화하겠다고 발표할 당시만 해도 크게 신경을 쓰지 않는 분위기였다. 개인정보 보호법은 일반법이므로 다른 법률에 특별한 규정이 있는 경우 이를 먼저 적용할 수 있다는 법 적용 우선순위의 원칙을 믿었기 때문이다.

현행 의료법 시행규칙에는 진료기록부·조산기록부·간호기록부·환자명부·수술기록부·처방전 등에 한 해 개인정보 수집·열람·제공을 허용하고 있다.

하지만 2013년 12월 보건복지부가 '의료기관 개인정보 가이드라인'을 발표하면서 극심한 혼란에 빠졌다.

보건복지부는 가이드라인을 통해 인터넷·전화 등에 의한 진료 예약시 동의없이 수집할 수 있는 개인정보 항목으로 주민등록번호는 제외한 채 ▲성명 ▲생년월일 ▲주소 ▲연락처를 제시했다.

보건복지부는 '인터넷 진료예약시 주민등록번호를 요구하는 것이 개인정보보호법에 저촉되는가?'라는 질문에 "인터넷 진료예약시 환자의 주민등록번호 수집은 불가하다"며 "인터넷 진료예약에서는 성명·전화번호·생년월일 등 최소한의 정보를 수집하고, 진료를 받기 위해 환자가 내원하는 경우 주민등록번호를 포함해 진료기록부를 작성해야 한다"고 밝혀 진료예약을 할 때 의료기관이 주민등록번호를 수집하는 것이 불가하다는 방침을 밝혔다.

개인정보 보호법 개정안 보다 더 수위가 높은 보건복지부의 가이드라인으로 8월 7일부터 인터넷 홈페이지나 전화로 예약할 때 주민등록번호를 수집하는 것이 원칙적으로 금지되면서 일선 의료기관은 적지 않은 혼란이 불가피할 전망이다.

병원계는 "의료기관의 환자정보관리체계는 주민등록번호를 기반으로 하고 있는데 예약을 받을 때 주민등록번호를 수집하지 못하게 되면 사실상 환자정보관리를 할 수 없는 상황이 벌어지게 된다"며 "환자 진료에 막대한 차질이 빚어지게 될 것"이라고 우려했다.

A병원 관계자는 "조만간 주민등록번호를 대체할 수 있는 휴대폰 본인인증이나 아이핀(I-PIN)을 도입할 계획이지만 이는 단순히 환자 확인을 위한 수단일 뿐 주민등록번호를 기반으로 하고 있는 환자관리시스템을 바꾸지 않고서는 근본적인 해결책이 될 수 없다"고 지적했다.

진료환자가 그리 많지 않은 지방병원이나 중소병원들은 그나마 나은 편이다.

하루 평균 수 천 명 이상의 외래환자를 진료하고 있는 수도권지역 대학병원들은 주민등록번호 없이 어떻게 예약업무를 처리해야 할 지 난관에 봉착했다.

등록환자가 수백만명에 달하는 B대학병원의 경우 생년월일과 성명이 동일한 환자가 다수 있어 진료·검사·투약 과정에서 엉뚱한 환자의 정보가 사용될 위험이 있는 것으로 파악됐다.

B대학병원 전산팀 관계자는 "의료기관의 환자관리 시스템이 주민등록번호를 기초로 하고 있기 때문에 이를 사용하지 못하게 되면 전화나 인터넷으로 진료 예약을 받지 못하는 상황이 발생할 수 있다"고 우려했다.

이 관계자는 "재진 환자는 병원 전산시스템을 통해 미리 확보하고 있는 환자의 생년월일·성별·주소 등을 통해 등록돼 있는 진찰권번호를 확인하고, 진료 예약업무를 진행할 수 있지만 초진환자는 이같은 정보가 없기 때문에 이중등록 문제가 발생할 수 있어 아예 진찰권번호를 부여하지 못할 수 있다"며 "일단 진찰권번호를 부여하더라도 접수단계에서 다시 임시 번호를 확인하고 나머지 정보를 수정한 후 등록번호를 다시 부여받는 여러 단계를 거쳐야 하므로 이중삼중의 혼란이 예상된다"고 지적했다.

서울대병원에서 개인정보 보호업무를 맡고 있는 김태우 씨는 "환자의 진료정보는 단 하나의 오류도 있어서는 안되기 때문에 주민등록번호를 파악할 수 없는 신환의 경우 예약업무가 사실상 곤란하다"며 "생년월일과 이름으로 등록번호를 생성한다 하더라도 정확한 식별을 할 수 없기 때문에 진료절차에 오류가 발생할 수 있다"고 설명했다.

환자관리시스템 주민등록번호 기반…예약업무 중단 사태 올수도

이전까지 주민등록번호로 예약한 후 진료 당일 창구를 거치지 않고, 곧바로 진료실과 검사실을 방문하던 환자들도 반드시 예약창구를 거쳐 주민등록번호를 확인해 입력하고, 등록절차를 다시 거쳐야 하는 불편을 감수해야 한다.

일선 병원들의 혼란이 가중되자 병협은 7월 25일 "의료기관을 이용하는 환자의 대다수가 사전 예약제를 이용하고 있고, 이는 환자의 의료기관 이용편의와 환자 안전관리 등 의료기관의 효율적 운영을 위해 필요한 사항"이라며 "주민등록번호 수집을 금지할 경우 환자의 이용 불편 및 환자안전에 심각한 문제가 발생할 수 있으므로 사전예약제 운영에 꼭 필요한 주민증록번호 수집이 가능하도록 개인정보 보호법 시행령을 바꿔달라"고 건의했다.

한원곤 병협 대변인은 "초진환자의 약 60%가 전화·인터넷 등 사전진료 예약으로 이뤄지고 있는 상황에서 주민등록번호의 수집을 금지할 경우 본인확인을 위해 환자가 내원했을 때 다시 접수창구에서 재접수해야 하므로 환자 불편과 민원 발생이 늘어날 것"이라며 "환자 편의를 위한 사전예약제 운영이 무의미해 진다"고 설명했다.

대부분의 환자들이 환자등록번호를 외우지 못하고 있는 것도 문제다.

등록환자가 총 400만 명이 넘는 B대학병원의 경우 진료예약이나 검사에 관해 문의할 때 환자 본인 확인이 곤란한 경우가 월 평균 10만 건에 달할 것으로 예상했다. 환자가 주민등록번호를 불러주면 간단히 해결할 수 있는 문제를 주민등록번호 수집 불가라는 가이드라인 때문에 이렇지도 저러지도 못하는 상황이 발생할 수 있다는 것이다.

지방 C병원 원무과장은 "진료예약도 진료의 한 과정으로 봐야 함에도 예약만 따로 떼어 개인정보 보호법을 적용받도록 함으로써 의료기관 뿐만 아니라 환자들에게 불편을 주게 된다"며 "전형적인 탁상행정 때문에 빚어진 인재"라고 비판했다.

사전예약시 주민등록번호 수집금지로 인한 문제는 이 뿐만이 아니다.

중증난이도 환자의 경우 국민건강보험공단 서버를 통해 희귀난치·중증대상·보험자격·급여 제한·출국자 여부 등을 사전에 파악할 수 있지만 주민등록번호 수집이 금지되면 이같은 확인 업무가 불가능하다. 아울러 진료를 받기 전에 사전에 환자가 구비해야할 진료의뢰서를 비롯한 서류를 안내할 수 없어 의료기관을 방문했다가 다시 안내를 받아 재방문해야 하는 상황도 예상되고 있다.

D병원 법무팀 담당자는 "의료법 시행규칙에 따라 진료기록부와 환자명부 등에 주민등록번호를 기재하도록 하고 있다"며 "진료예약 역시 환자명부 작성을 위해 필요한 과정으로 볼 수 있음에도 가이드라인을 통해 주민등록번호 수집을 금지한 것은 법 해석을 너무 엄격히 한 것"이라고 언급했다.

주민등록번호 수집에 관한 의료법 상의 근거는 환자의 진료의사 선택을 규정한 제46조와 선택진료에 관한 규칙에서도 찾을 수 있다. 환자가 선택진료를 요청·변경·해지시 별지 서식을 제출하도록 규정하고 있는데 주민등록번호를 기입하는 난이 마련돼 있기 때문.

D병원 법무팀 담당자는 "안전행정부도 주민등록번호 수집 금지 제도 가이드라인을 통해 다른 법령상 법정 서식을 통해 주민등록번호 수집을 구체적으로 허용한 경우 현행대로 할 수 있도록 안내하고 있다"며 "법령상 근거는 없지만 반드시 주민등록번호를 수집해야 할 필요가 있는 경우에도 해당 소관부서를 통해 법령근거를 마련하도록 유연한 입장을 취하고 있다"고 지적했다.

병협은 "환자에게 적기에 치료기회를 보장하고, 편의를 도모하기 위해 사전 진료예약시 주민등록번호 수집은 필수"라며 안전행정부령을 개정해서라도 문제점을 개선해야 한다는 입장이다.

환자 정보 사전확인 불가…진료 차질 불가피

개인정보 대량 유출 사태가 잇따라 발생하고, 개인의 프라이버시를 강화하는 사회적인 분위기가 조성되면서 개인정보 보호의 중요성이 더욱 강조되고 있다.

정부는 개인정보 보호법·정보통신망법·신용정보법 등 개인정보에 관한 내용을 담고 있는 관련 법을 모두 정비해 유사·중복 조항을 통일화함으로써 개인정보를 더욱 일관성 있게 보호할 계획이다. 특히 악의적 정보 유출에 대해서는 외국처럼 막대한 징벌적 손해배상제도를 도입, 개인정보 보호에 소홀한 기업에 대해서는 막대한 손해배상 책임을 묻도록 할 방침이다.

의료계 내부적으로 진료예약시 주민등록번호 수집 금지라는 조치로 인해 상당한 혼란과 부작용이 발생할 것으로 예상되고 있지만 정부의 일관된 정책 방향은 개인정보 보호로 초점을 맞추고 있음을 인지해야 한다.

홈페이지 개인정보 보호에 관한 내용만 살펴보더라도 △법령에서 주민등록번호의 처리를 허용한 경우가 아니면서 주민등록번호를 처리한 경우 △개인정보 수집·이용시 필수사항 고지 위반 △제3자 제공시 필수사항 고지 위반 △안전한 비밀번호 규칙 적용 위반 등의 경우 3000만원 이하 과태료(1회 600만원) 처분을 받을 수 있다.

이경권 병원준법지원인 심화과정 지도교수(분당서울대병원 의료법무 전담교수·법무법인 엘케이파트너스 대표변호사)는 "의료기관들의 개인정보 보호에 관한 안전조치가 여전히 미흡한 상황"이라며 "자칫 진료정보가 대량으로 유출되는 사고가 벌어질 경우 적지 않은 배상 문제와 신뢰도 추락으로 인해 의료기관의 존립까지 위험한 상황에 직면할 수 있다"고 우려했다.

특히 민감한 진료정보를 관리하고 있는 병원에서 진료정보 유출 사태가 벌어질 경우 자칫 존폐 여부까지 걱정해야 하는 심각한 상황에 직면할 수 있음을 병원경영진들이 직시할 필요가 있다.

신용카드사 정보 유출을 둘러싼 소송의 경우 한 해 카드사 수익규모에 맞먹는 배상비용이 거론되고 있기 때문이다.

지난해 정부 합동점검단이 국내 대형병원 10곳을 대상으로 개인정보 보호 실태를 기획조사한 결과, 과태료 19건, 시정명령 6건 등 총 25건의 개인정보보호 관계법령을 위반한 것으로 집계됐다.

주요 위반 내용은 홈페이지에 동의 고지시 일부 수집항목에 대한 동의를 거부할 때 회원가입을 할 수 없도록 불이익을 주거나 선택 정보와 필수 정보를 구분하지 않은 경우를 비롯해 진료 목적 이외에 주민등록번호와 민감정보 수입에 대한 별도 동의를 위반한 사례 등이었다.

이와 함께 ▲홈페이지 및 정보시스템 유지보수 ▲용역위탁 계약서에 목적 및 안전성 확보 조치 사항 누락 ▲위탁 사실 미공개 ▲수탁사에 대한 관리감독 미실시 등 위탁계약시 필수사항을 누락하거나 관리감독을 의무를 위반한 사례도 적발됐다.

개인정보의 안전한 관리를 위한 조치를 이행하지 않은 사례로는 ▲DB에 대한 접근권한 부여·변경기록·접속기록 미보관 ▲고유식별정보 및 비밀번호 암호화 미실시 ▲웹서버 백신에 대한 보안업데이트 미실시 ▲전산실 출입통제 절차 미흡 등이 적발됐다.

같은 해 7월 보건·의료 기관을 대상으로 실시한 개인정보 보호 실태조사에서는 CCTV 안내판 설치는 82.3%로 높았으나 내부 관리계획 수립 및 시행(59.8%)·주민번호 암호화(64.1%) 등은 여전히 낮은 것으로 파악됐다. 상시 근로자 5인 미만인 소규모 의료기관은 내부관리계획을 수립하지 않아도 되지만 개인정보 보호법이 강화되는 추세여서 미리 대비할 필요가 있다.

이미정 단국의대 교수는 "의료기관들은 개인정보가 분실되거나 유출되지 않도록 내부관리계획 수립과 교육을 비롯해 접근통제·암호화·방화벽·백신 등 기술적인 조치와 안전한 보관시설 및 잠금장치 등 안전조치의무를 다하지 않으면 더 힘든 상황을 맞을 수 있다"고 우려했다.

개인정보 보호법 위반 사례는 이 뿐만이 아니다. 개인정보 보호법 강화로 인해 정보 제공주체인 환자의 동의를 받지 않으면 법을 위반하는 결과를 초래하므로 주의해야 한다.

전화로 병원에 입원하고 있는 환자에 대해 문의할 경우 환자의 동의없이는 진료 내용이나 입원실 정보를 알려줘선 안된다. 홈페이지를 운영하고 있는 의료기관이라면 주민등록번호를 수집하고 있지는 안는지 다시 한 번 살펴봐야 한다.

DM·SNS 등을 통한 홍보 역시 의료기관을 방문해 진료를 접수하는 단계에서 개인정보 활용에 대한 동의서를 받았을 때만 할 수 있다. 성인병 검진결과에서 나타난 이상소견에 따라 진료를 받도록 안내하는 경우에도 검사 접수를 받는 단계에서 동의를 받아둘 필요가 있다.

즉, 진료목적 이외에 개인정보를 이용하거나 제3자에게 제공할 경우 법률에 따라 학술연구·범죄 수사 등 예외 조항이 아닌 경우에는 환자의 동의를 미리 받아야 한다.

 개인정보 보호 더 강화 추세…사각지대 의료기관 미리 대비해야

올해 초 한국보건사회연구원이 발표한 <의료기관의 개인정보 보호현황과 대책> 보고서에 따르면 보안프로그램 설치 및 업데이트는 92.0%가 제대로 관리하고 있는 것으로 파악됐지만 ▲비밀번호 작성 규칙 수립 및 준수 여부(57.1%) ▲고유식별정보 암호화(59.0%) ▲바이오정보(13.3%) ▲비밀번호 암호화(69.5%) 등 암호화 수준은 낮은 것으로 조사됐다. 개인정보 보안조치를 한 병원은 평균 62.1%였고, 의원은 32.1%에 불과했다.

병원을 비롯한 기업체의 개인정보 보안업무를 맡고 있는 디에스엔텍의 김봉석 마케팅영업팀 과장은 "비교적 규모가 커 개인정보 보호 인력과 예산을 투입하고 있는 대형병원에 비해 예산도 적고, 전문인력도 거의 없는 중소병원이나 의원급 의료기관들은 개인정보 보호의 사각지대일 가능성이 높다"고 지적했다.

김 과장은 "개인정보의 대량유출 사고가 빈번하게 발생하고 있지만 여전히 관리적·기술적 보호조치가 미흡하다"며 "개인정보의 중요성에 대한 인식이 부족한 것도 큰 원인"이라고 지적했다.

최진욱 ㈜메디케어컨설팅 수석컨설턴트는 "의료계는 공급자 중심에서 소비자 중심으로 변화하고 있다"며 "소비자 중심으로 의료계가 개편될 경우 정보 보안에 대한 수동적 대처로는 시장에서 도태될 수밖에 없다"고 지적했다.

최 수석컨설턴트는 "경영자산의 전략적 활용 측면에서 정보 보안을 바라보는 시각을 갖고 예방하는 것이 가장 확실한 대비책"이라고 조언했다.