(사진=보건복지부)
개정안은 의료인이나 의료기관 개설자가 전자의무기록에 기재·추가기재·수정하거나 이를 열람한 경우 이력관리 장비에 접속기록을 별도로 보관하도록 규정했다. 오는 12월 10일부터 시행한다.
이번 조치는 지난 6월 개정된 의료법의 후속 조치다. 현행 의료법은 전자의무기록에 ‘추가기재·수정’을 한 경우 접속기록을 별도로 보관토록 하고 있다. 개정법은 이를 ‘기재·추가기재·수정 또는 열람’으로 확대했다. 단순 조회한 경우도 의료법에 따른 접속기록 보관 대상이라는 점을 명확히 한 것이다.
그동안 환자정보 열람 기록이 전혀 남지 않았던 것은 아니다. 개인정보보호 관련 규정은 이미 개인정보처리시스템의 접속자와 접속 일시, 수행 업무 등을 기록하도록 하고 있다. 민감정보를 처리하는 시스템의 접속기록은 2년 이상 보관하고 개인정보 다운로드 상황 등도 점검해야 한다.
다만 환자의 진료기록을 직접 규율하는 의료법에서는 그동안 접속기록 보관 대상을 추가기재·수정으로 한정했다. 개인정보보호 관련 규정과 의료법 사이에 있던 간극을 이번 개정으로 메우는 것이다. 앞으로 의료기관이 환자기록 무단열람 사건을 조사할 때 단순 조회 행위까지 의료법상 관리 대상이라는 근거가 보다 명확해진다.
의료 현장에서는 특히 정신건강의학과 등 민감한 진료기록에 대한 내부 접근을 우려하는 목소리가 나온다. 한 대학병원 관계자는 “병원 직원들이 민감한 진료기록 노출을 우려해 외부 의료기관을 찾는 사례가 있다”고 말했다. 같은 병원 직원의 경우 자신의 진료기록에 내부 구성원이 접근할 수 있다는 불안이 상대적으로 클 수 있다는 설명이다.
실제 의료기관 내부자가 업무와 무관하게 환자 진료기록을 들여다본 사례는 여러 차례 확인됐다. 고(故) 백남기 농민 사건에서는 서울대병원 직원 161명이 업무와 관계없이 백씨의 의무기록을 725차례 열람한 사실이 감사원 조사에서 드러났다. 이 가운데 상당수는 호기심을 이유로 기록을 조회한 것으로 조사됐다.
환자정보가 외부로 대량 유출된 사례도 있다. 개인정보보호위원회가 2023년 17개 종합병원을 조사한 결과 2018년 4월부터 2020년 1월까지 병원·제약사 직원 등이 환자정보를 촬영하거나 내려받아 외부로 반출하는 등의 방식으로 총 18만 5271명의 환자정보가 유출됐다. 조사 대상 17개 병원 가운데 16곳에서는 접속기록을 2년 이상 보관하지 않거나 개인정보 다운로드 사유 확인, 접속기록 점검 등을 제대로 하지 않은 사실도 확인됐다.
다만 접속기록을 남기는 것만으로 무단열람 자체를 완전히 차단할 수 있는 것은 아니다. 다른 사람의 계정을 사용하거나 사용자 권한을 필요 이상으로 넓게 부여하면 기록이 남더라도 실제 열람자를 특정하기 어려울 수 있다. 로그아웃 미처리 등 계정 관리 부실로 무단열람자를 확인하지 못한 사례도 있다.
복지부는 이번 개정을 통해 단순 열람까지 의료법상 접속기록 관리 대상으로 명확히 해 전자의무기록의 안전한 관리와 환자 개인정보 보호를 강화한다는 방침이다.
