18만 환자정보 유출된 17개 종합병원, 시스템 관리·보안 '엉망'

개인정보위, 환자정보 유출 관련 병원 정보처리시스템 조사
접속기록 보관·점검 허술…USB 반입·반출 통제 체계 부재
권한 없이 개인정보처리시스템 접속 가능한 병원조차 있어
17개 중 16개 병원이 과태료 대상…'인식 전반 개선 필요'

이정수 기자 (leejs@medipana.com)2023-07-27 11:51

[메디파나뉴스 = 이정수 기자] 빅5 등 상급종합병원을 비롯한 종합병원급 의료기관에서 환자정보 관리를 소홀히 하고 있던 것으로 확인됐다. 다수 의료기관을 통해 18만명이 넘는 환자정보가 유출된 데에는 허술한 병원 보안 시스템도 문제였던 것으로 드러났다.

27일 개인정보보호위원회에 따르면, 경찰은 의약품 판매질서 위반 관련 수사를 위해 제약사를 압수수색하는 과정에서 17개 종합병원이 환자정보를 유출한 정황을 확인하고 이를 신고했다.

확인된 정황은 심각했다. 2018년 4월부터 2020년 1월까지 약 2년에 가까운 기간 동안 각 병원에서는 병원·제약사 직원이 병원 시스템에서 해당 제약사 제품을 처방받은 환자정보를 촬영·다운로드한 후 전자우편, 보조저장매체(USB) 등을 통해 외부로 반출했다.

또는 제약사 직원이 불법적으로 시스템에 직접 접근해 환자정보를 입수하기도 했으며, 이를 포함한 여러 방법으로 민감정보가 포함된 총 18만5271명의 환자정보가 유출됐다.

이에 연관된 17개 병원은 ▲세브란스병원 ▲서울성모병원 등 빅5 일부를 비롯해 ▲순천향대서울병원 ▲강북삼성병원 ▲고대안암병원·고대구로병원·고대안산병원 ▲성심병원·동탄성심병원·강남성심병원·한강성심병원 ▲여의도성모병원·은평성모병원·의정부성모병원·부천성모병원·성빈센트병원 ▲건국대충주병원 등이다.

이에 개인정보위는 환자정보 유출에 가담한 병원 직원과 제약사 직원에게는 '개인정보 보호법'상 형사벌(벌칙)이 적용돼 경찰 등의 수사가 진행 중인 점을 감안해, 개인정보처리자로서 각 병원 개인정보처리시스템상 안전성 확보 조치 의무 위반을 중심으로 조사를 진행했다.
조사 결과, 환자의 민감정보를 처리하는 개인정보처리시스템 운영과정에서 안전조치의무를 소홀히 하는 등 법 위반 사실을 확인했다.

조사 대상 17개 병원 중 16개 병원에서 개인정보취급자가 개인정보처리시스템에 접속한 기록을 2년 이상 보관하지 않거나, 개인정보다운로드 사유 등의 확인과 접속기록의 월 1회 이상 점검을 하지 않았다.

성심·동탄성심·강남성심·한강성심병원 등 일송학원 내 4개 병원에서는 인사이동으로 개인정보취급자가 변경됐음에도 개인정보처리시스템에 대한 접근권한 부여·변경· 말소 내역을 3년 이상 보관하지 않았다.

6개 병원에서는 USB 등 보조저장매체 반출과 반입 통제를 위한 보안대책을 마련하지 않은 사실이 확인됐다.

강북삼성병원, 고려대 구로병원 등 2개 병원에서는 개인정보처리시스템 접속이 가능한 기기에 권한 없는 자의 물리적 접근이 가능한 취약점도 파악됐다.

이에 개인정보위는 17개 병원 중 강북삼성병원을 제외한 16개 병원에 총 6480만원 과태료를 부과하고, 17개 병원 전체에 개인정보 처리실태 개선을 권고키로 했다.

개인정보위는 "이번 조사·처분을 통해 의료데이터로서 사생활 침해 위험이 큰 민감정보를 대량으로 처리하는 종합병원의 개인정보 보호에 대한 인식이 전반적으로 제고되고, 개인정보처리자의 유출 사고 예방을 위해 개인정보처리시스템에 대한 상시적 점검·확인과 함께 내부 구성원을 대상으로 주기적인 개인정보 보호 교육을 실시하고 지속적으로 관리하는 것이 중요하다는 점을 인식하는 계기가 될 것"이라고 밝혔다.

관련기사보기

의대·간호대 60%, '데이터3법 모른다'…인식개선에도 부족 여전

의대·간호대 60%, '데이터3법 모른다'…인식개선에도 부족 여전

[메디파나뉴스 = 이정수 기자] 개정된 '데이터3법'이 시행된 지 1년이 지난 상황에서 이 법에 대한 의대·간호대 학생 이해도가 개선되고 있지만 여전히 부족한 것으로 확인된다는 연구 결과가 나왔다. 5일 한국보건사회연구원에 따르면, 임은영·김현의 서울대학교 교수는 이같은 내용을 담은 '데이터3법 개정 이후 개인건강정보의 제3자 사용에 대한 간호대학, 의과대학 학생들의 인식조사' 보고서를 최근 발표했다. 연구팀은 간호대학, 의과대학 학생은 임상 실습 등에서 민감한 환자 정보를 다룬 경험이 많아 개인정보보호에

"서울대병원, 개인정보 유출에도 징계는 솜방망이"

"서울대병원, 개인정보 유출에도 징계는 솜방망이"

국회 교육위원회 박찬대 의원(더불어민주당, 인천 연수 갑)이 서울대병원 등 13개 국립대병원으로부터 최근 5년간 병원 내 의료정보 유출 직원 징계 현황 자료를 제출받은 결과, 유출 직원에 대한 징계는 최대 '정직'에 그친 것으로 나타났다 . 서울대병원의 개인 의료정보 유출은 어제오늘의 문제가 아니다. 지난 2005년 극단적 선택으로 유명을 달리한 연예인의 의료정보를 비롯해 2011년에는 노태우 전 대통령의 흉부 엑스레이 영상까지 유출된 바 있다. 박근혜 정부 당시 경찰의 물대포 진압으로 서울대병원에 입원했던 故 백남기 농민의 전자의

의료기관 간 진료정보교류 추진…醫 "개인정보 유출 우려"

의료기관 간 진료정보교류 추진…醫 "개인정보 유출 우려"

[메디파나뉴스 = 박민욱 기자] 의사, 치과의사, 한의사 간 진료 이력 확인이 가능하는 안이 국회에서 추진되고 있다. 아울러 환자의 진료이력 정보를 확인하기 위해 개인맞춤형 진료지원시스템을 전문기관에 위탁하는 안이 고려되고 있는 가운데 의사단체가 우려를 표했다. 대한의사협회(회장 최대집, 이하 의협)는 최근 "의사·치과의사·한의사 간 진료이력 확인과 개인맞춤형 진료지원시스템 구축은 환자 정보보호 차원에서 적절하지 않다"고 선을 그었다. 지난 9월 6일 더불어민주당 정춘숙 의원은 '의료법 일부개정법률안'을 대표 발의했다. 개정안에

이런 기사
어때요?

실시간
빠른뉴스

당신이
읽은분야
주요기사

독자의견

작성자 비밀번호

0/200

메디파나 클릭 기사

독자들이 남긴 뉴스 댓글

포토