직원이 환자 차트를 유출했다면, 병원도 책임질 수 있습니다.  원장님들이 당혹스러워하고 법적 부담을 크게 느끼는 문제 중 하나가 바로 직원에 의한 환자 개인정보 및 차트·진료기록 유출입니다.

“직원 개인의 일탈인데 병원에도 책임이 있나요?”

“유출한 직원을 바로 해고하고 손해배상을 청구할 수 있나요?”

이번 글에서는 개인정보 유출 사고가 발생했을 때 병원장이 취할 수 있는 직원 징계와 손해배상 청구, 그리고 반드시 대비해야 할 ​병원의 사용자 책임과 예방책을 정리해 드립니다.

1. 환자 차트 유출의 법적 위중성

환자의 진료기록과 전자의무기록은 단순한 개인정보가 아니라 건강정보가 포함된 민감정보에 해당합니다. 따라서 관련 법률에서도 매우 엄격하게 보호하고 있습니다.

의료법 위반 : 정당한 사유 없이 전자의무기록에 저장된 개인정보를 탐지·누출·변조·훼손한 경우에는 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처해질 수 있습니다.

개인정보보호법 위반 : 부정한 목적으로 개인정보를 제공받거나 제3자에게 유출한 사람 역시 5년 이하의 징역 또는 5천만 원 이하의 벌금 대상이 될 수 있습니다.

직원이 단순한 호기심이나 사적인 이유로 환자 차트를 열람한 경우는 물론, 환자 정보를 외부인이나 경쟁 병원에 전달한 경우에도 중대한 형사책임이 발생할 수 있습니다.

2. 보안 위반 직원에 대한 징계와 해고

환자 차트를 무단으로 열람하거나 복사·촬영·유출한 직원에 대해서는 징계해고를 포함한 중징계가 가능합니다.

① 징계해고의 정당성

개인정보 유출은 병원의 신뢰와 운영에 직접적인 영향을 미치는 중대한 근로계약 위반 행위입니다. 환자의 민감정보를 사적인 목적으로 열람하거나 외부에 유출한 행위는 근로관계를 더 이상 유지하기 어려울 정도로 책임이 중한 사유로 평가될 수 있으며, 판례와 노동위원회에서도 징계해고의 정당성이 인정될 가능성이 높습니다.

② 징계 과정에서 반드시 지켜야 할 절차

직원의 잘못이 명백하더라도 구두로 “오늘부터 나오지 마세요”라고 통보하는 방식은 위험합니다. 정당한 징계 사유가 있더라도 절차를 지키지 않으면 부당해고로 판단될 수 있습니다.

징계를 진행할 때는 다음 사항을 반드시 확인해야 합니다.

취업규칙상 징계 절차 준수

취업규칙이나 인사규정에 인사위원회 개최, 사전 통보, 소명 기회 부여 등의 절차가 규정돼 있다면 이를 반드시 따라야 합니다.

해고 사유와 시기의 서면 통지

징계해고를 하는 경우에는 해고 사유와 해고 시기를 구체적으로 기재해 서면으로 통지해야 합니다.

객관적인 증거 확보

EMR 접속기록, 차트 출력기록, CCTV, 문자메시지, 카카오톡 대화, 파일 전송 내역, 관련자 진술서 등 유출 사실을 입증할 수 있는 증거를 충분히 확보해야 합니다.

정황이나 의심만으로 징계를 결정하기보다는 사실관계를 먼저 조사한 후 징계 수위를 결정하는 것이 안전합니다.

3. 직원에게 손해배상을 청구할 수 있을까?

원장님들이 가장 궁금해하는 부분은 직원의 유출 행위로 인해 병원이 입은 피해를 직원에게 청구할 수 있는지 여부입니다.

① 손해배상 청구는 가능합니다

직원이 고의 또는 중대한 과실로 환자 차트를 유출해 병원에 손해를 입혔다면, 민법상 불법행위 책임이나 근로계약상 의무 위반을 근거로 손해배상을 청구할 수 있습니다.

손해배상 청구 대상에는 다음과 같은 항목이 포함될 수 있습니다.

개인정보 유출 피해 환자에게 지급한 위자료나 합의금

사고 조사 및 대응 과정에서 발생한 비용

객관적으로 입증할 수 있는 병원의 영업상 손해

다만 병원 이미지 하락이나 매출 감소와 같은 손해는 실제 유출 사고와의 인과관계 및 손해액을 객관적인 자료로 입증해야 합니다.

② 직원의 배상 책임은 제한될 수 있습니다

직원이 고의로 사고를 일으켰다고 하더라도 법원이 항상 전체 손해액을 직원에게 부담시키는 것은 아닙니다. 법원은 직원의 업무 내용과 지위, 사고 발생 경위, 병원의 보안 시스템, 접근 권한 관리, 평소 교육 및 감독 수준 등을 종합적으로 고려해 직원의 손해배상 책임을 제한할 수 있습니다. 특히 병원에서 접근 권한을 제대로 구분하지 않았거나 개인정보 보호교육과 접속기록 관리가 전혀 이뤄지지 않았다면, 병원에도 일정한 관리 책임이 인정될 수 있습니다.

③ 급여나 퇴직금에서 임의로 공제하면 안 됩니다

직원의 유출 행위로 병원에 손해가 발생했더라도, 직원의 동의 없이 마지막 급여나 퇴직금에서 손해배상금을 임의로 차감해서는 안 됩니다. 이는 근로기준법상 임금 전액지급 원칙에 위반될 수 있습니다. 손해배상은 임금 지급과 별도로 직원과의 합의 또는 민사상 청구 절차를 통해 진행해야 합니다.

4. 병원장이 반드시 대비해야 할 사용자 책임

직원이 개인정보를 유출한 경우에도 병원과 원장이 책임에서 완전히 벗어나는 것은 아닙니다.

민사상 사용자 책임

직원이 업무를 수행하는 과정에서 환자에게 손해를 입혔다면, 병원장은 민법상 사용자 책임에 따라 직원과 함께 손해배상 책임을 부담할 수 있습니다.

개인정보보호법상 책임

병원이 개인정보 보호를 위한 안전조치를 제대로 하지 않았거나 직원에 대한 관리·감독을 소홀히 했다면, 개인정보보호법에 따른 과징금·과태료·형사책임 등의 문제가 발생할 수 있습니다.

결국 직원 개인의 일탈이라 하더라도 병원이 평소 어떤 보안조치를 했는지가 병원 책임을 판단하는 중요한 기준이 됩니다.

개인정보 유출 위험을 줄이기 위해 지금 해야 할 3가지

① 개인정보 보호교육과 비밀유지 서약서 작성

직원 입사 시 개인정보 보호 및 비밀유지 서약서를 반드시 서면으로 작성받아야 합니다. 서약서에는 환자 정보의 무단 열람·복사·촬영·외부 전송을 금지하고, 위반 시 징계 및 손해배상 책임이 발생할 수 있다는 내용을 명시하는 것이 좋습니다. 서약서만 작성하고 끝내는 것이 아니라 정기적인 개인정보 보호교육을 실시하고 교육 기록도 보관해야 합니다.

② 취업규칙과 인사규정에 보안 위반 징계기준 명시

취업규칙이나 인사규정에 다음과 같은 행위를 징계사유로 구체적으로 기재해야 합니다.

환자 개인정보 무단 열람

진료기록 복사·촬영·출력

외부 저장장치 또는 메신저를 통한 반출

제3자 또는 경쟁 의료기관에 정보 제공

퇴사 전 환자 명단이나 병원 자료 반출

중대한 위반행위에 대해서는 징계해고가 가능하다는 내용도 함께 명시할 필요가 있습니다.

③ EMR 접근 권한과 접속기록 관리

직원의 직급과 담당 업무에 따라 환자 차트 접근 권한을 최소한으로 설정해야 합니다. 퇴사자 계정은 즉시 삭제하고, 장기간 미사용 계정이나 공용 아이디 사용도 제한해야 합니다. 또한 비정상적인 시간대의 접속, 담당 환자가 아닌 차트의 반복 열람, 대량 출력 여부 등을 주기적으로 확인해야 합니다. 이러한 관리기록은 사고 발생 시 병원이 개인정보 보호를 위한 관리·감독 의무를 이행했다는 중요한 자료가 될 수 있습니다.

사고 발생 후보다 사고 발생 전 준비가 중요합니다. 환자 차트 유출은 단순한 직원 개인의 일탈로 끝나지 않습니다. 환자들의 집단적인 손해배상 청구, 개인정보 감독기관의 조사, 병원의 신뢰도 하락과 같은 심각한 문제로 이어질 수 있습니다. 사고 발생 후 직원을 해고하거나 손해배상을 청구하는 것도 중요하지만, 그보다 먼저 개인정보 보호 서약서, 취업규칙, 접근 권한 관리, 접속기록 점검 등 병원이 평소 어떤 보호조치를 해왔는지가 중요합니다.

보안 위반 직원에 대한 적법한 징계 절차나 개인정보 보호 서약서 및 취업규칙 정비가 필요하다면 병의원 전문 노무법인의  도움을 받아보시기 바랍니다.

글. 노무법인 해닮 이동직 노무사 010-3242-0453