9.4.5 유출·랜섬웨어·진료정보 침해사고 대응

원문 대조·이중 검수 2026-11-01

요약

개인정보 유출등의 통지·신고와 진료정보 침해사고 통지는 대상·기한·수신기관을 따로 판단해요. ^{1, 2, 3, 4}

꼭 기억할 것

• 신고 대상 개인정보 유출등을 알게 되면 원칙적으로 72시간 이내 보호위원회 또는 한국인터넷진흥원에 신고해요. ^{1, 5}
• 진료정보 침해사고가 발생하면 보건복지부장관에게 즉시 통지해야 해요. ^{3, 4}
• 법정 유출등 가능성 통지를 한 뒤 실제 유출등이 없었다고 확인되면 즉시 다시 알려야 해요. ¹¹

사고의 영향을 나누어 판단해요

작성 제안: 랜섬웨어 대응을 준비할 때는 진료 중단과 정보 유출등을 함께 살펴요. 발견 시각, 영향을 받은 시스템, 확인된 파일 손상, 외부 접근 흔적을 구분해 사건 기록을 시작해요.

개인정보 보호법의 ‘유출등’은 분실·도난·유출·위조·변조·훼손을 뜻해요. ⁶ 개인정보 보호법은 유출등 사실을 알게 된 때 정보주체 통지와 피해 최소화 조치를 요구해요. ¹ 의료법은 전자의무기록에 대한 전자적 침해행위로 발생한 진료정보 침해사고를 별도로 다루어요. ³ 시행령상 유형에는 진료정보 도난·유출, 파기·손상·은닉·멸실, 전자의무기록시스템 교란·마비가 있어요. ⁴

작성 제안: 외부 반출이 확인되지 않았다는 이유만으로 사고 처리를 끝내지 않아요. 담당자에게 유출등 사실, 법정 가능성 통지 요건, 의료법상 사고 유형을 각각 검토하도록 맡겨요.

환자 통지와 기관 신고의 시계를 나누어요

유출등을 알게 되면 원칙적으로 72시간 이내 정보주체에게 서면등으로 통지해야 해요. ² 긴급한 확산 방지 조치가 필요한 경우나 천재지변 등 부득이한 사유로 72시간 이내 통지하기 곤란하면 해당 사유 해소 후 즉시 알릴 수 있어요. ²

통지에는 유출 항목·시점·경위, 피해 최소화 방법, 대응조치·구제절차, 담당 연락처뿐 아니라 손해배상·법정손해배상 청구와 분쟁조정 등 법적 권리 및 행사 방법도 포함돼요. ¹ 항목이나 시점·경위의 구체적인 내용을 확인하지 못했으면 유출등 사실, 그때까지 확인된 내용과 피해 최소화 방법·대응조치 및 구제절차·담당 연락처·법적 권리 및 행사 방법을 서면등으로 우선 통지해야 해요. ^{1, 2} 추가로 확인되는 내용은 확인되는 즉시 통지해야 해요. ²

기관 신고는 1천명 이상, 민감정보 또는 고유식별정보, 외부 불법 접근에 따른 유출등 중 어느 하나에 해당하면 원칙적으로 인지 후 72시간 이내예요. ⁵ 수신기관은 개인정보보호위원회 또는 한국인터넷진흥원이에요. ⁵ 천재지변 등 지연 사유와 회수·삭제 등으로 권익 침해 가능성이 현저히 낮아진 경우의 신고 예외는 제40조제1항 단서에 따로 정해져 있어요. ⁵

건강에 관한 진료정보는 민감정보이므로 유출등 대상이 1천명 미만이어도 신고 요건에 해당해요. ^{6, 5}

작성 제안: 환자에게 알린 내역과 기관에 신고한 내역을 별도로 남겨요. 작성 제안: 신고 예외를 검토했다면 적용 근거와 회수·삭제 결과를 문서로 보관해요.

유출등 가능성 통지와 추가 통지를 관리해요

개인정보처리시스템이나 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 불법 접근이 발생해 유출등이 의심되지만 정보주체를 특정하기 곤란한 경우에는 불법 접근을 안 때가 가능성 통지의 기준 시점이에요. ¹⁰ 일부 정보가 위법하게 거래되는 등 유출등이 확인되고 다른 사람의 정보도 유출등이 되었을 수 있다고 인정되는 경우에는 해당 사실을 안 때가 기준이에요. ¹⁰

가능성 통지에는 유출등 가능성이 있는 항목, 의심되거나 인정되는 시점과 경위, 피해 최소화 방법, 대응조치·피해 구제절차, 담당부서·연락처와 유출등 여부가 확정되면 추가 통지하겠다는 사실을 포함해야 해요. ^{10, 1} 이 기준 시점부터 원칙적으로 72시간 이내에 서면등으로 가능성 통지를 해야 해요. ¹¹ 다만 천재지변 등 부득이한 사유로 기한 내 통지하기 곤란하면 사유가 해소된 후 즉시 통지해야 해요. ¹¹ 기한 내 실제 유출등을 확인했다면 확정 사실 통지로 갈음해요. ¹¹ 가능성 통지 뒤 실제 유출등이 없음을 확인하면 즉시 그 사실을 다시 알려야 해요. ¹¹ 연락처를 알 수 없는 등 정당한 사유가 있으면 가능성 통지나 유출등이 없다는 후속 통지를 홈페이지에 30일 이상 게시하는 것으로 갈음할 수 있어요. ¹¹ 홈페이지를 운영하지 않으면 사업장 등의 보기 쉬운 장소에 30일 이상 게시할 수 있어요. ¹¹

작성 제안: 조사 중인 내용은 확정 사실과 나눠 표시하고, 추가 통지 대상·발송 여부·반송 여부를 관리해요. 작성 제안: 단순 의심을 모두 같은 요건으로 단정하는 대신 제39조의2의 사유와 대조해요.

의료법 통지와 복구 기록을 병행해요

의료인 또는 의료기관 개설자는 진료정보 침해사고 발생 시 보건복지부장관에게 즉시 통지해야 해요. ³ 개인정보 신고의 72시간을 의료법 통지에 그대로 적용할 수 없어요. ^{2, 3}

진료정보 침해사고 통지는 서면·전화·팩스·전자우편 또는 유사한 방법으로 의료기관 명칭, 발생일시, 유출 범위 등 피해내역, 대응을 위한 기술지원 요청사항을 알려야 해요. ⁷ 의료인 또는 개설자는 특별한 사유가 없으면 보건복지부장관의 접속경로 차단 요청과 원인·경위 조사에 협조해야 해요. ⁸ 예방·대응 업무는 한국사회보장정보원에 위탁되어 있어요. ⁹

작성 제안: 환자 안전을 우선 확보하면서 전산 대응 담당자와 복구 범위를 정해요. 감염 의심 장비의 연결 차단, 원본 로그 보전, 백업 상태 확인은 기술 담당자와 진행하고 조치 시각·담당자를 남겨요.

작성 제안: 진료가 중단된 동안 임시 기록을 남길 책임자와 전산 복구 후 대조 절차를 정해요. 복구된 화면만 확인하지 말고 누락된 진료·처방·검사 기록이 있는지 확인하고, 미복구 항목을 구분해요.

흔한 실수

• 환자 수가 1천명 미만이라는 이유만으로 신고 대상에서 제외하지 않아요. 민감정보 등은 별도 요건이에요. ⁵
• 유출등 가능성 통지 뒤 유출등이 없다고 확인되어도 후속 통지가 필요해요. ¹¹

근거 조문

개인정보 보호법 제34조제1항제6호

6. 개인정보 유출등으로 인한 제39조에 따른 손해배상과 제39조의2에 따른 법정손해배상의 청구 및 제43조에 따른 분쟁조정 등 피해를 입은 정보주체의 법적 권리와 그 행사 방법 등에 관한 정보

개인정보 보호법 시행령 제39조의3제3항

③ 법 제34조제2항에 따른 통지를 한 개인정보처리자는 개인정보가 실제로 유출등이 되지 않은 사실을 확인한 경우 즉시 정보주체에게 그 사실을 통지해야 한다.

의료법 제23조의3

① 의료인 또는 의료기관 개설자는 전자의무기록에 대한 전자적 침해행위로 진료정보가 유출되거나 의료기관의 업무가 교란ㆍ마비되는 등 대통령령으로 정하는 사고(이하 "진료정보 침해사고"라 한다)가 발생한 때에는 보건복지부장관에게 즉시 그 사실을 통지하여야 한다.

개인정보 보호법 시행령 제40조제1항제2호

2. 민감정보 또는 고유식별정보가 유출등이 된 경우

개인정보 보호법 시행령 제39조 ①②③

① 개인정보처리자는 개인정보가 유출등이 되었음을 알게 되었을 때에는 서면등의 방법으로 72시간 이내에 법 제34조제1항 각 호의 사항을 정보주체에게 알려야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 해당 사유가 해소된 후 즉시 정보주체에게 알릴 수 있다. <개정 2026.9.10>
1. 유출등이 된 개인정보의 확산 및 추가 유출등을 방지하기 위하여 접속경로의 차단, 취약점 점검ㆍ보완, 유출등이 된 개인정보의 회수ㆍ삭제 등 긴급한 조치가 필요한 경우
2. 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 통지하기 곤란한 경우
② 제1항에도 불구하고 개인정보처리자는 같은 항에 따른 통지를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그 때까지 확인된 내용 및 같은 항 제3호부터 제6호까지의 사항을 서면등의 방법으로 우선 통지해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 통지해야 한다. <개정 2024.3.12, 2026.9.10>
③ 제1항 및 제2항에도 불구하고 개인정보처리자는 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 법 제34조제1항 각 호 외의 부분 단서에 따라 같은 항 각 호의 사항을 정보주체가 쉽게 알 수 있도록 자신의 인터넷 홈페이지에 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다. 다만, 인터넷 홈페이지를 운영하지 아니하는 개인정보처리자의 경우에는 사업장등의 보기 쉬운 장소에 법 제34조제1항 각 호의 사항을 30일 이상 게시하는 것으로 제1항 및 제2항의 통지를 갈음할 수 있다.

개인정보 보호법 시행령 제40조 ①②③

① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우로서 개인정보가 유출등이 되었음을 알게 되었을 때에는 72시간 이내에 법 제34조제1항 각 호의 사항을 서면등의 방법으로 보호위원회 또는 같은 조 제4항 전단에 따른 전문기관에 신고해야 한다. 다만, 천재지변이나 그 밖에 부득이한 사유로 인하여 72시간 이내에 신고하기 곤란한 경우에는 해당 사유가 해소된 후 즉시 신고할 수 있으며, 개인정보 유출등의 경로가 확인되어 해당 개인정보를 회수ㆍ삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있다. <개정 2026.9.10>
1. 1천명 이상의 정보주체에 관한 개인정보가 유출등이 된 경우
2. 민감정보 또는 고유식별정보가 유출등이 된 경우
3. 개인정보처리시스템 또는 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대한 외부로부터의 불법적인 접근에 의해 개인정보가 유출등이 된 경우
② 제1항에도 불구하고 개인정보처리자는 제1항에 따른 신고를 하려는 경우로서 법 제34조제1항제1호 또는 제2호의 사항에 관한 구체적인 내용을 확인하지 못한 경우에는 개인정보가 유출등이 된 사실, 그때까지 확인된 내용 및 같은 항 제3호부터 제5호까지의 사항을 서면등의 방법으로 우선 신고해야 하며, 추가로 확인되는 내용에 대해서는 확인되는 즉시 신고해야 한다.
③ 법 제34조제3항 전단 및 후단에서 "대통령령으로 정하는 전문기관"이란 각각 한국인터넷진흥원을 말한다.

개인정보 보호법 제23조 ①

①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는  그러하지 아니하다. <개정 2016.3.29>
1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우
2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

의료법 시행규칙 제16조의2

제16조의2(진료정보 침해사고의 통지 방법)
① 의료인 또는 의료기관 개설자는 법 제23조의3제1항에 따른 진료정보 침해사고(이하 "진료정보 침해사고"라 한다)가 발생한 경우 다음 각 호의 사항을 서면, 전화, 팩스, 전자우편 또는 이와 유사한 방법으로 보건복지부장관에게 통지해야 한다.
1. 의료기관의 명칭
2. 진료정보 침해사고의 발생일시
3. 진료정보의 유출 범위 등 피해내역
4. 진료정보 침해사고의 대응을 위한 기술지원 요청사항

의료법 시행규칙 제16조의3

제16조의3(진료정보 침해사고에 대한 긴급조치)
① 보건복지부장관은 의료인, 의료기관 개설자 또는 관계 행정기관 등을 통해 진료정보 침해사고가 발생한 사실을 알게 된 경우 그 피해의 확산을 방지하기 위하여 법 제23조의4제1항제3호에 따라 다음 각 호의 조치를 할 수 있다. <개정 2021.6.30>
1. 의료기관의 전자의무기록시스템에 대한 접속경로의 차단 요청
2. 진료정보 침해사고의 원인ㆍ경위 등에 관한 조사. 이 경우 현장조사에 관한 사항은 해당 의료기관의 장과 미리 협의해야 한다.
② 의료인 또는 의료기관의 개설자는 특별한 사유가 없으면 제1항에 따른 조치에 협조해야 한다.

의료법 시행규칙 제16조의4

제16조의4(진료정보 침해사고의 예방 및 대응을 위한 업무의 위탁) 보건복지부장관은 법 제23조의4제2항에 따라 같은 조 제1항 각 호에 따른 진료정보 침해사고의 예방 및 대응을 위한 업무를 「사회보장급여의 이용ㆍ제공 및 수급권자 발굴에 관한 법률」 제29조에 따른 한국사회보장정보원에 위탁한다.

출처

1. 법제처 국가법령정보센터 · 개인정보 보호법 제34조
2. 법제처 국가법령정보센터 · 개인정보 보호법 시행령 제39조
3. 법제처 국가법령정보센터 · 의료법 제23조의3
4. 법제처 국가법령정보센터 · 의료법 시행령 제10조의11
5. 법제처 국가법령정보센터 · 개인정보 보호법 시행령 제40조
6. 법제처 국가법령정보센터 · 개인정보 보호법 제23조
7. 법제처 국가법령정보센터 · 의료법 시행규칙 제16조의2
8. 법제처 국가법령정보센터 · 의료법 시행규칙 제16조의3
9. 법제처 국가법령정보센터 · 의료법 시행규칙 제16조의4
10. 법제처 국가법령정보센터 · 개인정보 보호법 시행령 제39조의2
11. 법제처 국가법령정보센터 · 개인정보 보호법 시행령 제39조의3