김법윤 변호사
1. 환자의 진료기록 열람, 사본 발급
의료법은 환자가 의료인, 의료기관의 장 및 의료기관 종사자에게 본인에 관한 진료기록의 전부 또는 일부에 대하여 열람 또는 사본 발급 등 내용 확인을 요청할 수 있다고 정하고 있습니다. 의료기관은 정당한 사유가 없는 한 이를 거부할 수 없습니다(의료법 제21조 제1항, 제2항).
다만 의무기록은 환자의 민감한 의료정보이므로, 원칙적으로 환자가 아닌 사람에게 임의로 열람하게 하거나 사본을 내주어서는 안 되고, 환자의 친족이나 대리인 등 법에서 정한 경우에 한하여 일정한 서류를 갖춘 때에만 발급이 가능합니다(의료법 시행규칙 제13조의 3).
2. 온라인 신청·발급의 전제는 본인확인
그렇다면 의무기록을 온라인으로 신청하고 발급받는 것도 가능할까요? 결론부터 말하면, 원칙적으로 가능합니다. 휴대전화 본인 인증, 공인인증 등을 통해 온라인으로도 의무기록의 신청이 가능합니다(의료법 시행규칙 제13조의 3 제5항).
다만 여기서 가장 중요한 전제는 신청자가 환자 본인인지 확인할 수 있는 절차입니다. 의료기관은 환자가 본인 기록의 열람 또는 사본 발급을 요청하는 경우 요청인이 환자 본인임을 확인해야 합니다. 따라서 휴대전화 본인인증, 전자서명, 본인확인기관을 통한 인증 등 신뢰할 수 있는 온라인 본인확인 시스템을 갖춘 의료기관이라면 온라인 신청·발급이 가능합니다.
그러나 그러한 시스템이 없는 상태에서 단순히 이메일이나 메신저로 “의무기록을 보내 달라”는 요청만 받고 곧바로 발급하는 것은 적절하지 못합니다. 이러한 경우에는 이메일이나 메신저로 신청 의사를 먼저 접수하더라도, 발급 전에 환자가 의료기관을 방문하여 신분증을 제시하거나 그에 준하는 본인확인 절차를 거쳐야 합니다.
3. 본인확인 후에는 지정한 방식으로 발송 가능
본인확인 절차가 적법하게 완료되었다면, 발급 방식은 반드시 병원 창구에서 직접 수령하는 방식에 한정되지 않습니다. 보건복지부의 진료기록 사본 발급 관련 지침은 적법한 요건을 갖춘 요청자에게 직접 교부하는 방식뿐만 아니라 우편 송부, 팩스, 이메일 등 온라인 전송 방식도 가능하다고 설명하고 있습니다. 또한 정당한 요청자가 특정 주소, 팩스번호, 이메일 등을 지정한 경우에는 반드시 환자 본인의 주소나 이메일이 아니더라도 그 지정된 곳으로 발송할 수 있습니다. 다만 의료기관 입장에서는 발송 전에 신청자의 본인확인, 발급 범위, 수령처 지정 의사, 오발송 방지 절차를 내부적으로 확인해 두는 것이 안전할 것입니다.
1. Patient’s Right to Access and Obtain Copies of Medical Records
Under the Korean Medical Service Act, a patient may request a physician, the head of a medical institution, or staff members of a medical institution to allow access to, or issue copies of, all or part of the patient’s own medical records. A medical institution may not refuse such a request without a justifiable reason (Article 21(1) and (2) of the Medical Service Act).
However, medical records contain sensitive personal health information. Therefore, as a general rule, a medical institution must not allow anyone other than the patient to access the records or receive copies at will. Copies may be issued to a patient’s family member, representative, or other legally authorized person only when the requirements set by law are met and the necessary documents are submitted (Article 13-3 of the Enforcement Rule of the Medical Service Act).
2. Online Application and Issuance Require Proper Identity Verification
Can patients apply for and receive medical records online? In principle, yes. Article 13-3(5) of the Enforcement Rule of the Medical Service Act allows applications for medical records through methods such as mobile phone identity verification or an accredited certificate.
The most important point, however, is that the medical institution must be able to verify whether the applicant is truly the patient. Article 13-3(4) of the Enforcement Rule of the Medical Service Act provides that, when a patient requests access to or copies of his or her own medical records, the medical institution must verify that the requester is the patient. Therefore, online application and issuance are possible if the medical institution has a reliable online identity verification system, such as mobile phone identity verification, electronic signature, or authentication through an identity verification agency.
On the other hand, if a medical institution does not have such a system, it would not be appropriate to issue medical records simply because the patient made a request by email or messenger. In that case, the medical institution may first receive the patient’s request by email or messenger, but before issuing the records, it should verify the patient’s identity, for example by having the patient visit the institution and present an ID card or by using another equivalent verification procedure.
3. After Identity Verification, Records May Be Sent by the Method Designated by the Patient
Once the patient’s identity has been properly verified, the patient does not necessarily have to receive the records in person at the hospital counter. According to the Ministry of Health and Welfare’s guidance on issuing copies of medical records, records may be provided not only by direct delivery to a legally qualified requester, but also by mail, fax, email, or other online transmission methods.
In addition, if a legally qualified requester designates a specific address, fax number, or email address, the medical institution may send the records to that destination. The destination does not necessarily have to be the patient’s own home address or personal email address. From the medical institution’s perspective, however, it is safer to confirm the requester’s identity, the scope of the records to be issued, the requester’s intention regarding the delivery destination, and internal procedures to prevent misdelivery before sending the records.