환자 동의 없이 통계 목적으로 정보를 제공했는데, 이름과 주민번호를 가렸다면 괜찮나요?

개인정보보호법상 특정 개인을 알아볼 수 없도록 가명 처리를 하여 통계 작성이나 과학적 연구 목적으로 사용하는 것은 동의 없이 가능할 수 있습니다. 다만, 다른 정보와 결합하여 환자가 누구인지 식별할 수 있는 수준이거나, 애초에 통계 목적이 아닌 제약회사의 마케팅 등 영리 목적으로 제공한 것이라면 이름과 주민번호를 가렸더라도 법 위반에 해당하여 처벌받을 수 있습니다.

직원이 실수로 유출한 사고인데, 병원장이나 법인도 함께 처벌받나요?

그렇습니다. 개인정보보호법의 양벌규정에 따라 소속 직원이 법률 위반 행위를 한 경우, 법인이나 병원장에게도 벌금형이 부과됩니다. 다만 병원이 해당 위반 행위를 방지하기 위해 평소에 개인정보 보호 교육을 실시하고 보안 시스템을 점검하는 등 상당한 주의와 감독을 다했다는 사실을 증명한다면 면책될 여지가 있습니다.

유출 사고 발생 시 병원이 가장 먼저 취해야 할 법적 조치는 무엇인가요?

유출 사실을 인지한 즉시 개인정보보호법에 따라 지체 없이 정보주체(환자)들에게 유출 항목과 시점, 대응 방법 등을 통지해야 합니다. 또한 유출 규모가 1천 명 이상인 경우 개인정보보호위원회나 한국인터넷진흥원 등 관계 기관에 신고해야 합니다. 이후 유출 경로를 차단하는 기술적 조치를 취함과 동시에 수사 및 행정처분에 대비하여 법무법인 명재의 조력을 받아 내부 관리 체계의 적정성을 소명할 준비를 해야 합니다.

법률 가이드

형사 | 법무법인 명재

[개인정보보호법 위반] 대학병원서 환자 정보 수십만건 유출

형사 법률 가이드 요약

최근 유명 대학병원이 환자 수십만 명의 성명, 주민등록번호, 처방 의약품 및 에이즈 감염 여부 등 민감 정보를 제약회사에 무단 제공한 혐의로 수사를 받고 있습니다. 이는 개인정보보호법상 5년 이하의 징역형이나 양벌규정에 따른 법인 벌금형뿐만 아니라, 금전적 대가 수수 시 의료법 위반으로 이어져 의사 면허가 취소될 수 있는 매우 엄중한 사안입니다. 정보화 시대에 의료진의 철저한 정보 관리와 적극적인 법적 대응이 필수적입니다.

형사 전문변호사의 법률 가이드

KBS 단독보도에 따르면 연세 세브란스병원과 가톨릭 성모 병원 등 유명 대학병원에서 민감함 환자 정보 수십만 건이 제약회사로 넘어가 수사 중인 것으로 확인 되었습니다.

[단독] 세브란스 등 유명 대학병원 환자정보 수십만 건 제약사 유출 (kbs.co.kr)

세브란스·성모병원 등 대학병원서 환자 정보 수십만건 제약사로 유출 (mdtoday.co.kr)

01. 환자 개인정보 유출, 조심해야합니다.

기사에 따르면, 유출된 환자 정보로는 환자 이름, 주민등록번호, 처방 의약품 등의 정보를 비롯해 에이즈 감염 여부 등도 포함된 것으로 알려졌습니다.

개인정보보호법은 정보주체의 동의를 받지 않고 개인정보를 제공한 자와 제공받은 자 모두를 징역 5년 이하 또는 5천만 원 이하의 벌금에 처하도록 규정하고 있습니다.

개인정보보호법은 양벌규정도 두고 있기 때문에 사용인에 대해 주의 감독을 게을리한 경우 법인 역시 7천만 원 이하의 벌금에 처해질 수 있습니다.

특히, 이번 사안의 경우, 환자의 건강과 관련한 민감 정보라는 점, 대가를 제공받은 것이 의심된다는 점 등에서 매우 심각한 상황으로 보입니다.

제약회사로부터 금전적 대가를 받은 경우, 의료법 제23조의 2 부당한 경제적 이득 등의 취직 금지에 해당하여 3년 이하의 징역이나 3천만 원 이하의 벌금에 처해질 수 있습니다. 만약 금고 이상의 형이 확정되면 의사 면허 취득 결격 사유에 해당합니다.

02. 면허 취소 등 무거운 조치 처해질 수 있기에

이에 더해 보건복지부 장관의 면허자격정지 처분이 내려질 수 있고, 대학병원의 경우 내부 정관 위반으로 파면될 위험도 있습니다.

고도의 정보화 시대에서 개인정보는, 유출로 인한 2차적 범죄에 사용될 우려가 있다는 점에서 그 중요성이 나날이 커지고 있다고 볼 수 있습니다.

특히 의료인의 경우 처리하는 정보의 중요성에 따라 의료법 위반에 따른 면허 취소 등 여러 부수적인 문제가 발생할 수 있습니다.

일상적으로 이에 대한 경각심을 가질 필요가 있고, 또 관련 문제가 발생하는 경우 적극적인 검토와 대응이 필수적이라 하겠습니다.

형사 법률 가이드의 근거 법령

개인정보 보호법 제71조(벌칙)

다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.
1. 제17조제1항제2호에 해당하지 아니함에도 같은 항 제1호(제26조제8항에 따라 준용되는 경우를 포함한다)를 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알면서도 개인정보를 제공받은 자
의료법 제23조의5(부당한 경제적 이익등의 취득 금지)

① 의료인, 의료기관 개설자(법인의 대표자, 이사, 그 밖에 이에 종사하는 자를 포함한다. 이하 이 조에서 같다) 및 의료기관 종사자는 「약사법」 제47조제2항에 따른 의약품공급자로부터 의약품 채택ㆍ처방유도ㆍ거래유지 등 판매촉진을 목적으로 제공되는 금전, 물품, 편익, 노무, 향응, 그 밖의 경제적 이익(이하 “경제적 이익등”이라 한다)을 받거나 의료기관으로 하여금 받게 하여서는 아니 된다. 다만, 견본품 제공, 학술대회 지원, 임상시험 지원, 제품설명회, 대금결제조건에 따른 비용할인, 시판 후 조사 등의 행위(이하 “견본품 제공등의 행위”라 한다)로서 보건복지부령으로 정하는 범위 안의 경제적 이익등인 경우에는 그러하지 아니하다.
② 의료인, 의료기관 개설자 및 의료기관 종사자는 「의료기기법」 제6조에 따른 제조업자, 같은 법 제15조에 따른 의료기기 수입업자, 같은 법 제17조에 따른 의료기기 판매업자 또는 임대업자로부터 의료기기 채택ㆍ사용유도ㆍ거래유지 등 판매촉진을 목적으로 제공되는 경제적 이익등을 받거나 의료기관으로 하여금 받게 하여서는 아니 된다. 다만, 견본품 제공등의 행위로서 보건복지부령으로 정하는 범위 안의 경제적 이익등인 경우에는 그러하지 아니하다.
③ 의료인, 의료기관 개설자(의료기관을 개설하려는 자를 포함한다) 및 의료기관 종사자는 「약사법」 제24조의2에 따른 약국개설자로부터 처방전의 알선ㆍ수수ㆍ제공 또는 환자 유인의 목적으로 경제적 이익등을 요구ㆍ취득하거나 의료기관으로 하여금 받게 하여서는 아니 된다.

형사 법률 가이드 관련 자주묻는 질문(FAQ)

Q1. 환자 동의 없이 통계 목적으로 정보를 제공했는데, 이름과 주민번호를 가렸다면 괜찮나요?
개인정보보호법상 특정 개인을 알아볼 수 없도록 가명 처리를 하여 통계 작성이나 과학적 연구 목적으로 사용하는 것은 동의 없이 가능할 수 있습니다. 다만, 다른 정보와 결합하여 환자가 누구인지 식별할 수 있는 수준이거나, 애초에 통계 목적이 아닌 제약회사의 마케팅 등 영리 목적으로 제공한 것이라면 이름과 주민번호를 가렸더라도 법 위반에 해당하여 처벌받을 수 있습니다.
Q2. 직원이 실수로 유출한 사고인데, 병원장이나 법인도 함께 처벌받나요?
그렇습니다. 개인정보보호법의 양벌규정에 따라 소속 직원이 법률 위반 행위를 한 경우, 법인이나 병원장에게도 벌금형이 부과됩니다. 다만 병원이 해당 위반 행위를 방지하기 위해 평소에 개인정보 보호 교육을 실시하고 보안 시스템을 점검하는 등 상당한 주의와 감독을 다했다는 사실을 증명한다면 면책될 여지가 있습니다.
Q3. 유출 사고 발생 시 병원이 가장 먼저 취해야 할 법적 조치는 무엇인가요?
유출 사실을 인지한 즉시 개인정보보호법에 따라 지체 없이 정보주체(환자)들에게 유출 항목과 시점, 대응 방법 등을 통지해야 합니다. 또한 유출 규모가 1천 명 이상인 경우 개인정보보호위원회나 한국인터넷진흥원 등 관계 기관에 신고해야 합니다. 이후 유출 경로를 차단하는 기술적 조치를 취함과 동시에 수사 및 행정처분에 대비하여 법무법인 명재의 조력을 받아 내부 관리 체계의 적정성을 소명할 준비를 해야 합니다.

관련 업무 분야: 개인정보·정보통신망

작성자: 이재희 총괄 대표변호사, 최한겨레 대표변호사, 배진성 대표변호사, 최안률 대표변호사, 진상원 대표변호사

업데이트: 2026.07.22

본 콘텐츠는 일반적인 법률정보 제공을 위한 것으로, 개별 사안에 대한 법률 자문은 아닙니다. 구체적인 판단은 사실 관계와 관련 법령에 따라 달라질 수 있습니다. 기재된 법령 및 판례는 게시글 작성 시점 이후 변경될 수 있습니다.