환자 개인정보보호의 핵심은 진료기록(EMR), 처방전달시스템(OCS), 영상정보시스템(PACS), 보험심사청구시스템을 담당하는 의료IT 수탁사 관리인 것으로 나타났다.


조성환 행정자치부 개인정보보호과 과장은 대한병원협회 주최로 27일 열린 '제6회 병원 의료정보화 협력 및 교류를 위한 발전 포럼'에서 2015년 개인정보 관리 실태 점검 방향 및 사례를 발표했다.

조 과장은 지난 1월 설치된 '개인정보보호 점검 전담부서' 소속으로 병·의원, 약국 등 요양기관의 개인정보보호 관련 단속업무를 현장에서 실시하고 있다.

그는 "그동안의 점검결과를 분석한 결과, 개인정보 처리자(요양기관의 장) 보다 의료IT 수탁사가 만든 프로그램의 문제가 많았다"며 "처리자가 적발되는 이유는 수탁사와 수탁자를 제대로 관리하지 않았기 때문"이라고 지적했다.

행정자치부에 따르면 2012년부터 2013년 까지 법 위반 중 수탁사의 책임이 88%로 나타났으며, 개인정보 유출 권 중 수탁사 책임형이 76.8%를 차지하는 것으로 조사됐다.

조 과장은 "올해 2월 의료와 관련된 점검을 진행했다"며 "10곳의 수탁사를 중심으로 조사를 했는데, 수탁사와 연관된 요양기관이 3만5000곳"라고 밝혔다.

수탁사 10곳 점검만으로 전국 병·의원 4만5000여곳과 약국 2만5000여곳 중 50% 이상 요양기관의 개인정보보호 위반 등 문제점을 찾을 수 있다는 얘기다.

조 과장은 "수탁사 1곳이 700개 이상의 요양기관을 관리하고 있다"며 "수탁사들은 어떤 병의원에서 어떤 문제점이 있는지 모든 자료를 가지고 있다. 결국 수탁사 점검 만으로 모든 병의원의 문제점을 파악할 수 있는 것"이라고 밝혔다.


2월 점검 이후 10곳의 수탁사들로부터 담당 요양기관의 문제점을 5~6월까지 개선하겠다는 '개선계획서'를 제출 받았으며, 개선되지 않을 경우 요양기관 특별점검이 이뤄질 예정이다.

조 과장은 "각 요양기관에 연락해서 잘못된 점을 수정하라고 요구한 상태로, 개선이 이뤄지지 않은 곳에 대해서는 점검 후 철저하게 행정처분을 진행할 것"이라고 경고했다.

특히 행정자치부의 중점 점검사항 중 하나로 '업무 위탁에 따른 개인정보 처리 제한'이 있는데, 요양기관은 수탁사와 문서에 의한 계약 여부를 확실하게 명시하고 체결해야 한다는 점도 강조했다.

조 과장은 "업무상 위·수탁 관계에 대한 계약이 체결돼야 한다"며 "계약이 체결되지 않았을 경우, 병원은 수탁기관에 개인정보를 불법 유출하고 수탁사는 편취를 하는 것으로 형사책임 문제로 번질 수 있기 때문에 계약체결 상태를 제대로 확인해야 한다"고 당부했다.