의료 기록 안전하게 전송: 개인정보보호 준수 가이드

의료 기록을 안전하게 전송한다는 것은, 전송 제공자가 접근할 수 없는 키로 파일이 암호화되고, TLS 1.3을 사용한 전송이 이루어지며, 제공자가 BAA(Business Associate Agreement)에 서명하거나 암호화가 엔드투엔드여서 평문에 대한 BAA가 불필요하고, 전송 및 수신에 대한 감사 가능한 기록이 생성되는 것을 의미합니다. HIPAA 용어로는 45 CFR § 164.312(기술적 보호 조치) — 접근 통제, 감사 통제, 무결성, 전송 보안을 준수하는 것입니다. 실용적인 지름길: DICOM 스터디 또는 PDF 기록을 임상 워크스테이션에서 첫 번째 바이트가 나가기 전에 AES-256-GCM으로 클라이언트 측 암호화하는 브라우저 기반 서비스에 업로드하는 것입니다.

HIPAA가 전송에 실제로 요구하는 것

HIPAA 보안 규칙의 기술적 보호 조치 섹션(§ 164.312)은 다음을 규정합니다.

접근 통제 (§ 164.312(a)(1)): 고유 사용자 식별, 비상 접근 절차, 자동 로그오프, 암호화 및 복호화.
감사 통제 (§ 164.312(b)): 활동을 기록하고 검토하는 하드웨어, 소프트웨어 및 절차적 메커니즘.
무결성 (§ 164.312(c)(1)): PHI가 무단으로 변경되거나 파괴되지 않음.
전송 보안 (§ 164.312(e)(1)): 무결성 통제 + 암호화(합리적이고 적절한 경우).

HIPAA 용어에서 "주소 지정 가능"은 선택 사항을 의미하지 않습니다. 보호 조치를 구현하거나, 합리적이지 않은 이유를 문서화하고 동등한 대안을 구현해야 합니다. 신뢰할 수 있는 네트워크 외부로의 ePHI 전송 시 암호화는 사실상 보편적인 기본 설정입니다.

BAA 문제의 재정립

BAA(Business Associate Agreement)는 공급업체가 의료기관을 대신해 PHI에 접근할 때 필요합니다. 전송 서비스가 평문 PHI를 볼 수 있다면 — 일시적이더라도 — BAA가 필요합니다. PHI가 엔드투엔드 암호화되어 서비스가 암호문만 처리한다면, 서비스는 § 160.103에 정의된 PHI에 접근하지 않으므로 Business Associate에 해당하지 않는다는 주장이 가능합니다.

이것이 제로 지식 논리입니다. OCR(HHS 시민권리국)이 명확한 결정을 내리지는 않았지만, HITECH법의 § 13402(h) "안전 항구" — NIST 지침에 따라 암호화된 데이터는 불안전한 PHI로 간주되지 않음 — 는 적절히 암호화된 전송이 위반 통지를 유발하지 않는다는 입장을 지지합니다.

일반적인 임상 파일 유형

| 파일 | 일반적인 크기 | 내용 | | --- | --- | --- | | DICOM CT 스터디 | 200MB~2GB | 슬라이스, 메타데이터(환자명, MRN, 검사일) | | DICOM MRI 스터디 | 100MB~3GB | 다중 시리즈 | | 디지털 병리 .svs | 500MB~5GB | 전 슬라이드 이미지 | | 통합 CDA(C-CDA) XML | 100KB~5MB | 구조화된 임상 요약 | | PDF 검사 결과 | 50KB~20MB | 혈액 검사, 영상 보고서 | | DEXA/DXA 스터디 | 10~50MB | 골밀도 이미지 | | 전체 EMR 내보내기 | 10MB~2GB | 비식별화 또는 환자 요청 내보내기 |

복부 조영 CT 한 건이 1.2GB에 달할 수 있습니다. 이메일은 이 채널에 적합하지 않습니다.

이메일과 일반 클라우드 스토리지가 부족한 이유

표준 SMTP는 홉별 TLS 방식으로, 경로상의 메일 서버마다 복호화 후 재암호화합니다. 세 개의 릴레이를 통과하는 메시지에는 세 개의 복호화 지점이 있습니다.
Gmail, Outlook.com, iCloud Mail은 제공자 보유 키로 메시지를 저장합니다.
Dropbox, Google Drive, OneDrive는 저장 시 암호화를 제공하지만 제공자가 키를 보유합니다. Google은 HIPAA 가능 관리자 구성을 갖춘 Workspace Enterprise에 대해서만 BAA에 서명합니다. 무료 Drive는 HIPAA가 적용되지 않습니다.
팩스는 미국 의료에서 여전히 사용되지만 — 암호화되지 않은 유선 팩스는 평문으로 통신사를 통과합니다.

임상 사용을 위한 제로 지식 전송 흐름

임상의가 PACS(GE Centricity, Philips IntelliSpace, Siemens syngo.via, 또는 오픈 소스 dcm4chee)에서 DICOM 스터디를 익명화 또는 환자 식별 DICOM 파일이 담긴 .zip으로 내보냅니다.
임상의가 브라우저에서 전송 서비스를 엽니다. Web Crypto API가 공유 암호에서 PBKDF2-HMAC-SHA256(600,000회 반복, 무작위 128비트 솔트)으로 256비트 키를 유도합니다.
브라우저가 각 5MB 청크를 AES-256-GCM으로 암호화합니다(청크당 새 96비트 IV). 암호문이 TLS 1.3을 통해 업로드됩니다.
링크가 보안 메시징(DirectTrust, TigerConnect)이나 환자 포털을 통해 수신 임상의에게 전송됩니다.
암호가 두 번째 채널로 전달됩니다 — 환자에게 전달된 서명된 종이 양식, 검증된 번호로의 SMS, 또는 전화 통화.
수신자가 다운로드하고, 브라우저에서 복호화하여 OsiriX, Horos, RadiAnt, 또는 로컬 PACS에서 엽니다.

전송 서비스는 환자 데이터를 볼 수 없습니다. 감사 추적은 업로드 타임스탬프, 파일 크기(내용 아님), 다운로드 타임스탬프, IP 주소를 기록합니다. 이러한 로그는 PHI를 노출하지 않고 § 164.312(b) 감사 통제를 지원합니다.

메타데이터 유출 위험

DICOM 파일에는 풍부한 헤더가 내장되어 있습니다: 환자명, MRN, 생년월일, 의뢰 의사, 기관. 두 가지 유출 경로:

파일명에 PATIENT_LASTNAME_MRN123456.dcm이 포함됩니다. 파일명이 보이는 전송 서비스는 암호화된 내용에도 불구하고 식별자를 노출합니다. 압축 전에 이름을 바꾸세요.
DICOM 태그가 모든 인구통계 정보를 담고 있습니다. 암호화된 파일은 이를 전송 서비스로부터 숨기지만 수신자는 복호화 후 볼 수 있습니다. 식별자가 필요 없는 경우 DICOM Supplement 142 또는 HIPAA § 164.514(b) Safe Harbor에 따라 전송 전 비식별화하세요.

환자 주도 전송

HITECH법과 21세기 치료법의 정보 차단 규칙(45 CFR Part 171, 2021년 발효)에 따라 환자는 전자 형식으로 기록을 받을 권리가 있습니다. 브라우저 기반 암호화 전송이 적합합니다.

환자가 제공자의 기록 공개 사무소에 기록을 요청합니다.
담당자가 ZIP으로 압축된 PDF/C-CDA/DICOM 묶음을 업로드합니다.
환자가 검증된 이메일로 링크를 받고, 비밀번호는 전화로 받습니다.
환자가 다운로드하고, 사본을 보관하며, 두 번째 의견 제공자에게 전달합니다.

이 흐름은 환자가 포털 계정을 설정할 필요 없이 정보 공유 의무를 충족합니다.

유럽 의료기관을 위한 GDPR 및 한국 PIPA 준수

GDPR 제9조는 건강 데이터를 특별 범주로 분류합니다. 제32조는 암호화를 포함한 적절한 기술적·조직적 조치를 의무화합니다. EU 의료기관(독일 병원, 프랑스 의원, 스위스 병원, 네덜란드 병원)의 경우 클라이언트 측 키 유도를 사용한 엔드투엔드 암호화가 해당 요건을 충족하며, 제로 지식 처리가 제28조 하의 데이터 처리자 계약 범위를 줄입니다.

한국의 의료기관도 개인정보 보호법(PIPA) 및 의료법에 따라 민감한 의료 정보 처리 시 암호화 등 기술적 보호 조치를 의무적으로 적용해야 합니다. 제로 지식 전송 방식은 이 요건을 직접적으로 충족합니다.

보존 기간 및 삭제

임상 기록에는 법적 보존 의무가 있습니다: 프랑스는 10년(공중 보건법 L.1110-4), 독일은 병원 기록에 대해 주법에 따라 30년, 미국 대부분의 주는 HIPAA에 겹쳐진 주법에 따라 7년 이상입니다. 그러나 전송 자체는 일시적입니다. 보존 시계는 전송 링크가 아닌 제공자의 기록 시스템(EMR)에 적용됩니다. 전송 만료를 14~30일로 설정하고, 수신자의 PACS 또는 EMR이 장기 보관을 맡도록 하세요.

의료에 적합한 전송 옵션 비교

| 옵션 | E2E 암호화 | HIPAA 적합 | 최대 용량(일반) | 환자 접근 가능 | | --- | --- | --- | --- | --- | | 일반 Gmail | 없음(TLS만) | Workspace BAA 없이는 불가 | 25MB | 가능 | | Google Workspace HIPAA(BAA 포함) | 없음 | 가능 | 5TB 쿼터 | 가능 | | Microsoft 365 HIPAA(BAA 포함) | 없음 | 가능 | OneDrive 파일당 250GB | 가능 | | DirectTrust(Direct 프로젝트) | 있음(S/MIME) | HIPAA 설계 준수 | HISP별 설정 | 제한적 | | Tresorit Send | 있음(서버 보조) | BAA 제공 | 5GB 무료 | 가능 | | HexaTransfer | 있음(AES-256-GCM 브라우저 내) | 설계상 제로 지식 | 10GB | 가능, 계정 불필요 |

의료 기록은 건물을 벗어나는 순간부터 무게를 지닙니다. 전송 메커니즘도 그 무게에 맞아야 합니다.

hexatransfer.com에서 사용해 보세요 — 무료, 계정 불필요, 최대 10GB.