충남대·경북대·충북대병원이 감사원 공공감사포털에 올린 자체감사 공개본 122건이 화면에서만 개인정보를 가린 채 최장 3년 5개월간 누구나 내려받을 수 있는 상태였다.
국회 보건복지위원회 이소희(국민의힘)의원이 국립대학교병원 국정감사에서 이같이 확인됐다고 지적했다.
◆검은 칠 아래 그대로 남은 이름
이소희 의원실이 공공감사포털에 게시된 국립대병원 자체감사 공개본을 점검했다.
그 결과 화면에서만 정보를 가린 문서는 충남대병원 55건, 경북대병원 51건, 충북대병원 16건이었다.
병원은 이름 위에 검은 칠을 덧씌웠지만 글자 자체는 지우지 않았다. 문서는 로그인 없이 누구나 내려받을 수 있었다.
이 가운데 11건(경북대병원 7건, 충남대병원 4건)에는 환자 신원이나 건강 정보가 남아 있었다. 가장 오래된 문서는 2023년 4월에 게시됐다.
의원실이 병원에 알린 2026년 10월 3일까지 3년 5개월간 공개 상태였던 셈이다.
이 의원은 검게 덮인 칸 아래 글자가 드러나는 영상을 국감장에서 보여줬다.
그러면서 “검게 칠한 네모는 가림막이 아니라, 민감정보가 여기 있다는 표시가 된 것”이라고 꼬집었다.
◆경북대병원서만 543명…유방암 환자 명단도
경북대병원 공개본에서 드러난 이름은 543명이다. 유방암 유전체 검사 환자 34명의 이름과 환자번호, 직원 211명의 감염 노출 기록 등이 담겼다. 직원 기록에는 결핵 노출 197명과 HIV 노출 사례가 포함됐다. HIV 관련 내용은 감염 사실이 아니라 노출 기록이다.
이 의원은 “10월 3일 저희 의원실이 지적하기 전까지 누구나 내려받을 수 있었다”며, “경북대병원 한 곳에서만 543명의 이름이 드러났고, 몇 명이 내려받았는지도 알 수 없다”고 말했다.
경북대병원장은 민감정보 처리 방식을 묻는 질의에 “삭제를 하지 못하고” 가림 표시만 해 올린 것으로 안다고 답했다.
공개 전 확인 절차에 대해서는 “그 부분에 대해서는 부족한 점이 있다”고 인정했다.
이 의원은 “확인하는 절차가 제대로 있다면 이런 문서가 나갔을 리 없을 것”이라고 지적했다.
◆환자안전 감사 보고서에 보고 직원 사번까지
충남대병원의 환자안전 보고체계 감사 공개본에는 환자안전사고 96건의 환자 이름이 남아 있었다. 투약·낙상 등 사고 내용과 사고를 보고한 직원의 이름·사번도 그대로였다.
이 의원은 “환자안전을 감사한 보고서가 환자안전 보고를 막는 문서가 돼 버렸다”며, “충남대병원은 2024년에 이 문제를 알고도 이미 올린 문서는 고치지 않았다”고 밝혔다.
이어 “한 담당자의 실수가 아니라 구조적인 문제”라고 덧붙였다.
충남대병원장은 심각성을 인지하고 있느냐는 질의에 “인지하고 있다”고 답했다.
◆“당사자 통지는 병원의 의무”
이 의원은 경북대병원이 올해 1월에도 통지 지연으로 개인정보보호위원회 처분을 받았다고 짚었다.
경북대병원은 국회에 낸 서면 답변에서 잘못을 인정하고 피해자에게 통지하겠다고 밝혔다. 병원장은 543명 모두에게 통지하느냐는 질의에 “그렇게 알고 있다”고 답했다.
이 의원은 “통지는 72시간 안에 하는 것이 원칙”이라며 몇 명에게 언제 통지했는지 서면으로 보고하라고 요구했다.
세 병원장에게는 당사자 통지 결과와 보고 직원 보호 대책, 재발 방지 대책을 서면으로 내라고 했다.
이 의원은 정회 후 과거 사례도 언급했다.
이 의원은 “2021년 서울대병원이 북한 해킹조직에 뚫려 환자 81만여 명의 정보가 빠져나간 정황이 확인됐고, 올해 1월에도 강원대병원과 전남대병원이 랜섬웨어 공격을 받았다”며, “해커가 노리는 정보를 해킹도 필요 없이 병원 스스로 공개한 셈”이라고 말했다.
이어 “국립대병원은 국민이 가장 두려운 순간에 믿고 안전을 맡기는 곳”이라며 “환자 정보도 믿고 맡길 수 있는 기관이 돼야 한다”고 강조했다.
이와 관련해 이 의원은 관리·감독 강화 입법도 추진한다는 방침이다.
[메디컬월드뉴스 김영신 기자]
Copyright ⓒ 메디컬월드뉴스 무단 전재 및 재배포 금지
