환자 삶 흔드는 ‘최상위 민감정보’ 의료정보…법이 엄격히 보호하는 이유

[대전·세종·충남=위키트리 양완영 기자] 개인정보 유출에 대한 사회적 경각심이 높아지는 가운데, 그중에서도 의료정보는 가장 엄격하게 보호되는 대표적 민감정보다. 건강정보는 개인정보보호법상 별도 동의나 법적 근거 없이는 원칙적으로 처리할 수 없고, 의료법은 환자 비밀 누설 자체를 형사처벌 대상으로 규정한다. 최근 국회가 전자의무기록 열람기록 의무화를 담은 의료법 개정안을 통과시킨 데 이어 개인정보 보호 제재도 강화되면서, 의료정보를 다루는 기관과 플랫폼의 책임은 한층 무거워졌다는 평가가 나온다.

의료정보가 특별히 더 엄격하게 다뤄지는 이유는 법이 건강정보를 일반 개인정보와 구분해 ‘민감정보’로 보기 때문이다. 개인정보보호법 제23조는 건강에 관한 정보를 민감정보로 규정하고, 정보주체의 별도 동의나 법률상 근거가 없는 한 원칙적으로 처리하지 못하도록 하고 있다. 이름이나 연락처 유출과 달리, 의료정보가 새면 병력과 진단명, 처방 내역, 상담기록, 정신건강 상태처럼 개인의 취약한 사생활이 함께 드러날 수 있어 회복이 훨씬 어렵다는 점이 반영된 구조다.

의료법은 여기에 한 번 더 강한 보호 장치를 둔다. 의료인과 의료기관 종사자는 업무상 알게 된 타인의 비밀을 누설하거나 발표해선 안 되며, 이를 어기면 3년 이하 징역 또는 3000만원 이하 벌금에 처해질 수 있다. 의료정보 유출이 단순한 관리 부실을 넘어 형사처벌까지 가능한 중대한 위법행위로 다뤄지는 이유다. 최근 국회가 전자의무기록을 단순 열람한 경우에도 접속기록을 남기도록 하는 의료법 개정안을 통과시킨 것도, 무단열람을 사후에라도 추적할 수 있어야 한다는 문제의식이 반영된 결과로 볼 수 있다. 특히 지역 의료기관을 관리·감독하는 지자체 보건소는 환자의 민감한 의료정보가 유출되지 않도록 더욱 각별히 주의해야 할 것이다.

제재 수위는 이미 한 단계 높아졌다. 현행 개인정보보호법은 개인정보처리자의 고의 또는 중대한 과실로 유출 피해가 발생하면 법원이 손해액의 최대 5배까지 배상액을 정할 수 있도록 하고 있다. 의료기관이나 플랫폼, 보험사처럼 민감정보를 대량으로 다루는 주체에게 개인정보 보호는 더 이상 부수 업무가 아니라 경영과 직결된 핵심 의무가 된 셈이다.

일반인이 입을 수 있는 피해는 생각보다 훨씬 직접적이다. 병력과 복용약, 상담기록이 유출되면 취업과 보험 가입, 대인관계에서 낙인과 차별로 이어질 수 있고, 가족력이나 정신건강 정보까지 노출될 경우 2차 피해도 생길 수 있다. 특히 의료정보는 한 번 공개되면 단순히 비밀번호를 바꾸는 방식으로 회복할 수 없는 정보라는 점에서 피해가 더 오래간다.

반대로 정보를 관리하는 주체는 접근통제와 최소 수집, 암호화, 접속기록 관리, 수탁사 감독 같은 기본 원칙을 더욱 엄격히 지켜야 한다. 의료정보처럼 민감한 데이터는 얼마나 많이 모으느냐보다 누가, 언제, 어떤 권한으로 접근할 수 있느냐가 더 중요해졌다. 최근 입법과 정책 변화도 기록 보관보다 접근 통제와 책임 추적을 더 중시하는 방향으로 움직이고 있다.

의료정보가 ‘최상위 민감정보’로 불리는 이유는 분명하다. 한 사람의 질병과 치료 이력, 삶의 약한 지점까지 함께 담고 있기 때문이다.