▲ 2014년 8월 개인정보보호법이 본격 시행되면서 진료 예약을 할 때 주민등록번호 수집을 금지하자 대형병원 외래 창구가 극심한 혼란을 빚었다. <사진은 본문기사와 관계없음>ⓒ의협신문 김선경
의료현실을 반영하지 못하고 있는 개인정보보호법으로 인해 2014년 '진료예약 파동'이 다시 불거질 수 있다는 우려가 나왔다. 내년 4월 이전까지 주민번호 수집·활용을 원칙적으로 금지한 개인정보보호법 개정안이나 의료법·국민건강보험법 시행령에 주민등록번호 수집·활용 규정을 명확히 신설하지 않을 경우 요양급여 비용 청구가 불가능한 사태도 벌어질 수 있을 것으로 예상된다.

배준익 변호사(법무법인 엘케이파트너스)는 26일 아주대병원에서 열린 의료기관 개인정보 보호 정책토론회에서 "현재 의료기관이 전화나 인터넷을 이용한 예약 단계에서 주민등록번호를 수집할 수 있는 법적 근거는 의료법 시행규칙 진료기록부 조항과 국민건강보험법 시행규칙의 요양급여 청구 조항에 근거한 유권해석에 따라 할 수 있지만 3월 29일 개인정보보호법 개정에 따라 내년 3월 30일 이후에는 법률이나 대통령령에 주민등록번호 수집·처리에 관한 구체적인 근거가 있어야 가능하다"며 "내년 3월 이전까지 법령을 바꾸지 않으면 의료기관이 주민등록번호를 이용하지 못할 수도 있다"고 지적했다.

실제 2014년 개인정보보호법이 강화되면서 전화나 인터넷을 이용해 진료예약을 하는 과정에서 주민등록번호를 수집하지 못하도록 하자 전산 예약을 포기한 채 직접 환자가 내원하도록 해 적지않은 혼란이 벌어졌다.

혼란이 커지자 행자부와 보건복지부는 주민등록번호 수집 근거를 담고 있는 의료법 시행규칙 진료기록부 조항과 국민건강보험법의 요양급여 청구 조항을 들어 유권해석을 변경, 예약단계에서의 주민등록번호 수집을 허용했다.

   
▲ 배준익 엘케이파트너스 변호사
하지만 9월 30일부터 민감정보 안정성 확보 조치를 한층 강화한 개인정보보호법 개정안 시행으로 ▲법률·대통령령·국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우(시행일 2017년 3월 30일) ▲정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우 ▲주민등록번호 처리가 불가피한 경우로서 안전행정부령으로 정하는 경우 외에는 원칙적으로 주민등록번호를 처리할 수 없도록 했다.

또한 개인정보처리자가 민감정보를 처리하는 경우에는 그 민감정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 조치를 의무화 했다.

개인정보보호법 강화로 주민등록번호 수집 법정주의가 강조되면서 시행규칙에 근거한 유권해석이 아닌 법률이나 대통령령을 신설하지 않는 한 내년 3월 30일 이후 주민등록번호 수집·활용이 불가, 한바탕 혼란이 불가피할 전망이다.

배 변호사는 "2015년 이후 행자부와 보건복지부는 병원급 의료기관에 대한 개인정보 관리실태를 점검해 병원 홈페이지와 전자의무기록 연동 시스템에 대한 이해 없이 개인정보보호법을 기계적으로 적용해 홈페이지의 정보를 파기하도록 하고, 과태료를 부과한 적이 있다"며 "의료기관이 소유한 진료기록부의 특성을 간과한 개인정보보호법 적용은 바람직하지 않다"고 밝혔다.

개인정보보호법은 원칙적으로 주민등록번호를 수집하지 못하도록 규정하고 있지만 의료계는 주민등록번호에 기반해 진료정보를 관리하고, 보험 심사와 청구에 활용하고 있는 실정이다.

배 변호사는 "주민등록번호를 의료기관에 제공하고 진료 예약을 한 자가 실제 진료를 받지 않은 경우 의료기관은 의료법 시행규칙에 따라 환자 명부를 5년간 보존해야 하지만 예약 부도 이후 즉시 개인정보를 파기하지 않았다고 과태료를 부과한 사례가 있다"며 "예약자의 지위를 어떻게 볼 것인지에 대한 명확한 방침이 필요하다"고 언급했다.

이와 함께 "의학계에서 연구목적으로 주민등록번호를 사용하고 있는 것까지 금지하면 연구의 맥이 끊어지게 된다"며 "오랜 연구가 사장되는 일이 없도록 의료분야의 특수성을 감안한 법률 개정이 이뤄져야 한다"고 조언했다.

병원계에서 민감한 개인정보를 보호하려는 인식을 높여야 한다는 점도 강조했다.

배 변호사는 "의료정보화 실태조사에 따르면 전자의무기록시스템에서 전자서명을 사용하지 않거나, 전산부서를 보유하지 않은 채 허술한 보안시스템을 유지하는 병원급 의료기관이 대다수"라며 "거의 모든 의료기관에서 전자의무기록시스템을 이용하고 있는 상황에서 의료정보 유출 가능성이 높아진 점을 고려할 때 의료기관 운영자들이 개인정보 유출 사고 가능성과 피해에 대한 경각심을 갖고, 보다 적극적으로 개인정보보호법 준수를 위해 노력해야 한다"고 말했다.

홍성권 EY 한영 이사 역시 "의료기관 경영진이 개인정보 보호에 더 많은 관심을 갖고 정보 보안에 대한 지도력과 의지를 보여야 한다"면서 "개인정보 보호와 정보 보안에 대한 투자와 함께 실무조직을 구성해야 한다"고 제안했다.

   
▲ 홍성권 회계법인 EY 한영 이사
홍 이사는 "개인정보보호에 관한 문제는 어느 한 개인 의료기관의 문제가 아니라 공동의 문제"라면서 "정보 보안업무를 지속적으로수행해 온 보안 전문가나 컨설턴트·변호사 등을 통해 자문을 구하는 것이 문제 해결의 방법 중 하나"라고 지적한 뒤 "의협이나 병협이 개인정보보호 전문가를 자문위원으로 위촉해 자문을 받아 공동으로 대응해야 한다"고 조언했다.

"개인정보보호 컨설팅 전문가를 활용해 법적 요건을 고려한 내부 규정을 마련해 준수하는 것만으로도 법적 요건을 갖출 수 있다"고 밝힌 홍 이사는 "병협이나 의협 등이 개인정보 보호 세미나와 교육을 통해 의료기관 자체적인 역량을 강화할 필요가 있다"고 언급했다.

이와 함께 의료기관이 주로 위반하는 수탁업체 교육 및 처리현황 점검 등 관리·감독을 위해 수탁사와 계약을 체결할 때 개인정보보호에 관한 요구사항을 계약서에 포함하고, 이를 근거로 수탁에 대한 점검을 실시할 것을 권고했다.

홍 이사는 "진료실 컴퓨터(PC)에 저장된 개인정보를 암호화 하기 위해 예산을 투입하기 어려운 경우 MS Office에서 자체적으로 제공하는 암호 설정 기능을 활용해 비인가자가 무단으로 열람할 수 없도록 통제해야 한다"며 "전산을 외부에 위탁한 경우에는 최소한 정보시스템에 대한 계정 및 권한 관리, 주요 정책의 승인, 사전 작업 내역의 검토 및 승인, 주기적 점검 등을 통해 안전성 및 적정성을 확보해야 한다"고 조언했다.

백설경 아주대병원 의무기록팀장은 "전자의무기록 외부 보관이 허용되면서 비용 조달과 신뢰성 있는 업체를 어떤 기준으로 선정할 것인가가 문제가 되고 있다"며 "비용 조달이 어려운 중소병원의 경우 정부 차원의 지원이 필요하다"고 밝혔다.

"사본 발급이나 증명서 발급 등을 위해 수집한 신청자의 개인정보 문서는 보관기한이 명시되지 않아 병원별로 자의적인 해석에 따라 관리하고 있다"고 언급한 백 팀장은 "의료관련 법령에서 명시하지 않은 일반 문서의 보존기간을 명확히 할 필요가 있다"고 지적했다.

진료기록의 보관 연한에 대해서도 "의료법 시행규칙에서는 10년 보존과 1회에 한 해 연장이 가능해 20년까지 보존할 수 있지만 개인정보보호법 가이드라인에서는 10년 이후에는 매년 1회씩 연장하도록 하고 있다"며 "의료현실을 감안해 보관기간을 연장하는 방안을 검토해 달라"고 요청했다.

김용학 행자부 팀장은 "진료 과정에서 주민등록번호 처리 제한 문제는 내년 3월 이전에 개정작업이 이뤄질 수 있도록 검토하겠다"면서 "생명·신체·재산의 이익을 위해 명백히 필요하다고 인정되는 경우에 대해서도 함께 논의해 보자"고 밝혔다.

김 팀장은 "자율규체단체 지정 등에 관한 규정에 따라 현재 자율규제협의회에서 지정을 받는 자율규제단체가 6곳"이라며 "의료분야에 적합한 법·제도를 마련해 의료단체가 소속 회원사들에게 전달하고, 준수할 수 있도록 이끌어 준다면 의료분야 개인정보 보호는 많은 발전을 이룰 수 있을 것"이라고 언급했다.

송성철 기자의 다른기사 보기