희귀병 환자 나이만 50대로 바꿨는데 개인정보 유출이라고?

작년 추석 연휴 끝나고 첫날이었어요. 남편이 새벽 2시가 넘어서 집에 들어왔는데, 현관문 열자마자 한숨부터 쉬더라고요. "우리 병원 이번에 진짜 큰일 났어."

알고 보니 연구 데이터 때문이었어요. 환자 데이터 5만 건을 제약회사랑 공동연구한다고 넘겼는데, 가명처리 과정에서 뭔가 실수가 있었다는 거예요. 개인정보보호위원회에서 조사 나왔는데 담당자가 "이거 과태료 3억까지도 나올 수 있습니다"라고 했대요. 3억이요. 남편 얼굴이 새하얗게 질려있더라고요.

저는 회계법인에서 헬스케어 쪽 일을 몇 년 했거든요. 병원들 실사하면서 이런 케이스를 꽤 봤어요. 그래서 일단 남편한테 "당황하지 말고, 내일 아침에 자진신고부터 하자"고 했죠. 병원에서 실수를 인정하고 개선 계획 내면 과태료 감경받을 수 있거든요. 결국 1억으로 줄긴 했는데... 그래도 1억이에요.

문제가 뭐였냐면, 생년월일을 나이대로만 바꿨대요. 50대, 60대 이렇게요. 그런데 희귀질환 환자들은 지역이랑 나이대, 병명만 알아도 누군지 특정이 가능하다는 거예요. 예를 들어 '강남구 거주 50대 파브리병 환자'라고 하면, 실제로 그런 사람이 몇 명이나 되겠어요?

남편이 그때 정말 억울해했어요. "나는 규정대로 다 했는데" 하면서요. 근데 제가 회계법인에서 일하면서 봤던 게, 규정대로 했다고 다 되는 게 아니더라고요. 작년에 A대학병원은 유전체 데이터 잘못 처리해서 5억 물었고, B병원은 CT 사진에 환자 정보가 그대로 남아있어서 2억 물었어요.

의료 데이터가 정말 까다로운 게, 의사들이 쓰는 메모에도 개인정보가 숨어있어요. "환자분이 ○○회사 다니시는데 스트레스가 심하다고 함" 이런 식으로 써놓으면, 나중에 이것도 문제가 돼요. 직업 정보도 개인정보거든요.

그 일 있고 나서 남편 병원에서는 아예 시스템을 바꿨어요. 가명처리 솔루션이라고 해서, 프로그램이 알아서 개인정보를 찾아내고 지워주는 거예요. 도입하는데 2억 정도 들었대요. 컨설팅이랑 구축비까지 하면 3억 5천 정도? 병원에서는 "돈이 아깝다"고 했는데, 남편이 "과태료 5억 내실래요, 3억 들여서 예방할래요?"라고 했대요.

제가 실사 다니면서 느낀 건데, 병원들이 다 비슷한 실수를 해요. 일단 데이터 책임자를 제대로 안 정해놔요. 그냥 "전산실에서 알아서 하겠지" 이런 식이에요. 그리고 뭘 어떻게 처리했는지 기록을 안 남겨요. 나중에 감사 나오면 "우리는 제대로 했습니다"라고 말만 하면 뭐해요. 증거가 없는데.

요즘은 합성데이터라는 것도 나왔더라고요. 진짜 환자 데이터랑 통계적으로는 똑같은데, 실제 사람은 아닌 가짜 데이터를 만드는 거예요. 남편 병원도 이걸 도입하려고 검토 중이래요. 삼성서울병원이랑 아산병원은 벌써 쓰고 있다던데.

제가 병원 관계자분들한테 꼭 하고 싶은 말이 있어요. "설마 우리 병원 데이터 가지고 환자 개인을 알아낼 수 있겠어?"라고 생각하지 마세요. 정말 알아낼 수 있어요. 특히 희귀병이나 소아 환자 데이터는 더 조심해야 해요.

그리고 퇴사하는 연구원들 관리도 중요해요. 남편 병원에서도 퇴사한 연구원이 데이터 가져간 적이 있었대요. 다행히 빨리 발견해서 회수했지만, 만약 그게 외부로 나갔으면... 생각만 해도 아찔해요.

의사들은 환자 치료하느라 바쁘고, 이런 법적인 문제까지 신경 쓸 여력이 없잖아요. 그래서 병원에서 시스템을 제대로 만들어줘야 해요. 데이터 빼낼 때마다 자동으로 개인정보 지워주고, 누가 언제 뭘 했는지 기록 남기고.

남편이 그 일 겪고 나서 하는 말이, "데이터는 정말 조심해야 한다"예요. 연구하려면 데이터가 필요한데, 그 데이터 때문에 법적 문제 생기면 연구고 뭐고 다 소용없잖아요.

지금은 병원에서 데이터 내보낼 때마다 체크리스트 작성하고, 법무팀 검토받고, 외부 평가기관한테 적정성 평가도 받는대요. 번거롭긴 한데, 3억 과태료 생각하면 이 정도는 해야죠.

가끔 다른 병원 의사들이 남편한테 "우리도 데이터 제공하려는데 어떻게 해야 해?"라고 물어본대요. 그럴 때마다 남편이 하는 말이 있어요. "일단 변호사부터 만나. 나중에 후회하지 말고."

저도 회계사로서 병원들 컨설팅하면서 항상 강조하는 게, 문서화예요. 뭘 했는지, 언제 했는지, 누가 승인했는지 다 기록으로 남겨두세요. 나중에 문제 생겼을 때 "우리는 최선을 다했다"는 증거가 되거든요.

의료 데이터 활용은 앞으로 더 중요해질 거예요. AI 진단도 그렇고, 신약 개발도 그렇고, 다 데이터가 있어야 하니까요. 그런데 그 데이터 때문에 법적 문제 생기면 안 되잖아요. 처음부터 제대로 된 시스템 만들어놓는 게 결국은 가장 저렴한 방법이에요.

남편 병원도 그 일 있고 나서 완전히 달라졌어요. 이제는 데이터 관련해서는 아무도 함부로 못 해요. 귀찮아도 절차대로, 문서 남기면서. 3억이라는 수업료 치고는 너무 비쌌지만, 덕분에 확실히 배웠죠. 의료 데이터는 정말, 정말 조심해야 한다는 걸요.