복지부·안행부 협력 ‘의료기관 개인정보보호 가이드라인’ 개발
[보안뉴스 김지언] 얼마 전 대학병원의 의료정보가 유출된 흔적이 발견돼 의료정보보호에 대한 관심이 높아지고 있다. 그러나 6월에 발표된 안전행정부의 ‘의료기관 개인정보보호 가이드라인’에는 한계가 있다는 지적이 제기돼 추가적인 가이드라인이 논의되고 있다.
이러한 가운데 서울대학교 치과병원에서 개최된 ‘의료정보보호 세미나’에서 보건복지부 김준태 사무관은 현행 가이드라인이 환자의 개인정보보호만을 중심으로 개발되는 등 한계가 있어, 이를 보완하고자 안행부와 복지부가 협력하여 ‘의료기관 개인정보보호 가이드라인’을 수정하게 됐다고 설명했다.
이날 발표된 가이드라인은 현행 가이드라인이 개인정보처리원칙과 단계별 조치요령에만 내용이 국한됐다는 판단 아래 실제 발생하는 사건의 흐름 중심으로 재정비됐다. 또한, 환자의 개인정보보호에만 한정되어 있던 현행 가이드라인을 보완하고자 환자 이외의 정보주체에 대한 개인정보 처리기준도 제시했다.
신규 가이드라인의 특징으로는 △의료기관 주요업무 프로세스 중심의 개인정보 처리기준 마련 △의료기관의 모든 정보주체에 대한 개인정보보호 방안 제시 △개인영상정보보호 등의 내용 구체화 △의료기관 유형별 개인정보 처리기준 마련이 대표적이다.
△의료기관 주요업무 프로세스 중심의 개인정보 처리기준 마련
의료기관의 주요업무 프로세스를 중심으로 개인정보 처리기준을 마련해 의료기관이 실질적으로 사용할 수 있도록 했다.
먼저 ‘진료신청’ 단계에서는 진료를 목적으로 한 최소한의 개인정보만을 수집하도록 해 불필요한 정보수집을 차단했다. 이어, ‘진료과정’ 단계에서는 의료법 상의 개인정보는 환자 동의가 불필요하며, 특별한 규정에 따른 신고의무로서의 진료기록 제3자 제공도 가능하도록 했다. ‘처방과정’에서는 진료비 수납을 위한 최소한의 정보는 수집가능하나, 환자의 정보보호를 위한 안전성 확보조치가 필요하다는 게 김 사무관의 설명이다.
△의료기관의 모든 정보주체에 대한 개인정보보호 방안 제시
환자 외에도 의료인 및 직원 등 의료기관에 근무하는 모든 정보주체에 대해 ‘채용준비→채용결정→고용유지→고용종료’ 등 각 단계에서 발생하는 개인정보 처리기준을 제시했다.
먼저, ‘채용준비’ 단계에서는 인재선발 시 반드시 필요하다고 인정한 개인정보는 주체의 동의 없이 수집과 이용이 가능하나, 고유식별정보나 민감정보 수집은 원칙적으로 금지했다.
이어 ‘채용결정’ 시 법령상 의무준수를 위한 개인정보수집과 주민등록번호 수집은 별도의 동의 없이 처리가 가능하도록 했다. 이와 함께 ‘고용유지’ 단계에서는 인력배치, 인력이동, 인사평가, 보수, 후생복지, 교육훈련 등을 위한 개인정보 수집 및 이용은 별도의 동의 없이 가능하나, 급여, 성과급, 복지포인트 등의 정보를 제3자 제공 시 동의가 필요하다는 내용을 담고 있다.
특히, ‘고용종료’ 단계에서는 퇴직 의료 인력의 경력증명(최소 3년 별도 보관) 및 근로계약에 관한 정보를 제외한 나머지는 지체 없이 삭제하도록 규정했다.
△개인 영상정보 보호 등의 내용 구체화
법률에서 허용하는 경우에 한해서만 CCTV를 설치해 운영할 수 있으며, 안내판 설치가 의무화됐다. 또한, 공개된 장소에 설치된 CCTV는 임의조작이나 다른 곳을 비춰서는 안 되며, 녹음기능은 사용할 수 없도록 했다.
△의료기관 유형별 개인정보 처리기준의 마련
규모별, 설립주체별 의료기관의 개인정보보호기준을 마련하여 개인정보처리 업무의 통일성을 갖추도록 제안했다.
이외에 추가적으로 의료정보의 안전성을 확보하기 위해 접근권한 관리, 비밀번호 관리, 접근통제 시스템 설치·운영, 개인정보 암호화, 보안프로그램 설치·운영 등에 관한 다양한 보안기준이 제시됐다.
향후 추진계획과 관련해 김 사무관은 “예산문제로 대형병원을 제외한 의료기관의 경우 기존 가이드라인이 잘 지켜지지 않고 있다”며, “중소 의료기관들이 개인정보보호를 위한 기반을 마련할 수 있도록 컨설팅 사업을 진행할 계획”이라고 밝혔다.
[김지언 기자(boan4@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김지언기자 기사보기
[2024-05-08] 
