[서울=뉴스핌] 송기욱 기자 = 국립대학교병원들이 환자와 직원의 실명, 건강정보 등이 담긴 감사 문서를 제대로 비식별 처리하지 않은 채 최대 3년 5개월간 인터넷에 공개해 온 것으로 드러났다. 개인정보를 삭제하지 않고 검은색으로 덮어 놓는 방식으로 처리하면서 누구나 원본 내용을 확인할 수 있었던 것으로 나타났다.

국회 보건복지위원회 소속 이소희 국민의힘 의원은 8일 국립대학교병원 국정감사에서 이 같은 문제를 지적하며 피해자 통지와 재발 방지 대책 마련을 촉구했다.

이 의원실이 감사원 공공감사포털에 게시된 국립대병원 자체감사 공개본을 점검한 결과, 개인정보를 실제로 삭제하지 않고 화면에서만 가린 문서는 충남대병원 55건, 경북대병원 51건, 충북대병원 16건 등 총 122건으로 확인됐다.

이 가운데 경북대병원 7건과 충남대병원 4건 등 11건에는 환자의 신원이나 건강정보가 그대로 남아 있었다. 해당 문서들은 별도 로그인 없이 누구나 내려받을 수 있었으며, 가장 오래된 문서는 2023년 4월부터 올해 10월 3일까지 3년 5개월간 공개된 상태였다.

특히 경북대병원의 감사 공개본에서는 총 543명의 이름이 노출됐다. 유방암 유전체 검사를 받은 환자 34명의 이름과 환자번호, 직원 211명의 감염 노출 기록 등이 포함됐다. 직원 기록에는 결핵 노출 197명과 HIV 노출 사례 등이 담겼다. HIV 관련 기록은 실제 감염 여부가 아닌 노출 이력에 관한 내용이다.

이 의원은 검은색으로 가린 부분 아래 글자가 드러나는 영상을 제시하며 "검게 칠한 네모는 가림막이 아니라, 민감정보가 여기 있다는 표시가 된 것"이라고 지적했다.

경북대병원장은 개인정보 처리 방식에 대해 "삭제를 하지 못하고" 가림 표시만 한 채 문서를 올린 것으로 알고 있다고 답했다. 공개 전 확인 절차에 대해서도 "그 부분에 대해서는 부족한 점이 있다"고 인정했다.

이 의원은 "확인하는 절차가 제대로 있다면 이런 문서가 나갔을 리 없을 것"이라며 "경북대병원 한 곳에서만 543명의 이름이 드러났고, 몇 명이 내려받았는지도 알 수 없다"고 질타했다.

충남대병원에서도 유사한 문제가 확인됐다. 환자안전 보고체계 감사 공개본에 환자안전사고 96건과 관련된 환자 이름, 투약·낙상 등 사고 내용, 사고를 보고한 직원의 이름과 사번 등이 남아 있었다.

이 의원은 "환자안전을 감사한 보고서가 환자안전 보고를 막는 문서가 돼 버렸다"며 "충남대병원은 2024년에 이 문제를 알고도 이미 올린 문서는 고치지 않았다"고 지적했다. 이어 "한 담당자의 실수가 아니라 구조적인 문제"라고 비판했다.

이에 충남대병원장은 문제의 심각성을 인지하고 있느냐는 질의에 "인지하고 있다"고 답했다.

피해 당사자에 대한 통지 문제도 도마 위에 올랐다. 이 의원은 경북대병원이 올해 1월에도 개인정보 유출 통지 지연으로 개인정보보호위원회 처분을 받았다는 점을 지적했다.

경북대병원은 국회에 제출한 서면 답변에서 잘못을 인정하고 피해자들에게 통지하겠다는 입장을 밝혔다. 경북대병원장은 노출된 543명 모두에게 통지하느냐는 질문에 "그렇게 알고 있다"고 답했다.

이 의원은 개인정보 유출 통지는 72시간 이내에 하는 것이 원칙이라고 강조하며 실제 통지 대상자 수와 통지 시점 등을 서면으로 보고할 것을 요구했다.

아울러 충남대·경북대·충북대병원장에게 피해 당사자 통지 결과와 사고 보고 직원 보호 대책, 재발 방지 대책을 제출하라고 주문했다.

이 의원은 정회 이후에도 국립대병원의 개인정보 관리 실태를 비판했다. 그는 2021년 서울대병원 해킹 사건으로 환자 81만여 명의 정보가 유출된 정황이 확인됐고, 올해 1월에도 강원대병원과 전남대병원이 랜섬웨어 공격을 받았다고 언급했다.

이 의원은 "환자 정보는 그 어떤 개인정보보다 민감한데, 해커가 노리는 정보를 해킹도 필요 없이 병원 스스로 공개한 셈"이라며 "재발 방지 대책을 끝까지 따져 묻고, 관리·감독을 강화하는 입법을 추진하겠다"고 밝혔다.

oneway@newspim.com