컨설팅을 받으려면 병원 매출·환자 데이터를 넘겨야 하나요? 보안이나 개인정보는 괜찮을까요?

문제 상황

• 경영 컨설팅을 알아보는 원장님들이 계약 전 가장 많이 망설이는 지점 중 하나는 데이터입니다. 정확한 진단을 하려면 매출 구성, 진료 항목별 비중, 신환·재진 흐름 같은 내부 자료를 보여줘야 한다는 것은 알지만, 병원의 민감한 숫자를 외부에 공유하는 것 자체가 부담스럽게 느껴집니다.
• 특히 환자 정보는 성격이 다릅니다. 진료기록이나 연락처처럼 개인을 알아볼 수 있는 정보는 개인정보보호법상 민감하게 다뤄야 하는 영역이라, '컨설팅 업체에 이런 자료까지 넘겨도 되는지' 판단이 서지 않아 상담 자체를 미루는 경우도 있습니다.
• 그렇다고 데이터를 전혀 공유하지 않으면 진단이 일반론에 머물기 쉽습니다. 결국 원장님에게 필요한 것은 '공유할지 말지'의 양자택일이 아니라, 무엇을 어떤 형태로 어디까지 공유하고 그 자료가 어떻게 관리되는지를 미리 확인하는 기준입니다.

세마의 접근법

세마컨설팅은 2004년부터 병원·의원의 경영 시스템을 구축해 온 병원경영 전문 컨설팅 회사로, VISION·Marketing·CRM·HR·CS 5개 영역을 세마컨설팅이 자체 개발한 병원경영표준5모델(HM5M)로 진단합니다. 이 과정에서 병원 데이터는 진단의 출발점이지만, 경영 진단에 필요한 것은 대부분 개별 환자가 아니라 흐름과 구조라는 점을 기본 전제로 둡니다.

예를 들어 매출 구조나 환자 재방문 흐름을 보려면 '누가' 왔는지보다 '어떤 유형의 환자가 얼마나, 어떤 경로로' 왔는지가 중요합니다. 그래서 경영 진단 목적이라면 환자 개인을 알아볼 수 있는 원본 정보보다, 개인을 알아볼 수 없도록 통계 형태로 집계된 자료로도 상당 부분 판단이 가능한 경우가 많습니다. 참고로 가명 처리된 정보도 법적으로는 여전히 개인정보에 해당하므로, 집계 자료와 같은 수준으로 보아서는 안 됩니다. 다만 업체마다 실제 데이터 처리 방식은 다를 수 있으므로, 아래 항목을 계약 전에 직접 확인해보시길 권합니다.

세마가 적용하는 방식

병원이 컨설팅 업체에 데이터를 공유하기 전에 점검해볼 수 있는 체크리스트를 정리했습니다. 세마컨설팅 역시 상담 단계에서 병원이 이 항목들을 질문해주시면 그에 맞춰 설명드리고 있습니다.

1. 비밀유지 조항이 계약서에 명시되어 있는가: 병원의 매출·운영 자료를 컨설팅 목적 외로 사용하거나 제3자에게 공개하지 않는다는 비밀유지 조항이 계약서 또는 별도 비밀유지계약(NDA)에 들어 있는지 확인합니다. 계약 종료 후에도 비밀유지 의무가 유지되는지도 함께 보는 것이 좋습니다.
2. 환자 정보는 집계·통계 형태로 공유하는가: 경영 진단 목적이라면 환자 이름·연락처·주민등록번호 같은 식별정보 없이 집계된 통계 자료로 충분한지 먼저 협의합니다. 가명 처리된 자료도 법적으로는 개인정보이므로 처리 목적과 안전조치를 따로 확인해야 하고, 진료기록은 의료법상 환자 외 제3자의 열람·사본 제공이 원칙적으로 금지됩니다. 원본 개인정보를 넘겨야 한다는 요청이 있다면, 그 필요성과 법적 근거(제3자 제공 동의, 처리 위탁 요건 등)를 확인하는 것이 좋습니다. 개인정보 처리 방식은 병원이 개인정보처리자로서 책임을 지는 부분이므로, 필요하면 법률 전문가의 확인을 받으시길 권합니다.
3. 누가 자료에 접근하는가: 공유한 자료를 볼 수 있는 담당 인원이 정해져 있는지, 프로젝트와 무관한 인원의 접근을 어떻게 제한하는지 물어봅니다.
4. 어떻게 주고받고 어디에 보관하는가: 자료를 일반 메신저나 개인 이메일이 아닌 접근 통제가 가능한 방식으로 주고받는지, 보관 장소와 보관 기간이 정해져 있는지 확인합니다.
5. 종료 후 파기 절차가 있는가: 컨설팅이 끝나면 받은 자료를 언제, 어떤 방식으로 파기하거나 반환하는지, 파기 사실을 확인받을 수 있는지 계약 단계에서 정해두는 것이 좋습니다.

이 다섯 가지를 계약 전에 확인해두면, 필요한 자료는 충분히 공유하면서도 병원 데이터와 환자 정보를 관리 가능한 범위 안에 둘 수 있습니다.