환자 데이터가 유출되면 어떻게 되나?
…
한줄 요약
환자 데이터가 AI 회사로 유출되면 의료기관에 대해 개인정보보호법 위반(최대 5억 원 과징금), 의료법상 비밀 누설 금지 위반(3년 이하 징역), 민사 손해배상 등이 동시에 적용될 수 있다.
Q: 환자 데이터가 AI 회사로 유출되면 어떻게 되나?
A: 간단 답변
환자 데이터 유출은 단순 보안 사고가 아니라 형사처벌 대상 범죄다. 개인정보보호법, 의료법, 민법상 책임이 중첩 적용되며, 의료기관이 AI 업체와 계약 시 데이터 처리 방식을 사전에 검토하지 않았다면 책임을 피하기 어렵다.
상세 설명
법적 제재 체계
| 적용 법률 | 조항 | 제재 내용 |
|---|---|---|
| 개인정보보호법 제71조 | 개인정보 누설·유출 | 5년 이하 징역 또는 5천만원 이하 벌금 |
| 개인정보보호법 제75조 | 안전조치 의무 위반 | 3천만원 이하 과태료 |
| 개인정보보호법 제64조의2 | 과징금 | 위반 행위 관련 매출액의 3% 이하 (최대 5억원) |
| 의료법 제19조 | 비밀 누설 금지 | 3년 이하 징역 또는 3천만원 이하 벌금 |
| 민법 제750조 | 불법행위 손해배상 | 실손해액 + 위자료 |
실제 유출 시나리오별 책임 분석
시나리오 A: AI 분석 플랫폼에 비식별화 없이 영상 전송 → 서버 해킹 의료기관이 개인정보 안전조치 의무(개인정보보호법 제29조) 위반으로 과태료 + 민사 배상 책임. AI 업체도 수탁자 책임(동법 제26조).
시나리오 B: AI 회사가 계약상 금지된 제3자 판매 위탁 계약 위반 + 개인정보보호법 제71조 형사처벌. 의료기관은 수탁자 감독 의무 위반으로 연대 책임 가능성.
시나리오 C: 의료진이 ChatGPT 등 비의료용 AI에 환자 정보 입력 의료법 제19조 비밀 누설 + 개인정보보호법 위반. 가장 빈번한 현장 위반 유형.
의료기관이 AI 업체와 계약 시 반드시 확인해야 할 사항
| 확인 항목 | 내용 | 미확인 시 리스크 |
|---|---|---|
| 데이터 저장 위치 | 국내 서버 여부 (국외 이전 시 별도 고지·동의 필요) | 개인정보보호법 제28조의8 위반 |
| 학습 데이터 사용 여부 | 환자 데이터로 AI 모델 재학습 금지 명시 | 목적 외 이용 위반 |
| 데이터 보유 기간 | 계약 종료 후 삭제 조건 | 보유 기간 초과 위반 |
| 수탁자 감사 권한 | 의료기관의 정기 감사 권한 명시 | 수탁자 관리 의무 위반 |
| 유출 사고 통지 의무 | 사고 발생 시 72시간 내 통지 (개인정보보호법 제34조) | 통지 의무 위반 |
환자의 권리
개인정보보호법 제35조(열람 요구권), 제36조(정정·삭제 요구권), 제37조(처리 정지 요구권)에 따라 환자는 자신의 데이터 처리 내역을 열람하고 삭제를 요청할 수 있다.
핵심 정리
- 환자 데이터 유출은 형사처벌 대상 — 개인정보보호법 최대 5년 징역
- 의료법 제19조 비밀 누설 금지는 AI 플랫폼 전송에도 적용
- ChatGPT 등에 환자 정보 입력 자체가 위법 — 현장 교육 필수
- AI 업체 계약 전 데이터 저장·학습·삭제 조건 서면 확인 필수