[전문가 칼럼 – 강지연의 100세 시대] HIPAA란 무엇인가

의료기관의 서비스를 받다보면, 여러 서류에 사인을 하게 된다. 그 중 하나가 HIPPA에 관련한 것인데, HIPAA는 건강보험 정보의 이전 및 그 책임에 관한 법률(Health Insurance Portability and Accountability Act)로써 의료 업무에 관련되어 수집되는 개인 건강에 관한 정보를 치료 목적 외로 이용하는 것을 금지하기 위해 제정된 법률이다. 이는 1996년 의료기관에서 보험사측에 정확한 의료정보를 제공하고자 제정되었으나, 입법과정에서 개인정보 보호 측면이 강화되어 현재 의료정보 보호에 관한 기본법으로 작용하고 있다.

보호대상 개인 정보( Protected Health Information, PHI)는 개인의 과거, 현재, 향후의 신체적 혹은 정신적인 건강상태와 관련한 정보, 개인에게 제공된 의료서비스 내역에 관한 정보, 의료서비스와 관련된 과거, 현재, 향후의 비용 청구 및 수납과 관련한 정보 등을 의미한다. 또한, 서면, 전자적 전송, 구두에 의한 전달 뿐 아니라, 이 내용을 직접적으로 담고 있는 정보 외에, 그 정보를 사용하여 특정 환자가 누구인지 알 수 있는 간접적인 정보도 포함된다.

예를 들면, 환자의 성명, 주소, 생년월일, 입원일/퇴원일, 전화/팩스번호, 이메일 주소, 지문 날인 사본, 녹음된 음성 (voice prints), 환자 사진, 사회보장번호(SSN), 의료기록번호(Medical Record Number), 보험수혜자번호(Health plan beneficiary number), 계좌번호( Account number), 자격증번호(Certificate/license number), 자동차등록번호(VIN), Device identifiers, Web URLs and IP 주소, 기타 특정 번호, 진료 내역, 치료 내역, 복용 약물 내역, 병원 방문 기록 등이 이에 해당된다. 환자 이름은 유출되지 않았지만, 그 환자의 직업과 주소 정도가 유출되었다 하더라도 이는 위반에 해당될 수 있으므로, 모든 의료 기관은 주의를 기울여야 한다.

따라서 의료 기관은 보호대상 개인 정보(PHI)를 누가 사용하거나 외부에 공개, 전송할 수 있는지 제한하고, PHI 가 사용되거나 외부에 전송될 경우에 그 목적과 방식, 정보의 폭을 최소한으로 제한하며, PHI의 저장, 보관에 관한 보호책(safety guard)을 강구하여 개인 정보를 보호해야 한다. 

첫째, PHI를 사용하거나 외부에 공개, 전송할 수 있는지 제한하기 위해서는 HIPAA 개인정보보호(Privacy)에 관한 교육을 받고 업무 수행에 있어 PHI가 필요한 자가 사전에 PHI를 철저히 관리하고 외부에 유출하지 않겠음을 서약했어야 한다. PHI는 오로지 환자의 사전 서면동의가 있을 경우에만 사용 혹은 외부 전송이 가능하다. 따라서 많은 의료 기관들이 사전에 서면으로 이에 관한 동의를 받고 있다. 

만일 PHI 관리를 소홀히 한 경우는 회사의 개인정보보호 방침에 의해 징계가 가능하다. 사전에 서면으로 동의를 받았다 하더라도 환자의 개인정보는 T/P/O, 즉 Treatment(치료), Payment(수납), Health care operations(의료 서비스 제공자의 운영) 목적으로만 사용 가능한데, T/P/O가 아닌 사용시는 정부기관 혹은 법원의 요구가 있을 때를 제외하고는 별도로 환자의 동의를 받아야 한다.