개인정보보호 가이드라인

[의료기관 편]

2015. 2.

	보건복지부		행정자치부

• • 목    차 • •

▣ 용어의 정의	1

Ⅰ. 가이드라인의 개요

1. 배경 및 목적	3

2. 가이드라인 구성	4

Ⅱ. 환자의 개인정보 처리기준

1. 진료 신청과정에서 환자의 개인정보 처리기준	6

2. 진료과정에서 환자의 개인정보 처리기준	11

3. 처방과정에서 환자의 개인정보 처리기준	21

Ⅲ. 개인영상정보 처리기준

1. 공개된 장소	28

2. 비공개 장소	30

3. 열람 등 요구 대응	31

Ⅳ. 의료기관 근로자의 개인정보 처리기준

1. 채용 준비 단계	32

2. 채용 결정 단계	34

3. 고용 유지 단계	37

4. 고용 종료 단계	41

Ⅴ. 개인정보 처리단계별 조치기준

1. 개인정보 개요	43

2. 개인정보의 수집‧이용	48

3. 개인정보 제3자 제공	55

4. 개인정보 처리 업무위탁	63

5. 영업의 양도	67

6. 영상정보처리기기의 설치‧운영	69

7. 개인정보파일의 등록(공공기관에만 적용)	73

8. 개인정보의 안전성 확보	76

9. 개인정보의 파기	96

10. 개인정보 처리방침의 수립 및 공개	100

11. 개인정보 보호책임자 지정	102

12. 정보주체의 권익보호	104

13. 피해 구제방법	112

《참고》

1. 표준서식

2. 개인정보보호법

3. 의료분야 관련 법령

<가이드라인 활용 및 저작권 표시>

▢ 이 가이드라인의 저작권은 보건복지부 및 행정자치부에 있음.

▢ 개인정보 보호 교육 목적으로 이 가이드라인을 활용

(인용, 편집 등 포함)하고자 하는 경우

- 다음과 같이 가이드라인 명 및 저작권 보유기관을 표시

* 출처: 보건복지부 및 행정자치부, 『개인정보 보호 가이드라인 – 의료기관편』2015.

▣ 용어의 정의 ▣

1. “의료기관”이란 「의료법」제3조제2항에 따른 의원급 의료기관, 조산원, 병원급 의료기관을 말한다.

2. “의료인”이란 보건복지부장관의 면허를 받은 의사․치과의사․한의사․조산사 및 간호사를 말한다.

3. “의료행위”란 의학적 전문지식을 기초로 하는 경험과 기능으로 진찰, 검안, 처방, 투약 또는 외과적 시술을 시행하여야 하는 질병의 예방 또는 치료행위 및 그 밖에 의료인이 행하지 아니하면 보건위생상 위해가 생길 우려가 있는 행위를 말한다.

4. “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

5. “진료정보”란 진료를 목적으로 수집하여 처리하는 개인정보가 포함된 정보로 진료기록부, 수술기록부, 조산기록부, 간호기록부, 환자명부 등으로 관리되는 정보를 말하고, 사망한 자의 진료정보도 포함한다.

6. “개인정보의 처리”란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말한다.

7. “개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물을 말한다.

8. “영상정보처리기기”란 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유․무선망을 통하여 전송하는 일체의 장치로써 개인정보보호법 시행령 제3조에 따른 폐쇄회로 텔레비전(CCTV) 및 네트워크 카메라를 말한다.

9. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

10. “개인정보 보호책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 개인정보보호법(이하 “법”이라 한다) 제31조(개인정보 보호책임자의 지정)에 따른 지위에 해당하는 자를 말한다.

11. “개인정보취급자”란 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 자를 말한다.

12. “내부관리 계획”이란 의료기관이 개인정보를 안전하게 처리하기 위하여 내부 의사결정절차를 통하여 수립․시행하는 내부 기준을 말한다.

Ⅰ. 가이드라인의 개요

1. 배경 및 목적

환자의 개인정보 보호에 대한 사회적 요구 증가

의료기관은 환자의 건강상태, 신체적 특징, 병력 등 민감정보, 주민등록번호 등 고유식별정보, 그 밖에 신용카드번호, 통장계좌번호, 근로정보, 개인영상정보 등 다양한 개인정보를 처리하고 있음

개인정보의 유출로 인하여 환자 및 의료기관 근로자는 자신의 개인정보 자기결정권을 침해받고, 유출된 개인정보로 인하여 2차적 피해를 받게 됨

의료기관의 업무특성을 고려한 개인정보 처리 기준 마련

개인정보 보호를 위한 일반법인 「개인정보보호법」이 2011.3.29. 제정되어 2011.9.30. 부터 시행 중

개인정보 보호 기반조성 및 개인정보보호법의 안정적 정착을 위해 의료기관의 업무특성을 고려한 개인정보 처리 기준의 필요

약 6만여 의료기관 업무의 특성에 따른 개인정보 처리 기준 필요

의료기관의 개인정보처리 업무 지원

개인정보보호법의 취지 및 주요 원칙, 의료기관의 업무특성을 고려해 개인정보 처리 업무 담당자들이 실무에 참고할 수 있는 가이드라인의 마련 필요

환자, 의료인, 의료기관 직원 등의 개인정보 처리 기준 및 유의사항을 이해하기 쉽게 설명

개인정보 침해 관련 분쟁예방 및 침해사고의 방지

개인정보 처리에 따른 의료기관과 환자 사이에 발생할 수 있는 분쟁을 예방하고 개인정보 유출 등 개인정보 침해사고를 방지할 수 있도록 가이드라인 필요

※ 본 가이드라인은 행정자치부와 보건복지부가 마련한 의료기관 개인정보보호 가이드라인 마련(2012.9, 2013.12)의 개정판임

2. 가이드라인 구성

환자 개인정보의 처리기준

진료 신청과정에서 개인정보 처리기준

진료과정에서 개인정보 처리기준

처방과정에서 개인정보 처리기준

영상정보처리기기의 설치․운영 및 개인영상정보의 처리기준

영상정보처리기기의 설치․운영 기준

공개된 장소 및 비공개 장소에서 영상정보처리기기의 설치․운영

개인영상정보의 처리 및 정보주체의 권리

의료기관 근로자(의료인 및 직원)의 개인정보 처리기준

채용 준비 단계

채용 결정 단계

고용 유지 단계

고용 종료 단계

개인정보 처리단계별 조치기준

개인정보 개요

개인정보의 수집‧이용

개인정보 제3자 제공

개인정보 처리 업무위탁

영업의 양도

영상정보처리기기의 설치‧운영

공공기관에서 개인정보파일의 등록

개인정보의 안전성 확보

개인정보의 파기

개인정보 처리방침의 수립 및 공개

개인정보 보호책임자 지정

정보주체의 권익보호

피해 구제방법

의료기관의 개인정보 처리를 위한 관련 서식 소개

개인정보보호법 및 의료분야 관련 법령

Ⅱ. 환자의 개인정보 처리기준

1. 진료 신청과정에서 환자의 개인정보 처리기준

진료 신청을 위한 개인정보는 진료를 목적으로 한 필요한 최소한의 개인정보를 수집하여야 하며, 수집 목적의 범위에서 이용하여야 한다.

가. 인터넷, 전화 등을 통한 진료․검사 예약

인터넷, 전화 또는 팩스에 의한 진료·검사 예약  시 건강보험 가입여부, 건강검진 대상여부 등 확인이 필요한 경우, 의료기관은 필요한 최소한의 개인정보를 수집하여야 함

< 인터넷, 전화 등에 의한 진료 예약 시 수집할 수 있는 개인정보 >

성명

주민등록번호

주소

연락처

진료과목

다만, 단순예약(시간약속)을 위한 주민등록번호 수집은 원칙적으로 허용되지 않음

전화를 통하여 필요한 최소한의 개인정보를 수집할 때에는 통화내용을 녹취하고, 녹취할 때에는 녹취사실을 정보주체에게 알려야 하며, 해당 녹취파일에 대하여 안전성 확보조치를 하여야 함

인터넷 또는 팩스로 진료·검사 신청을 받는 경우 개인정보의 안전성을 확보하기 위하여 이를 취급할 수 있는 ‘개인정보취급자’를 최소화하여 해당 정보를 취급하도록 하여야 함

인터넷으로 수집한 주민등록번호는 암호화하여야 하며, 해당 팩스 문서 또는 주민등록번호를 포함한 개인정보는 안전하게 보관하고 관리하여야 함

FAQ	환자의 편의를 위해 진료예약시 건강보험 가입여부 및 건강검진 대상 여부를 확인하여 안내하고 있는데 주민등록번호를 수집할 수 있나요?
인터넷․전화 등을 통한 진료예약 시 건강보험 가입여부, 건강검진 대상 여부 확인이 꼭 필요한 경우에는 국민건강보험법 등의 근거에 따라 주민등록번호를 처리할 수 있습니다. 다만, 단순예약(시간약속)을 위한 주민등록번호의 수집․이용은 원칙적으로 허용되지 않습니다.

정보주체가 14세 미만의 아동인 경우에는 법정대리인의 동의를 받아 개인정보를 수집하여야 함

법정대리인의 동의를 받기 위한 필요 최소한의 정보(법정대리인의 성명과 연락처)는 해당 아동으로부터 직접 수집할 수 있음

다만, 이 경우에도 수집하는 개인정보처리자의 신분과 연락처, 법정대리인의 성명과 연락처를 수집하고자 하는 이유를 해당 아동에게 알려야 함

의료기관이 홍보나 홈페이지 관리 등을 위해 개인정보를 수집하는 경우에는 반드시 정보주체의 동의가 필요함

FAQ	환자에게 진료와 직접적인 관련이 있는 내용의 SMS를 보내는 것은 환자의 동의가 없어도 보낼 수 있다고 하는데 예방접종 예약 안내도 포함되나요? 만일 동의서를 받아야 한다면 ‘접종일자에 대해 안내받기 위한 정보활용에 동의함’이라는 문구만을 추가하는 것으로 가능한가요?
진료목적의 범위에는 예약내용의 안내, 간염 1차 접종을 받은 사람에게 2차 접종을 안내하는 것과 같이 동일 진료와 연결된 예방접종 사항에 대한 안내, 검사결과 통보 등이 포함됩니다. 그렇지만, 진료를 목적으로 수집한 개인정보는 당해 진료와 관련한 목적 내의 범위에서 이용하여야 합니다. 그러므로 진료와 관계없는 예방접종 안내등을 위해서는 정보주체 또는 그 법정대리인의 동의를 받아야 합니다. 동의를 받고자 하는 경우에는 ① 개인정보의 수집·이용목적, ② 수집하려는 개인정보의 항목, ③ 개인정보의 보유 및 이용기간, ④ 동의를 거부할 권리가 있는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 알리고 동의를 받아야 합니다. 그러므로 “접종일자에 대해 안내받기 위한 정보활용에 동의함”이라는 문구만을 추가해서는 아니 됩니다.

정보주체의 동의를 받을 때에는 ①개인정보의 수집·이용 목적 ②수집하려는 개인정보 항목 ③개인정보의 보유 및 이용기간 ④동의를 거부할 권리가 있다는 사실과 그에 따른 불이익(있을 경우)을 알리고 동의를 받아야 함

나. 방문에 의한 진료 신청

정보주체가 직접 방문하여 진료 신청을 하는 경우 의료기관은 필요한 최소한의 개인정보를 수집하여야 함

방문에 의한 진료 신청 시 동의 없이 수집할 수 있는 개인정보

□ 환자 이름, 주민등록번호, 주소, 전화번호, 진료과목

※ 다만, 진료목적 이외의 최신 의학정보, 각종 건강행사 등 의료기관이 홍보를 위한 서비스를 제공하기 위해서는 정보주체의 별도 동의를 받아야 함

진료를 목적으로 하는 개인정보 수집은 정보주체의 동의 없이 수집할 수 있음

<진료목적의 범위>

진료와 직접 관련된 진료 신청, 진단, 검사, 치료, 수납 등 업무

진료신청 문자발송, 검사결과 통보 등의 업무

진료와 연결된 예방접종 – 일반적 접종 안내는 진료목적에 포함되지 않음

예 : 간염 1차 접종자에게 제2차 접종안내는 연결되는 진료임 그렇지만, 간염 1차 접종자에게 독감접종을 안내하는 것은 진료목적으로 보기 어려움

병원 이전 또는 휴업에 관한 정보 - 각종 검사 등과 연결되므로 진료목적의 범위에 속함

다. 요양급여의뢰서에 의한 진료 신청

환자가 상급종합병원에서 2단계 요양급여를 받고자 하는 때에는 상급종합병원에서 요양급여가 필요하다는 의사소견이 기재된  요양급여의뢰서 또는 건강진단․건강검진결과서를 해당 상급종합병원에 제출하여야 함

이 때 건강보험증 또는 주민등록증, 운전면허증, 여권 등 신분증명서를 함께 제출하여야 함

< 요양급여의뢰서의 개인정보 >

건강보험증번호

가입자․세대주․환자의 성명 및 주민등록번호

주소

전화번호

상병명

상병분류기호

진료기간

환자상태 및 진료소견

< 상급 종합볍원에서 1단계 요양급여를 받을 수 있는 경우 >

「응급의료에 관한 법률」 제2조제1호에 해당하는 응급환자인 경우

분만의 경우

치과에서 요양급여를 받는 경우

「장애인복지법」 제32조에 따른 등록 장애인 또는 단순 물리치료가 아닌 작업치료·운동치료 등의 재활치료가 필요하다고 인정되는 자가 재활의학과에서 요양급여를 받는 경우

가정의학과에서 요양급여를 받는 경우

당해 요양기관에서 근무하는 가입자가 요양급여를 받는 경우

혈우병환자가 요양급여를 받는 경우

라. 진료 신청과정에서 수집된 개인정보의 안전한 관리

의료기관은 환자 및 그 보호자, 법정대리인으로부터 수집한 개인정보의 안전한 관리를 위한 계획을 수립하여야 함

진료 신청 접수 업무담당자를 필요한 최소한으로 지정하여, 개인정보의 유출 및 노출 가능성을 최소화하여야 함

개인정보처리업체에 진료 신청 업무처리를 위탁할 경우 관련 계약을 반드시 문서로 처리하고, 안전한 관리, 교육 및 감독을 시행할 것

< 위탁 시 주의사항 >

위탁업무 내용과 개인정보 처리업무 수탁자를 환자 등이 언제든지 쉽게 확인할 수 있도록 공개함

공개 방법

사업장등의 보기 쉬운 장소에 게시

인터넷 홈페이지에 게시

관보(위탁자가 공공기관인 경우)나 위탁자의 사업장 등이 소재하는 시․도 이상의 지역을 주된 보급지역으로 하는 신문에 게재

동일한 제호로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물 등에 지속적으로 게재

재화 또는 용역을 제공하기 위한 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급

개인정보 처리 업무를 위탁받아 처리하는 자가 환자 및 그 보호자, 법정대리인의 개인정보를 처리하는 과정에서 개인정보보호법을 위반하여 발생한 손해배상책임에 대하여서는 개인정보 처리를 위탁한 의료기관의 소속직원으로 봄(개인정보보호법 제26조제6항)

환자 등 개인정보의 제3자 제공 금지

환자 등의 개인정보를 법률에 근거하는 등 정당한 사유없이 제3자에게 제공할 수 없으며, 제공이 필요한 경우 당사자의 동의를 받아야 함

- 특히, 진료기록은 의료법에서 정한 위임장 등 관련서류를 첨부한 경우에만 제공 가능

환자 등에게 의료기관이 제공하는 의료정보 및 의료기관의 행사 정보 등을 안내하기 위한 인쇄물, 이메일, 전화, 문자서비스 등을 제공할 목적으로 수집한 개인정보를 이용하는 경우, 환자 등이 그 사실을 명확하게 인지할 수 있도록 알리고 별도의 동의를 받은 후 시행하여야 함

2. 진료과정에서 환자의 개인정보 처리기준

진료과정에서 수집한 환자의 개인정보는 진료목적을 위하여서만 이용하여야 하고, 환자로부터 별도의 동의를 받거나 법령에서 해당 개인정보의 처리를 요구하거나 허용하는 경우를 제외하고는 제3자에게 제공 등을 하여서는 아니 되며, 환자의 개인정보는 안전성 확보에 필요한 조치를 하여야 한다.

가. 진료과정에서 수집하는 개인정보

의사가 환자를 진료하면서 수집하는 정보는 법률에 근거한 정보이므로 환자의 동의를 필요로 하지 않음

법률에 근거하여 진료과정에서 수집하는 진료정보는 다음과 같음

< 수집하는 진료정보 >

구 분	항 목
진료기록부	진료를 받은 사람의 주소·성명·연락처·주민등록번호 등 인적사항 주된 증상. 이 경우 의사가 필요하다고 인정하면 주된 증상과 관련한 병력(病歷)·가족력(家族歷)을 추가로 기록할 수 있다. 진단결과 또는 진단명 진료경과(외래환자는 재진환자로서 증상·상태, 치료내용이 변동되어 의사가 그 변동을 기록할 필요가 있다고 인정하는 환자만 해당한다) 치료 내용(주사·투약·처치 등) 진료 일시(日時)
조산기록부	조산을 받은 자의 주소·성명·연락처·주민등록번호 생·사산별(生·死産別) 분만 횟수 임신 후의 경과와 그에 대한 소견 임신 중 의사에 의한 건강진단의 유무(결핵·성병에 관한 검사를 포함한다) 분만 장소 및 분만 연월일시분(年月日時分) 분만의 경과 및 그 처치 산아(産兒) 수와 그 성별 및 생·사의 구별 산아와 태아부속물에 대한 소견 산후의 의사의 건강진단의 유무
간호기록부	간호를 받는 사람의 성명 체온·맥박·호흡·혈압에 관한 사항 투약에 관한 사항 섭취 및 배설물에 관한 사항 처치와 간호에 관한 사항 간호 일시(日時)
환자명부	환자의 성명 환자의 주소 환자의 주민등록번호 환자의 전화번호
수술기록부	환자의 성명 수술명 수술기록 수술의사의 성명
처방전	환자의 성명 및 주민등록번호 의료기관의 명칭 및 전화번호 통계법 제22조제1항 전단에 따른 한국표준질병·사인 분류에 따른 질병분류기호 의료인의 성명·면허종류 및 번호 처방의약품의 명칭(일반명칭, 제품명이나 대한약전에서 정한 명칭을 말한다)·분량·용법 및 용량 처방전 발급연월일 및 사용기간 의약품 조제시 참고 사항

법률에 근거하지 않은 개인정보를 수집하기 위해서는 환자의 동의를 받아야 하며, 동의를 받을 때에는 다음의 사항을 알려야 함([붙임 1] 개인정보 수집‧이용 동의서(예시) 참조)

< 동의를 받을 때 알려야 하는 사항 >

개인정보의 수집․이용목적

수집하려는 개인정보의 항목

개인정보의 보유 및 이용 기간

동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

FAQ	병원에서 의학·치과의학·한방의학 또는 간호학을 전공하는 학생이 실습을 위하여 진료행위 과정을 참관하는 경우가 있습니다. 의학·치과의학·한방의학 또는 간호학을 전공하는 학생이 진료 과정을 참관하고자 하는 경우, 환자에게 동의를 받아야 하나요?
의학·치과의학·한방의학 또는 간호학을 전공하는 학교의 학생은 ① 전공 분야와 관련되는 실습을 하기 위하여 지도교수의 지도·감독을 받아 행하는 의료행위, ② 국민에 대한 의료봉사활동으로서 의료인의 지도·감독을 받아 행하는 의료행위, ③ 전시·사변이나 그 밖에 이에 준하는 국가비상사태 시에 국가나 지방자치단체의 요청에 따라 의료인의 지도·감독을 받아 행하는 의료행위를 할 수 있습니다(의료법 제27조제1항제3호, 같은 법 시행규칙 제19조제2항). 이와 같이 의료행위 보조자로서의 의학 등 전공학생은 지도교수 또는 의료인의 지도·감독을 받아 법령이 인정하는 의료행위는 환자의 동의를 받지 않고도 참관 및 의료행위를 할 수 있습니다.

나. 진료정보의 목적 외 이용 및 제3자 제공

진료정보는 수집한 의료기관에서 진료 목적으로만 이용하여야 하며, 그 범위를 초과하여 이용하거나 제3자에게 제공하는 것은 금지됨

진료기록은 의료법 제21조의 경우 외에는 제공할 수 없음

진료정보 외의 개인정보를 목적 외 이용 또는 제3자 제공할 경우에는 정보주체에게 별도의 동의를 받아야 하며, 이 경우에는 다음의 사항을 알려야 함 ([붙임 2] 개인정보 제3자 제공 동의서(예시)

<목적 외 이용 또는 제3자 제공을 위한 고지사항>

① 개인정보를 제공받는 자

② 개인정보의 이용 목적(제공시에는 제공받는 자의 이용 목적)

③ 이용 또는 제공하는 개인정보의 항목

④ 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용기간)

⑤ 동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

다. 다른 법률에 특별한 규정이 있는 경우

1) 다른 법률의 특별한 규정에 의한 의료인의 신고 의무

가) 환자의 진료기록의 내용 확인 등

의료인은 자신이 진료하였거나 진료하고 있는 환자의 진료기록의 내용 확인 또는 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하여야 함

다만, 해당 환자의 의식이 없거나 응급환자인 경우 또는 환자의 보호자가 없어 동의를 받을 수 없는 경우에는 환자나 환자 보호자의 동의 없이 송부할 수 있음(의료법 제21조제3항)

나) 감염병환자 등 신고

의사 또는 한의사는 ① 감염병환자, 감염병의사환자 또는 병원체보유자를 진단하거나 그 사체를 검안(檢案)한 경우, ② 예방접종 후 이상반응자를 진단하거나 그 사체를 검안한 경우, ③ 감염병환자등이 제1군감염병부터 제4군감염병까지에 해당하는 감염병으로 사망한 경우에는 소속 의료기관의 장에게 보고하여야 하고, 보고를 받은 의료기관의 장은 제1군감염병부터 제4군감염병까지의 경우에는 지체 없이, 제5군감염병 및 지정감염병의 경우에는 7일 이내에 관할 보건소장에게 신고하여야 함

신고는 감염병발생신고서를 작성하여야 하며, 다음의 진료기록이 포함됨(감염병 예방 및 관리에 관한 법률 제11조, 같은 법 시행규칙 제6조, 성매개감염병 및 후천성면역결핍증 건강진단규칙 제7조)

< 감염병발생신고서의 개인정보 >

감염병환자․감염병의사환자․병원체보유자의 성명

주민등록번호

전화번호

직업

성별

주소

감염병명

발병일

확진검사결과

환자 등 분류

입원여부

추정감염경로

사망여부 등

다) 응급환자의 이송

의료인은 해당 의료기관의 능력으로는 응급환자에 대하여 적절한 응급의료를 할 수 없다고 판단한 경우에는 지체 없이 그 환자를 적절한 응급의료가 가능한 다른 의료기관으로 이송하여야 함

응급환자를 이송할 때에는 응급환자의 안전한 이송에 필요한 의료기구와 인력을 제공하여야 하고, 응급환자를 이송받는 의료기관에 ‘응급환자진료의뢰서’ 및 진료에 필요한 의무기록을 송부하여야 함 다만, 방사선 필름의 사본은 환자 또는 그 법정대리인의 요구가 있는 경우에 한함(응급의료에 관한 법률 제11조, 같은 법 시행규칙 제4조)

< 응급환자진료의뢰서의 개인정보 >

환자 성명․주민등록번호․주소

보호자 성명․주소․전화번호

응급처치 전 환자상태

응급처치 후 환자상태

응급처치사항

이송결정이유 등

라) 감염인 진단 검안사실의 신고

인체면역결핍바이러스에 감염된 사람, 즉, ‘감염인’을 진단하거나 감염인의 사체를 검안하거나 사망한 경우 이를 처리한 의사 또는 의료기관은 즉시 진단·검안 및 사망의 사실을 관할 보건소장에게 신고하여야 함 (후천성면역결핍증예방법 제5조, 후천성면역결핍증 예방법 시행규칙 제2조)

인체면역결핍바이러스 감염인/후천성면역결핍증 환자 발견(사망) 신고ㆍ보고서에는 다음의 진료기록이 포함됨

< 인체면역결핍바이러스 감염인 등 발견(사망) 신고ㆍ보고서의 진료기록 >

감염인에 대한 진단방법, 주요 증상 및 주요 감염경로

감염인에 대한 진단 및 초진연월일

가검물번호

감염인의 사망 및 검안연월일과 검안 내용(사체를 검안한 경우로 한정한다)

진단한 의사의 성명과 그가 종사하는 의료기관의 주소 및 명칭

마) 특정수혈부작용 신고

의료기관의 장은 특정수혈부작용이 발생한 경우에는 ‘특정수혈부작용발생신고서’를 작성하여 보건복지부장관에게 신고하여야 함 (혈액관리법 제10조, 같은 법 시행규칙 제13조)

< 특정수혈부작용신고서의 개인정보 >

신고의료기관 : 명칭, 주소, 작성자 성명 및 소속, 연락처(전화번호, 팩스)

수혈자정보 : 수혈자의 성명, 혈액형, 주민등록번호, 전화번호, 주소, 내원당시 질환명, 수혈의료기관명

수혈전 검사결과 : 검사항목, 검사연월일, 검사결과

수혈부작용진단검사결과 등

바) 뇌사추정자신고

뇌사로 추정되는 사람을 진료한 의료기관의 장은 장기구득기관의 장에게 다음의 사항을 구두, 서면 또는 전자문서로 통보하여야 하고, 통보를 받은 장기구득기관의 장은 국립장기이식관리기관의 장에게 그 사실을 신고하여야 함(장기 등 이식에 관한 법률 제17조, 같은 법 시행규칙 제11조)

<통보사항>

의료기관의 명칭 및 알리는 사람의 성명

뇌사추정자의 성명, 생년월일 및 주소

뇌사추정자의 상태 및 발생원인

2) 환자의 진료기록 열람 등

환자는 의료기관에 자신에 관한 기록의 열람 또는 그 사본의 교부 등 그 내용을 확인할 수 있지만, 환자 이외의 사람이 환자에 관한 기록의 열람 등을 통한 그 내용의 확인은 금지됨

다만, 다음의 경우에는 예외적으로 환자에 관한 기록의 열람 등 그 내용의 확인은 허용됨

<환자기록의 열람 또는 사본의 교부 등 그 내용 확인이 허용되는 사유>

환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속(이하 “친족”이라 함)이 환자 본인의 동의서와 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

<시행규칙 제13조의2제1항>

기록 열람이나 사본 발급을 요청하는 자의 신분증(주민등록증, 여권, 운전면허증 그 밖에 공공기관에서 발행한 본인임을 확인할 수 있는 신분증을 말한다. 이하 이 조에서 같다) 사본

가족관계증명서, 주민등록표 등본 등 친족관계임을 확인할 수 있는 서류

환자가 자필서명한 별지 제9호의2서식의 동의서 다만, 환자가 만 14세 미만의 미성년자인 경우에는 제외한다.

환자의 신분증 사본 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 경우에는 제외한다.

환자가 지정하는 대리인이 환자 본인의 동의서와 대리권이 있음을 증명하는 서류를 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

<시행규칙 제13조의2 제2항>

기록열람이나 사본발급을 요청하는 자의 신분증 사본

환자가 자필 서명한 별지 제9호의2서식의 동의서 및 별지 제9호의3서식의 위임장 이 경우 환자가 만 14세 미만의 미성년자인 경우에는 환자의 법정대리인이 작성하여야 하며, 가족관계증명서 등 법정대리인임을 확인할 수 있는 서류를 첨부하여야 한다.

환자의 신분증 사본 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 자는 제외한다.

환자가 사망하거나 의식이 없는 등 환자의 동의를 받을 수 없어 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

구분	구비서류
환자가 사망한 경우	1. 기록 열람이나 사본 발급을 요청하는 자의 신분증 사본 2. 가족관계증명서, 주민등록표 등본 등 친족관계를 확인할 수 있는 서류 3. 가족관계증명서, 제적등본, 사망진단서 등 사망사실을 확인할 수 있는 서류
환자가 의식불명 또는 의식불명은 아니지만 중증의 질환ㆍ부상으로 자필서명을 할 수 없는 경우	1. 기록 열람이나 사본 발급을 요청하는 자의 신분증 사본 2. 가족관계증명서, 주민등록표 등본 등 친족관계를 확인할 수 있는 서류 3. 환자가 의식불명 또는 중증의 질환ㆍ부상으로 자필서명을 할 수 없음을 확인할 수 있는 진단서
환자가 행방불명인 경우	1. 기록 열람이나 사본 발급을 요청하는 자의 신분증 사본 2. 가족관계증명서, 주민등록표 등본 등 친족관계를 확인할 수 있는 서류 3. 주민등록표 등본, 법원의 실종선고 결정문 사본 등 행방불명 사실을 확인할 수 있는 서류
환자가 의사무능력자인 경우	1. 기록 열람이나 사본 발급을 요청하는 자의 신분증 사본 2. 가족관계증명서, 주민등록표 등본 등 친족관계를 확인할 수 있는 서류 3. 법원의 금치산 선고 결정문 사본 또는 의사무능력자임을 증명하는 정신과 전문의의 진단서

<시행규칙 제13조의2제3항>

「국민건강보험법」 제14조, 제47조, 제48조 및 제63조에 따라 급여비용 심사·지급·대상여부 확인·사후관리 및 요양급여의 적정성 평가·가감지급 등을 위하여 국민건강보험공단 또는 건강보험심사평가원에 제공하는 경우

「의료급여법」 제5조, 제11조, 제11조의3 및 제33조에 따라 의료급여 수급권자 확인, 급여비용의 심사·지급, 사후관리 등 의료급여 업무를 위하여 보장기관(시·군·구), 국민건강보험공단, 건강보험심사평가원에 제공하는 경우

「형사소송법」 제106조(압수), 제215조(압수, 수색, 검증) 또는 제218조(영장에 의하지 아니한 압수)에 따른 경우

「민사소송법」 제347조(제출신청의 허가여부에 대한 재판)에 따라 문서제출을 명한 경우

「산업재해보상보험법」 제118조에 따라 근로복지공단이 보험급여를 받는 근로자를 진료한 산재보험 의료기관(의사를 포함한다)에 대하여 그 근로자의 진료에 관한 보고 또는 서류 등 제출을 요구하거나 조사하는 경우

「자동차손해배상 보장법」 제12조제2항 및 제14조에 따라 의료기관으로부터 자동차보험진료수가를 청구 받은 보험회사 등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우

「병역법」 제11조의2에 따라 지방병무청장이 징병검사와 관련하여 질병 또는 심신장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 징병검사대상자의 진료기록·치료 관련 기록의 제출을 요구한 경우

「학교안전사고 예방 및 보상에 관한 법률」 제42조에 따라 공제회가 공제급여의 지급 여부를 결정하기 위하여 필요하다고 인정하여 「국민건강보험법」 제42조에 따른 요양기관에 대하여 관계 진료기록의 열람 또는 필요한 자료의 제출을 요청하는 경우

「고엽제후유의증 환자지원 등에 관한 법률」 제7조제3항에 따라 의료기관의 장이 진료기록 및 임상소견서를 보훈병원장에게 보내는 경우

「의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률」 제28조제3항에 따른 경우

「국민연금법」 제123조에 따라 국민연금공단이 부양가족연금, 장애연금 및 유족연금 급여의 지급심사와 관련하여 가입자 또는 가입자였던 사람을 진료한 의료기관에 해당 진료에 관한 사항의 열람 또는 사본 교부를 요청하는 경우

라. 환자의 개인정보의 수정․삭제

환자는 자신의 개인정보를 열람한 후 의료기관에 그 개인정보의 정정 또는 삭제를 요구할 수 있지만, 의료법에서 명시하고 법에 따른 보존기간이 경과하지 않은 개인정보에 대해서는 삭제를 요구할 수 없음

의료인은 ‘진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록’을 고의로 사실과 다르게 추가 기재하거나 수정하는 것은 금지됨

3. 처방과정에서 환자의 개인정보 처리기준

진료과정이 끝나면 의사나 치과의사는 처방전을 작성하여 교부하거나 발송하여야 하고, 의료기관은 진료가 끝난 환자의 개인정보를 보호하기 위한 안전성 확보조치를 하여야 한다.

가. 처방전의 교부

의사 또는 치과의사는 환자에게 의약품을 투여할 필요가 있다고 인정하는 경우 직접 의약품을 조제할 수 있는 경우가 아니면 처방전을 작성하여 환자에게 교부하거나 전자처방전의 경우에는 발송하여야 함

<의사, 치과의사가 직접 조제할 수 있는 경우>

약국이 없는 지역에서 조제하는 경우

재해가 발생하여 사실상 약국이 없게 되어 재해 구호를 위하여 조제하는 경우

응급환자 및 조현병(調絃病) 또는 조울증 등으로 자신 또는 타인을 해칠 우려가 있는 정신질환자에 대하여 조제하는 경우

입원환자, 「감염병의 예방 및 관리에 관한 법률」에 따른 제1군감염병환자 및 「사회복지사업법」에 따른 사회복지시설에 입소한 자에 대하여 조제하는 경우(사회복지시설에서 숙식을 하지 아니하는 자인 경우에는 해당 시설을 이용하는 동안에 조제하는 경우만 해당한다)

주사제를 주사하는 경우

감염병 예방접종약·진단용 의약품 등 보건복지부령으로 정하는 의약품을 투여하는 경우

「지역보건법」에 따른 보건소 및 보건지소의 의사·치과의사가 그 업무(보건소와 보건복지부장관이 지정하는 보건지소의 지역 주민에 대한 외래 진료 업무는 제외한다)로서 환자에 대하여 조제하는 경우

국가유공자 등 예우 및 지원에 관한 법령에 따른 상이등급 1급부터 3급까지에 해당하는 자, 「5·18민주유공자예우에 관한 법률」에 따른 5·18민주화운동부상자 중 장해등급 1급부터 4급까지에 해당하는 자, 고엽제 후유의증 환자 지원 등에 관한 법령에 따른 고도장애인, 장애인복지 관련 법령에 따른 1급·2급 장애인 및 이에 준하는 장애인, 파킨슨병 환자 또는 한센병 환자에 대하여 조제하는 경우

장기이식을 받은 자에 대하여 이에 관련된 치료를 하거나 후천성 면역결핍증 환자에 대하여 해당 질병을 치료하기 위하여 조제하는 경우

병역의무를 수행 중인 군인·전투경찰순경·교정시설 경비교도와 「형의 집행 및 수용자의 처우에 관한 법률」 및 「군에서 형의 집행 및 군수용자의 처우에 관한 법률」에 따른 교정시설, 「보호소년 등의 처우에 관한 법률」에 따른 보호소년 수용시설 및 「출입국관리법」에 따른 외국인 보호시설에 수용 중인 자에 대하여 조제하는 경우

「결핵예방법」에 따라 결핵치료제를 투여하는 경우(보건소·보건지소 및 대한결핵협회 부속의원만 해당한다)

사회봉사 활동을 위하여 조제하는 경우

국가안전보장에 관련된 정보 및 보안을 위하여 처방전을 공개할 수 없는 경우

「국군조직법」 제15조에 따른 국군의료시설의 의사나 치과의사가 그 업무 수행으로서 같은 법 제4조에 따른 군인인 환자에 대하여 조제하는 경우

「경찰청과 그 소속기관 직제」 제31조에 따른 경찰병원 또는 「소방공무원 임용령」 제61조에 따른 중앙소방전문치료센터의 의사나 치과의사가 그 업무 수행으로서 경찰·소방공무원인 환자에 대하여 조제하는 경우

「산업재해보상보험법」 제11조제2항에 따라 근로복지공단이 설치·운영하는 의료기관의 의사나 치과의사가 그 업무 수행으로서 같은 법 제5조제1호에 따른 업무상의 재해를 입은 자 중 진폐증 환자에 대하여 조제하는 경우

「한국보훈복지의료공단법」 제7조에 따라 설치된 보훈병원의 의사나 치과의사가 그 업무 수행으로서 「국가유공자 등 예우 및 지원에 관한 법률」, 「보훈보상대상자 지원에 관한 법률」, 「고엽제후유의증 등 환자지원 및 단체설립에 관한 법률」 및 「5·18민주유공자예우에 관한 법률」에 따라 진료비 전액을 국가가 부담하는 환자에 대하여 조제하는 경우

「학교보건법」 제3조에 따른 보건실의 의사나 치과의사(「의료법」에 따라 해당 학교에 개설된 의료기관에 종사하는 경우는 제외한다)가 업무 수행으로서 해당 학교의 학생 및 교직원인 환자에 대하여 조제하는 경우

「산업안전보건법」 제16조에 따른 보건관리자인 의사나 치과의사(「의료법」에 따라 해당 사업장에 개설된 의료기관에 종사하는 경우는 제외한다)가 사업장에서 업무 수행으로서 해당 사업장의 근로자인 환자에 대하여 조제하는 경우

「의료법」 제27조제3항제2호에 따른 외국인환자에 대하여 조제하는 경우

처방전에는 다음의 사항을 기재함

<처방전 기재사항>

환자의 성명 및 주민등록번호

의료기관의 명칭 및 전화번호

「통계법」 제22조제1항 전단에 따른 한국표준질병·사인 분류에 따른 질병분류기호

의료인의 성명·면허종류 및 번호

처방 의약품의 명칭(일반명칭, 제품명이나 대한약전에서 정한 명칭을 말한다)·분량·용법 및 용량

처방전 발급 연월일 및 사용기간

의약품 조제시 참고 사항

의사나 치과의사는 환자에게 처방전 2부를 발급하여 환자에게 직접 교부하여야 함

환자의 의사에 관계없이 특정 약국에 처방전을 송부하는 것은 금지되지만, 환자가 처방전을 추가로 발급하여 줄 것을 요구하는 경우에는 환자가 원하는 약국으로 팩스·컴퓨터통신 등을 이용하여 송부할 수 있음

처방전은 2년간 보존할 수 있으며, 마이크로필름이나 광디스크 등(이하 “필름”이라 함)에 원본대로 수록하여 보존할 수 있음

처방전을 보존하는 경우에는 필름촬영책임자가 필름의 표지에 촬영 일시와 본인의 성명을 적고, 서명 또는 날인하여야 함

FAQ	전화로 병원에 입원하고 있는지 여부를 문의받을 경우 알려줘도 되나요?
환자의 입원정보는 개인정보로서 환자의 동의 없이 알려주는 것은 허용되지 않습니다. 의료법 제19조에 따라 의료인은 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료·조산 또는 간호를 하면서 알게 된 다른 사람의 비밀을 누설하거나 발표하지 못하므로 환자의 개인정보인 입원 여부를 환자의 동의 없이 알려 주는 경우 의료법에 저촉될 수 있습니다. 환자 본인이나 보호자와 직접 연락할 수 있도록 조치를 취해 주시는 것이 바람직합니다.

나. 진료비의 수납

일련의 진료과정을 마친 후 진료비 수납을 위한 필요한 최소한의 정보(카드사 및 카드번호, 카드승인번호)를 수집할 수 있음

수집한 수납정보는 안전성을 확보하기 위한 조치를 취하여야 함

다. 환자의 개인정보관리

환자의 개인정보는 관리적․기술적․물리적 보호조치를 통하여 안전하게 보관하여야 함

내부관리 계획의 수립․시행(상시 근로자가 5인 이상인 경우), 개인정보 보호책임자 지정, 개인정보 처리방침 수립 공개 등 실시

개인정보 처리방침은 환자가 쉽게 볼 수 있도록 의료기관의 인터넷 홈페이지 또는 의료기관내의 보기 쉬운 장소에 게시하는 등의 방법으로 공개하여야 함

보존기간이 경과하고 수집․이용 목적이 달성된 개인정보는 보존기간의 종료일 또는 개인정보의 처리가 불필요한 것으로 인정되는 날로부터 5일 이내에 파기하여야 함

FAQ

진료정보는 의료법 시행규칙 제15조에 따라 최소 보유기간을 명시하고 있으며, 진료 목적상 보존기간을 연장하고자 합니다. 연속적인 진료의 연계 및 과거병력의 중요성 등을 감안해 보존기간을 연장하고자 하는 경우, 어떤 절차를 통해 연장하여 보존할 수 있나요?

의료법 시행규칙 제15조에서 명시한 보유기간이 지난 진료정보에 대해 적절한 절차를 거쳐 보존기간을 연장하여 보유하고 있는 상황에서, 정보주체가 삭제 요청을 하는 경우, 어떻게 처리해야 하나요?

의료법 시행규칙 제15조는 의료기관의 개설자 또는 관리자로 하여금 진료에 관한 기록을 다음과 같이 보존하도록 제시하고 있습니다.

종 류	보존기간
환자명부	5년
진료기록부	10년
처방전	2년
수술기록	10년
검사소견기록	5년
방사선사진 및 그 소견서	5년
간호기록부	5년
조산기록부	5년
진단서 등의 부본	3년

의료기관은 보존기간이 경과하거나 수집․목적을 달성한 진료기록 등 의료정보에 대해서 지체 없이 파기하는 것이 바람직합니다.

- 의료기관은 진료정보에 대해 매년 1회 이상 보존기간 연장여부 혹은 파기여부를 결정할 수 있음

- 공공의료기관은 기록물관리 전문요원의 심사와 기록물평가심의회의 심의를 거쳐 평가심의서를 작성하고, 기록물의 보존기한 연장여부 혹은 파기여부를 결정할 수 있음

- 민간의료기관의 경우도 공공의료기관에 준하는 절차로 예를 들어, 의무기록심의회와 같은 내부 심의를 거쳐 진료정보의 보존기간 연장여부 혹은 파기여부를 결정할 수 있음

* 의료기관은 진료에 관한 기록 종류별로 보존기간 연장여부 혹은 파기여부를 결정하여야 하며, 연장사유를 근거로 최소 필요 기간 동안 연장하여야 함.

* 의료기관은 진료정보를 연장하여 보존하기로 결정한 경우, 연장 보존에 관한 사항을 의료기관 홈페이지나 의료기관 내부에 게시하는 것을 권고함

- 환자의 진료정보에 대해 별도로 정보주체의 동의를 받은 경우에도 보존기간을 연장할 수 있음

의료법 시행규칙 제15조에서 정한 기간이 지난 진료정보를 연장하여 보관하고 있는 경우, 정보주체가 의료기관에게 그 개인정보의 삭제를 요청하면, 개인정보보호법 제36조에 따라 필요한 조치를 취한 후 그 결과를 정보주체에게 알려야 합니다.

환자 개인정보의 정확성 및 최신성을 확보할 수 있도록 열람을 보장하고, 의료인이 거짓으로 작성하거나 고의로 사실과 다르게 기록한 사항에 대하여 정정․삭제를 허용하는 등의 대책을 마련하여야 함

환자로부터 환자의 개인정보에 대한 열람, 정정․삭제, 처리정지 요구서를 받은 경우 10일 이내에 처리 결과를 통지하여야 함

환자에게 인쇄물, 전화, 이메일, 문자 등을 통하여 의료기관이 제공하는 건강정보 또는 의료기관의 행사 등에 대한 정보를 제공하기 위해서는 환자의 별도 동의를 받아 제공하여야 함

개인정보 관리의 안전성 확보를 위해 다음과 같은 “관리적, 기술적, 물리적 조치”를 취해야 함

(※ 개인정보보호법 제29조, 시행령 제30조, 안전성 확보조치 기준 고시)

안전성 확보 조치	내용
관리적 조치	▹ 내부관리계획의 수립․시행
기술적 조치	▹ 접근 권한의 관리 ▹ 비밀번호 관리 ▹ 접근통제 시스템 설치 및 운영 ▹ 개인정보 암호화 ▹ 접속기록의 보관 및 위․변조 방지 ▹ 보안 프로그램(백신, 방화벽 등)의 설치 및 운영
물리적 조치	▹ 개인정보의 안전한 보관을 위한 보관시설 ▹ 잠금장치 설치

FAQ	모든 병원에서 환자의 개인정보 수집·이용 동의서를 꼭 받아야 하나요?
의료기관이 개인정보보호법 제15조제1항제2호(법률 규정, 법령상 의무 준수) 및 제4호(정보주체와의 계약의 체결 및 이행)에 따라 수집하는 개인정보는 정보주체의 동의 없이 수집․이용할 수 있습니다. 즉, 의료법에서 진료목적으로 개인정보를 처리하는 경우 동의 없이 가능합니다. 다만, 병원소식, 건강정보, 백신접종 홍보 등 정보주체의 직접적인 진료와 관계없는 내용을 문자, 우편 등으로 보내고자 한다면 수집․이용의 동의를 받아야 합니다. 동의는 최초 방문 시에만 받으면 되고, 이후 이용 목적이 추가되거나 제3자 제공 등 처리 목적 등이 변경될 경우에는 정보주체의 별도의 동의를 받아야 합니다.

Ⅲ. 개인영상정보 처리기준

의료기관은 법률이 허용하는 경우에 한하여 영상정보처리기기를 설치․운영할 수 있으며, 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등의 조치를 하여야 한다.

1. 공개된 장소

의료기관의 복도, 계단, 주차장 등 불특정 다수가 통제받지 않고 다닐 수 있는 공개된 장소에 영상정보처리기기를 설치‧운영하고자 하는 경우 다음의 사항을 준수하여야 함

영상정보처리기기 설치․운영에 따른 주의 사항

영상정보처리기기 설치․운영 제한 및 필요 최소한 촬영

영상정보처리기기 임의조작․녹음 금지

안내판 설치를 통한 설치 사실 공지

영상정보처리기 운영․관리 방침 수립․공개 및 책임자 지정

영상정보의 목적 외 이용․제공 제한 및 보관․파기 철저

영상정보처리기기의 설치․운영 위탁 시 관리․감독 철저

개인영상정보의 안전성 확보 조치 및 자체 점검 실시

공개된 장소에서 영상정보처리기기의 설치․운영 허용 경우

법령에서 구체적으로 허용하고 있는 경우

범죄의 예방 및 수사를 위하여 필요한 경우

시설안전 및 화재 예방을 위하여 필요한 경우

교통단속을 위하여 필요한 경우

교통정보의 수집·분석 및 제공을 위하여 필요한 경우

의료기관은 공개된 장소에서 예외적으로 영상정보처리기기를 설치․운영할 수 있는 사유에 해당하는 경우에 한하여 영상정보처리기기를 설치․운영할 수 있음

불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 침해할 우려가 있는 장소의 내부를 볼 수 있도록 하는 영상정보처리기기의 설치․운영은 금지되지만, 법령으로 정하는 시설은 예외로 함

의료기관은 영상정보처리기기의 설치목적과 다른 목적으로 영상정보처리기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없음

2. 비공개 장소

의료기관의 진료실, 처치실, 수술실, 입원실, 행정사무실, 의무기록실, 전산소 등 출입에 제한이 있는 공간에 영상정보처리기기를 설치하여 개인영상 등을 수집하고자 하는 경우에는 정보주체의 수집․이용 동의를 받아야 함

동의를 받을 때에는 영상정보 수집의 목적, 보유기간 등을 알리고 동의를 받아야 하며, 반드시 수집 목적으로만 이용하여야 함

FAQ	진료실에서 폭행 사고를 대비하여 CCTV 설치가 필요한데 개인 동의를 받고 할 수 없는 상황일 때는 어떻게 해야 하나요? 예를 들어 폭행사고는 예측이 되기도 하지만(상습적인 환자) 예측 불가능하게 발생하는 경우가 많습니다.
진료실은 의료인과 환자만이 출입할 수 있으므로 불특정 다수가 출입할 수 있는 공개된 장소가 아닙니다. 그러므로 CCTV 등 영상정보처리기기를 설치하여 촬영하기 위해서는 진료실에 출입하는 모든 사람의 동의를 받아야만 녹화할 수 있습니다. 동의를 받은 경우에도 개인의 사생활 침해가 최소화되도록 녹화만 할 수 있을 뿐 녹음은 할 수 없습니다.

FAQ	응급실 내 음주환자, 조직폭력배 등이 진료 중 의료인에게 폭언이나 폭행, 응급실의 각종 장비의 파손 사례가 있어서 CCTV를 설치하려고 합니다. CCTV를 설치하여 운영할 수 있나요?
병원, 응급실 내의 접수창구, 대기실, 복도 등은 환자 및 보호자가 비교적 제약없이 출입할 수 있는 장소이므로 개인정보보호법에 따른 ‘공개된 장소’에 해당합니다. 따라서 범죄예방 및 수사, 시설안전 및 화재예방 등의 목적으로 CCTV를 설치할 수 있습니다.(개인정보보호법 제25조) 그렇지만, 응급실 내의 진료실, 치료실 등은 비공개 장소에 해당하므로 이러한 장소에는 촬영대상 정보주체(환자 및 보호자)의 동의를 받아 CCTV를 운영할 수 있습니다.

3. 열람 등 요구 대응

정보주체는 자신이 촬영된 개인영상정보 및 정보주체의 급박한 생명, 신체, 재산의 이익을 위하여 필요한 개인영상정보를 요구할 권리를 가짐

의료기관은 개인영상정보의 열람 또는 존재확인 요구를 받은 경우 지체 없이 해당 조치를 취하여야 함

본인이거나 정당한 대리인 여부를 주민등록증․운전면허증․여권 등의 신분증명서를 제출받아 확인하여야 함

다만, 보관기간이 경과하여 파기하였거나, 그 밖에 정보주체의 열람요구를 거부할 만한 정당한 사유가 존재하는 경우는 제외됨

열람거부 정당화 사유

범죄수사·공소유지·재판수행에 중대한 지장을 초래하는 경우(공공기관에 한함)

개인영상정보의 보관기간이 경과하여 파기한 경우

그 밖에 정보주체의 열람 등 요구를 거부할 만한 정당한 사유가 존재하는 경우

열람을 거부하는 때에는 거부사유를 10일 이내에 서면으로 해당 정보주체에게 통지하여야 함

열람 등의 조치를 취하는 때에는 정보주체 이외의 자의 사생활 침해가 우려될 경우 정보주체 이외의 자의 개인영상정보를 알아볼 수 없도록 보호조치를 취하여야 함

Ⅳ. 의료기관 근로자의 개인정보 처리 기준

1. 채용 준비 단계

의료기관은 적절한 인재선발을 위해 수집하여야 하는 개인정보의 종류를 결정하고, 수집된 개인정보의 안전한 관리 계획을 수립하며, 법률이 정하고 있는 절차에 따라 수집하여야 한다.

필요한 최소한의 개인정보 수집원칙에 근거하여 채용계획을 수립하여야 함

의료기관 근로자 선발에 필요한 개인정보의 수집․이용 계획 수립 후 수집할 개인정보를 결정함

* 의료기관이 선호하는 인재상, 채용예정 직위의 직무 특성, 채용방법 등에  따라 필요한 개인정보는 다를 수 있음

* 다만, 필요한 최소한 수집에 관한 입증책임은 의료기관이 지므로, 채용전형에 필요없는 개인정보는 수집하지 않도록 주의할 것

의료기관은 근로자 채용을 위하여 필요하다고 인정하는 개인정보는 정보주체의 동의 없이 수집․이용 가능함

다만, 의료기관의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하여야 하며, 의료기관의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한함

이 경우 정보주체로부터 수집하지 않은 개인정보는 지원자의 요구가 있는 경우에 ① 개인정보의 수집 출처, ② 개인정보의 처리 목적, ③ 개인정보 처리의 정지를 요구할 권리가 있다는 사실을 알려주어야 함

주민등록번호의 수집은 의료인의 면허번호와 같이 법령에서 구체적으로 허용한 경우, 법령에 따라 수집 가능함

지원자 개인정보의 안전한 관리를 위한 계획을 수립하여야 함

지원서 접수 업무 담당자 등 채용전형단계별 개인정보취급자를 필요한 최소한으로 지정하여 개인정보의 유출 및 노출가능성을 최소화

채용대행업체 등에 지원서 개인정보처리를 위탁할 경우 위탁계약을 문서로 하고, 안전한 관리 및 감독을 위한 계획을 수립하고 시행하여야 함

지원자가 신규 채용에 대한 심사기준 및 지원자별 심사결과 등에 관한 공개를 요구하는 때에는 신규 채용되는 자가 확정된 후에 이를 공개하며, 이 경우 공개되는 내용은 특정인을 식별할 수 없도록 하여야 함

2. 채용 결정 단계

법령을 준수하고 근로계약의 체결․이행을 위해 반드시 필요한 의료기관 근로자의 정보는 동의 없이 수집할 수 있지만, 개인정보 처리 동의가 필요한 사항에 대하여 동의를 확보하여야 한다.

가. 법령 준수를 위한 의료기관 근로자 개인정보의 수집

근로기준법 등의 법령상 의무준수를 위한 근로자 개인정보의 수집․이용은 해당 근로자의 동의 없이 처리할 수 있음

근로계약서, 근로자명부, 임금대장 등을 작성하기 위한 개인정보 수집은 허용됨

< 법령에 따른 근로자 개인정보 수집 (예시) >

	근로자 명부	임금대장
수집 항목	성명, 성별, 생년월일, 주소, 이력, 종사하는 업무의 종류, 고용 또는 고용갱신 연월일, 계약기간(정한 경우), 해고, 퇴직 또는 사망한 경우에는 그 연월일과 사유, 그 밖에 필요한 사항	성명, 주민등록번호, 고용 연월일, 종사하는 업무, 임금 및 가족수당의 계산기초가 되는 사항, 근로일수, 근로시간수, 연장근로, 야간근로 또는 휴일근로를 시킨 경우에는 그 시간 수, 기본급, 수당, 그 밖의 임금의 내역별 금액 등
법령 근거	근로기준법 제41조, 동법 시행령 제20조	근로기준법 제48조, 동법 시행령 제27조

소득세법에 따른 연말정산 등과 같은 법령상 의무준수를 위하여 불가피한 경우, 근로자 및 그 가족 등의 고유식별정보를 동의 없이 처리할 수 있음

근로자 가족에 대한 복리후생을 제공하기 위하여 가족의 개인정보를 수집․이용하는 경우, 가족의 동의 없이 수집․이용이 가능함

자녀 학비 지원, 직계존속․배우자 건강진단, 주택지원 등 근로자가족에 대한 복지는 근로자복지기본법 등 관련 법령에 따른 의료기관의 복지제공의무를 이행하는 것임

가족관계 및 연령확인 등을 위한 증명서 제출 시 가족의 주민등록번호 뒷자리를 가린 후, 관련 서류를 발급받도록 하면 고유식별정보 수집에 대한 동의가 필요하지 않음

나. 근로계약 체결․이행을 위해 필요한 정보

근로계약서에는 본인확인을 위해 필요한 성명, 주소, 연락처만 기록하도록 하여 불필요한 개인정보의 수집을 방지하도록 함 ([붙임 3] 표준근로계약서(예시) 참조)

근무성적평가, 연봉계약, 인사발령, 교육훈련, 복리후생 등 근로계약 이행을 위해 반드시 필요한 개인정보는 근로자의 동의 없이 수집․이용할 수 있음

다. 개인정보 처리 동의가 필요한 사항

업무 수행을 위해 개인정보 처리가 필요한 경우로서 그 처리에 대한 동의가 필요한 경우에는 최초 근로계약 체결 시 동의를 받아야 함

근로자 개인정보의 제3자 제공이 필요한 경우

* 예: 계열병원 사이의 인사교류를 위한 인사정보의 제공 등

의료기관 인터넷 홈페이지 등을 통해 근로자 정보의 공개가 필요한 경우

* 예: 근로자 연락처 등의 공개, 환자 등의 만족도를 높이기 위한 담당자 업무 및 연락처 공개 등

개인정보 처리 동의는 해당 의료기관의 취업규칙 등에 관련 내용을 정리하여 그 준수의 동의를 받거나 별도의 동의서를 통한 동의 등 다양한 방법을 활용할 수 있음

다만, 해당 의료기관의 취업규칙을 통하여 동의를 대체하는 개인정보 처리 내용은 업무 수행에 필수 불가결한 것에 한하며, 개인정보 처리에 관하여 포괄적 동의가 되지 않도록 구체적 목적 단위별로 작성하여야 함

< 근로계약서 작성 시 유의 사항 >

필요한 최소한의 개인정보만 수집

- 근로계약 체결 및 이행을 위한 필수 정보는 동의 없이 수집 가능

* 다만, 민감정보 수집은 별도 동의 필요

- 근로자명부, 임금대장 작성 등 관계 법령 준수를 위해서는 동의 없이 개인정보 수집 가능(근로기준법 제48조)

* 고유식별정보 수집도 동의 없이 수집 가능

업무의 특성상 반드시 필요한 개인정보 제3자 제공 및 공개는 해당 의료기관의 취업규칙 또는 동의서 등에 정리하여 안내하고 동의 확보

3. 고용 유지 단계

가. 인력관리

1) 인력배치 및 이동

인력배치 및 전보, 파견, 휴직 등과 같이 근로계약 이행을 위해 필요한 개인정보는 근로자의 동의 없이 활용할 수 있음

다만, 수집․이용하는 개인정보는 필요한 최소한으로 하여야 하며 이 경우에도 민감정보는 별도의 동의가 필요함

전보, 승진 등의 인사발령 사항을 신문 또는 방송 등 외부로 공개가 필요할 경우, 근로계약 체결 시 해당 의료기관의 취업규칙 또는 동의서 등을 통하여 개인정보 동의를 받아 공개하여야함

* 징계처분, 해고 등 불이익 처분은 비공개가 원칙이며, 불가피한 경우 근로자의 동의를 받아 공개

* 근로자 윤리교육 또는 회의 등을 위한 징계사례 전파는 개인 식별을 불가능하게 하여 실시

2) 인사평가

직무수행 성과와 관련된 개인정보를 수집․이용․생성하는 것은 근로계약의 이행 및 유지를 위해 불가피한 것으로 근로자의 동의를 필요로 하지 않음

근로자가 인사평가정보에 대해 열람을 요구할 경우, 객관적인 성과․실적 등의 정보는 특별한 사유가 없는 한 공개하여야 함

주관적인 인사평가정보의 경우 근로계약조건 및 취업규칙 등을 근거로 평가 결과를 제한적으로 공개하거나 그 공개를 거부할 수 있음

3) 보수․후생복지

급여, 성과급, 복지 포인트 등은 개인정보에 해당되므로 노동조합, 공공기관 등 제3자 제공이 필요한 경우에는 근로자 본인의 동의가 있어야 함

통계작성 및 학술연구 등의 목적을 위해 연구소, 공공기관 등에 의료기관 소속 임직원 근속 기간, 주요 업무, 연봉 등을 제공하는 경우 특정 개인을 알아볼 수 없도록 처리하여 제공하여야 함

고용보험 및 산업재해보상보험의 보험료징수 등에 관한 법률에 따라 근로복지공단, 국민연금공단, 국민건강보험공단 등에 의료기관 소속임직원의 급여내역을 제공하는 것은 ‘다른 법률에 특별한 규정이 있는 경우’로서 근로자의 동의를 필요로 하지 않음

4) 교육훈련

외부 교육기관에 근로자 교육을 위탁하기 위하여 근로자 개인정보를 제공하는 때에는 문서로 하여야 하며, 수탁자가 위탁받은 업무와 관련하여 개인정보보호법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 간주함

* 위탁업무 내용과 개인정보 처리업무 수탁자를 근로자가 언제든지 쉽게 확인할 수 있도록 의료기관의 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 지속적으로 게재하여야 함

나. 인사정보 관리

1) 보관․파기

근로자 개인정보는 관리적․기술적․물리적 보호조치를 통하여 안전하게 보관하여야 함

내부관리계획 수립․시행, 개인정보 보호책임자 지정 등 관련 업무 처리에 대해서는 V장의 “8. 개인정보의 안전성 확보’를 참고할 것

공정하고 합리적 인사운영을 위하여 근로자 개인정보의 정확성 및 최신성을 확보할 수 있도록 수시 열람․정정 보장 등의 대책을 마련하여야 함

의료기관은 개인정보처리방침 등을 근로자가 쉽게 볼 수 있도록 인터넷 홈페이지, 게시판, 홍보지 등을 통하여 공개하여야 함

법령에 따라 수집한 개인정보로서 보관기간이 지난 정보 및 수집․이용목적이 달성된 개인정보는 지체 없이 파기하여야 함

재직자의 건강진단 및 진단결과는 5년 간 보관 후 파기(산업안전보건법 제43조 및 동법 시행규칙 제107조)

연말정산을 위해 근로자 및 근로자 가족의 동의 없이 수집한 개인정보는 해당 소득세 등의 법정 신고 기한이 지난날부터 5년간 보존 후 파기(국세기본법 제85조의3 제2항)

복리․후생 제공 등의 목적으로 수집한 근로자 및 근로자 가족의 개인정보는 복리 후생 목적 달성 후 더 이상 개인정보의 처리가 불필요한 것으로 인정되는 날로부터 5일 이내에 파기하여야 함

2) 제3자 제공․위탁

근로자 개인정보의 제3자 제공은 근로자의 별도 동의 또는 법령상 의무준수를 위한 경우 등으로 한정함

< 별도의 동의가 필요한 경우 >

의료기관의 인수 또는 합병 여부 판단에 필요한 임직원의 개인정보 제공시 별도 동의 필요
다만, 개인정보보호법 제15조 제1항 제6호에 따른 수집은 가능하므로, 홈페이지 등에 공개된 정보 등을 통한 수집은 가능함

수사기관 등의 범죄 수사 협조를 위한 개인정보 제공시 별도 동의 필요
다만, 수사기관은 형사소송법 제115조의 규정에 따라 수색영장을 발부 받아서, 법원은 같은 법 제109조에 따라 동의 없이 수색 가능

카드사, 보험회사 등에 근로자 개인정보를 제공할 경우 별도 동의 필요

< 법령상 의무준수를 위하여 필요한 경우 >

연말정산을 위하여 근로자 및 근로자 가족정보 등의 국세청 제공과 같이 법령에 따른 의무사항으로 명시되어 있는 경우

근로자 개인정보의 처리 위탁 시 주의사항

연말정산․교육훈련․퇴직급여 지급 등을 위한 개인정보처리 위탁은 반드시 문서로 하여야 함

손해배상 책임에 대하여는 수탁자를 의료기관의 소속직원으로 간주하여야 함

※ 자세한 내용은 V장 “4. 개인정보 처리 업무위탁” 참조

3) 열람

근로자 인사정보 등은 개인정보보호법 제35조 제3항에 따라 열람권을 보장하여야 함

다만, 인사고과․연봉정보 등의 산출근거 자료 공개가 의료기관의 질서 유지 등에 영향을 미쳐 의료기관 및 다른 근로자의 재산과 그 밖의 이익을 침해할 우려가 있는 경우 열람을 제한하거나 거절할 수 있음

4. 고용 종료 단계

가. 퇴직 근로자의 개인정보 파기

퇴직 근로자의 각종 개인정보는 퇴직 후 경력증명 및 임용계약에 관한 정보를 제외하고 지체 없이 파기하여야 함

근로자의 경력증명 등에 관한 정보는 근로자 퇴직 후 3년간 별도로 보관하여야 함 (근로기준법 제39조 및 같은 법 시행령 제19조)

퇴직 근로자의 경력증명을 위하여 3년 이상 경력증명 정보를 보관하고자 하는 경우, 퇴직 시점에 퇴직 근로자의 동의를 받아 보관하여야 함

* 근무지 이탈 등의 사유로 퇴직하는 경우 동의를 얻기 힘들 수 있으므로, 임용 시 또는 해당 의료기관의 취업규칙 등에 안내하고 동의를 받아두는 방법을 활용하면 좋음

보관기간이 종료된 개인정보는 복구 또는 재생되지 않도록 파기하여야 함

FAQ	개인정보보호법 시행 전부터 보관하고 있던 퇴직 근로자 개인정보의 보관을 위하여 별도의 동의를 받아야 하나요? 아니면 파기하여야 하나요?
경력증명 등을 위한 목적으로 보관․이용하고 있던 퇴직근로자 개인정보는 법령에서 규정한 기간까지 보관할 수 있습니다. 법령에서 정한 기간 이후에는 퇴직근로자의 동의를 받은 경우에 한하여 동의를 받은 목적으로만 사용할 수 있습니다. 주민등록번호 등 고유식별정보를 업무용 컴퓨터에 저장하여 관리하는 경우 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화 저장하여야 합니다. 의료기관의 정보나 각종 서비스를 홍보하기 위하여 퇴직근로자의 개인정보를 이용하고자 하는 경우, 별도의 동의를 받아야 합니다. 의료기관이 별도 동의를 받는 경우, 퇴직근로자가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 합니다.

나. 퇴직 근로자의 개인정보 제공

퇴직 근로자의 개인정보를 제3자에게 제공하고자 하는 경우,  다른 법령에 특별한 규정이 없는 한 해당 퇴직 근로자의 동의를 받은 후 정보를 제공해야 함

순수 친목단체로서 퇴직 근로자 모임은 동의 없이 개인정보를 수집할 수 있지만, 의료기관이 제공하고자 할 경우 퇴직 근로자의 동의가 필요함

FAQ	퇴직한 근로자의 개인정보는 언제 파기하여야 하나요?
퇴직한 근로자의 경력증명 등 사용증명서 발급을 위하여 3년 동안 퇴 직근로자의 개인정보를 보관할 수 있으며, 보존기간이 종료된 후 5일 이내에 파기하여야 합니다. 단, 보존기간 이상의 기간 동안 보관하기 위해서는 퇴직근로자의 동의를 별도로 받아야 합니다. 근로기준법 제39조에 따르면 의료기관의 장은 근로자가 퇴직한 후라도 사용기간, 업무 종류, 지위와 임금, 그 밖에 필요한 사항에 관한 증명서를 청구하면 사실대로 적은 증명서를 즉시 내주어야 합니다. 사용증명서를 청구할 수 있는 기한은 퇴직 후 3년 이내로 합니다(근로기준법 시행령 제19조). 따라서 사용증명서 발급을 위한 퇴직근로자 개인정보 보관기관은 3년입니다.

Ⅴ. 개인정보 처리단계별 조치기준

1. 개인정보 개요

가. 개인정보의 개념

‘개인정보’란 살아있는 개인에 관한 정보로서 성명, 주민등록번호, 영상 등을 통하여 개인을 알아볼 수 있는 정보를 말함

해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함하고 있음

개인정보의 범위

자연인에 관한 정보

- 법인이나 단체의 정보는 개인정보의 범위에 포함되지 않음

“생존하는” 자연인에 관한 정보

- 이미 사망하였거나 ‘민법’에 따른 실종선고, ‘가족관계의 등록 등에 관한 법률’에 따른 인정사망 등 관계 법령에 의해 사망한 것으로 간주되는 자에 관한 정보는 법률상의 개인정보로 볼 수 없음

특정 개인을 알아볼 수 있는 정보

- 해당 정보만으로는 특정 개인을 식별할 수 없다고 하더라도 “다른
정보와 쉽게 결합”하여 식별 가능하다면 개인정보에 해당

- “다른 정보와 쉽게 결합”이란 각각의 정보를 결합하는 수단․방법이
합리적으로 이루어진다는 것을 의미

정보의 종류·형태의 제한 없음

- 문자·음성·부호·영상 등 정보의 종류나 형태는 제한이 없음

연령, 주소 등 개인에 대한 객관적 정보와 개인에 대한 사실, 판단, 평가 등 제3자에 의해 생성된 주관적인 정보뿐만 아니라 부정확한 정보 또는 허위 정보도 특정 개인과 관련성을 가지면 개인정보임

< 개인정보의 예시 >

구분		내용
일반정보		이름, 주민등록번호, 주소, 전화번호, 생년월일, 가족관계 및 가족구성원의 정보
신체적 정보	신체	얼굴, 지문, 홍채, 음성, 유전자정보, 키, 몸무게
	의료/건강	건강상태, 진료기록, 신체장애, 장애등급
정신적 정보	기호/성향	도서·비디오 대여기록, 신문·잡지 구독정보, 여행 등 활동 내역, 인터넷 검색내역
	신념/사상	종교 및 활동내역, 정당·노조 가입여부 및 활동내역
재산적 정보	금융	소득정보, 신용카드번호 및 비밀번호, 통장계좌번호 및 비밀번호, 동산·부동산 보유내역, 저축내역
	신용	개인신용평가정보, 대출·담보설정 내역, 신용카드 사용내역
사회적 정보	교육	학력, 성적, 출석상황, 자격증 보유내역, 상벌기록, 학교생활기록부
	범죄 등	전과·범죄기록, 재판기록, 과태료 납부내역
	근로	직장, 근무처, 근로경력, 상벌기록, 직무평가기록
기타	통신	통화내역, 인터넷 접속내역, 이메일, 문자메시지
	위치	IP주소, GPS 등에 의한 개인위치정보
	병역	병역여부, 기간, 군번, 계급, 근무부대, 주특기
	화상	CCTV 등 영상매체를 통해 수집된 화상정보

FAQ	의료기관에서 다루는 환자 개인정보의 개념과 범위가 불명확합니다. 주소나 연락처 등 일반적인 개인정보, 주민등록번호와 같은 고유식별정보, 의료서비스를 통해 얻어지는 의료정보, 신체적 특징과 관련된 생체정보나 유전정보, 종교와 같은 민감정보, 그밖에 개인의 식습관 등 건강상태와 관련된 건강정보 등 많은 개념이 있어 각각의 개념 정의와 그에 따른 처리방법은 무엇인가요?
“개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보와 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것까지 포함 합니다. 일반적으로 환자의 개인정보란 환자 진료과정에서 처리 되는 성명, 주민등록번호, 연락처, 환자등록번호, 진료카드번호, 건강보험증번호, 유전자정보, 아이디, 비밀번호, 환자의 건강상태, 신체적 특징, 병력(가족력을 포함한다), 체력, 유전정보 등 진료과정에서 생성되는 진료정보 및 환자와 관계된 모든 개인정보를 말한다. 특히 환자의 개인정보는 진료목적의 범위 내에서는 법률규정에 따라 처리되므로 환자의 동의 없이 수집하여 이용할 수 있습니다. 환자의 개인정보는 민감정보 또는 고유식별정보가 대부분이므로 이를 안전하게 관리하는 것이 중요합니다. 특히 고유식별정보, 바이오정보는 암호화하여야 하며, 암호화방법은 V장 8. ‘개인정보의 안전성확보’를 참고하면 됩니다. 진료실 내에서는 의료인, 환자 및 그 보호자 이외의 사람이 환자의 개인정보를 볼 수 없도록 조치를 하여야 합니다.

나. 개인정보 보호 원칙

개인정보보호법은 정보주체의 ‘개인정보 자기결정권’ 보장

개인정보 자기결정권을 보장하기 위해서는 개인정보의 수집·이용·제공 등이 정보주체의 동의 등 정당한 절차에 의해 이루어지고,

개인정보가 내부자의 고의나 관리 부주의 또는 외부의 공격으로 인해 유출·변조·훼손되지 않도록 안전하게 관리되어야 함

개인정보 자기결정권이란?

□ 개인정보 자기결정권은 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리이다. 즉 정보주체가 개인정보의 공개와 이용에 관하여 스스로 결정할 권리를 말한다.

※ 개인정보보호법 제4조(정보주체의 권리) 정보주체는 자신의 개인정보 처리와 관련하여 다음 각 호의 권리를 가진다.

1. 개인정보의 처리에 관한 정보를 제공받을 권리

2. 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리

3. 개인정보의 처리 여부를 확인하고 개인정보에 대하여 열람(사본의 발급을 포함한다)을 요구할 권리

4. 개인정보의 처리 정지, 정정·삭제 및 파기를 요구할 권리

5. 개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리

개인정보보호법 제3조에 따른 개인정보 보호 원칙

< 개인정보 보호 원칙 >

개인정보보호법	OECD 가이드라인
목적에 필요한 최소한 범위 안에서 적법하고 정당하게 수집	수집 제한의 원칙
처리목적 범위 안에서 정확성·안전성·최신성 보장	정보 정확성의 원칙
처리목적의 명확화	목적 명확화 원칙
필요 목적 범위 안에서 적법하게 처리, 목적 외 활용 금지	이용 제한의 원칙
정보주체의 권리침해 위험성 등을 고려, 안전성 확보	안전 보호의 원칙
개인정보 처리사항 공개	공개의 원칙
열람청구권 등 정보주체의 권리보장	개인 참여의 원칙
개인정보처리자의 책임준수·실천, 신뢰성 확보 노력	책임의 원칙

다. 법령의 적용

개인정보보호법은 개인의 존엄과 가치 구현을 목적으로 개인정보 처리에 관한 사항을 규정하고 있는 일반법임

개인정보보호법 제6조 (다른 법률과의 관계)

개인정보 보호에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「신용정보의 이용 및 보호에 관한 법률」 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다

의료기관에서 개인정보처리를 규율하고 있는 다른 법령에 환자, 의료인, 직원의 개인정보 처리와 관련된 특별한 규정이 있으면 해당 법령이 우선적으로 적용되며 그렇지 않은 경우 개인정보보호법을 적용

* 법률의 위임 없이 시행령, 시행규칙, 고시 등 하위 규정으로 개인정보처리에 관해 규정하는 경우에는 우선 적용에서 제외되며, 개인정보보호법이 우선 적용됨

< 개인정보보호법 하위 법령 등 현황 >

구 분	하 위 법 령 명
시행령	개인정보보호법 시행령 개인정보 보호위원회 규정
시행규칙	개인정보보호법 시행규칙
고시	개인정보 영향평가에 관한 고시 개인정보의 안전성 확보조치 기준
지침	표준 개인정보 보호지침 보건복지부 개인정보 보호 기본지침

FAQ	개인정보보호법과 의료법 중 어느 법률이 우선 적용되나요?
개인정보 보호에 관하여 ‘의료법’에 그 규정이 있는 경우에는 의료법이 우선 적용되지만, 의료법에 그 규정이 없는 경우에는 ‘개인정보보호법’이 적용됩니다.

2.  개인정보의 수집·이용

의료기관은 목적에 필요한 최소한의 개인정보를 수집하여야 하며, 최소한의 필요한 개인정보 수집이라는 입증책임을 의료기관이 지며, 또한 그 수집목적의 범위 내에서 이용하여야 한다.

가. 개인정보 수집 요건

의료기관이 개인정보를 수집․이용하기 전에는 다음의 사항을 확인할 것

법률에 특별한 규정이 있거나 법령상 의무 준수를 위해 불가피한 경우

< 법률에 특별한 규정이 있는 경우 >

개인정보 파일명	수집항목	법률근거
진료 신청서	성명, 주민등록번호, 진료과목, 전화번호, 환자등록번호(진료카드번호) 등	의료법 제22조
선택진료 신청서	성명, 주소, 전화번호, 주민등록번호, 진료지원항목 등	의료법 제46조, 선택진료에 관한 규칙
진료기록부	주소, 성명, 주민등록번호, 병력 및 가족력, 주된 증상, 진단 결과, 진료경과 및 예견, 치료내용(주사‧투약‧처치 등), 진료일시분(日時分)	의료법 제22조, 같은 법 시행규칙 제14조
조산기록부	주소, 성명, 주민등록번호, 생‧사산별 분만 횟수, 임신 후의 경과와 그에 대한 소견 및 보건지도 요령, 임신 중 의사에 의한 건강진단의 유무(결핵‧성병에 관한 검사 포함), 분만 장소 및 분만 연월일시분, 분만의 경과 및 그 처치, 산아 수와 성별 및 생사의 구별, 산아의 태아부속물에 대한 소견, 임부‧해산부‧산욕부 또는 신생아에 대한 지도요령, 산후의 의사의 건강진단의 필요성 유무	의료법 제22조, 같은 법 시행규칙 제14조
간호기록부	체온‧맥박‧호흡‧혈압에 관한 사항, 투약에 관한 사항, 섭취 및 배설물에 관한 사항, 처치와 간호에 관한 사항 등	의료법 제22조, 같은 법시행규칙 제14조
환자명부	주소, 성명, 주민등록번호, 전화번호	의료법 제22조, 같은 법 시행규칙 제15조
처방전	① 환자의 성명, 의료기관 명칭, 주민등록번호, 처방의약품의 명칭․분량․용법 및 용량, 처방전 발급연월일 및 사용기간, 주사제 처방명세 ②처방 의료인 성명 및 면허번호, 면허종류 ③ 조제명세 – 조제약사의 성명	의료법 제18조, 같은 법 시행규칙 제12조
수술기록	① 환자의 성명, 수술명, 수술기록 등 ② 수술의사의 성명 등	의료법 제22조, 같은 법 시행규칙 제15조
검사소견서	성명, 주민등록번호, 의사면허번호, 소견인 성명, 질병 검사 소견 등	의료법 제22조, 같은 법 시행규칙 제15조
방사선사진 및 소견서	성명, 주민등록번호, 의사면허번호, 소견인 성명, 방사선사진에 대한 검사 소견 등	의료법 제22조, 같은 법 시행규칙 제15조
진단서	① 환자의 주소, 성명, 주민등록번호, 병명, 발병연월일, 향후 치료에 대한 소견, 진단연월일 ② 진찰한 의사․치과의사․한의사의 성명․면허자격․면허번호 ③ 질병의 원인이 상해로 인한 것인 경우 - ①, ②외에 상해의 원인 또는 추정되는 상해의 원인, 상해의 부위 및 정도, 치료기간, 입원의 필요 여부, 외과적 수술 여부, 합병증의 발생 가능 여부, 통상활동의 가능 여부, 식사의 가능 여부, 상해에 대한 소견	의료법 제17조, 같은 법 시행규칙 제9조
사망진단서(사체검안서)	① 사망자의 성명, 성별, 주민등록번호, 실제생년월일, 주소, 발병일시, 사망일시, 사망장소, 사망의 원인, 사망의 종류, 외인사항(사고종류, 사고발생일시, 사고발생장소) ② 의사․치과의사․한의사의 성명, 면허번호	의료법 제17조, 같은 법 시행규칙 제10조
출생증명서	①출생아 부모의 성명, 생년월일, 직업, 산모의 주소, 출생장소, 출생일시, 임신기간, 다태(多胎), 출생아의 성별 및 성명, 산모의 산아수, 출생아의 신체상황․몸무게, 출생아의 건겅상황 ② 의사․한의사․조산사의 면허번호 및 성명	의료법 제17조, 같은 법 시행규칙 제11조
사산 또는 사태증명서	① 사산아 부모의 성명, 생년월일, 직업, 주소, 사산장소, 사산연월일, 임시기간, 다태, 사산의 종류, 자연사산의 원인, 인공임신중절을 위한 이유 ② 의사․한의사․조산사의 면허번호 및 성명	의료법 제17조, 같은 법 시행규칙 제11조
환자 진료기록의 열람 및 사본 교부	①환자본인 – 성명, 연락처, 주민등록번호(외국인등록번호, 주소 ② 신청인 - 성명, 연락처, 주민등록번호(외국인등록번호), 주소, 환자와의 관계 ③ 위임장 ㉠ 수임인의 성명, 연락처, 주민등록번호(외국인등록번호), 주소, 위임인과의 관계 ㉡ 위임인의 성명, 전화번호, 주민등록번호(외국인등록번호), 주소	의료법 제21조, 같은 법 시행규칙 제13조의2
요양급여의뢰서	건강보험증번호, 가입자․세대주․환자의 성명 및 주민등록번호, 주소, 전화번호, 상병명, 상병분류기호, 진료기간, 환자상태 및 진료소견	국민건강보험법 제41조, 국민건강보험 요양급여의 기준에 관한 규칙 제2조
자원봉사자 명단	이름, 주소, 연락처, 이메일, 학력사항, 자원봉사활동내역 등	자원봉사활동기본법
진료비수납	신용카드번호, 진료비, 신용카드사 등	전자금융거래법

< 법령상 의무 준수를 위하여 불가피한 경우 >

의무	수집항목	법률근거
감염병환자, 감염병의사환자 또는 병원체보유자 신고의무	감염병환자, 감염병의사환자 또는 병원체보유자의 성명, 주민등록번호, 전화번호, 직업, 성별, 주소, 감염병명, 발병일 등	감염병의 예방 및 관리에 관한 법률 제11조, 같은 법 시행규칙 제6조, 성매개감염병 및 후천성면역결핍증 건강진단규칙 제7조
응급환자이송의무	환자 성명․주민등록번호․주소, 보호자 성명․주소․전화번호, 응급처치 전 환자상태, 응급처치 후 환자상태, 응급처치사항 등	응급의료에 관한 법률 제11조, 같은 법 시행규칙 제4조
감염인 진단 검안사실 신고의무	사망자 성명․주민등록번호․주소, 검사소견, 추정감염경로 등	후천성면역결핍증예방법 제5조, 같은 법 시행규칙 제2조
특정수혈부작용 신고의무	①신고의료기관의 명칭, 주소, 작성자 성명 및 소속, 연락처(전화번호, 팩스), ②수혈자의 성명, 혈액형, 주민등록번호, 전화번호, 주소, 내원당시 질환명, 수혈의료기관명, ③수혈전 검사결과, ④수혈부작용진단검사결과 등	혈액관리법 제10조, 같은 법 시행규칙 제13조
뇌사추정자신고의무	의료기관의 명칭 및 알리는 사람의 성명 뇌사추정자의 성명, 생년월일 및 주소 뇌사추정자의 상태 및 발생원인	장기 등 이식에 관한 법률 제17조, 같은 법 시행규칙 제11조
질병자 또는 질병의심 대상자 발견 보고, 신고, 통지 등 의무	질병자 등의 성명 등	보건의료기본법 제5조

정보주체(환자, 의료인, 직원 등)의 동의를 받은 경우

정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우

환자 등 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

의료기관의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우

* 의료기관 근로자인 의료인 또는 직원의 징계, 각종 소청 또는 소송의 제기 및 진행 등을 위하여 증빙자료를 조사하고 확보하는 경우

* 이 경우 의료기관의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한함

의료기관이 홍보 등의 목적으로 개인정보를 수집․이용 할 경우 최소한의 범위에서 개인정보를 수집․이용해야 하며 이에 대해 동의를 받아야 함

이 경우 주소, 주민등록번호 등 법령상 필수정보와 홍보 등에 필요한 정보를 함께 동의 받아서는 안됨

FAQ	개인정보 수집⦁이용⦁제공 동의시 자필 서명이 아닌 전자 서명으로 하여도 효력이 동일한가요?
전자서명법 제3조제3항에 따르면 “전자서명은 당사자간의 약정에 따른 서명, 서명날인 또는 기명날인으로서의 효력을 가진다.”고 규정하고 있습니다. 그러므로 환자 본인의 전자서명은 자필서명과 같은 효력을 갖습니다. 또한 전자문서는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 전자적 형태로 되어 있다는 이유로 문서로서의 효력이 있습니다(「전자문서 및 전자거래 기본법」제4조제1항).

개인정보 수집․이용에 대해 동의를 받는 방법

□ 환자 등 정보주체에게 다음의 내용을 알리고 동의를 받아야 함

① 수집․이용 목적 ② 수집 항목 ③ 보유 및 이용기간

④ 동의거부 권리가 있다는 사실 및 동의 거부 시 불이익이 있다면 그 내용

FAQ

동의를 받아야 하는 경우 반드시 서면으로 받아야 하나요?

반드시 서면으로 받을 필요는 없습니다. 「개인정보보호법」시행령 제17조에 따르면 다음과 같은 방법으로 동의를 받을 수도 있습니다.

동의 내용이 적힌 서면을 정보주체에게 직접 발급하거나 우편 또는 팩스 등의 방법으로 전달하고, 정보주체가 서명하거나 날인한 동의서를 받는 방법

전화를 통하여 동의 내용을 정보주체에게 알리고 동의의 의사표시를 확인하는 방법

전화를 통하여 동의 내용을 정보주체에게 알리고 정보주체에게 인터넷주소 등을 통하여 동의 사항을 확인하도록 한 후 다시 전화를 통하여 그 동의 사항에 대한 동의의 의사표시를 확인하는 방법

인터넷 홈페이지 등에 동의 내용을 게재하고 정보주체가 동의 여부를 표시하도록 하는 방법

동의 내용이 적힌 전자우편을 발송하여 정보주체로부터 동의의 의사표시가 적힌 전자우편을 받는 방법

그 밖에 ①~⑤에 따른 규정에 따른 방법에 준하는 방법으로 동의 내용을 알리고 동의의 의사표시를 확인하는 방법

나. 수집 제한의 원칙과 입증책임

개인정보를 수집할 때에는 필요한 최소한으로 수집하여야 하며, 필요한 최소한의 개인정보의 수집이라는 입증책임은 해당 개인정보를 수집한 의료기관이 부담함

필요한 최소한의 개인정보 외의 수집에 동의하지 아니한다는 이유로 환자 등 정보주체에게 서비스 제공을 거부해서는 아니 됨

다. 고유식별정보․민감정보의 수집

고유식별정보 또는 민감정보를 수집․이용하는 경우에는 법령에 구체적인 수집․이용 근거가 있는지 확인 필요함

고유식별정보 & 민감 정보

□ 고유식별정보 : 주민등록번호, 운전면허번호, 여권번호, 외국인등록번호

□ 민감정보 : 사상․신념, 노동조합․정당의 가입․탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 유전정보, 범죄경력자료 등

의료기관은 법령에 따라 진료목적을 위하여 고유식별정보․민감정보를 수집하고 진료목적을 위하여 이용할 수 있음

개인정보 파일명	근거법령
진료 신청서	의료법 제22조
선택진료 신청서	의료법 제46조, 선택진료에 관한 규칙 제2조
진료기록부	의료법 제22조, 같은 법 시행규칙 제14조
조산기록부	의료법 제22조, 같은 법 시행규칙 제14조
간호기록부	의료법 제22조, 같은 법 시행규칙 제14조
환자명부	의료법 제22조, 같은 법 시행규칙 제15조
처방전	의료법 제18조, 같은 법 시행규칙 제12조
수술기록	의료법 제22조, 같은 법 시행규칙 제15조
검사소견서	의료법 제22조, 같은 법 시행규칙 제15조
방사선사진․소견서	의료법 제22조, 같은 법 시행규칙 제15조
진단서	의료법 제17조, 같은 법 시행규칙 제9조
사망진단서(사체검안서)	의료법 제17조, 같은 법 시행규칙 제10조
출생증명서	의료법 제17조, 같은 법 시행규칙 제11조
사산․사태증명서	의료법 제17조, 같은 법 시행규칙 제11조
감염병환자, 감염병의사환자, 병원체보유자 신고	감염병의 예방 및 관리에 관한 법률 제11조, 같은 법 시행규칙 제6조, 성매개감염병 및 후천성면역결핍증 건강진단규칙 제7조
응급환자이송	응급의료에 관한 법률 제11조, 같은 법 시행규칙 제4조
감염인 진단․검안사실 신고	후천성면역결핍증예방법 제5조
특정수혈부작용신고	혈액관리법 제10조, 같은 법 시행규칙 제13조
뇌사추정자신고	장기 등 이식에 관한 법률 제17조, 같은 법 시행규칙 제11조
질병자 또는 질병의심 대상자 발견 보고, 신고, 통지 등	보건의료기본법 제5조
환자진료기록의 열람 및 사본 교부	의료법 제21조, 같은 법 시행규칙 제13조의2
요양급여 의뢰서	국민건강보험법 제41조, 국민건강보험 요양급여의 기준에 관한 규칙 제2조
외국인환자유치사업실적보고	의료법 제27조의2, 같은 법 시행규칙 제19조의9

< 의료기관의 법령에 의한 고유식별정보 및 민감정보의 수집 >

FAQ	환자분의 편의를 위하여 검사결과를 전화 또는 문자로 알려주고 있는데 개인정보보호법상 문제가 되나요?
환자 본인이 확인된 경우, 환자의 검사결과 통보는 진료목적의 범위에 해당하므로 별도의 동의없이 환자의 전화 또는 문자로 알려 줄 수 있습니다. 다만, 환자가 아닌 다른 사람에게 환자에 관한 기록을 알려주는 것은 의료법 제21조에 해당하는 경우로 제한됩니다.

라. 금지되는 개인정보 수집․이용

부정한 수단이나 방법을 통한 개인정보의 수집․이용

거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위를 하여서는 아니 됨

3. 개인정보 제3자 제공

개인정보는 환자, 의료인, 직원 등 정보주체의 동의를 받거나 법률에서 정한 개인정보 수집목적 범위 내에서 제3자에게 제공할 수 있다.

가. 제3자 제공 요건

의료기관이 환자 등의 개인정보를 제3자에게 제공하기 위해서는 다음의 요건에 해당하는지 확인하여야 함

환자 등 정보주체의 동의를 받은 경우 :
다만, 의료기관의 경우 환자에 관한 기록을 열람 또는 사본 교부시 「의료법」제21조(기록열람 등) 준수

* 예 : 의료인이 다른 의료인으로부터 진료기록의 내용확인이나 환자의 진료경과에 대한 소견 등의 진료정보의 제공을 요청받은 경우에는 해당 환자 또는 환자 보호자의 동의를 받아 제공하여야 함

제3자 제공을 위해 동의 받는 방법

□ 환자 등 정보주체의 동의를 받고 개인정보를 제공하는 경우에는 다음의 내용을 알리고 동의를 받아야 함(국외의 제3자 제공도 동일)

① 제공받는 자, ② 제공받는 자의 개인정보 이용목적, ③ 제공하는 개인정보 항목, ④ 제공받는 자의 개인정보 보유 및 이용기간, ⑤ 동의거부 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용

법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우

법령명	규정내용
감염병의 예방 및 관리에 관한 법률	제16조(감염병 표본감시 등) ① 보건복지부장관은 감염병 발생의 의과학적인 감시를 위하여 질병의 특성과 지역을 고려하여 「보건의료기본법」에 따른 보건의료기관이나 그 밖의 기관 또는 단체를 감염병 표본감시기관으로 지정할 수 있다. ② 보건복지부장관, 시·도지사 또는 시장·군수·구청장은 제1항에 따라 지정받은 감염병 표본감시기관(이하 "표본감시기관"이라 한다)의 장에게 감염병의 표본감시와 관련하여 필요한 자료의 제출을 요구하거나 감염병의 예방·관리에 필요한 협조를 요청할 수 있다. 이 경우 표본감시기관은 특별한 사유가 없으면 이에 따라야 한다. ③ 보건복지부장관, 시·도지사 또는 시장·군수·구청장은 제2항에 따라 수집한 정보 중 국민 건강에 관한 중요한 정보를 관련 기관·단체·시설 또는 국민들에게 제공하여야 한다. ④ 보건복지부장관, 시·도지사 또는 시장·군수·구청장은 표본감시활동에 필요한 경비를 표본감시기관에 지원할 수 있다. ⑤ 제1항에 따른 표본감시의 대상이 되는 감염병 및 표본감시기관의 지정 등에 관하여 필요한 사항은 보건복지부령으로 정한다. ⑥ 질병관리본부장은 감염병이 발생하거나 유행할 가능성이 있어 관련 정보를 확보할 긴급한 필요가 있다고 인정하는 경우 「공공기관의 운영에 관한 법률」에 따른 공공기관 중 대통령령으로 정하는 공공기관의 장에게 정보 제공을 요구할 수 있다. 이 경우 정보 제공을 요구받은 기관의 장은 정당한 사유가 없는 한 이에 따라야 한다. ⑦ 제6항에 따라 제공되는 정보의 내용, 절차 및 정보의 취급에 필요한 사항은 대통령령으로 정한다. 시행령 제11조(제공 정보의 내용) 법 제16조제6항에 따라 요구할 수 있는 정보의 내용에는 다음 각 호의 사항이 포함될 수 있다. 1. 감염병환자, 감염병의사환자 또는 병원체보유자(이하 "감염병환자등"이라 한다)의 성명·주민등록번호·성별·주소·전화번호·직업·감염병명·발병일 및 진단일 2. 감염병환자등을 진단한 의료기관의 명칭·주소지·전화번호 및 의사 이름
생명윤리 및 안전에 관한 법률	제18조(개인정보의 제공) ① 인간대상연구자는 제16조제1항에 따라 연구대상자로부터 개인정보를 제공하는 것에 대하여 서면동의를 받은 경우에는 기관위원회의 심의를 거쳐 개인정보를 제3자에게 제공할 수 있다. ② 인간대상연구자가 제1항에 따라 개인정보를 제3자에게 제공하는 경우에는 익명화하여야 한다. 다만, 연구대상자가 개인식별정보를 포함하는 것에 동의한 경우에는 그러하지 아니하다.
응급의료에 관한 법률	제11조(응급환자의 이송) ① 의료인은 해당 의료기관의 능력으로는 응급환자에 대하여 적절한 응급의료를 할 수 없다고 판단한 경우에는 지체 없이 그 환자를 적절한 응급의료가 가능한 다른 의료기관으로 이송하여야 한다. ② 의료기관의 장은 제1항에 따라 응급환자를 이송할 때에는 응급환자의 안전한 이송에 필요한 의료기구와 인력을 제공하여야 하며, 응급환자를 이송받는 의료기관에 진료에 필요한 의무기록(醫務記錄)을 제공하여야 한다. ③ 의료기관의 장은 이송에 든 비용을 환자에게 청구할 수 있다. ④ 응급환자의 이송절차, 의무기록의 이송 및 비용의 청구 등에 필요한 사항은 보건복지부령으로 정한다. 제49조(출동 및 처치 기록) ① 응급구조사가 출동하여 응급처치를 행하거나 응급환자를 이송한 때에는 지체 없이 출동 사항과 처치 내용을 기록하고 이를 소속 구급차등의 운용자와 해당 응급환자의 진료의사에게 제출하여야 한다. 다만, 응급구조사를 갈음하여 의사나 간호사가 탑승한 경우에는 탑승한 의사(간호사만 탑승한 경우에는 탑승 간호사)가 출동 및 처치 기록과 관련한 응급구조사의 임무를 수행하여야 한다. ② 제1항에 따른 기록을 제출받은 구급차등의 운용자는 그 기록을 보건복지부령으로 정하는 바에 따라 그 소재지를 관할하는 정보센터에 제출하여야 한다. ③ 구급차등의 운용자와 진료의사가 소속된 의료기관의 장은 제1항에 따라 제출받은 기록을 보건복지부령으로 정하는 기간 동안 보존하여야 한다. ④ 출동 및 처치 기록의 내용 및 방법 등에 관하여 필요한 사항은 보건복지부령으로 정한다.
의료법	제21조(기록 열람 등) ① 의료인이나 의료기관 종사자는 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 하여서는 아니 된다. ② 제1항에도 불구하고 의료인이나 의료기관 종사자는 다음 각 호의 어느 하나에 해당하면 그 기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확인할 수 있게 하여야 한다. 다만, 의사·치과의사 또는 한의사가 환자의 진료를 위하여 불가피하다고 인정한 경우에는 그러하지 아니하다. 4. 「국민건강보험법」 제14조, 제47조, 제48조 및 제63조에 따라 급여비용 심사·지급·대상여부 확인·사후관리 및 요양급여의 적정성 평가·가감지급 등을 위하여 국민건강보험공단 또는 건강보험심사평가원에 제공하는 경우 5. 「의료급여법」 제5조, 제11조, 제11조의3 및 제33조에 따라 의료급여 수급권자 확인, 급여비용의 심사·지급, 사후관리 등 의료급여 업무를 위하여 보장기관(시·군·구), 국민건강보험공단, 건강보험심사평가원에 제공하는 경우 6. 「형사소송법」 제106조, 제215조 또는 제218조에 따른 경우 7. 「민사소송법」 제347조에 따라 문서제출을 명한 경우 8. 「산업재해보상보험법」 제118조에 따라 근로복지공단이 보험급여를 받는 근로자를 진료한 산재보험 의료기관(의사를 포함한다)에 대하여 그 근로자의 진료에 관한 보고 또는 서류 등 제출을 요구하거나 조사하는 경우 9. 「자동차손해배상 보장법」 제12조제2항 및 제14조에 따라 의료기관으로부터 자동차보험진료수가를 청구받은 보험회사등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우 10. 「병역법」 제11조의2에 따라 지방병무청장이 징병검사와 관련하여 질병 또는 심신장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 징병검사대상자의 진료기록·치료 관련 기록의 제출을 요구한 경우 11. 「학교안전사고 예방 및 보상에 관한 법률」 제42조에 따라 공제회가 공제급여의 지급 여부를 결정하기 위하여 필요하다고 인정하여 「국민건강보험법」 제42조에 따른 요양기관에 대하여 관계 진료기록의 열람 또는 필요한 자료의 제출을 요청하는 경우 12. 「고엽제후유의증 환자지원 등에 관한 법률」 제7조제3항에 따라 의료기관의 장이 진료기록 및 임상소견서를 보훈병원장에게 보내는 경우 13. 「의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률」 제28조제3항에 따른 경우 14. 「국민연금법」 제123조에 따라 국민연금공단이 부양가족연금, 장애연금 및 유족연금 급여의 지급심사와 관련하여 가입자 또는 가입자였던 사람을 진료한 의료기관에 해당 진료에 관한 사항의 열람 또는 사본 교부를 요청하는 경우 ③ 의료인은 다른 의료인으로부터 제22조 또는 제23조에 따른 진료기록의 내용 확인이나 환자의 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하여야 한다. 다만, 해당 환자의 의식이 없거나 응급환자인 경우 또는 환자의 보호자가 없어 동의를 받을 수 없는 경우에는 환자나 환자 보호자의 동의 없이 송부할 수 있다. ④ 진료기록을 보관하고 있는 의료기관이나 진료기록이 이관된 보건소에 근무하는 의사·치과의사 또는 한의사는 자신이 직접 진료하지 아니한 환자의 과거 진료 내용의 확인 요청을 받은 경우에는 진료기록을 근거로 하여 사실을 확인하여 줄 수 있다. ⑤ 의료인은 응급환자를 다른 의료기관에 이송하는 경우에는 지체 없이 내원 당시 작성된 진료기록의 사본 등을 이송하여야 한다.
후천성 면역결핍증 예방법	제5조(의사 또는 의료기관 등의 신고) ① 감염인을 진단하거나 감염인의 사체를 검안한 의사 또는 의료기관은 보건복지부령으로 정하는 바에 따라 즉시 진단·검안 사실을 관할 보건소장에게 신고하고, 감염인과 그 배우자(사실혼 관계에 있는 사람을 포함한다. 이하 같다) 및 성 접촉자에게 후천성면역결핍증의 전파 방지에 필요한 사항을 알리고 이를 준수하도록 지도하여야 한다. 이 경우 가능하면 감염인의 의사(意思)를 참고하여야 한다. ② 학술연구 또는 제9조에 따른 혈액 및 혈액제제(血液製劑)에 대한 검사에 의하여 감염인을 발견한 사람이나 해당 연구 또는 검사를 한 기관의 장은 보건복지부령으로 정하는 바에 따라 즉시 보건복지부장관에게 신고하여야 한다. ③ 감염인이 사망한 경우 이를 처리한 의사 또는 의료기관은 보건복지부령으로 정하는 바에 따라 즉시 관할 보건소장에게 신고하여야 한다. ④ 제1항 및 제3항에 따라 신고를 받은 보건소장은 특별자치시장·특별자치도지사·시장·군수 또는 구청장(자치구의 구청장을 말한다. 이하 같다)에게 이를 보고하여야 하고, 보고를 받은 특별자치시장·특별자치도지사는 보건복지부장관에게, 시장·군수·구청장은 특별시장·광역시장 또는 도지사를 거쳐 보건복지부장관에게 이를 보고하여야 한다.

환자 등 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

환자 등 개인정보를 수집 목적 외의 용도로 이용하거나 제3자에게 제공하기 위해서는 다음과 같은 사유에 해당하는지 확인하는 것이 필요함

<개인정보의 목적 외 이용이나 제3자 제공 허용 사유>

정보주체로부터 별도의 동의를 받은 경우

다른 법률에 특별한 규정이 있는 경우

정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우

개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우

조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

법원의 재판업무 수행을 위하여 필요한 경우

형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

공공의료기관에 한하여, 위의 ⑤~⑨의 사유 가운데 어느 하나에 해당하는 경우 환자의 동의 없이 환자의 인적사항을 제공가능함(개인정보보호법 제18조제2항 제2호)

또한 공공의료기관은 개인정보보호법 제18조제2항 각 호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 ‘개인정보의 목적 외 이용 및 제3자 제공대장’에 그 사실을 기록하고 관리하는 것이 필요함(의료법 제21조에 따라 제공하는 경우는 개인정보보호법 제18조에 따라 제공하는 경우가 아니므로 대장을 기록할 필요는 없음)

나. 민감정보 또는 고유식별정보의 제3자 제공

민감정보 또는 고유식별정보를 제3자에게 제공하는 경우에는 법령에 구체적인 근거가 있는지 확인

다. 금지되는 개인정보 제공 행위

업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위는 금지

< 개인정보 누설 금지 >

법령명	규정내용
감염병의 예방 및 관리에 관한 법률	제74조(비밀누설의 금지) 이 법에 따라 건강진단, 입원치료, 진단 등 감염병 관련 업무에 종사하는 자 또는 종사하였던 자는 그 업무상 알게 된 비밀을 다른 사람에게 누설하여서는 아니 된다. 제78조(벌칙) 제74조를 위반하여 업무상 알게 된 비밀을 누설한 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다.
건강검진기본법	제23조(비밀누설의 금지) 이 법에 따른 국가건강검진 업무에 종사하는 자 또는 종사하였던 자는 그 업무상 알게 된 비밀을 정당한 이유 없이 누설하여서는 아니 된다. 제28조(벌칙) 제23조를 위반한 자는 3년 이하의 징역 또는 1천만원 이하의 벌금에 처한다.
모자보건법	제24조(비밀 누설의 금지) 모자보건사업과 가족계획사업에 종사하는 사람은 이 법 또는 다른 법령에서 특별히 규정된 경우를 제외하고는 그 업무 수행상 알게 된 다른 사람의 비밀을 누설하거나 공표하여서는 아니 된다. 제26조(벌칙) ① 다음 각 호의 어느 하나에 해당하는 자는 1년 이하의 징역 또는 1천만원 이하의 벌금에 처한다. 4. 제24조를 위반하여 비밀을 누설하거나 공표한 자
암관리법	제44조(비밀유지 의무) 국립암센터의 임직원 또는 그 직에 있었던 자는 직무상 알게 된 비밀을 누설하거나 도용(盜用)하여서는 아니 된다. 제51조(벌칙) 제44조 또는 제49조를 위반한 자는 3년 이하의 징역 또는 1천만원 이하의 벌금에 처한다.
응급의료에 관한 법률	제40조(비밀 준수 의무) 응급구조사는 직무상 알게 된 비밀을 누설하거나 공개하여서는 아니 된다. 제60조(벌칙) ② 다음 각 호의 어느 하나에 해당하는 사람은 3년 이하의 징역 또는 1천만원 이하의 벌금에 처한다. 2. 제40조의 비밀 준수 의무를 위반한 사람. 다만, 고소가 있어야 공소를 제기할 수 있다
의료법	제19조(비밀 누설 금지) 의료인은 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료·조산 또는 간호를 하면서 알게 된 다른 사람의 비밀을 누설하거나 발표하지 못한다. 제69조(의료지도원) ③의료지도원 및 그 밖의 공무원은 직무를 통하여 알게 된 의료기관, 의료인, 환자의 비밀을 누설하지 못한다. 제88조(벌칙) 제19조, 제21조제1항, 제22조제3항, 제27조제3항·제4항, 제27조의2제1항·제2항, 제33조제4항, 제35조제1항 단서, 제59조제3항, 제64조제2항(제82조제3항에서 준용하는 경우를 포함한다), 제69조제3항을 위반한 자 또는 제82조제1항에 따른 안마사의 자격인정을 받지 아니하고 영리를 목적으로 안마를 한 자는 3년 이하의 징역이나 1천만원 이하의 벌금에 처한다. 다만, 제19조, 제21조제1항 또는 제69조제3항을 위반한 자에 대한 공소는 고소가 있어야 한다.
정신보건법	제42조(비밀누설의 금지) 이 법에 의하여 정신질환자에 관련된 직무를 수행하였던 자 또는 수행하는 자는 이 법 또는 다른 법령에서 특히 규정된 경우를 제외하고는 그 직무의 수행과 관련하여 알게된 타인의 비밀을 누설하거나 발표하여서는 아니된다. 제56조(벌칙) 다음 각호의 1에 해당하는 자는 3년 이하의 징역 또는 1천만원 이하의 벌금에 처한다. 3. 제42조의 규정에 위반하여 직무상 알게된 타인의 비밀을 누설하거나 발표한 자
후천성면역결핍증 예방법	제7조(비밀 누설 금지) 다음 각 호의 어느 하나에 해당하는 사람은 이 법 또는 이 법에 따른 명령이나 다른 법령에서 정하고 있는 경우 또는 본인의 동의가 있는 경우를 제외하고는 재직 중에는 물론 퇴직 후에도 감염인에 대하여 업무상 알게 된 비밀을 누설하여서는 아니 된다. 1. 국가 또는 지방자치단체에서 후천성면역결핍증의 예방·관리와 감염인의 보호·지원에 관한 사무에 종사하는 사람 2. 감염인의 진단·검안·진료 및 간호에 참여한 사람 3. 감염인에 관한 기록을 유지·관리하는 사람 제26조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 3년 이하의 징역 또는 1천만원 이하의 벌금에 처한다. 1. 제7조를 위반하여 비밀을 누설한 사람

FAQ	경찰이 문서로 환자의 인적사항의 제공을 요구할 경우 어떤 조치를 해야 하나요?
경찰로부터 환자의 인적사항 요구가 있는 경우에는 정보주체인 환자로부터 별도의 동의를 받아 해당 개인정보를 제공할 수 있습니다. 이 경우 정보주체인 환자에게 ① 개인정보를 제공받는 자, ② 개인정보를 제공받는 자의 이용 목적, ③ 제공하는 개인정보의 항목, ④ 개인정보를 제공받는 자의 보유 및 이용 기간, ⑤ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 알려야 하고, 이와 같은 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 합니다. 경찰이 형사소송법 제106조 또는 제215조, 제218조에 따른 압수·수색영장에 의하여 해당 환자의 개인정보를 압수하는 것, 민사소송법 제347조에 의하여 “다른 법률에 특별한 규정이 있는 경우”에 해당하므로 환자의 동의 없이 해당 개인정보를 제공할 수 있습니다.

FAQ

다른 의료기관 또는 검사기관에 검사를 의뢰하여 검사를 하는 경우 정보주체의 동의를 받아야 하나요?

진료를 목적으로 다른 의료기관 또는 검사기관에 검사를 위탁하는 등 개인정보 처리를 위탁하는 경우 정보주체인 환자의 동의를 받을 필요는 없습니다. 그렇지만, 다음의 사항을 준수하여야 합니다.

첫째, 위탁을 하는 경우 다음 사항이 포함된 계약서를 문서화하여 작성합니다.

위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

개인정보의 기술적·관리적 보호조치에 관한 사항

위탁업무의 목적 및 범위

재위탁 제한에 관한 사항

개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

둘째, 의료기관은 위탁하는 업무의 내용과 수탁자를 환자 또는 그 보호자가 언제든지 확인할 수 있도록 다음과 같은 방법으로 공개하여야 합니다.

인터넷 홈페이지

위탁자의 사업장·영업소·사무소·점포 등의 보기 쉬운 장소에 게시하는 방법

관보(위탁자가 공공기관인 경우만 해당한다)나 위탁자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법

재화나 용역을 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

셋째, 위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 수탁자가 개인정보를 안전하게 처리하는지 감독하여야 합니다.

4. 개인정보 처리 업무위탁

의료기관이 개인정보의 처리 업무를 제3자에게 위탁하는 경우에는 문서로 하여야 하며, 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자를 환자 등이 언제든지 쉽게 확인할 수 있도록 공개하여야 한다.

가. 위탁 방법

개인정보 처리 위탁 계약서 기재사항

위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

개인정보의 기술적·관리적 보호조치에 관한 사항

위탁업무의 목적 및 범위

재 위탁 제한에 관한 사항

개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

의료기관에서 환자 등의 개인정보 처리업무(예 : 진료 신청서 처리사무, 진료비 수납사무, 연말정산사무, 각종 증명서 발급사무 등)를 위탁하는 경우 아래 사항이 포함된 문서로 하여야 함 ([붙임4] 개인정보 처리 위탁 계약서(예시) 참조)

< 개인정보 처리 업무위탁과 제3자 제공의 비교 >

구 분	업무위탁	제3자 제공
관련조항	법 제26조	법 제17조
예시	배송업무 위탁, TM 위탁 등	사업제휴, 개인정보 판매 등
이전목적	위탁자의 이익을 위하여 처리(수탁업무 처리)	제3자의 이익을 위하여 처리
예측가능성	정보주체가 사전 예측 가능	정보주체가 산전 예측 곤란
이전 방법	원칙 : 위탁사실 공개 예외 : 위탁사실 고지	원칙 : 제공목적 등 고지 후 정보주체 동의획득
관리․감독책임	위탁자 책임	제공받는 자 책임
손해배상책임	위탁자 부담(사용자 책임)	제공받는 자 부담

나. 위탁업무 등의 공개

개인정보처리업무를 위탁하는 의료기관은 개인정보 처리 업무를 위탁받아 처리하는 수탁자를 환자 등 정보주체가 언제든지 쉽게 확인할 수 있도록 홈페이지에 ‘개인정보 처리방침’으로 지속적으로 게재하여야 함

개인정보 처리 업무위탁 홈페이지 (예시)

제3조(개인정보처리 위탁)

가. OOOO병원 홈페이지는 원활한 개인정보 업무처리를 위하여 다음과 같이 개인정보 처리업무를 위탁하고 있습니다.

※ 홈페이지를 통해 최초 진료회원으로 등록된 경우는 병원관리시스템에도 등록되어 운영됩니다. 이들 경우는 병원에서 위탁한 ㈜YY에서 전산관리를 맡게 되며, 진료 시 개인정보 처리에 대한 동의를 받게 됩니다.

나. OOOO병원 홈페이지는 위탁계약 체결 시 「개인정보보호법」제 26조에 따라 위탁업무 수행목적 외 개인정보 처리금지, 기술적/관리척 보호조치, 재위탁 제한, 수탁자에 대한 관리/감독, 손해배상 등 책임에 관한 사항을 계약서 등 문서에 명시하고, 수탁자가 개인정보를 안전하게 처리하는지를 감독하고 있습니다.

다. 위탁업무의 내용이나 수탁자가 변경될 경우에는 지체 없이 본 개인정보처리방침을 통하여 공개하도록 하겠습니다.

4. 수집한 개인정보의 취급위탁

△△병원은 전화예약/상담 및 수납업무를 아래와 같이 개인정보를 위탁하고 있으며, 관계 법령에 따라 위탁계약 시 개인정보가 안전하게 관리될 수 있도록 필요한 사항을 규정하고 있습니다.

△△병원의 개인정보 위탁처리 기관 및 위탁업무 내용은 아래와 같습니다.

위탁업체	위탁업무 내용
㈜AAA	전화예약 업무
㈜BBB	진료비 수납, 환급, 진료예약 및 환자이송
㈜CCC	주차관리
㈜DDD	보안 및 면회객 안내
㈜EEE	광화일 의무기록 관리
㈜FFF	정보시스템 개발 및 관리
㈜GGG	환자 식이 및 배식
㈜HHH	진료비 수납, 처방전 발행
㈜III	서버 유지보수

인터넷 홈페이지에 게재할 수 없는 경우에는 다음의 방법 중 어느 하나 이상의 방법으로 위탁하는 업무의 내용과 수탁자를 공개하여야 함

인터넷 이외의 방법에 의한 위탁업무 공개방법

위탁자의 사업장․영업소․사무소․점포 등(이하 “사업장 등”이라 한다)의 보기 쉬운 장소에 게시하는 방법

관보나 위탁자의 사업장 등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법

재화나 용역을 제공하기 위하여 위탁자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

다. 수탁자 교육 및 감독

개인정보처리업무를 위탁한 의료기관은 수탁자에 대하여 개인정보가 분실・도난・유출・변조・훼손되지 않도록 교육하여야 함

개인정보처리업무를 위탁한 의료기관은 수탁자가 ‘개인정보보호법과 시행령, 보건복지부 개인정보 보호 기본지침’에 따라 의료기관이 준수하여야 하는 사항과 다음의 사항을 준수하고 있는지 감독하여야 함

수탁자 준수사항

위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

개인정보의 기술적·관리적 보호조치에 관한 사항

위탁업무의 목적 및 범위

재 위탁 제한에 관한 사항

개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

라. 손해배상 책임

수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에 개인정보보호법을 위반하여 발생한 손해배상 책임에 대하여는 수탁자를 의료기관의 소속직원으로 간주함

수탁자의 의무

개인정보 처리업무 수탁자는 개인정보 처리업무에 관하여 수집․이용, 제공, 보관 등과 관련하여 개인정보처리자(의료기관)에게 부과되는 의무를 준수하여야 함

5. 영업의 양도

영업양도, 합병 등으로 다른 의료기관에 환자 등 개인정보를 이전할 때에는 영업양도자는 해당 정보주체에게 알려야 하며, 개인정보를 이전받은 의료기관은 이전 당시의 본래 목적으로만 개인정보를 이용할 수 있다.

영업양도, 합병 등으로 환자 등 정보주체의 개인정보를 다른 의료기관에게 이전하여야 하는 때에는 개인정보를 이전하기 전에 환자 등 해당 정보주체에게 다음의 사항을 통지하여야 함

통지사항

개인정보를 이전하려는 사실

개인정보를 이전받는 자(영업양수자 등)의 성명(법인의 경우에는 법인의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처

정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차

정보주체가 최소한 이전 사실을 확인하고 회원탈퇴, 동의철회 등의 권리를 행사할 수 있는 시간적 여유를 주어야함

의료기관이 영업양도 등에 따라 개인정보 이전 사실을 통지할 때에는 다음의 방법으로 하여야 함

통지방법

서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법

개인정보를 이전하려는 의료기관이 과실 없이 서면 등에 따른 방법으로 통지사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 함

다만, 인터넷 홈페이지를 운영하지 아니하는 의료기관은 사업장등의 보기 쉬운 장소에 30일 이상 게시하여야 함

개인정보를 이전받은 의료기관은 환자 등 정보주체에게 개인정보의 이전사실 등을 개인정보를 이전받은 후 지체 없이 통지하여야 함

의료기관이 개인정보의 이전사실 등을 이미 알린 경우에는 통지하지 않아도 됨

개인정보를 이전받은 의료기관은 영업의 양도·합병 등으로 개인정보를 이전받은 경우, 이전 당시의 본래 목적으로만 개인정보를 이용할 수 있으며, 「개인정보보호법」의  개인정보처리자로서의 권리와 의무를 짐

영업의 양도, 합병 당시의 처리 목적과 다른 용도로 개인정보를 이용하고자 하는 경우에는 환자 등 정보주체로부터 별도로 동의를 받아야 함

6. 영상정보처리기기의 설치․운영

의료기관이 영상정보처리기기(CCTV, 네트워크 카메라)를 설치․운영하고자 할 때에는 개인의 사생활이 침해되지 않도록 영상정보처리기기를 최소한으로 설치․운영하여야 한다.

가. 영상정보처리기기 설치․운영 제한

영상정보처리기기 설치․운영 사유

법령에서 구체적으로 허용하고 있는 경우

범죄의 예방 및 수사를 위하여 필요한 경우

시설안전 및 화재 예방을 위하여 필요한 경우

교통단속을 위하여 필요한 경우

교통정보의 수집․분석 및 제공을 위하여 필요한 경우

공개된 장소에서 영상정보처리기기 설치는 원칙적으로 금지되지만, 예외적으로 다음의 사유에 해당하는 경우에는 설치할 수 있음

공개된 장소와 의료분야

일반적으로“공개된 장소”란 공원, 도로, 지하철, 상가 내부, 주차장 등 정보주체가 접근하거나 통행하는데 제한을 받지 아니하는 장소를 말함

의료기관의 경우 환자 대기실, 접수대, 휴게실은 공개된 장소이지만, 진료실, 입원실, 수술실 등 치료목적 공간은 비공개 장소임

목욕실, 화장실, 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 하는 영상정보처리기기 설치․운영은 금지됨

나. 영상정보처리기기 임의조작․녹음 금지

영상정보처리기기는 설치목적과 다른 목적으로 임의로 조작하거나 다른 곳을 비추거나 녹음기능을 사용하는 것은 금지됨

다. 영상정보처리기기 설치 시 의견수렴 절차 실시

공공기관이 공개된 장소 및 교도소·정신보건시설 등 대통령령으로 정한 장소에 영상정보처리기기를 설치·운영하려는 경우에는 다음의 절차 중 하나를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴해야 함

「행정절차법」에 따른 행정예고의 실시 또는 의견청취

해당 영상정보처리기기의 설치로 직접 영향을 받는 지역 주민 등을 대상으로 하는 설명회, 설문조사 또는 여론조사

법에 따른 교정시설이나 정신의료기관 등 개인 사생활 침해우려 장소에 영상정보처리기기를 설치·운영하려는 자는 다음의 사람들로부터 모두 의견을 수렴하여야 함

관계 전문가

해당 시설에 종사하는 사람, 해당 시설에 구금되어 있거나 보호받고 있는 사람 또는 그 사람의 보호자 등 이해관계인

라. 안내판 설치를 통한 설치․운영 사실 공개

의료기관이 공개된 장소에 영상정보처리기기를 설치․운영할 때 정보주체가 쉽게 알아 볼 수 있도록 안내판을 설치하여야 함 ([붙임5] 영상정보처리기기 설치 안내판(예시) 참조)

안내판에 기재하여야 할 사항

설치 목적 및 장소

촬영 범위 및 시간

관리책임자의 성명(또는 직책) 및 연락처

(영상정보처리기기 설치․운영을 위탁한 경우) 수탁관리자 성명(또는 직책)·업체명 및 연락처

마. 영상정보처리기기 운영․관리 방침

영상정보처리기기를 운영하는 의료기관은 영상정보처리기기 운영․관리 방침을 수립하여 홈페이지, 게시판 등에 공개하여야 함

영상정보처리기기를 운영하는 의료기관은 개인영상정보 처리에 관한 업무를 총괄하여 책임질 ‘개인영상정보 관리책임자’를 지정하여야 함

* 개인정보 보호책임자가 지정되어 있는 경우에는 그 개인정보 보호책임자가 개인영상정보 관리책임자의 업무를 수행할 수 있음

바. 영상정보의 목적 외 이용․제공 제한 및 보관․파기 철저

영상정보처리기기를 운영하는 의료기관은 다음의 사유에 해당하는 경우를 제외하고 개인영상정보를 수집목적 이외로 이용하거나 제3자에게 제공하는 것은 금지됨

개인영상정보 이용 및 제3자 제공의 허용

정보주체의 별도의 동의를 얻은 경우

다른 법률에 특별한 규정이 있는 경우

정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인영상정보를 제공하는 경우

개인영상정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 개인정보 보호위원회의 심의・의결을 거친 경우

조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

법원의 재판업무 수행을 위하여 필요한 경우

형(形) 및 감호, 보호처분의 집행을 위하여 필요한 경우

※ ⑤~⑨번은 공공의료기관에 한함

영상정보처리기기를 운영하는 의료기관이 영상정보 보유목적 달성을 위한 특별한 기간 산정이 곤란한 때에는 영상정보의 보관기간은 개인영상정보 수집 후 30일 이내로 하고, 이 기간이 종료한 때에는 파기하여야 함

사. 영상정보처리기기의 설치․운영 위탁 시 관리․감독 철저

영상정보처리기기를 운영하는 의료기관은 영상정보처리기기의 설치․운영에 관한 사무를 위탁할 수 있으며, 이 경우 개인정보 처리업무 위탁에 관한 규정을 준수하여야 함

아. 개인영상정보 열람․존재확인․파기 청구권 보장

영상정보처리기기를 운영하는 의료기관은 정보주체로부터 개인영상정보의 열람, 존재확인 또는 파기를 요청받은 경우 지체 없이 필요한 조치를 취해야 함

다만, 의료인 폭행 등과 같이 정보주체의 요구를 거부할 만한 정당한 사유가 존재하는 경우에는 거부사유를 10일이내에 서면으로 정보주체에게 통지하고 열람 등 거부

* 의료기관이 필요한 조치를 하는 경우 열람 등을 통해 정보주체 이외의 자를 명백히 알아볼 수 있거나 정보주체 이외의 자의 사생활 침해의 우려가 있는 경우 해당 정보주체 이외의 자의 개인영상정보를 알아볼 수 없도록 보호조치를 취해야 함

자. 개인영상정보의 안전성 확보 조치 및 자체 점검 실시

영상정보처리기기를 운영하는 의료기관은 개인영상정보가 분실․도난․유출․변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 조치를 하여야 함

한편, 영상정보처리기기를 운영하는 보건복지부 소관 공공의료기관은 「보건복지부 개인정보 보호 기본지침」준수 여부에 대한 자체점검을 통해 개인영상정보의 침해 방지를 위해 노력하여야 함

* 공공의료기관은 자체점검 실시결과를 다음 해 3월 31일까지 보건복지부 및 행정자치부 장관에게 통보하고, 개인정보 보호 종합지원 포털 (http://intra.privacy.go.kr)에 등록하고, 홈페이지 등에 공개하여야 함

7. 개인정보파일의 등록(공공기관에만 적용)

공공의료기관이 개인정보파일을 운용하기 위해서는 행정자치부에 등록하여야 하며, 변경한 경우에도 같다.

개인정보파일의 등록․변경등록은 개인정보 보호책임자가 행정자치부에 등록하여야 함

개인정보파일의 등록․변경등록은 개인정보취급자의 신청을 받은 개인정보 분야별책임관이 소속 기관의 개인정보 보호책임자에게 신청하여야 함

개인정보파일의 등록․변경등록 신청을 받은 개인정보 보호책임자는 등록․변경등록 사항을 검토하고, 그 적정성을 판단하여야 하며, 해당 개인정보파일을 운용하기 시작한 날부터 60일 이내에 행정자치부에 등록․변경등록을 하여야 함

다만, 개인정보파일 등록 시 보건복지부에 사전에 보고하고 확인을 받아야 함

보건복지부의 확인을 받아야 하는 의료기관

국립소록도병원, 국립서울병원, 국립나주병원, 국립부곡병원, 국립춘천병원, 국립공주병원, 국립마산병원, 국립목포병원, 국립재활원, 국립암센터, 국립중앙의료원과 같은 보건복지부 소속기관 및 소관 공공기관은 보건복지부로 등록․변경등록 사항의 검토 및 적정성 판단을 요청한 후, 보건복지부의 확인을 받아 행정자치부에 등록․변경하여야 함

개인정보파일을 등록․변경등록하기 위하여서는 ‘개인정보 파일 등록․변경등록 신청서’를 작성하여 신청하고, 등록한 개인정보파일을 보유하는 경우에는 1개의 개인정보파일에 1개의 개인정보파일대장을 작성하여 관리하여야 함([붙임6]  개인정보파일 (등록¸ 변경등록) 신청서 참조)

개인정보파일을 등록할 때에는 다음의 사항을 반드시 기재하여야 하고, 개인정보파일을 등록할 때 개인정보영향평가를 받은 개인정보파일은 그 영향평가의 결과를 첨부하여야 함

개인정보파일 등록 사항

개인정보파일을 운용하는 공공기관의 명칭

개인정보파일의 명칭

개인정보파일의 운영 근거 및 목적

개인정보파일에 기록되는 개인정보의 항목

개인정보파일로 보유하고 있는 개인정보의 정보주체 수

개인정보의 처리방법

개인정보의 보유기간

개인정보를 통상적 또는 반복적으로 제공하는 경우에는 그 제공받는 자

해당 공공기관에서 개인정보 처리 관련 업무를 담당하는 부서

개인정보의 열람 요구를 접수·처리하는 부서

개인정보파일의 개인정보 중 법 제35조제4항에 따라 열람을 제한하거나 거절할 수 있는 개인정보의 범위 및 제한 또는 거절 사유

법 제33조제1항에 따른 개인정보 영향평가를 받은 개인정보파일의 경우에는 그 영향평가의 결과

행정자치부 장관은 개인정보파일의 등록 현황을 누구든지 쉽게 열람할 수 있도록 공개하여야 함

보건복지부장관은 개인정보파일의 등록사항과 그 내용을 검토하여 개선권고사유에 해당하는 때에는 그 개선을 권고할 수 있음

개선권고 사유

① 개인정보파일이 과다하게 운용된다고 판단되는 경우

② 등록하지 않은 개인정보파일이 있는 경우

③ 개인정보파일 등록 사실이 삭제되었음에도 불구하고 개인정보파일을 계속 보유하고 있는 경우

④ 개인정보 영향평가를 받은 개인정보파일을 보유하고 있음에도 그 결과를 등록사항에 포함시키지 않은 경우

⑤ 그 밖에 법 제32조에 따른 개인정보파일의 등록 및 공개에 위반되는 사항이 있다고 판단되는 경우

8. 개인정보의 안전성 확보

의료기관은 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 내부관리 계획 수립, 접속기록 보관 등 안전성 확보에 필요한 조치를 하여야 한다.

가. 내부관리 계획의 수립・시행

환자 등 정보주체의 개인정보를 안전하게 처리하기 위하여 다음의 사항이 포함된 내부관리 계획을 수립․시행하여야 함 ([붙임7] 개인정보 내부관리 계획 가이드 참조)

내부관리 계획의 필수 기재사항

개인정보 보호책임자의 지정에 관한 사항

개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

개인정보의 안전성 확보에 관한 사항

개인정보취급자에 대한 교육에 관한 사항

그 밖에 개인정보 보호를 위하여 필요한 사항

※ 예외) 상시근로자의 수가 5명 미만인 소규모 의료기관의 경우에는 내부관리 계획을 수립하지 아니할 수 있음

상시근로자란?

“상시근로자”란 직업의 종류와 관계없이 임금을 목적으로 사업이나 사업장에 근로를 제공하는 근로자 가운데 ① 임원 및 「소득세법 시행령」 제20조에 따른 일용근로자, ② 3개월 이내의 기간을 정하여 근로하는 자, ③ 「기초연구진흥 및 기술개발지원에 관한 법률」 제14조제1항제2호에 따른 기업부설연구소 및 연구개발전담부서의 연구전담요원, ④ 「근로기준법」 제2조제1항제8호에 따른 단시간근로자로서 1개월 동안의 소정(所定)근로시간이 60시간 미만인 자를 제외한 근로자를 말함(중소기업기본법 시행령 제8조제2항)

상시근로자 수의 산정방법(중소기업기본법 시행령 제8조제3항)

□ 상시근로자의 수는 다음의 방법에 따라 산정하는데, 단시간근로자로서 1개월 동안의 소정근로시간이 60시간 이상인 근로자는 1명을 0.5명으로 산정함

직전 사업연도의 사업기간이 12개월 이상인 기업 - 직전 사업연도의 매월 말일 현재의 상시 근로자 수를 합하여 12로 나눈 인원

직전 또는 해당 사업연도에 창업하거나 합병 또는 분할한 기업으로서 ①에 해당하지 아니하는 기업은 다음의 방법에 따라 월평균 상시 근로자 수로 환산하여 산정한 인원을 상시근로자로 봄

창업하거나 합병 또는 분할한 지 12개월 이상인 기업 - 산정일이 속하는 달부터 소급하여 12개월이 되는 달까지의 기간의 매월 말일 현재의 상시근로자 수를 합하여 12로 나눈 인원

창업하거나 합병 또는 분할한 지 12개월 미만인 기업 - 창업일이나 합병일 또는 분할일이 속하는 달부터 산정일까지의 기간의 매월 말일 현재의 상시 근로자 수를 합하여 해당 월수로 나눈 인원

산정일이 창업하거나 합병 또는 분할한 달에 속하는 기업 - 산정일 현재의 인원

나. 접근 권한 관리

개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 함

개인정보에 대한 접근 권한은 최소 권한, 즉 알 필요(Need-to-Know) 및 할 필요(Need-to-Do)의 원칙에 따라  업무 담당자별로 세분화하여 권한을 부여하여야 함

병원정보시스템, OCS(Order Communication System, 처방전달시스템), EMR(Electronic Medical Record, 전자의무기록), PACS(Picture Archiving Communication System), LIS(Lab Information System, 임상병리시스템), 건강검진시스템, 병원 홈페이지 등 의료기관에 사용하는 개인정보처리시스템에 대하여 사용자/직무/그룹/역할별로 화면/메뉴/버튼(읽기, 쓰기, 출력, 다운로드 등) 단위의 상세 접근권한을 설계하고 적용하여야 함

엑셀파일 등 개인정보 다운로드 권한의 경우, 다운로드 받은 파일에 의한 대량 개인정보 유출이 가능하므로 가급적 권한을 최소화하는 것이 바람직함

<업무별 사용자 그룹별 접근권한 설정(예시)>

퇴직 등 인사변동이 발생하여 개인정보취급자가 변경된 경우, 지체 없이 시스템의 접근권한 변경 또는 말소

의료인 또는 직원이 퇴직할 때에는 해당 근로자의 계정을 지체 없이 변경하도록 내부관리 계획에 반영하여 이행하도록 하여야 함

의료인 또는 직원이 퇴직할 때 계정삭제를 효과적으로 이행하기 위해서는 ‘퇴직점검표’에 사용계정의 삭제항목을 반영하여 계정의 삭제 여부에 대하여 확인을 받을 수 있도록 함

인사시스템과 연동하여 전보 또는 퇴직 등 인사변동 발생 시 자동으로 개별 개인정보처리시스템의 권한을 변경/말소하도록 구현한다면 수작업에 의한 오류 가능성을 줄일 수 있음

추가적으로 일정기간(1개월 등) 동안 시스템 미접속 시 계정 잠금 기능을 적용할 수 있음

주기적인 접근권한의 검토를 통해 접근권한의 과도한 부여 및 오남용을 적발하고 조치하는 것이 필요함

접근권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 함

<접근권한 부여/변경/말소 내역 기록(예시)>

필수 기록 항목	설명
적용 대상 ID	권한 부여/변경/말소 대상 ID
적용 권한	적용된 권한명(또는 권한 그룹)
유형	부여/변경/말소
사유	입사/조직변경/퇴사/휴직 등 사유
일시	권한 부여/변경/말소 일시
작업자 ID	권한 부여/변경/말소 작업자 ID

개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 함

정기적인 교육을 통하여 개인정보취급자 계정이 타인에게 공유되지 않도록 하여야 하며, 특히 처방전 기록 등을 위한 의사의 공인인증서는 의사 본인 이외에는 절대 공유되지 않도록 하여야 함

관리자 등 중요 권한의 경우, 계정 도용에 의한 피해를 예방하기 위하여 OTP(One Time Password), 2 Factor인증 등 적용이 필요함

다. 비밀번호 관리

개인정보취급자가 안전한 비밀번호를 설정할 수 있도록 이행 가능한 ‘비밀번호 작성규칙’을 수립한 후, 개인정보처리시스템 및 접근통제시스템 등에 이를 적용하고 운영하여야 함

< 안전한 비밀번호 작성규칙 >

① 비밀번호 최소길이

- 최소10자리 : 영대문자(A~Z), 영소문자(a~z), 숫자(0~9), 특수문자(32개) 중 2종류 이상의 조합

- 최소8자리 : 영대문자(A~Z), 영소문자(a~z), 숫자(0~9), 특수문자(32개) 중 3종류 이상의 조합

※ 특수문자 32개 예시

~ ․! @ # $ % ^ & * ( ) _ - + =  [ ] [ ] | \ ; :‘ “ < > , . ? /

주의) 컴퓨터 관련기술의 발달에 따라 비밀번호의 최소 길이는 늘어날 수 있고, 변경주기는 짧아질 수 있음

② 추측하기 어려운 비밀번호 사용

- 일련번호, 전화번호 등 쉬운 문자열이 포함되지 않도록 함

- 잘 알려진 단어, 키보드 상에 나란히 있는 문자열이 포함되지 않도록 함

- 사용자 ID와 동일한 비밀번호는 사용하지 않도록 함

③ 비밀번호의 주기적인 변경 및 동일한 비밀번호 사용 제한

- 비밀번호를 최소 6개월마다 변경하여 동일한 비밀번호를 장기간 이용하지 않도록 관리

- 2개의 비밀번호를 교대로 사용하지 않도록 함

④ 비밀번호 설정․변경할 때 입력값의 자리수와 조합을 체크하여 안전한 비밀번호 작성규칙에 위배되는 경우, 법 위반을 알리고 작성규칙을 준수하도록 함

- 고객 불만 등으로 그 적용이 어려운 경우에는 최소한 법 위반 경고창을 통해 ‘비밀번호 작성규칙’을 준수하도록 유도함

한국인터넷진흥원(KISA)에서 비밀번호 안전성 검증 소프트웨어를 보급하고 있으므로 [패스워드 안전성 검증/검증도구 보급신청] 참고

비밀번호 분실 시, SMS 등을 통해 본인 확인 절차를 거쳐,  비밀번호를 재설정할 수 있도록 하여야 함

일정 횟수 이상 비밀번호 입력 오류 시 계정 잠금을 통해 무작위 대입 공격(Brute Force Attack) 등에 의한 비인가자의 로그인 시도를 차단하여야 하며, 잠금 해제 시에도 본인확인 절차를 마련하여 적용하여야 함

FAQ

홈페이지 비밀번호를 전화로 문의 시 본인 확인은 어느 수준까지 해야 하나요?

홈페이지의 비밀번호는 ‘개인정보 안전성 확보조치 기준’에 따라 암호화하여야 하는 개인정보입니다. 의료기관은 비밀번호를 복호화되지 않도록 일방향 암호화하고 안전한 암호알고리즘으로 암호화하여 저장하여야 합니다. 그러므로 암호화된 비밀번호를 전화를 통하여 알려주는 것은 암호화의 취지에 반하는 것으로 본인확인을 거쳐 알려줄 수 없는 개인정보라고 판단됩니다. 따라서 임시로 비밀번호를 부여하여 ‘비밀번호 작성규칙’에 따라 본인이 직접 비밀번호를 새로이 작성한 후 이용하도록 하는 것이 옳다고 판단됩니다.

“비밀번호”란 정보주체 또는 개인정보취급자 등이 개인정보처리시스템, 업무용 컴퓨터 또는 정보통신망에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말합니다(개인정보 안전성 확보조치 기준 제2조제12호).

라. 접근통제 시스템의 설치․운영

의료기관은 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위하여 침입차단시스템(Firewall) 또는 침입방지시스템(IPS : Intrusion Prevention System) 등 접근통제시스템을 설치하여 운영하여야 함

침입차단시스템(Firewall) 또는 침입방지시스템(IPS : Intrusion Prevention System) 등은 정보통신망을 통한 불법적인 접근을 IP주소 등으로 제한할 수 있으며, 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출시도를 탐지할 수 있음

접근통제시스템이란?

“접근통제시스템”이란 정보통신망을 통한 개인정보처리시스템의 불법적 접근 및 침해사고 방지를 위해 비인가자의 접근을 차단할 수 있는 보안시스템을 말함

의료기관은 개인정보취급자가  정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하여야함

AS나 유지보수를 위하여 유지보수업체가 원격에서 접속하는 경우 가상사설망 등 안전한 보호대책을 마련하여야 하며, 특히 유지보수업체가 개인정보에 권한 없이 접근하지 못하도록 관리감독을 철저히 하여야 함

의료기관은 개인정보가 저장된 업무용 컴퓨터에 해커 등 비인가자의 접근을 통제하기 위해 상용 침입차단 프로그램 또는 업무용 컴퓨터 운영체제에서 제공되는 침입 차단 프로그램을 사용하여 불법적인 접근을 차단하여야 함

< 접근통제 방법 >

정보통신망을 통한 불법적인 접근 및 침해사고를 방지하기 위하여 ㉠ 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가받지 않은 접근을 제한하고, ㉡ 개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지하는 기능을 포함한 시스템의 설치・운영할 것

접근통제시스템에는 침입차단시스템(Firewall), 침입방지시스템(IPS : Intrusion Prevention System), 웹방화벽, DB접근제어 시스템 또는 보안운영체제(SecureOS) 등이 있음

또한, 스위치 등의 네트워크 장비에서 제공하는 ACL(Access Control List : 접근제어목록) 등 기능을 이용하여 IP 주소 등을 제한함으로써 침입차단 기능을 구현할 수 있음

공개용 S/W를 사용하거나 운영체제(OS)에서 제공하는 기능을 활용하여 해당 기능을 포함한 시스템을 설치·운영할 수 있음 다만, 공개용 S/W를 사용하는 경우에는 적절한 보안이 이루어지는지 사전에 점검해야 함

예외) 별도의 개인정보처리시스템을 이용하지 아니하고 업무용 컴퓨터만을 이용하여 개인정보를 처리하는 경우에는 적용하지 않을 수 있음 이 경우 업무용 컴퓨터의 운영체제(OS: Operating System)나 보안프로그램 등에서 제공하는 접근통제의 기능을 이용할 수 있음

- Windows XP 접근통제 사용방법 : [설정] → [제어판] → [Windows방화벽]에서 ‘사용(권장)’을 클릭하여 사용할 수 있음

- Windows 7 접근통제 사용방법 : [설정] → [제어판] → [Windows방화벽]에서 ‘Windows 방화벽 사용‘을 클릭하여 사용할 수 있음

개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가설사설망(VPN: Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용할 것

“가상사설망”(VPN: Virtual Private Network)이란 개인정보 취급자가 사업장 내의 개인정보처리시스템에 대해 원격으로 접속할 때 IPsec이나 SSL 기반의 암호 프로토콜을 사용한 터널링 기술을 통해 안정한 암호통신을 할 수 있도록 해주는 보안 시스템을 말함

IPsec(IP Security Protocol)은 인터넷상에 보안기능을 이용하여 데이터  도청 등의 방지를 위한 통신규약을 말함

SSL(Secure Sockets Layer)은 웹 브라우저와 웹 서버간에 데이터를 안전하게 주고 받기 위한 업계 표준 보안 프로토콜을 말함

취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선만 이용 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템, 업무용 컴퓨터 및 모바일 기기에 조치를 취할 것

개인정보취급자의 부주의로 개인정보처리시스템 또는 업무용 컴퓨터에 있는 개인정보가 Google 등 검색엔진, 인터넷 홈페이지 또는 P2P를 통해 게시되거나, 공유 설정된 PC폴더에 개인정보파일을 둠으로써 열람권한이 없는 자에게 공개되는 사례가 많이 발견되고 있음

개인정보처리시스템 또는 업무용 컴퓨터인 경우 P2P, 공유설정을 기본적으로 사용하지 않는 것이 원칙이나, 업무상 꼭 필요한 경우에는 권한 설정 등의 조치를 통해 업무상 꼭 필요한 자만 접근할 수 있도록 설정함

인터넷 홈페이지 운영 시 개인정보 노출을 방지하기 위한 보안조치를 수행하여야 함

- SQL Injection취약점, File Upload 취약점 등 웹 취약점 진단 및 제거

- Google 등 검색엔진에 의해 개인정보가 노출되지 않도록 권한 관리 및 검색 엔진배제 표준 설정

- 인터넷 홈페이지용 웹서버는 DMZ에 구성하여 홈페이지를 경유한 내부 침투 방지 등

- 최근 의사가 연구목적 등을 위해 개인적으로 개설한 홈페이지를 통해 환자의 개인정보가 노출되는 경우가 많으므로, 이런 경우가 발생하지 않도록 내부 지침을 마련하여 시행하여야 함

개인정보취급자의 컴퓨터는 원칙적으로 P2P프로그램, 공유폴더 사용을 금지하고 있으나, 반드시 사용해야 할 경우 드라이브 전체 또는 불필요한 폴더가 공유되지 않도록 조치하고, 공유폴더에 개인정보 파일이 포함되지 않도록 정기적으로 점검하여 조치하도록 함

- P2P, 웹하드 등의 사용을 제한하는 경우에도 단순히 사용금지 조치를 취하는 것이 아니라 시스템 상에서 해당 IP, 포트를 차단하는 등 원천적인 조치를 취하는 것이 필요함

- 윈도우즈의 경우 시작-제어판-성능 및 유지관리-관리도구-컴퓨터 관리를 실행하여, 공유폴더 메뉴에서 공유설정 내용 확인 가능

의료기관 내에서 업무용으로 무선네트워크를 사용할 경우, 무선 네트워크를 통한 내부망 침투, 개인정보처리시스템 접근 및 네트워크 도청 등 유선 네트워크에 비해 침해 가능성이 높으므로 이를 방지하기 위한 보안 조치 적용이 필요함

< 업무용 무선 네트워크 보안가이드 >

1. 무선네트워크 물리적·관리적 보안 강화

- 무선 AP(Access Point)에 대한 물리적 접근 통제

- 무선 AP 관리자용 default ID/PW 변경

- SSID Broadcasting 금지 등

2. 안전한 무선 인증 및 암호화 적용

- WPA2-Enterprise mode :　802.1x/EAP 인증 및 AES-CCMP 암호화

- EAP방식은 EAP-TLS 또는 EAP-PEAP 또는 EAP-TTLS 사용

- MAC인증 등 추가 인증 적용

- 불가피하게 PSK(Pre-Shared Key) 방식을 사용할 경우에는 주기적으로 비밀번호를 변경하고 특히 퇴사자 발생 시 지체 없이 비밀번호를 변경하여야 함

3. 무선 IPS(WIPS : Wireless Intrusion Prevention System)

- Rogue AP(비인가 AP) 탐지 및 차단

- 무선 DoS공격 탐지 등

4. 네트워크 접근제어

- 무선네트워크와 유선네트워크 사이에 침입차단시스템 등 접근제어시스템 적용

- 환자의 편의를 위해 무선 네트워크 서비스 제공시 해당 무선 네트워크는 내부 업무망과 분리

- NAC(Network Access Control) 솔루션을 통해 비인가된 단말 및 보안프로그램 미설치 단말의 업무용 무선 네트워크 접속 통제 적용 등

마. 개인정보 암호화

고유식별정보, 비밀번호, 바이오정보 등과 같은 주요 개인정보가 암호화되지 않고 개인정보처리시스템에 저장되거나 네트워크를 통하여 전송될 경우, 유출․노출 및 위․변조 등의 위험이 있으므로 암호화 등의 안전한 보호조치가 제공되어야 함

암호화 대상 개인정보는 고유식별정보, 비밀번호 및 바이오정보 임

< 암호화란? >

개인정보취급자의 실수 또는 해커의 공격 등으로 인해 개인정보가 비인가자에게 유․노출되더라도 그 주요 내용을 확인할 수 없게 하는 보안기술을 말함

< 고유식별정보, 비밀번호, 바이오정보 >

“고유식별정보”란 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 주민등록번호, 여권번호, 운전면허번호 및 외국인등록번호를 말함

“비밀번호”는 정보주체 또는 개인정보취급자 등이 개인정보처리시스템, 업무용 컴퓨터 또는 정보통신망에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 식별할 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말함

“바이오정보”는 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 말함. 단, 각 개인마다 고유의 특징을 가지기 때문에 개인을 식별하는 바이오정보만 암호화 대상에 해당하며, CT영상 등 의료행위 관련 바이오정보는 암호화 대상에서 제외됨

< 암호화를 하여야 하는 경우 >

암호화 대상 개인정보를 정보통신망을 통하여 송․수신하거나 보조저장매체(하드디스크, USB메모리, CD, DVD, 플로피디스켓, 자기 테이프 등) 등을 통하여 전달하는 경우

내부망 내에서 송․수신되는 고유식별정보는 업무상 필요할 경우 암호화 대상에서 제외할 수 있으나, 비밀번호와 바이오정보는 반드시 암호화하여야 한다.

전용선을 이용하여 개인정보를 송․수신하는 경우, 암호화가 필수는 아니나 내부자에 의한 개인정보 유출 등을 대비해서 가급적 암호화 전송을 권장한다.

통신구간 개인정보 암호화 전송을 위해 보안서버를 활용할 수 있다.

* “보안서버”란 웹서버에 SSL(Secure Sockets Layer) 인증서나 암호화

소프트웨어를 설치하여 암호통신을 수행하는 방식을 말한다.

(보안서버 안내 : http://www.kisia.or.kr/secureserver/)

USB메모리 등 보조저장매체에 대한 암호화 적용은 PC 상에서 상용 암호화 S/W를 이용하여 암호화 후 보조저장매체로 저장하거나, 보안USB와 같이 USB메모리 자체에서 암호화하여 저장하는 방식 등을 활용할 수 있다.

비밀번호 및 바이오정보를 저장하는 경우

비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장할 것

일방향 암호화는 저장된 값으로 원본 값을 유추하거나 복호화 할 수 없도록 한 암호화 방법으로, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과 값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인하여야 함

의사 등 개인정보취급자의 비밀번호 뿐만 아니라, 홈페이지 이용자와 같은 정보주체의 비밀번호도 모두 일방향 암호화 대상이 된다.

암호화 대상 바이오정보는 식별 및 인증 등의 고유기능에 사용되는 경우로 한정되므로 CT영상 등 EMR, PACS 등에 저장되어있는 의료행위 관련 바이오정보는 법적 암호화 대상에서 제외된다.

인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : DeMilitarized Zone)에 고유식별정보를 저장하는 경우

DMZ 구간에 고유식별정보, 비밀번호 및 바이오정보를 저장하는 경우에는 암호화하여 저장하여야 함

“DMZ 구간“은 인터넷과 내부망과 인터넷 구간 사이에 위치한 중간 지점으로 침입차단시스템 등으로 접근제한 등을 수행하지만 외부망에서 직접 접근이 가능한 영역을 말한다.

내부망에 고유식별정보를 저장하는 경우 ① 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과, ② 위험도분석에 따른 결과에 따라 암호화의 적용 여부 및 적용범위를 결정할 수 있음

“위험도 분석”은 개인정보처리시스템에 적용되고 있는 개인정보 보호를 위한 수단과 유출시 정보주체의 권리를 해할 가능성과 그 위험의 정도를 분석하는 행위를 말함

* “개인정보 위험도 분석 기준 및 해설서” (2012.3) 참조

* 암호이용활성화 홈페이지(http://seed.kisa.or.kr) 및 개인정보처리자 암호화 조치 가이드(www.privacy.go.kr, ’12. 9월 발간) 참고

“안전한 암호 알고리즘”이란 미국 NIST, 일본 CRYPTREC, 유럽 ECRYPT 등의 외국 및 국내외 암호 연구기관에서 권고하는 알고리즘을 말함

안전한 암호 알고리즘 (예시)

구분	알고리즘 명칭
대칭키 암호 알고리즘	SEED ARIA-128/192/256 AES-128/192/256 Blowfish Camelia-128/192/256 MISTY1 KASUMI 등
공개키 암호 알고리즘	RSA KCDSA(전자서명용) RSAES-OAEP RSAES-PKCS1 등
일방향 암호 알고리즘	SHA-224/256/384/512 Whirlpool 등

* 개인정보 암호화 조치 안내서 (2012.10 기준)

* 과거 범용적으로 사용했던 DES 알고리즘은 보안상 취약하므로 더 이상 사용하여서는 안 됨

주민등록번호를 시스템 운영을 위한 검색 키로 사용하는 경우, 속도 등 성능을 고려하여 일부 정보만 암호화 조치를 취할 수 있다.

예) 주민등록번호의 경우 뒷자리 6개 번호 이상 암호화 조치 필요(예시: 700101-1#……&)

암호화 대상 개인정보를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장하여야 함

인터넷 구간 및 인터넷 구간과 내부망의 중간지점(DMZ)에 고유식별정보를 저장하는 경우 위험도 분석과 관계없이 암호화하여 적용하여야 함

암호화대상 개인정보를 포함한 개인정보처리시스템을 새로이 구축하는 경우 암호화를 즉시 이행하여야 함

개인정보를 처리하고 관리하는 개인정보처리시스템은 DB에 저장된 개인 정보를 암호화하여 저장함으로써 개인정보의 변경, 파괴 및 유출을 방지해야 한다.

개인정보처리시스템의 DB를 암호화할 수 있는 방식은 암ㆍ복호화 모듈의 위치와 암ㆍ복호화 모듈의 요청 위치의 조합에 따라 다음 표와 같이 구분할 수 있다.

방식	암ㆍ복호화 모듈 위치	암ㆍ복호화 요청 위치	주요 내용
응용프로그램 자체 암호화	어플리케이션 서버	응용 프로그램	암ㆍ복호화 모듈이 API 라이브러리 형태로 각 어플리케이션 서버에 설치되고, 응용 프로그램에서 해당 암ㆍ복호화 모듈을 호출하는 방식 DB 서버에 영향을 주지 않아 DB 서버의 성능 저하가 적은 편이지만 구축시 응용프로그램 전체 또는 일부 수정 필요 기존 API 방식과 유사
DB서버 암호화	DB 서버	DB 서버	암ㆍ복호화 모듈이 DB 서버에 설치되고 DB 서버에서 암ㆍ복호화 모듈을 호출하는 방식 구축 시 응용프로그램의 수정을 최소화할 수 있으나 DB 서버에 부하가 발생하며 DB 스키마의 추가 필요 기존 Plug-In 방식과 유사
DBMS 자체 암호화	DB 서버	DBMS 엔진	DB 서버의 DBMS 커널이 자체적으로 암ㆍ복호화 기능을 수행하는 방식 구축 시 응용프로그램 수정이 거의 없으나, DBMS에서 DB 스키마의 지정 필요 기존 커널 방식(TDE)과 유사
DBMS 암호화 기능 호출	DB 서버	응용 프로그램	응용프로그램에서 DB 서버의 DBMS 커널이 제공하는 암ㆍ복호화 API를 호출하는 방식 구축 시 암ㆍ복호화 API를 사용하는 응용프로그램의 수정이 필요 기존 커널 방식(DBMS 함수 호출)과 유사
운영체제 암호화	파일서버	운영체제 (OS)	OS에서 발생하는 물리적인 입출력(I/O)을 이용한 암ㆍ복호화 방식으로 DBMS의 데이터파일 암호화 DB 서버의 성능 저하가 상대적으로 적으나 OS, DBMS, 저장장치와의 호환성 검토 필요 기존 DB 파일암호화 방식과 유사

업무용 컴퓨터에 고유식별정보를 저장하여 관리하는 경우 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화 저장하여야 함

업무용 컴퓨터에 고유식별정보 등 개인정보를 저장하는 경우 분실, 고의, 실수, 악성코드 감염 등 다양한 위협요인에 따른 개인정보 유출 위험이 매우 높으므로, 업무용 컴퓨터 내에 저장된 개인정보를 최소화하는 것이 바람직하다.

업무용 컴퓨터 및 보조저장매체에 저장된 개인정보의 보호를 위하여 개별 문서 파일 단위로 암호화(파일 암호화) 또는 디렉터리 단위로 암호화(디스크 암호화)를 수행해야 한다.

파일 암호화는 업무용 컴퓨터에 저장된 개인정보에 대한 보호뿐만 아니라 개인정보취급자 간에 네트워크상으로 파일을 안전하게 전송하기 위한 방식으로도 사용할 수 있다.

업무용 컴퓨터에서 가능한 암호화 방식은 문서도구 자체 암호화, 암호 유틸리티를 이용한 암호화, DRM(Digital Rights Management) 및 디스크 암호화가 있다.

* 세부 암호화 방식에 대한 설명은 “개인정보 암호화 조치 안내서” 참조

네트워크를 통해 개인정보(고유식별정보, 비밀번호, 바이오정보 등)를 전송하는 경우 암호화하여 전송되어야 함

웹서버와 클라이언트 간 개인정보 전송시 암호화를 위하여 공인인증기관이 발급한 서버 인증서를 설치한 보안서버를 사용하는 방식으로 웹브라우저에 기본적으로 내장된 SSL/TLS 프로토콜로 접속하는 SSL 방식과 웹브라우저에 보안 프로그램을 설치하여 접속하는 응용프로그램 방식으로 구분할 수 있다.

“SSL 방식”은 웹페이지 전체를 암호화(웹페이지내 이미지 포함)하며 “응용프로그램 방식”은 특정 데이터만을 선택적으로 암호화할 수 있지만, 보안서버와 웹브라우저에 부가적인 프로그램을 설치해야 한다.

개인정보취급자 간에 개인정보를 전송할 때 주로 이메일을 이용하게 된다.  이메일은 네트워크를 통해 전송되는 과정에서 공격자에 의해 유출되거나 위조될 가능성이 있다. 이러한 위협으로부터 이메일로 전송되는 메시지를 보호하기 위해서 PGP 또는 S/MIME을 이용하는 이메일 암호화 방식과 암호화된 파일을 이메일에 첨부하여 전송하는 이메일 첨부문서 암호화 방식이 있다.

비밀번호 일방향 암호화 시 Salt값을 추가하여 사용하면 보다 안전한 일방향 암호화가 가능함

Salt값이란 “비밀번호에 추가하는 문자열”로서 동일한 비밀번호도 다른 해시값(일방향 암호화 결과값)을 가지게 함으로써 해시값 획득을 통한 비밀번호 유추를 어렵게 만드는 역할을 함

예를 들어, 사용자 ID를 Salt값으로 사용할 경우 서로 다른 두 사용자가 동일한 비밀번호를 쓰더라도 사용자 ID가 다르므로 일방향 암호화 결과값은 달라지게 되므로, 두 사용자가 같은 비밀번호를 사용하고 있는지 여부를 알 수 없음

Salt값은 사용자ID 등을 조합하여 사용자별로 다르게 설정되어야 하며, 가급적 충분히 긴 문자열을 Salt값으로 사용하는 것이 바람직함

< 암호화 방법 >

암호화대상 개인정보를 저장할 때 암호화를 적용하는 경우 ① 개인정보의 저장 현황, ② 개인정보의 저장에 따른 위험도 분석절차(또는 영향평가 절차) 및 방법, ③ 암호화 추진 일정 등이 포함된 “암호화계획”을 수립하여야 함

< 암호화계획의 작성 방법 >

개인정보의 저장 현황분석

비밀번호, 바이오정보, 고유식별정보를 저장하는 경우에는 암호화의 대상이 되므로 암호화 방법을 결정하기 위해, 개인정보처리자는 제공하는 각 서비스별로 저장하는 개인정보의 종류, 규모, 보유․이용 기간 등의 현황과 이들 서비스를 위해 처리되는 개인정보 보호를 위한 관리적․기술적 보호조치 현황을 분석하여야 함

개인정보의 저장에 따른 위험도 분석절차(또는 영향평가 절차) 및 방법

개인정보 영향평가 실시 대상에 따라 개인정보 영향평가를 실시해야 하는 경우에는 영향평가 절차 및 방법을 이용하고, 영향평가를 실시하지 않는 그 외에 공공기관이나 개인정보처리자는 위험도 분석 절차 및 방법을 작성하여야 함

암호화 추진 일정 등

영향평가․위험분석 시행시기 및 암호화 구축 시기 등을 포함한 세부 추진 일정 등을 작성하여야 함

FAQ	바이오정보란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인을 식별할 수 있는 신체적 또는 행동적 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 포함한다.'라고 알고 있습니다. 의료기관에서 동의서 작성 시 설명한 내용에 대한 환자, 보호자와의 분쟁에 대비하기 위하여 음성녹음을 하여 저장할 경우 이는 암호화의 대상이 되나요? 그리고 녹음에 대한 동의를 따로 받아야 하나요?
지문, 얼굴, 홍채, 정맥, 음성, 필적 등의 바이오정보는 각 개인마다 고유의 특징을 가지기 때문에 개인을 식별하는 바이오정보는 암호화 대상에 해당합니다. 그러므로 음성녹음을 저장할 경우, 암호화하는 것이 필요합니다. 다만, CT영상 등 의료행위 관련 바이오정보는 암호화 대상에서 제외됩니다. 환자 및 그 보호자를 대상으로 진료를 목적으로 녹음하는 것은 동의 없이도 가능하지만, 그렇지 않은 경우에는 동의를 받아 녹음하는 것이 필요합니다.

FAQ	직원들의 출입 시 사용하는 지문도 생체정보에 해당하는데 이를 암호화하여 저장해야 하나요?
개인정보보호법 시행령’ 제21조 및 제30조제1항제3호, ‘개인정보의 안전성 확보조지 기준’ 제7조에 따라 고유식별정보, 비밀번호, 바이오정보는 암호화 대상이 되는 정보로서 정보통신망을 통하여 송·수신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 합니다. 암호화를 하는 경우에는 안전한 암호알고리즘으로 암호화하여 저장하여야 합니다. “안전한 암호 알고리즘”이란 미국 NIST, 일본 CRYPTREC, 유럽 ECRYPT 등의 외국 및 국내외 암호 연구기관에서 권고하는 알고리즘을 말합니다. 다만, 고유식별정보, 바이오 정보는 원칙적으로 암호화해야 하지만, 시스템 운영이나 개인 식별을 위해 해당 개인정보를 활용하는 경우 암호화·복호화에 대한 부하가 발생할 수 있습니다. 이 경우, 주민등록번호 등과 매핑하여 임의의 서비스 번호를 부여해서 사용할 수 있으며 임의의 서비스번호와 매핑되는 주민등록번호는 암호화하여 저장․관리하여야 합니다.

바. 접속기록의 보관 및 위․변조 방지

개인정보취급자가 개인정보처리시스템에 접속한 기록은 최소 6개월 이상 위·변조 및 도난, 분실되지 않도록 안전하게 보관하여야 함

접속기록의 의의

접속기록은 개인정보의 입․출력 및 수정사항, 파일별․담당자별 데이터 접근내역 등을 자동으로 기록하는 로그 파일을 생성하여 불법적인 접근 또는 행동을 확인할 수 있는 중요한 자료이며, 접속기록의 백업은 개인정보 DB의 무결성을 유지하기 위한 중요한 요소임

< 접속기록 항목 (예시) >

필수 기록 항목	설명
ID	개인정보취급자 식별정보
날짜 및 시간	접속일시
접속자 IP주소	접속지 정보
수행업무	열람, 수정, 삭제, 인쇄, 입력 등

<접속기록(예시)>

개인정보처리시스템 접속기록을 최소 6개월 이상 보관․관리하여야 하지만, 개인정보취급자 1명(Root, Admin 등)이 개인정보처리시스템을 관리하는 경우, 전자적 로그를 남기지 않고, 접속기록을 수기로 작성하여 상급자의 승인을 받아도 가능함

개인정보처리시스템에 접속하는 방법은 의사, 간호사 등이 병원정보시스템 등 응용시스템을 통하여 접속하는 방법, DB관리자 등이 DB접속 툴을 이용하여 개인정보처리시스템에 접속하는 방법 등 다양한 방법이 존재하므로, 각 환경에 맞도록 접속기록을 남겨야 함

※ 응용시스템을 통하여 접속한 기록은 응용시스템에서 직접 로그를 남기는 방식이 일반적으로 적용됨

※ DB관리자나 운영자 등이 DB접속 툴을 이용하여 DB에 직접 접속한 기록은 별도의 DB접근제어 시스템을 적용하여 로그를 남기는 방식이 많이 이용됨

정기적으로 접속기록 백업을 수행하여 개인정보처리시스템 이외의 별도의 보조저장매체나 별도의 저장장치에 보관하여야 함

접속기록에 대한 위․변조를 방지하기 위해 DVD-ROM, WORM(Write Once Read Many) Disk 등과 같은 덮어쓰기 방지 매체를 사용하는 것이 바람직함

접속기록을 수정 가능한 매체(HDD 또는 테이프 등)에 백업하는 경우에는 무결성 보장을 위해 위․변조 여부를 확인할 수 있는 별도의 장비에 보관․관리하는 것이 바람직함

※ 접속기록을 HDD에 보관하고, 위․변조 여부를 확인할 수 있는 정보(HMAC 값 또는 전자서명값 등)는 별도의 HDD 또는 관리대장에 보관하는 방법으로 관리할 수 있음

사. 보안 프로그램의 설치 및 운영

보안프로그램 설치 및 운영 방법

백신 소프트웨어 등 보안프로그램을 반드시 설치·운영

자동 업데이트 기능을 사용하거나 일 1회 이상 업데이트 실시

- 보안프로그램은 실시간 감시 등을 위해 항상 실행된 상태 유지

- 일 1회 이상 주기적으로 업데이트

- 보안 프로그램에서 제공하는 자동 업데이트 기능 활용 권고

악성 프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트 실시

- 보안경보 발생 시 윈도우즈 등 운영체제 보안 업데이트 실시

- 보안경보 발생 시 플래시, HWP 등 해당 응용 프로그램 보안 업데이트 실시

의료기관은 악성 프로그램 등을 방지․치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치․운영할 것

※ 자동 보안 업데이트 설정하는 방법은 보호나라 웹사이트 (http://www.boho.or.kr) 참조

아. 개인정보의 안전한 보관을 위한 보관시설 등

의료기관은 원무실, 전산실, 의무기록실 및 그 밖의 문서보관실 등 개인정보를 보관하는 장소에 대한 출입통제 계획을 마련하고 시행하여야 함

개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 함

개인정보 보관을 위한 물리적 보관장소에 대한 출입통제절차를 수립․운영할 것

물리적 접근통제장치를 설치․운영하고, 출입내역을 기록할 것

물리적 접근통제 장치(예시)

비밀번호 기반 출입통제 장치, 스마트카드 기반 출입 통제장치, 지문 등 바이오정보 기반 출입통제 장치 등

보안 사고 예방 및 사고 발생 시 증적을 확보할 수 있도록 개인정보 보관시설에는 CCTV 설치 권고

보조저장매체의 보관

디스켓(FD), 이동형 하드디스크(HDD), USB메모리, Flash메모리, CD(Compact Disk), DVD(Digital Versatile Disk) 등의 보조저장매체는 금고 또는 잠금장치가 있는 캐비넷 등에 안전하게 보관하여야 함

자. 전자의무기록의 안전한 관리․보존

의료인이나 의료기관의 개설자가 전자의무기록을 안전하게 관리․보존하기 위하여 다음의 장비를 갖추어야 함

전자의무기록의 안전한 관리․보존을 위한 장비 구비 의무

전자의무기록의 생성과 전자서명을 검증할 수 있는 장비

전자서명이 있은 후 전자의무기록의 변경 여부를 확인할 수 있는 장비

네트워크에 연결되지 아니한 백업저장시스템

차. 개인정보 표시 제한 보호조치 적용(권고 사항)

개인정보의 조회, 출력, 다운로드 시 업무상 불필요한 개인정보의 노출을 최소화할 수 있도록 개인정보의 일부분을 마스킹하여 표시제한 조치를 취하는 것이 바람직함

이 경우, 상이한 마스킹 적용에 따른 완전한 개인정보 조합 가능성을 차단하기 위하여 의료기관별로 마스킹 적용규칙을 수립하여 일관성을 유지하는 것이 필요함

< 개인정보 표시제한 보호조치가 적용된 개인정보 조회 화면(예시) >

성명	홍*동	생년월일	****년 *월 *일
전화번호	02-***-1234	핸드폰	010-****-1234
주소	서울 종로구 ***동 12-3	접속지 IP	123.123.***.123

FAQ	개인정보의 안전성을 확보하기 위하여 의료기록 서류를 별도의 보관시설이나 잠금장치의 설치 등과 같은 물리적 조치를 하여야 하나요?
개인정보보호법 제29조, 같은 법 시행령 제30조제1항제6호에 따라 개인정보의 안전한 보관을 위하여 보관시설을 마련하거나 잠금장치를 설치하여야 합니다. 업무시간 중에 수시로 사용하는 진료기록은 잠금장치를 해제한 채 이용할 수 있지만, 업무시간이 종료된 이후에는 물리적 보호조치를 하여야 합니다.

9. 개인정보의 파기

의료기관은 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 하고, 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

의료기관은 보존기간이 경과하거나 수집·목적을 달성한 진료기록 등 의료정보에 대해서는 지체 없이 파기하는 것이 바람직함

개인정보 보호책임자는 파기 계획수립, 시행 등을 관리하여야 하며, 그 사실을 기록하고 관리하여야 함

< 파기사유 및 파기 기한 >

파기사유	파기 기한
개인정보의 보유기간이 경과된 경우	정당한 사유가 없는 한 개인정보의 처리가 불필요한 것으로 인정되는 날로부터 5일 이내 다만, 의료기관 폐업 또는 휴업의 경우 진료기록은 관할 보건소장에게 넘겨야 함
개인정보의 처리목적의 달성
해당 의료 서비스의 폐지
의료기관의 폐업

민간 의료기관 개설자가 폐업 또는 휴업 신고를 할 때에는 기록·보존하고 있는 진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록을 관할 보건소장에게 넘겨야 함

다만, 진료기록부 등의 보관계획서를 제출하여 관할 보건소장의 허가를 받은 경우에는 직접 보관할 수 있음

공공 의료기관이 폐업한 경우 그 사무를 승계하는 기관이 없을 때에는 폐업하는 의료기관의 장은 지체 없이 그 기관의 기록물을 소관 영구기록물관리기관으로 이관하여야 함

정보주체가 의료기관의 인터넷 홈페이지 회원에서 탈퇴하는 경우에는 더 이상 해당 정보주체의 개인정보를 보유할 이유가 없으므로 의료기관은 탈퇴한 날부터 5일 이내에 파기하여야 함

의료기관의 개인정보 가운데 진료기록의 보존기간과 보존방법은 다음과 같음

< 진료기록의 보존기간 >

종 류	보존기간
환자명부	5년
진료기록부	10년
처방전	2년
수술기록	10년
검사소견기록	5년
방사선사진 및 그 소견서	5년
간호기록부	5년
조산기록부	5년
진단서 등의 부본	3년

진료기록의 보존방법

진료기록은 마이크로필름이나 광디스크 등에 원본대로 수록하여 보존할 수 있음

위와 같은 방법으로 진료기록을 보존하는 경우에는 필름촬영책임자가 필름의 표지에 촬영 일시와 본인의 성명을 적고, 서명 또는 날인하여야 함

개인정보를 파기할 때에는 개인정보가 복구 또는 재생되지 않도록 조치하여야 함

파기방법

전자적 파일 형태인 경우 : 복원이 불가능한 방법으로 영구 삭제

※“복원이 불가능한 방법”이란 사회통념상 현재의 기술수준에서 적절한 비용이 소요되는 방법을 말함

※ 컴퓨터 등의 불용처분 또는 매각은 저장 내용을 완전하게 로우 레벨 포맷(Low Level Format)을 한 후 실시

전자적 파일 이외의 기록물, 인쇄물, 서면, 그 밖의 기록매체 : 파쇄 또는 소각

※ 기록물, 인쇄물, 서면을 원형으로 매각할 경우 제지공장 용해작업을 현장 확인할 것

환자의 진료정보는 법정 보존기간이 경과하여 처리 목적을 달성한 경우에는 지체 없이 파기하는 것이 원칙이며 다만, 의료기관은 진료목적상 필요한 경우, 법정 보존기간이 경과한 진료정보에 대하여 매년 1회 이상 보존기간 연장여부를 결정할 수 있음

공공의료기관은 기록물관리 전문요원의 심사와 기록물평가심의회의 심의를 거쳐 평가심의서를 작성하고, 진료정보의 보존기간 연장여부를 결정할 수 있음

< 기록물평가심의회의 설치․구성 >

기록물평가심의회는 공공의료기관의 장이 소관 기록물 평가 및 파기를 위하여 구성함

기록물평가심의회는 기록물의 보존가치 평가에 적합하다고 인정되는 5명 이내의 민간 전문가 및 소속공무원으로 구성하되, 2명 이상의 민간 전문가를 포함하여야 함

“기록물”이란 공공기관이 업무와 관련하여 생산하거나 접수한 문서·도서·대장·카드·도면·시청각물·전자문서 등 모든 형태의 기록정보 자료와 행정박물(行政博物)을 말함

※ 공공기록물 관리에 관한 법률 제27조, 제27조의2, 같은 법 시행령 제43조, 같은 법 시행규칙 제35조

민간의료기관의 경우에도 공공의료기관에 준하는 절차로 예를 들어, 의무기록심의회와 같은 내부 심의를 거쳐, 진료정보의 보존기간 연장여부를 결정할 수 있음. 다만, 소규모 의료기관이 의무기록심의회 등의 구성이 곤란한 경우에는 진료정보의 보존기간 연장에 관한 내부 결재를 득하여야 함

의료기관이 진료정보의 보존기간 연장여부를 결정할 때에는,

전체 진료정보가 아닌 개별 진료정보(진료기록부, 처방전, 수술기록, 검사소견기록 등)별로 연장기간, 연장사유 등을 심의하여야 함

연장기간은 진료정보가 과도한 기간 동안 보존되지 않도록 연장사유에 부합된 최소한의 기간 동안 연장하여야 함

연장하여 보존하기로 결정한 경우, 연장 보존에 관한 사항을 개인정보 처리방침의 공개처럼 의료기관의 인터넷 홈페이지 또는 의료기관 내의 보기 쉬운 장소에 게시하는 것을 권고함

의료기관의 진료정보를 포함한 기록물 파기는 제3자에 위탁하여 시행할 수 있는데, 개인정보 처리 업무위탁의 방법에 따라 처리하여야 함

다만, 5명 미만의 상시근로자가 있는 의료기관이 개인정보의 파기를 독립적으로 수행하기 어려운 때에는 협회의 중앙회 또는 지부에서 공동으로 파기할 수 있음

공공의료기관은 기록물의 파기가 종료될 때까지 관계 공무원 또는 직원이 참석하여 감독하는 등 기록물이 유출되지 아니하도록 필요한 조치를 하여야 함 (공공기록물 관리에 관한 법률 제27조제3항)

공공 및 민간의료기관에서 진료기록 등 환자 등의 개인정보를 수집·이용·보관시 안전성 확보 조치를 한층 강화하여 시행하여야 함

다른 법령에 따라 보존해야 하는 경우에는 법령에 따라 해당 개인정보 또는 개인정보파일을 보존한다는 점을 분명히 표시한 후 보존하여야 함

해당 개인정보 또는 개인정보파일은 다른 개인정보 또는 개인정보파일과 분리하여 보존하여야 함

10. 개인정보 처리방침의 수립 및 공개

의료기관은 다음의 사항이 포함된 개인정보 처리방침을 수립하고 홈페이지 등을 통하여 공개하여야 함

다만, 공공의료기관은 행정자치부에 등록하여야 하는 개인정보파일에 대하여 개인정보 처리방침을 수립하고 홈페이지 등을 통해 공개하여야 함

< 개인정보 처리방침의 기재사항 >

< 필수적 기재사항 >

① 개인정보의 처리 목적

② 개인정보의 처리 및 보유 기간

③ 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)

④ 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)

⑤ 정보주체의 권리·의무 및 그 행사방법에 관한 사항

⑥ 처리하는 개인정보의 항목

⑦ 개인정보의 파기에 관한 사항

⑧ 개인정보 보호책임자에 관한 사항

⑨ 개인정보 처리방침의 변경에 관한 사항

⑩ 개인정보의 안전성 확보조치에 관한 사항

< 선택적 기재사항 >

① 정보주체의 권익침해에 대한 구제방법

② 개인정보의 열람청구를 접수․처리하는 부서

< 개인정보 처리방침 기재 시 주의사항 >

개인정보 처리방침의 필수적 기재사항 가운데 ①－⑦, ⑩은 명시적으로 구분하되, 알기 쉬운 용어로 구체적이고 명확하게 표현할 것

개인정보의 처리 목적에 필요한 최소한의 개인정보라는 점을 밝힐 것

개인정보처리자가 목적에 필요한 최소한의 개인정보 이외에 개인별 맞춤서비스 등을 위하여 처리하는 개인정보의 항목이 있는 경우에는 양자를 구별하여 표시할 것

인터넷 홈페이지를 운영하지 않거나 인터넷 홈페이지 관리상의 하자가 있는 경우에는 다음의 방법 가운데 하나 이상의 방법으로 공개하여야 함 이 경우에도 ‘개인정보 처리방침’이라는 명칭을 사용하되, 글자크기, 색상 등을 활용하여 다른 고지사항과 구분함으로써, 정보주체가 쉽게 확인 할 수 있도록 하여야 함

< 인터넷 홈페이지 이외의 개인정보 처리방침 공개방법 >

개인정보처리자의 사업장등의 보기 쉬운 장소에 게시하는 방법

관보(개인정보처리자가 공공기관인 경우만 해당한다)나 개인정보처리자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목·다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷신문에 싣는 방법

같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법

재화나 용역을 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법

개인정보 처리방침을 변경하는 경우에는 변경 및 시행의 시기, 변경 내용을 인터넷 홈페이지 등을 통하여 지속적으로 공개하여야 하고, 변경내용을 정보주체가 쉽게 확인할 수 있도록 변경 전․후를 비교하여 공개하여야 함

11. 개인정보 보호책임자 지정

개인정보의 처리에 관한 업무 총괄 및 다음의 업무 수행을 위해 개인정보 보호책임자를 지정하여야 함

< 개인정보 보호책임자의 업무 >

개인정보 보호 계획의 수립 및 시행

개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

개인정보 처리와 관련한 불만의 처리 및 피해 구제

개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축

개인정보 보호 교육 계획의 수립 및 시행

개인정보파일의 보호 및 관리·감독

개인정보 처리방침 수립·변경 및 시행

개인정보 보호 관련 자료의 관리

처리목적이 달성되거나 보유기간이 경과한 개인정보 파기

개인정보침해 관련 민원의 접수․처리

개인정보취급자가 등록 또는 변경등록 신청한 개인정보파일의 등록 또는 변경등록 사항의 적정성에 대한 판단 및 행정자치부 등록

그 밖에 개인정보 보호를 위하여 필요한 업무

< 개인정보 보호책임자의 자격 및 권한 >

자격　： 의료기관의 대표자 또는 개인정보 처리 관련 업무를 담당하는 부서의 장 또는 개인정보 보호에 관한 소양이 있는 사람

“개인정보 보호에 관한 소양이 있는 사람”이란 관련 개인정보 처리 업무경험이 있는 자로서 개인정보 보호를 위한 관리적․기술적․물리적 보호조치를 할 수 있는 자를 말함

권한  : 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있음

개인정보 보호책임자는 업무를 수행함에 있어서 정당한 이유 없이 불이익을 받지 아니함

개인정보 보호책임자를 지정․변경한 경우에는 개인정보 보호책임자의 지정 및 변경사실, 성명과 부서의 명칭, 전화번호 등 연락처를 개인정보 처리방침 등에 공개하여야 함

개인정보 보호책임자를 공개하는 경우 개인정보 보호와 관련한 고충처리 및 상담을 실제로 처리할 수 있는 연락처를 공개하여야 하며, 이 경우 개인정보 보호 업무 담당자의 성명, 부서의 명칭, 전화번호 등 연락처를 함께 공개할 수 있음

12. 정보주체의 권익보호

의료기관은 환자 등의 요구가 있으면 환자 등의 정보를 열람․정정․삭제하여야 하고, 환자 등의 개인정보가 유출된 경우 환자 등에게 그 사실을 알려야 한다.

가. 환자 등 정보주체 이외로부터 수집한 개인정보에 대한 고지

환자 등 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정당한 사유가 없는 한 환자 등 정보주체의 요구가 있은 날로부터 3일 이내에 다음의 사항을 알려야 함

< 고지사항 >

개인정보의 수집 출처 및 개인정보의 처리 목적

개인정보의 처리정지를 요구할 권리가 있다는 사실

<고지의 예외>

다만, ① 고지를 요구하는 대상이 되는 개인정보가 행정자치부 등록대상이 되는 개인정보파일에 포함되어 있거나 ② 고지로 인하여 다른 사람의 생명․신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우 가운데 어느 하나에 해당하는 경우에는 정보주체의 권리보다 명백히 우선하는 경우에 한하여 고지하지 않을 수 있음

환자 등 정보주체의 요구를 거부하는 경우에는 정당한 사유가 없는 한 그 요구가 있은 날로부터 3일 이내에 그 거부의 사유를 정보주체에게 알려야 함

나. 개인정보 열람 요구

정보주체가 개인정보에 대한 열람을 요구할 경우 의료기관은 「개인정보보호법」에 따라 열람 요구를 받은 날부터 10일 이내에 조치하여야 함

다만, 환자의 기록에 대해서는 「의료법」제21조(열람요구 등)에 따라 열람요구를 처리해야 함

10일 이내에 열람할 수 없는 정당한 사유가 있으면 그 사유를 알리고 열람을 연기할 수 있으며, 사유가 소멸하면 소멸한 날로부터 10일 이내에 열람하도록 하여야 함

의료기관이 열람 제한․거절사유에 해당하는 경우에는 열람을 요구하는 환자 등 정보주체에게 그 사유를 알리고 열람을 제한하거나 거절할 수 있음

열람 제한․거절 사유(개인정보보호법 제35조 제4항)

① 법률에 따라 열람이 금지되거나 제한되는 경우

② 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

③ 공공기관이 다음의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우

조세의 부과·징수 또는 환급에 관한 업무

학력·기능 및 채용에 관한 시험, 자격 심사에 관한 업무

보상금·급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무

다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무

의료인이나 직원 등 의료기관 근로자는 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 환자의 개인정보의 내용을 확인할 수 있게 하여서는 아니 됨

다만, 의료인이나 의료기관 종사자는 아래의 ‘열람 또는 사본의 교부 등 허용사유’에 해당하는 경우 기록을 열람하게 하거나 그 사본을 교부하는 등 내용을 확인 할 수 있도록 함

열람 또는 사본의 교부 등 허용 사유

환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 환자 본인의 동의서와 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

환자가 지정하는 대리인이 환자 본인의 동의서와 대리권이 있음을 증명하는 서류를 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

환자가 사망하거나 의식이 없는 등 환자의 동의를 받을 수 없어 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

「국민건강보험법」 제14조, 제47조, 제48조 및 제63조에 따라 급여비용 심사·지급·대상여부 확인·사후관리 및 요양급여의 적정성 평가·가감지급 등을 위하여 국민건강보험공단 또는 건강보험심사평가원에 제공하는 경우

「의료급여법」 제5조, 제11조, 제11조의3 및 제33조에 따라 의료급여 수급권자 확인, 급여비용의 심사·지급, 사후관리 등 의료급여 업무를 위하여 보장기관(시·군·구), 국민건강보험공단, 건강보험심사평가원에 제공하는 경우

「형사소송법」 제106조(압수), 제215조(압수, 수색, 검증) 또는 제218조(영장에 의하지 아니한 압수)에 따른 경우

「민사소송법」 제347조(제출신청의 허가여부에 대한 재판)에 따라 문서제출을 명한 경우

「산업재해보상보험법」 제118조에 따라 근로복지공단이 보험급여를 받는 근로자를 진료한 산재보험 의료기관(의사를 포함한다)에 대하여 그 근로자의 진료에 관한 보고 또는 서류 등 제출을 요구하거나 조사하는 경우

「자동차손해배상 보장법」 제12조제2항 및 제14조에 따라 의료기관으로부터 자동차보험진료수가를 청구받은 보험회사등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우

「병역법」 제11조의2에 따라 지방병무청장이 징병검사와 관련하여 질병 또는 심신장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 징병검사대상자의 진료기록·치료 관련 기록의 제출을 요구한 경우

「학교안전사고 예방 및 보상에 관한 법률」 제42조에 따라 공제회가 공제급여의 지급 여부를 결정하기 위하여 필요하다고 인정하여 「국민건강보험법」 제42조에 따른 요양기관에 대하여 관계 진료기록의 열람 또는 필요한 자료의 제출을 요청하는 경우

「고엽제후유의증 환자지원 등에 관한 법률」 제7조제3항에 따라 의료기관의 장이 진료기록 및 임상소견서를 보훈병원장에게 보내는 경우

「의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률」 제28조제3항에 따른 경우

「국민연금법」 제123조에 따라 국민연금공단이 부양가족연금, 장애연금 및 유족연금 급여의 지급심사와 관련하여 가입자 또는 가입자였던 사람을 진료한 의료기관에 해당 진료에 관한 사항의 열람 또는 사본 교부를 요청하는 경우

위의 ‘열람 또는 사본의 교부 등 허용 사유’에 대해 의사가 환자의 진료를 위하여 불가피하다고 인정하는 경우에는 허용하지 않을 수 있음

환자가 본인에 관한 진료기록 등을 열람하거나 그 사본의 발급을 원하는 경우에는 본인임을 확인할 수 있는 신분증을 의료기관 개설자에게 제시하여야 함

‘열람 또는 사본의 교부 등 허용사유’ 가운데 ‘환자가 지정하는 대리인이 환자 본인의 동의서와 대리권이 있음을 증명하는 서류를 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우’에는 의료기관 개설자는 다음의 서류를 제출받은 후 해당 환자에 관한 기록의 열람 또는 사본의 교부 등을 하여야 함([붙임8]진료기록 열람 및 사본발급 동의서,[붙임9]진료기록 열람 및 사본발급 위임장 참조)

제출 받아야하는 서류

기록열람이나 사본발급을 요청하는 자의 신분증 사본

환자가 자필 서명한 「의료법 시행규칙」 별지 제9호의2서식의 동의서 및 별지 제9호의3서식의 위임장 이 경우 환자가 만 14세 미만의 미성년자인 경우에는 환자의 법정대리인이 작성하여야 하며, 가족관계증명서 등 법정대리인임을 확인할 수 있는 서류를 첨부하여야 한다.

환자의 신분증 사본 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 자는 제외한다.

의료기관이 환자 등 정보주체로부터 개인정보의 제3자 제공 현황의 열람청구를 받은 경우, 국가안보에 긴요한 사안으로 “다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무”를 수행하는데 지장을 초래할 때에는 제3자에게 열람청구의 허용 또는 제한, 거부와 관련한 의견을 조회하여 결정할 수 있음

FAQ	일부 환자가 본인에게 동의도 받지 않고 설명했다고 항의한 건이 있다고 하는데, 병원에서 보호자에게 환자에 대한 상태를 설명할 때에도 환자의 동의를 받고 설명해야 하나요?
환자의 개인정보는 환자 본인이 수집 및 이용 목적·항목, 제공받는 자 등을 직접 결정할 수 있는 ‘개인정보 자기결정권’이 있습니다. 그러므로 원칙적으로 환자 이외의 사람에게 환자의 건강상태 등 환자진료정보를 제공하여서는 안됩니다, 그렇지만, 의료법 21조의 열람 또는 사본의 교부 등 허용 사유 가운데 어느 하나에 해당하는 경우에는 환자에 관한 기록을 열람하거나 그 사본을 교부받는 등 내용을 확인할 수 있습니다.

FAQ	전화를 통해 환자 본인 또는 가족, 보험사 직원이라고 하면서 환자의 진료정보를 문의할 때 알려줘도 되나요? 또는 가족의 보험정산을 위하여 병원에 영수증, 처방내역 등을 팩스로 요청하는데 보내줘도 되나요?
의료인이나 의료기관 종사자는 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 하여서는 아니 됩니다. 다만, ① 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 환자 본인의 동의서와 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우, ② 환자가 지정하는 대리인이 환자 본인의 동의서와 대리권이 있음을 증명하는 서류를 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우, ③ 환자가 사망하거나 의식이 없는 등 환자의 동의를 받을 수 없어 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우 등 의료법 제21조제2항 각 호의 사유 가운데 어느 하나에 해당하는 때에는 환자의 진료기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확인할 수 있도록 할 수 있습니다. 이 경우에도 의료기관 개설자는 ① 기록 열람이나 사본 발급을 요청하는 자의 신분증 사본, ② 가족관계증명서, 주민등록표 등본 등 친족관계임을 확인할 수 있는 서류 등을 제출받아야 합니다(자세한 것은 의료법 시행규칙 제13조의2 참조).

다. 개인정보의 정정·삭제 요구

자신의 개인정보를 열람한 환자 등 정보주체가 해당 개인정보의 정정․삭제를 요구할 경우, 10일 이내에 조사․조치하고 그 결과를 해당 정보주체에게 통지하여야 함

다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없으므로, 해당 정보주체에게 그 사실 및 이유와 이의제기 방법을 알려야 함

진료기록부, 조산기록부, 간호기록부에 기재되어 있는 개인정보는 의료법 시행규칙에 근거하여 수집되고 있으므로 환자는 그 삭제를 요청할 수 없음

의료법에서 정한 보관기간이 경과한 진료기록에 대해서는 정정⦁삭제 요구 시 이에 응하여야 함

진료기록부 등의 진료정보 이외의 회원정보, 인사정보 등에 대해서는 환자 등 정보주체가 해당 개인정보의 정정·삭제를 요구할 경우 10일 이내에 조사․조치하고 그 결과를 통지하여야 함

의료인은 진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록을 고의로 사실과 다르게 정정하거나 삭제할 수 없음

라. 개인정보 처리정지 요구

환자 등 정보주체는 의료기관에 대하여 자신의 개인정보에 대한 처리정지를 요구할 수 있음

이 경우, 공공의료기관에 대해서는 행정자치부에 등록하여야 하는 개인정보파일 가운데 자신의 개인정보에 대한 처리의 정지를 요구할 수 있음

환자 등이 자신의 개인정보에 대한 처리정지를 요구할 경우 정당한 사유가 없는 한 그 요구를 받은 해당 의료기관은 요구를 받은 날로부터 10일 이내에 해당 개인정보의 파기 등 정보주체의 요구에 상응하는 조치 결과를 알려야 함

처리정지 거절 사유

① 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

② 다른 사람의 생명·신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

③ 공공기관이 개인정보를 처리하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우

④ 개인정보를 처리하지 아니하면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우

다만, 다음과 같은 경우에는 처리정지 요구를 거절할 수 있고, 이 경우 거절의 사유, 거절 사실 및 이유, 이의제기 방법을 요구를 받은 날부터 10일 이내에 알려야 함

마. 개인정보 유출 시 통지

개인정보의 유출이란?

□ “개인정보 유출”이란 법령이나 개인정보처리자의 자유로운 의사에 의하지 않고, 정보주체의 개인정보에 대하여 개인정보처리자가 통제를 상실하거나 또는 권한 없는 자의 접근을 허용하는 것을 말하고, 개인정보 유출은 다음의 경우 가운데 어느 하나에 해당하여야 함

① 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우

② 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우

③ 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 기타 저장매체가 권한이 없는 자에게 잘못 전달된 경우

④ 그 밖에 권한이 없는 자에게 개인정보가 전달되거나 개인정보처리시스템 등에 접근 가능하게 된 경우를 말함

환자 등의 개인정보가 유출된 경우에는 환자 등에게 다음의 사항을 실제 개인정보 유출사고가 발생한 것을 확인 한 때부터 5일 이내에 알려야 함

개인정보 유출시 통지사항

① 유출된 개인정보의 항목

② 유출된 시점과 그 경위

③ 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

④ 개인정보처리자의 대응조치 및 피해 구제절차

⑤ 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

통지방법

서면

전자우편

모사전송

전화

휴대전화 문자전송 또는 이와 유사한 방법

다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검․보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다.

1만명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 정보주체에게 통지 및 조치결과를 5일 이내에 행정자치부장관 또는 전문기관(한국정보화진흥원, 한국인터넷진흥원) 중 어느 하나에 신고하여야 함

개인정보 유출시 정보주체에 대한 통지 및 통지사항을 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 7일 이상 게재하여야 함

인터넷 홈페이지를 운영하지 않는 경우 게재 방법

인터넷 홈페이지를 운영하지 않는 경우에는 사업장·영업소·사무소·점포 등의 보기 쉬운 장소에 유출 시 통지사항을 7일 이상 게시하여야 함

13. 피해 구제방법

개인정보보호법은 다음과 같은 피해 구제방법을 규정하고 있음

개인정보 처리 관련 모든 당사자 사이의 분쟁을 조정하는 ‘개인정보 분쟁조정’

정보주체의 피해 또는 권리침해가 다수의 정보주체에게 같거나 비슷한 유형으로 발생하고 다음의 요건을 갖춘 경우에 이루어지는 ‘개인정보 집단분쟁조정’

< 집단분쟁조정 신청요건 >

피해 또는 권리침해를 입은 정보주체의 수가 다음 각 목의 정보주체를 제외하고 50명 이상일 것

가. 개인정보처리자와 분쟁해결이나 피해보상에 관한 합의가 이루어진 정보주체

나. 같은 사안으로 다른 법령에 따라 설치된 분쟁조정기구에서 분쟁조정 절차가 진행 중인 정보주체

다. 해당 개인정보 침해로 인한 피해에 대하여 법원에 소(訴)를 제기한 정보주체

사건의 중요한 쟁점이 사실상 또는 법률상 공통될 것

개인정보처리자가 집단분쟁조정을 거부하거나 집단분쟁조정의 결과를 수락하지 아니한 경우에 하는 ‘개인정보 단체소송’

개인정보를 처리할 때 개인정보에 관한 권리 또는 이익을 침해받은 사람이 행정자치부장관 또는 개인정보침해 신고센터에게 그 침해 사실을 신고하는 ‘침해사실 신고’

< 개인정보침해사실 신고․처리절차 >

구분	주체	절차
신고	신고인	행정자치부장관에게 신고
	행정자치부장관	신고접수 해당 기관장에게 접수사실 통보
사실 확인	행정자치부장관	사실확인 위해 관련 기관장에게 협조 요청 신고인 등은 의견 제출 가능
		해당 기관장에게 확인결과 통보
처리	해당 기관장	관련자 징계․고발, 안전성확보조치 등 처리
		처리결과를 행정자치부장관에게 통보
처리결과 통지	행정자치부장관	통보받은 처리결과를 신고인에게 통지

<집단분쟁조정 및 단체소송>

구분	집단분쟁조정(법 제49조)	단체소송(법 제51~57조(제7장))
주체	o 국가 및 지방자치단체, 개인정보 보호단체 및 기관, 정보주체, 개인정보처리자	o 법정요건을 갖춘 소비자단체 및 비영리민간단체
청구 범위	o 정보주체의 피해 또는 권리침해가 다수의 정보주체에게 같거나 비슷한 유형으로 발생하는 경우 분쟁조정위원회에 일괄적인 분쟁조정 신청	o 집단분쟁조정을 거부하거나 집단분쟁조정의 결과를 수락하지 아니한 경우에는 법원에 권리침해행위 금지·중지 청구 ※ 손해배상은 별도의 민사소송 제기 필요
허가 요건	o 피해 또는 권리침해를 입은 정보주체의 수가 50인 이상일 것 ※ 소송 제기, 피해보상 합의 등 제외 o 법률상 또는 사실상 중요쟁점이 모든 구성원에게 공통될 것	o 개인정보처리자가 분쟁조정위원회의 조정을 거부하거나 조정결과를 수락하지 아니하였을 것 o 소송허가신청서의 기재에 흠결이 없을 것
효력 범위	o 판결의 효력은 집단분쟁조정의 당사자에게 미침 - 그러나 분쟁조정위원회는 분쟁조정의 당사자 아닌 자로서 피해를 입은 정보주체에 대하여 보상할 수 있도록 권고 가능 ※ 법 제49조(집단분쟁조정)⑤ 분쟁조정위원회는 개인정보처리자가 분쟁조정위원회의 집단분쟁조정의 내용을 수락한 경우에는 집단분쟁조정의 당사자가 아닌 자로서 피해를 입은 정보주체에 대한 보상계획서를 작성하여 분쟁조정위원회에 제출하도록 권고할 수 있다.	o ｢소비자기본법｣에는 기각판결에 대해 확정판결의 효력이 있음을 규정하고 있으나, 인용판결의 효력에 대해서는 명시적 규정 없음 o 원칙적으로 단체소송의 효력은 단체 회원, 단체에 개별적으로 피해구제를 위임한 자, 단체 자신으로 제한됨

【참고】 처리단계별 준수사항 및 위반 시 벌칙사항

구분	주요 내용	처벌 및 벌칙
수 집 ㆍ 이 용	민감정보(사상ㆍ신념ㆍ정당가입ㆍ건강 등) 처리기준 위반(제23조)	5년 이하 징역 또는 5천만원 이하 벌금
	고유식별정보(주민등록ㆍ여권ㆍ운전면허 번호 등) 처리기준 위반(제24조)
	부당한 수단이나 방법에 의해 개인정보를 취득하거나 개인정보처리에 관한 동의를 얻는 행위를 한 자(제59조)	3년 이하 징역 또는 3천만원 이하 벌금
	개인정보의 수집기준 위반(제15조)	5천만원 이하 과태료
	만14세 미만 아동의 개인정보 수집시 법정대리인 동의획득의무 위반(제22조)
	탈의실ㆍ목욕실 등 영상정보처리기기 설치 금지 위반(제25조)
	최소한의 개인정보외 정보에 대한 미동의를 이유로 재화 또는 서비스 제공 거부(제16조, 제22조)	3천만원 이하 과태료
	주민등록번호 대체가입수단 미제공(제24조)
	동의 획득 방법 위반(제22조)	1천만원 이하 과태료
제 공 ㆍ 위 탁	정보주체의 동의 없는 개인정보 제3자 제공(17조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보의 목적 외 이용ㆍ제공(제18조, 제19조, 제26조)
	개인정보 주체에게 알려야 할 사항을 알리지 아니한 자(제15조, 제17조, 제18조, 제26조)	3천만원 이하 과태료
	업무위탁 시 문서로 위탁 의무 위반(제26조)	1천만원 이하 과태료
개인정보안전관리	개인정보의 누설 또는 권한 없이 타인 이용에 제공(제59조)	5년 이하 징역 또는 5천만원 이하 벌금
	개인정보의 훼손, 멸실, 변경, 위조, 유출(제59조)
	영상정보처리기기 설치목적과 다른 목적으로 임의 조작하거나 다른곳을 비추는 자 또는 녹음기능을 사용한 자(제25조)	3년 이하 징역 또는 3천만원 이하 벌금
	직무상 알게 된 비밀을 누설하거나 직무상 목적 외 사용한 자(제60조)
	안전성 확보에 필요한 보호조치를 취하지 않아 개인정보를 도난ㆍ유출ㆍ변조 또는 훼손당하거나 분실한 자(제24조, 제25조, 제29조)	2년 이하 징역 또는 1천만원 이하 벌금
	안전성 확보에 필요한 조치의무 불이행(제24조, 제25조, 제29조)	3천만원 이하 과태료
	영상정보처리기기 설치ㆍ운영기준 위반(제25조)
	개인정보를 분리해서 저장ㆍ관리하지 아니한 자(제21조)	1천만원 이하 과태료
	개인정보 처리방침 미공개(제30조)
	개인정보 보호책임자 미지정(제31조)
	영상정보처리기기 안내판 설치 등 필요조치 불이행(제25조)
정보주체권익보호	개인정보의 정정ㆍ삭제요청에 대해 필요한 조치를 취하지 않고, 개인정보를 계속 이용하거나 제3자에게 제공한 자(제36조)	2년 이하 징역 또는 1천만원 이하 벌금
	개인정보의 처리정지 요구에 따라 처리를 중단하지 않고 계속 이용하거나 제3자에게 제공한 자(제37조)
	개인정보 유출사실 미통지(제34조)	3천만원 이하 과태료
	정보주체의 열람 요구에 대한 부당한 제한ㆍ거절(제35조)
	정보주체의 정정ㆍ삭제요구에 따라 필요 조치를 취하지 아니한 자(제36조)
	처리정지된 개인정보에 대해 파기 등의 조치를 하지 않은 자(제37조)
	시정명령 불이행(제64조)
	정보주체의 열람, 정정ㆍ삭제, 처리정보 요구 거부 시 통지의무 불이행(제35조, 제36조, 제37조)	1천만원 이하 과태료
	관계물품ㆍ서류 등의 미제출 또는 허위제출(제63조)
	출입ㆍ검사를 거부ㆍ방해 또는 기피한 자(제63조)
파기	개인정보 미파기(제21조)	3천만원 이하 과태료

참고1		표준서식

[붙임1] 개인정보 수집・이용 동의서(예시)

[붙임2] 개인정보 제3자 제공 동의서(예시)

[붙임3] 표준근로계약서(예시)

[붙임4] 개인정보 처리 위탁 계약서(예시)

[붙임5] 영상정보처리기기 설치 안내판(예시)

[붙임6] 개인정보파일 (등록¸ 변경등록) 신청서

[붙임7] 개인정보 내부관리 계획 가이드

[붙임8] 진료기록 열람 및 사본발급 동의서

[붙임9] 기록 열람 및 사본발급 위임장

[붙임10] 민감정보 처리 동의서(예시)

[붙임1] 개인정보 수집・이용 동의서(예시)

[의료기관명] 개인정보 수집․이용 동의서(예시)

[의료기관명]은(는) 개인정보보호법 등 관련 법령상의 개인정보 보호 규정을 준수하며 [정보주체](예: 환자)의 개인정보 보호에 최선을 다하고 있습니다.   [의료기관명] 은(는)  개인정보보호법 제15조 및 같은 법 제22조에 근거하여, 다음과 같이 [수집․이용 목적 (예: 홈페이지 회원관리)]을(를) 위하여 개인정보를 수집․이용하는데 동의를 받고자 합니다.

1. 개인정보의 수집․이용 목적 : [예 : 홈페이지, 회원관리]

- 의료기관홈페이지 : www.○○○○.co.kr

2. 수집하는 개인정보의 항목 : [예 : ‣ 필수정보-ID, 비밀번호, 성명 ‣선택(부수)정보- 생년월일, 전화번호, 이메일주소, 관심정보 등]

* 필요한 최소한의 항목으로 작성

3. 개인정보의 보유 및 이용 기간 : [예 : 수집일(‘00.00.00.)로부터 3개월]

* 필요한 최소한의 기간으로 작성

4. 동의거부권 및 동의 거부에 따른 불이익 안내

: 본인은 위와 같이 개인정보를 수집․이용하는 데 대한 동의를 거부할 권리가 있습니다. 그러나 동의를 거부할 경우   [의료기관명] 에서 제공하는 [재화 또는 서비스의 명칭]을(를) 받을 수 없음을 참고하시기 바랍니다.

* 동의 거부에 따른 불이익이 없을 경우, 작성 하지 않아도 됨.

개인정보의 수집 및 이용에 동의하십니까?    □ 동의함    □ 동의하지 않음

그 밖에 개인정보 취급에 관한 자세한 사항은 홈페이지(http://www.○○○.○○.kr)에 공개하고 있는 “개인정보 처리방침”을 참고하시기 바랍니다.

년     월     일    성명 :        (인 또는 서명)

[의료기관명]  귀중

[붙임2] 개인정보 제3자 제공 동의서(예시)

[의료기관명] 개인정보 제3자 제공 동의서

[의료기관명]은(는) 개인정보보호법 등 관련 법령상의 개인정보 보호 규정을 준수하며 이용자의 개인정보 보호에 최선을 다하고 있습니다. [의료기관명]은(는)  개인정보보호법 제17조제1항제1호에 근거하여, 다음과 같이 [제공 목적 ]을(를) 위하여 개인정보를 제3자에게 제공하는데 동의를 받고자 합니다.

1. 개인정보를 제공받는 자 : [자연인은 성명, 법인 또는 단체는 그 명칭]

2. 개인정보를 제공받는 자의 개인정보 이용 목적 : (예: 처방 시 고려사항)

3. 제공하는 개인정보의 항목 :

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용기간 : [예 : 수집일(‘00.00.00.)로부터 3개월]

5. 동의거부권 및 동의 거부에 따른 불이익 안내

: [환자 성명]은(는) 위와 같이 개인정보를 제공하는 데 대한 동의를 거부할 권리가 있습니다. 그러나 동의를 거부할 경우  [제공받는 기관]에서 제공하는 [재화 또는 서비스의 명칭]을(를) 받을 수 없음을 참고하시기 바랍니다.     * 동의 거부에 따른 불이익이 없을 경우, 작성 하지 않아도 됨.

개인정보의 제3자 제공에 동의하십니까?    □ 동의함    □ 동의하지 않음

그 밖에 개인정보 취급에 관한 자세한 사항은 홈페이지(http://www.○○○.○○.kr)에 공개하고 있는 “개인정보 처리방침”을 참고하시기 바랍니다.

년     월     일    성명 :        (인 또는 서명)

[의료기관명] 귀중

[붙임3] 표준근로계약서(예시)

표준근로계약서

(이하 “갑”이라 함)과(와)            (이하 “을”이라 함)은 다음과 같이 근로계약을 체결한다.

1. 근로계약기간 :      년   월   일부터      년   월   일까지

※ 근로계약기간을 정하지 않는 경우에는 “근로개시일”만 기재

2. 근 무 장 소 :

3. 업무의 내용 :

4. 소정근로시간 :    시   분부터    시   분까지 (휴게시간 :  시  분~  시   분)

5. 근무일/휴일 : 매주   일(또는 매일단위)근무, 주휴일 매주   요일

6. 임  금

- 월(일, 시간)급 :                    원

- 상여금 : 있음 (    )                           원,  없음 (     )

- 기타급여(제수당 등) : 있음 (    ),   없음 (    )

·                          원,                                 원

- 임금지급일 : 매월(매주 또는 매일)       일(휴일의 경우는 전일 지급)

- 지급방법 : 을에게 직접지급(    ),  예금통장에 입금(    )

7. 연차유급휴가

- 연차유급휴가는 근로기준법에서 정하는 바에 따라 부여함

8. 근로계약서 교부

- “갑”은 근로계약을 체결함과 동시에 본 계약서를 사본하여 “을”의 교부요구와 관계없이 “을”에게 교부함(근로기준법 제17조 이행)

9. 기  타

- 이 계약에 정함이 없는 사항은 근로기준법령에 의함

년      월      일

(갑) 병 원 명 :                   (전화 :                )

주    소 :

이 사 장 :                   (서명)

(을) 주    소 :

연 락 처 :

성    명 :                   (서명)

[붙임4] 개인정보 처리 위탁 계약서(예시)

본 표준 개인정보처리위탁 계약서는 「개인정보보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

OOO(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정자치부 예규 제25호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (          ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 환자의 만족도 조사 업무, 주소, 연락처 처리 등

1.

2.

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정자치부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체 없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(행정자치부 고시 제2014-7호) 에 따라 개인정보처리자 및 취급자는 1년에 1회 이상 개인정보 보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)	을 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)

[붙임5] 영상정보처리기기 설치 안내판(예시)

○○ 병원은

범죄예방과 시설안전을 위해

영상정보처리기기를 운영하고 있습니다.

◎ 설치장소 및 대수 : 출입구 X대, 복도 X대

◎ 촬영범위 : 건물내부 출입구 근처 및 복도

◎ 촬영시간 : 24시간

◎ 관리책임자 : OO병원 OO처장 OOO

(전화 XX-XXX-XXXX)

[붙임6] 개인정보파일 (등록¸ 변경등록) 신청서

개인정보파일 (［ ］등록 ［ ］변경등록) 신청서
※‘변경정보 및 변경사유’란은 변경등록시에만 작성합니다.
접수번호			접수일							처리기간		7일
공공기관 명칭		주소						등록부서			전화번호
등록항목				등록정보					변경정보 및 변경사유
개인정보파일 명칭
개인정보파일의 운영 근거 및 목적
개인정보파일에 기록되는 개인정보의 항목
개인정보의 처리방법
개인정보의 보유기간
개인정보를 통상적 또는 반복적으로 제공하는 경우 그 제공받는 자
개인정보파일을 운용하는 공공기관의 명칭
개인정보파일로 보유하고 있는 개인정보의 정보주체 수
해당 공공기관에서 개인정보 처리 관련 업무를 담당하는 부서
개인정보의 열람 요구를 접수· 처리하는 부서
개인정보파일에서 열람을 제한하거나 거절할 수 있는 개인정보의 범위 및 그 사유
「개인정보 보호법」 제32조제1항과 같은 법 시행령 제34조제1항에 따라 위와 같이 개인정보파일 (［ ］등록 ［ ］변경등록)을 신청합니다.
년 월 일
신청기관						(서명 또는 인)
행정자치부장관				귀하
210mm×297mm[일반용지 70g/㎡(재활용품)]

[붙임7] 개인정보 내부관리 계획 가이드

개인정보 내부관리 계획 가이드

- 내부관리 계획은 일반적으로 아래와 같은 내용을 포함하여야 한다.

목 차

제1장 총칙

제1조(목적)

제2조(적용범위)

제3조(용어 정의)

제2장 내부관리계획의 수립 및 시행

제4조(내부관리계획의 수립 및 승인)

제5조(내부관리계획의 공표)

제3장 개인정보 보호책임자의 의무와 책임

제6조(개인정보 보호책임자의 지정)

제7조(개인정보 보호책임자의 의무와 책임)

제8조(개인정보취급자의 범위 및 의무와 책임)

제4장 개인정보의 기술적·관리적 안전조치

제9조(개인정보취급자 접근 권한 관리 및 인증)

제10조(비밀번호 관리)

제11조(접근통제)

제12조(개인정보의 암호화)

제13조(접근기록의 위‧변조 방지)

제14조(보안프로그램의 설치 및 운영)

제15조(물리적 접근제한)

제5장 개인정보 보호 교육

제16조(개인정보 보호 교육 계획의 수립)

제17조(개인정보 보호 교육의 실시)

제6장 개인정보 침해대응 및 피해구제

제18조(권익침해 구제방법)

제1장 총칙

제1조(목적)

개인정보 보호 내부관리계획은 개인정보보호법 제29조(안전조치의무) 내부관리계획의 수립 및 시행 의무에 따라 제정된 것으로 OOO 가(이) 취급하는 개인정보를 체계적으로 관리하여 개인정보가 분실, 도난, 누출, 변조, 훼손, 오․남용 등이 되지 아니하도록 함을 목적으로 한다.

제2조(적용범위)

본 계획은 홈페이지 등의 온라인을 통하여 수집, 이용, 제공 또는 관리되는 개인정보뿐만 아니라 오프라인(서면, 전화, 팩스 등)을 통해 수집, 이용, 제공 또는 관리되는 개인정보에 대해서도 적용되며, 이러한 개인정보를 취급하는 내부 임직원 및 외부업체 직원에 대해 적용된다.

제3조(용어 정의)

1. “개인정보”라 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

2. “처리”란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

3. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

4. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

5. “개인정보 보호책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 법 제31조에 따른 지위에 해당하는 자를 말한다.

6. “개인정보 보호담당자”란 개인정보책임자가 업무를 수행함에 있어 보조적인 역할을 하는 자를 말하며 개인정보 보호 책임자가 일정 요건의 자격을 갖춘 이를 지정한다.

7. “개인정보취급자”란 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 자를 말한다.

8. “개인정보처리시스템”이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다.

9. “영상정보처리기기”란 폐쇄회로텔레비전(CCTV), 네트워크카메라 등 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유․무선망을 통하여 전송하는 일체의 장치를 말한다.

10. “개인영상정보”라 함은 영상정보처리기기에 의하여 촬영․처리되는 영상정보 중 개인의 초상, 행동 등 사생활과 관련된 영상으로서 해당 개인의 동일성 여부를 식별할 수 있는 정보를 말한다.

11. “영상정보처리기기 운영자”라 함은 개인정보보호법 제25조제1항 각호에 따라 영상정보처리기기를 설치․운영하는 자를 말한다.

12. “영상정보 보호책임자”라 함은 개인영상정보의 처리에 관한 업무를 총괄해서 책임지는 자로서, 표준지침 제41조에 따라 영상정보처리기기 운영자가 지정한 자를 말한다.

제2장(내부관리계획의 수립 및 시행)

제4조(내부관리계획의 수립 및 승인)

① 개인정보 보호책임자는 OOO의 개인정보 보호를 위한 전반적인 사항을 포함하여 내부관리계획을 수립하여야 한다.

② 개인정보 보호책임자는 개인정보 보호를 위한 내부관리계획의 수립 시 개인정보 보호와 관련한 법령 및 관련 규정을 준수하도록 내부관리계획을 수립하여야 한다.

③ 개인정보 보호책임자는 개인정보 보호담당자가 수립한 내부관리계획의 타당성을 검토하여 개인정보 보호를 위한 내부관리계획을 승인하여야 한다.

④ 개인정보 보호담당자는 개인정보 보호 관련 법령의 제․개정 사항 등을 반영하기 위하여 매년 11월말까지 내부관리계획의 타당성과 개정 필요성을 검토하여야 한다.

⑤ 개인정보 보호담당자는 모든 항목의 타당성을 검토한 후 개정할 필요가 있다고 판단되는 경우 12월말까지 내부관리계획의 개정안을 작성하여 개인정보 보호책임자에게 보고하고 개인정보 보호책임자의 승인을 받아야 한다.

제5조(내부관리계획의 공표)

① 개인정보 보호책임자는 전조에 따라 승인한 내부관리계획을 매년 1월말까지 OOO 전 임직원에게 공표한다.

② 내부관리계획은 임직원이 언제든지 열람할 수 있는 방법으로 비치하여야 하며, 변경사항이 있는 경우에는 이를 공지하여야 한다.

제3장 개인정보 보호책임자의 의무와 책임

제6조(개인정보 보호책임자의 지정)

① OOO 는(은) 개인정보보호법 시행령 제32조제2항1호에 따라 해당하는 지위에 있는 자를 개인정보 보호책임자로 임명한다.

1. 해당 기관의 행정사무를 총괄하는 사람

2. 개인정보와 관련하여 고객의 고충처리를 담당하는 부서의 장

제7조(개인정보 보호책임자의 의무와 책임)

① 개인정보 보호책임자는 정보주체의 개인정보 보호를 위하여 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용‧남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리 감독

7. 법 제30조에 따른 개인정보 처리방침의 수립‧변경 및 시행

8. 개인정보 보호 관련 자료의 관리

9. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

② 개인정보 보호책임자는 업무를 수행함에 있어서 필요한 경우 개인정보 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

③ 개인정보 보호책임자는 개인정보 보호와 관련하여 이법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다.

제8조(개인정보취급자의 범위 및 의무와 책임)

① 개인정보취급자의 범위는 다음과 같다.

1. OOO 내에서 정보주체의 개인정보를 처리하는 업무를 수행하는 자를 말하며, 정규직 이외에 임시직, 파견근로자, 시간제근로자 등 포함될 수 있다.

② 개인정보취급자의 의무와 책임

1. 내부관리계획의 준수 및 이행

2. 개인정보의 기술적‧관리적 보호조치 기준 이행

3. 업무상 알게 된 개인정보를 제3자에게 제공하지 않음

제4장 개인정보의 기술적․관리적 보호조치

제9조(개인정보취급자 접근권한 관리 및 인증)

① 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다.

② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 하며, 또한 비밀유지의무 등에 대한 서약서를 받아야 한다.

③ 개인정보처리자는 제1항, 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.

⑤ 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망 또는 전용선 등 안전한 접속수단을 적용하여야 한다.

제10조(비밀번호 관리)

① 개인정보처리자는 개인정보취급자 또는 정보주체가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자나 개인관련 정보를 패스워드로 이용하지 않도록 비밀번호 작성규칙을 수립하고, 이를 적용 및 운용하여야 한다.

② 개인정보처리자는 비밀번호에 적정한 기간의 유효기간(반기별 1회 이상)을 설정하여야 한다.

제11조(접근통제)

① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 시스템을 설치‧운영하여야 한다.

1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가받지 않은 접근을 제한

2. 개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지

② 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 컴퓨터에 조치를 취하여야 한다.

제12조(개인정보의 암호화)

① 개인정보처리자는 주민등록번호, 비밀번호, 바이오정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다. 단, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.

② 개인정보처리자는 정보주체의 개인정보를 정보통신망을 통하여 송‧수신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다.

③ 개인정보처리자는 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 고유식별정보를 저장하는 경우에는 이를 암호화하여야 한다.

④ 개인정보처리자 또는 개인정보취급자는 정보주체의 개인정보를 업무용 컴퓨터(PC)에 저장할 때에는 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화 저장하여야 한다.

제13조(접속기록의 위‧변조 방지)

① 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 6개월 이상 보관하여야 한다.

② 개인정보처리자는 개인정보취급자의 접속기록이 위‧변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하여야 한다.

제14조(보안프로그램 설치 및 운영)

① 개인정보처리자는 개인정보처리시스템 또는 업무용 컴퓨터에 악성 프로그램 등을 방지‧치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치‧운영하여야 한다.

② 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일 1회 이상 업데이트를 적용하여야 한다.

③ 악성 프로그램관련 경보가 발령된 경우 또는 사용 중인 응용프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 적용하여야 한다.

제15조(물리적 접근제한)

① 개인정보처리자는 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립․운영하여야 한다.

② 개인정보처리자는 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 한다.

③ 개인정보처리자는 물리적 접근방지를 위한 별도의 보호시설에 출입하거나 개인정보를 열람하는 경우, 그 출입자에 대한 출입사실 및 열람 내용에 관한 관리대장을 작성하도록 하여야 한다.

제5장 개인정보 보호 교육

제16조(개인정보 보호 교육 계획의 수립)

① 개인정보 보호책임자는 다음 각 호의 사항을 포함하는 연간 개인정보 보호 교육계획을 매년 12월말까지 수립한다.

1. 교육목적 및 대상

2. 교육내용

3. 교육 일정 및 방법

② 개인정보 보호책임자는 수립한 개인정보 보호 교육 계획을 실시한 이후에 교육의 성과와 개선 필요성을 검토하여 차년도 교육계획 수립에 반영하여야 한다.

제17조(개인정보 보호 교육의 실시)

① 개인정보 보호책임자는 정보주체 정보보호에 대한 직원들의 인식제고를 위해 노력해야 하며,  개인정보의 오․남용 또는 유출 등을 적극 예방하기 위해 임․직원을 대상으로 매년 정기적으로 연2회 이상의 개인정보 보호 교육을 실시한다.

② 연2회의 정기 교육은 상반기에 1회, 하반기에 1회 실시한다.

③ 교육 방법은 집체 교육뿐만 아니라, 인터넷 교육, 그룹웨어 교육 등 다양한 방법을 활용하여 실시하고, 필요한 경우 외부 전문기관이나 전문요원에 위탁하여 교육을 실시한다.

④ 개인정보 보호에 대한 중요한 전파 사례가 있거나 개인정보 보호 업무와 관련하여 변경된 사항이 있는 경우, 개인정보 보호책임자는 부서 회의 등을 통해 수시 교육을 실시할 수 있다.

제6장 개인정보 침해대응 및 피해구제

제18조 (개인정보 유출 등의 통지)

① 〇〇〇은 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 〇〇〇의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

② 〇〇〇은 개인정보가 유출된 경우 그 피해를 최소화하기 위하여 침해사고 대응팀을 구성하고 필요한 조치를 한다.

제19조 (개인정보 유출 등의 신고)

① 〇〇〇은 1만명 이상의 개인정보가 유출된 경우에는 본 계획 제18조에 따른 통지 및 조치 결과를 지체 없이 행정자치부장관 또는 대통령령으로 정하는 전문기관(한국정보화진흥원, 한국인터넷진흥원)에 신고하여야 한다. 이 경우 행정자치부장관 또는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.

② 개인정보 유출에 따른 통지의 시기, 방법 및 절차 등에 관하여 필요한 사항은 아래와 같다.

1. 〇〇〇은 개인정보가 유출되었음을 알게 되었을 때에는 서면 등의 방법으로 지체 없이 제18조 각 호의 사항을 정보주체에게 알려야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다.

2. 〇〇〇은 구체적인 유출 내용(시점 및 경위)을 확인하지 못한 경우에는 먼저 개인정보가 유출된 사실과 유출이 확인된 사항만을 서면 등의 방법으로 먼저 알리고 나중에 확인되는 사항을 추가로 알릴 수 있다.

3. 1만명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 정보를(①유출된 개인정보의 항목, ②유출된 시점과 그 경위, ③유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, ④〇〇〇의 대응조치 및 피해 구제절차, ⑤정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처) 7일 이상 게재하여야 한다.

[붙임8] 진료기록 열람 및 사본발급 동의서

진료기록 열람 및 사본발급 동의서
환자 본인	성 명			연락처
	주민등록번호 (외국인등록번호)
	주 소
신청인	성 명		환자와의 관계
	주민등록번호 (외국인등록번호)				연락처
	주 소
열람 및 사본 발급 범위	열람하고자하는 내용 및 사유
	사본발급 받고자 하는 내용 및 사유
본인(또는 법정대리인)은 상기 신청인( )이 「의료법」 제21조제2항 및 같은 법 시행규칙 제13조의2에 따라 본인의 진료기록 등을 열람하거나 사본을 발급받는 것에 대하여 동의합니다. 년 월 일 본인(또는 법정대리인) (자필서명)
비고: 환자 본인이 만 14세 미만의 경우에는 법정대리인이 작성합니다.
210㎜×297㎜[일반용지 60g/㎡(재활용품)]

[붙임9] 진료기록 열람 및 사본발급 위임장

진료기록 열람 및 사본발급 위임장
① 수 임 인	성명		전화번호
	주민등록번호 (외국인등록번호)		위임인과의 관계
	주소
② 위임인	성명		전화번호
	주민등록번호 (외국인등록번호)
	주소
위임인은 「의료법」제21조제2항 및 같은 법 시행규칙 제13조의2에 따라 「진료기록 등 열람 및 사본발급 동의서」에 기재된 사항에 대하여 일체 권한을 상기 수임인에게 위임합니다. 년 월 일 위임인 (자필서명)
210㎜×297㎜[일반용지 60g/㎡(재활용품)]

[붙임10] 민감정보 처리 동의서(예시)

[의료기관명] 민감정보 처리 동의서

[의료기관명] 은(는) 개인정보보호법 등 관련 법령상의 개인정보 보호 규정을 준수하며 회원의 개인정보 보호에 최선을 다하고 있습니다.   [의료기관명] 은(는)  개인정보보호법 제23조제1호에 근거하여, 다음과 같이 민감정보를 수집․이용하는데 동의를 받고자 합니다.

1. 민감정보의 수집․이용목적 :

2. 수집하려는 민감정보의 항목 : [예 : 질병, 병력, 유전정보 등 ]

3. 민감정보의 보유 및 이용기간 :

5. 동의거부권 및 동의 거부에 따른 불이익 안내

: [환자 성명]은(는) 위와 같이 민감정보를 수집․이용하는 데 대한 동의를 거부할 권리가 있습니다. 그러나 동의를 거부할 경우  [의료기관명] 에서 제공하는 [재화 또는 서비스의 명칭]을(를) 받을 수 없음을 참고하시기 바랍니다.     * 동의 거부에 따른 불이익이 없을 경우, 작성 하지 않아도 됨.

민감정보의 수집․이용에 동의하십니까?  □ 동의함   □ 동의하지 않음

그 밖에 개인정보 취급에 관한 자세한 사항은 홈페이지(http://www.○○○.○○.kr)에 공개하고 있는 “개인정보 처리방침”을 참고하시기 바랍니다.

년     월     일    성명 :        (인 또는 서명)

[의료기관명] 귀중

참고2		개인정보보호법

제1장 총칙

제1조(목적) 이 법은 개인정보의 처리 및 보호에 관한 사항을 정함으로써 개인의 자유와 권리를 보호하고, 나아가 개인의 존엄과 가치를 구현함을 목적으로 한다. <개정 2014.3.24.>

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다. <개정 2014.3.24.>

1. "개인정보"란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

2. "처리"란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

3. "정보주체"란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

4. "개인정보파일"이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

5. "개인정보처리자"란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

6. "공공기관"이란 다음 각 목의 기관을 말한다.

가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다) 및 그 소속 기관, 지방자치단체

나. 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관

7. "영상정보처리기기"란 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다.

제3조(개인정보 보호 원칙) ① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.

② 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.

③ 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다.

④ 개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다.

⑤ 개인정보처리자는 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다.

⑥ 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다.

⑦ 개인정보처리자는 개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다.

⑧ 개인정보처리자는 이 법 및 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다.

제4조(정보주체의 권리) 정보주체는 자신의 개인정보 처리와 관련하여 다음 각 호의 권리를 가진다.

1. 개인정보의 처리에 관한 정보를 제공받을 권리

2. 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리

3. 개인정보의 처리 여부를 확인하고 개인정보에 대하여 열람(사본의 발급을 포함한다. 이하 같다)을 요구할 권리

4. 개인정보의 처리 정지, 정정ㆍ삭제 및 파기를 요구할 권리

5. 개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리

제5조(국가 등의 책무) ① 국가와 지방자치단체는 개인정보의 목적 외 수집, 오용ㆍ남용 및 무분별한 감시ㆍ추적 등에 따른 폐해를 방지하여 인간의 존엄과 개인의 사생활 보호를 도모하기 위한 시책을 강구하여야 한다.

② 국가와 지방자치단체는 제4조에 따른 정보주체의 권리를 보호하기 위하여 법령의 개선 등 필요한 시책을 마련하여야 한다.

③ 국가와 지방자치단체는 개인정보의 처리에 관한 불합리한 사회적 관행을 개선하기 위하여 개인정보처리자의 자율적인 개인정보 보호활동을 존중하고 촉진ㆍ지원하여야 한다.

④ 국가와 지방자치단체는 개인정보의 처리에 관한 법령 또는 조례를 제정하거나 개정하는 경우에는 이 법의 목적에 부합되도록 하여야 한다.

제6조(다른 법률과의 관계) 개인정보 보호에 관하여는 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다. <개정 2014.3.24.>

제2장 개인정보 보호정책의 수립 등

제7조(개인정보 보호위원회) ① 개인정보 보호에 관한 사항을 심의ㆍ의결하기 위하여 대통령 소속으로 개인정보 보호위원회(이하 "보호위원회"라 한다)를 둔다. 보호위원회는 그 권한에 속하는 업무를 독립하여 수행한다.

② 보호위원회는 위원장 1명, 상임위원 1명을 포함한 15명 이내의 위원으로 구성하되, 상임위원은 정무직 공무원으로 임명한다.

③ 위원장은 위원 중에서 공무원이 아닌 사람으로 대통령이 위촉한다.

④ 위원은 다음 각 호의 어느 하나에 해당하는 사람을 대통령이 임명하거나 위촉한다. 이 경우 위원 중 5명은 국회가 선출하는 자를, 5명은 대법원장이 지명하는 자를 각각 임명하거나 위촉한다.

1. 개인정보 보호와 관련된 시민사회단체 또는 소비자단체로부터 추천을 받은 사람

2. 개인정보처리자로 구성된 사업자단체로부터 추천을 받은 사람

3. 그 밖에 개인정보에 관한 학식과 경험이 풍부한 사람

⑤ 위원장과 위원의 임기는 3년으로 하되, 1차에 한하여 연임할 수 있다.

⑥ 보호위원회의 회의는 위원장이 필요하다고 인정하거나 재적위원 4분의 1 이상의 요구가 있는 경우에 위원장이 소집한다.

⑦ 보호위원회는 재적위원 과반수의 출석과 출석위원 과반수의 찬성으로 의결한다.

⑧ 보호위원회의 사무를 지원하기 위하여 보호위원회에 사무국을 둔다.

⑨ 제1항부터 제8항까지에서 규정한 사항 외에 보호위원회의 조직과 운영에 필요한 사항은 대통령령으로 정한다.

제8조(보호위원회의 기능 등) ① 보호위원회는 다음 각 호의 사항을 심의ㆍ의결한다.

1. 제9조에 따른 기본계획 및 제10조에 따른 시행계획

2. 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항

3. 개인정보의 처리에 관한 공공기관 간의 의견조정에 관한 사항

4. 개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항

5. 제18조제2항제5호에 따른 개인정보의 이용ㆍ제공에 관한 사항

6. 제33조제3항에 따른 영향평가 결과에 관한 사항

7. 제61조제1항에 따른 의견제시에 관한 사항

8. 제64조제4항에 따른 조치의 권고에 관한 사항

9. 제66조에 따른 처리 결과의 공표에 관한 사항

10. 제67조제1항에 따른 연차보고서의 작성ㆍ제출에 관한 사항

11. 개인정보 보호와 관련하여 대통령, 보호위원회의 위원장 또는 위원 2명 이상이 회의에 부치는 사항

12. 그 밖에 이 법 또는 다른 법령에 따라 보호위원회가 심의ㆍ의결하는 사항

② 보호위원회는 제1항 각 호의 사항을 심의ㆍ의결하기 위하여 필요하면 관계 공무원, 개인정보 보호에 관한 전문 지식이 있는 사람이나 시민사회단체 및 관련 사업자로부터 의견을 들을 수 있고, 관계 기관 등에 대하여 자료 등의 제출을 요구할 수 있다.

제9조(기본계획) ① 개인정보의 보호와 정보주체의 권익 보장을 위하여 행정자치부장관은 3년마다 개인정보 보호 기본계획(이하 "기본계획"이라 한다)을 관계 중앙행정기관의 장과 협의 하에 작성하여 보호위원회에 제출하고, 보호위원회의 심의ㆍ의결을 거쳐 시행하여야 한다. <개정 2013.3.23., 2014.11.19.>

② 기본계획에는 다음 각 호의 사항이 포함되어야 한다.

1. 개인정보 보호의 기본목표와 추진방향

2. 개인정보 보호와 관련된 제도 및 법령의 개선

3. 개인정보 침해 방지를 위한 대책

4. 개인정보 보호 자율규제의 활성화

5. 개인정보 보호 교육ㆍ홍보의 활성화

6. 개인정보 보호를 위한 전문인력의 양성

7. 그 밖에 개인정보 보호를 위하여 필요한 사항

③ 국회, 법원, 헌법재판소, 중앙선거관리위원회는 해당 기관(그 소속 기관을 포함한다)의 개인정보 보호를 위한 기본계획을 수립ㆍ시행할 수 있다.

제10조(시행계획) ① 중앙행정기관의 장은 기본계획에 따라 매년 개인정보 보호를 위한 시행계획을 작성하여 보호위원회에 제출하고, 보호위원회의 심의ㆍ의결을 거쳐 시행하여야 한다.

② 시행계획의 수립ㆍ시행에 필요한 사항은 대통령령으로 정한다.

제11조(자료제출 요구 등) ① 행정자치부장관은 기본계획을 효율적으로 수립ㆍ추진하기 위하여 개인정보처리자, 관계 중앙행정기관의 장, 지방자치단체의 장 및 관계 단체 등에 개인정보처리자의 법규 준수 현황과 개인정보 관리 실태 등에 관한 자료의 제출이나 의견의 진술 등을 요구할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 중앙행정기관의 장은 시행계획을 효율적으로 수립ㆍ추진하기 위하여 소관 분야의 개인정보처리자에게 제1항에 따른 자료제출 등을 요구할 수 있다.

③ 제1항 및 제2항에 따른 자료제출 등을 요구받은 자는 특별한 사정이 없으면 이에 따라야 한다.

④ 제1항 및 제2항에 따른 자료제출 등의 범위와 방법 등 필요한 사항은 대통령령으로 정한다.

제12조(개인정보 보호지침) ① 행정자치부장관은 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관한 표준 개인정보 보호지침(이하 "표준지침"이라 한다)을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 중앙행정기관의 장은 표준지침에 따라 소관 분야의 개인정보 처리와 관련한 개인정보 보호지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다.

③ 국회, 법원, 헌법재판소 및 중앙선거관리위원회는 해당 기관(그 소속 기관을 포함한다)의 개인정보 보호지침을 정하여 시행할 수 있다.

제13조(자율규제의 촉진 및 지원) 행정자치부장관은 개인정보처리자의 자율적인 개인정보 보호활동을 촉진하고 지원하기 위하여 다음 각 호의 필요한 시책을 마련하여야 한다. <개정 2013.3.23., 2014.11.19.>

1. 개인정보 보호에 관한 교육ㆍ홍보

2. 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원

3. 개인정보 보호 인증마크의 도입ㆍ시행 지원

4. 개인정보처리자의 자율적인 규약의 제정ㆍ시행 지원

5. 그 밖에 개인정보처리자의 자율적 개인정보 보호활동을 지원하기 위하여 필요한 사항

제14조(국제협력) ① 정부는 국제적 환경에서의 개인정보 보호 수준을 향상시키기 위하여 필요한 시책을 마련하여야 한다.

② 정부는 개인정보 국외 이전으로 인하여 정보주체의 권리가 침해되지 아니하도록 관련 시책을 마련하여야 한다.

제3장 개인정보의 처리

제1절 개인정보의 수집, 이용, 제공 등

제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우

4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우

5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보의 수집ㆍ이용 목적

2. 수집하려는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간

4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

제16조(개인정보의 수집 제한) ① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.

② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알리고 개인정보를 수집하여야 한다. <신설 2013.8.6.>

③ 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다. <개정 2013.8.6.>

제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 제15조제1항제2호ㆍ제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 제2항 각 호에 따른 사항을 정보주체에게 알리고 동의를 받아야 하며, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

제18조(개인정보의 목적 외 이용ㆍ제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우

5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우

6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

8. 법원의 재판업무 수행을 위하여 필요한 경우

9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

③ 개인정보처리자는 제2항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)

3. 이용 또는 제공하는 개인정보의 항목

4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

④ 공공기관은 제2항제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 행정자치부령으로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다. <개정 2013.3.23., 2014.11.19.>

⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.

[제목개정 2013.8.6.]

제19조(개인정보를 제공받은 자의 이용ㆍ제공 제한) 개인정보처리자로부터 개인정보를 제공받은 자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지) ① 개인정보처리자가 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정보주체의 요구가 있으면 즉시 다음 각 호의 모든 사항을 정보주체에게 알려야 한다.

1. 개인정보의 수집 출처

2. 개인정보의 처리 목적

3. 제37조에 따른 개인정보 처리의 정지를 요구할 권리가 있다는 사실

② 제1항은 다음 각 호의 어느 하나에 해당하는 경우에는 적용하지 아니한다. 다만, 이 법에 따른 정보주체의 권리보다 명백히 우선하는 경우에 한한다.

1. 고지를 요구하는 대상이 되는 개인정보가 제32조제2항 각 호의 어느 하나에 해당하는 개인정보파일에 포함되어 있는 경우

2. 고지로 인하여 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다.

④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

제22조(동의를 받는 방법) ① 개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체(제5항에 따른 법정대리인을 포함한다. 이하 이 조에서 같다)의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.

② 개인정보처리자는 제15조제1항제1호, 제17조제1항제1호, 제23조제1호 및 제24조제1항제1호에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 정보주체와의 계약 체결 등을 위하여 정보주체의 동의 없이 처리할 수 있는 개인정보와 정보주체의 동의가 필요한 개인정보를 구분하여야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.

③ 개인정보처리자는 정보주체에게 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 때에는 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다.

④ 개인정보처리자는 정보주체가 제2항에 따라 선택적으로 동의할 수 있는 사항을 동의하지 아니하거나 제3항 및 제18조제2항제1호에 따른 동의를 하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다.

⑤ 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 한다. 이 경우 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다.

⑥ 제1항부터 제5항까지에서 규정한 사항 외에 정보주체의 동의를 받는 세부적인 방법 및 제5항에 따른 최소한의 정보의 내용에 관하여 필요한 사항은 개인정보의 수집매체 등을 고려하여 대통령령으로 정한다.

제2절 개인정보의 처리 제한

제23조(민감정보의 처리 제한) 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 "민감정보"라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는  그러하지 아니하다.

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

제24조(고유식별정보의 처리 제한) ① 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 "고유식별정보"라 한다)를 처리할 수 없다.

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우

② 삭제 <2013.8.6.>

③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.

④ 삭제 <2013.8.6.>

제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.

1. 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우

2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우

3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 안전행정부령으로 정하는 경우

② 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다.

③ 안전행정부장관은 개인정보처리자가 제2항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다.

[본조신설 2013.8.6.]

제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.

1. 법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우

2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우

3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 안전행정부령으로 정하는 경우

② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다. <신설 2014.3.24.>

③ 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다. <개정 2014.3.24.>

④ 안전행정부장관은 개인정보처리자가 제3항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다. <개정 2014.3.24.>

[본조신설 2013.8.6.]

[시행일 : 2016.1.1.] 제24조의2

제25조(영상정보처리기기의 설치ㆍ운영 제한) ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다.

1. 법령에서 구체적으로 허용하고 있는 경우

2. 범죄의 예방 및 수사를 위하여 필요한 경우

3. 시설안전 및 화재 예방을 위하여 필요한 경우

4. 교통단속을 위하여 필요한 경우

5. 교통정보의 수집ㆍ분석 및 제공을 위하여 필요한 경우

② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 다만, 교도소, 정신보건 시설 등 법령에 근거하여 사람을 구금하거나 보호하는 시설로서 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다.

③ 제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장과 제2항 단서에 따라 영상정보처리기기를 설치ㆍ운영하려는 자는 공청회ㆍ설명회의 개최 등 대통령령으로 정하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다.

④ 제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하는 자(이하 "영상정보처리기기운영자"라 한다)는 정보주체가 쉽게 인식할 수 있도록 대통령령으로 정하는 바에 따라 안내판 설치 등 필요한 조치를 하여야 한다. 다만, 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다.

⑤ 영상정보처리기기운영자는 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다.

⑥ 영상정보처리기기운영자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 제29조에 따라 안전성 확보에 필요한 조치를 하여야 한다.

⑦ 영상정보처리기기운영자는 대통령령으로 정하는 바에 따라 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 이 경우 제30조에 따른 개인정보 처리방침을 정하지 아니할 수 있다.

⑧ 영상정보처리기기운영자는 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁할 수 있다. 다만, 공공기관이 영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 대통령령으로 정하는 절차 및 요건에 따라야 한다.

제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라  공개하여야 한다.

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

⑦ 수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.

제27조(영업양도 등에 따른 개인정보의 이전 제한) ① 개인정보처리자는 영업의 전부 또는 일부의 양도ㆍ합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다.

1. 개인정보를 이전하려는 사실

2. 개인정보를 이전받는 자(이하 "영업양수자등"이라 한다)의 성명(법인의 경우에는 법인의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처

3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차

② 영업양수자등은 개인정보를 이전받았을 때에는 지체 없이 그 사실을 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 다만, 개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다.

③ 영업양수자등은 영업의 양도ㆍ합병 등으로 개인정보를 이전받은 경우에는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있다. 이 경우 영업양수자등은 개인정보처리자로 본다.

제28조(개인정보취급자에 대한 감독) ① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 "개인정보취급자"라 한다)에 대하여 적절한 관리ㆍ감독을 행하여야 한다.

② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다.

제4장 개인정보의 안전한 관리

제29조(안전조치의무) 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.

제30조(개인정보 처리방침의 수립 및 공개) ① 개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방침(이하 "개인정보 처리방침"이라 한다)을 정하여야 한다. 이 경우 공공기관은 제32조에 따라 등록대상이 되는 개인정보파일에 대하여 개인정보 처리방침을 정한다.

1. 개인정보의 처리 목적

2. 개인정보의 처리 및 보유 기간

3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)

4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)

5. 정보주체의 권리ㆍ의무 및 그 행사방법에 관한 사항

6. 그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항

② 개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

④ 행정자치부장관은 개인정보 처리방침의 작성지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다. <개정 2013.3.23., 2014.11.19.>

제31조(개인정보 보호책임자의 지정) ① 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다.

② 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리ㆍ감독

7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무

③ 개인정보 보호책임자는 제2항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

④ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다.

⑤ 개인정보처리자는 개인정보 보호책임자가 제2항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 된다.

⑥ 개인정보 보호책임자의 지정요건, 업무, 자격요건, 그 밖에 필요한 사항은 대통령령으로 정한다.

제32조(개인정보파일의 등록 및 공개) ① 공공기관의 장이 개인정보파일을 운용하는 경우에는 다음 각 호의 사항을 행정자치부장관에게 등록하여야 한다. 등록한 사항이 변경된 경우에도 또한 같다. <개정 2013.3.23., 2014.11.19.>

1. 개인정보파일의 명칭

2. 개인정보파일의 운영 근거 및 목적

3. 개인정보파일에 기록되는 개인정보의 항목

4. 개인정보의 처리방법

5. 개인정보의 보유기간

6. 개인정보를 통상적 또는 반복적으로 제공하는 경우에는 그 제공받는 자

7. 그 밖에 대통령령으로 정하는 사항

② 다음 각 호의 어느 하나에 해당하는 개인정보파일에 대하여는 제1항을 적용하지 아니한다.

1. 국가 안전, 외교상 비밀, 그 밖에 국가의 중대한 이익에 관한 사항을 기록한 개인정보파일

2. 범죄의 수사, 공소의 제기 및 유지, 형 및 감호의 집행, 교정처분, 보호처분, 보안관찰처분과 출입국관리에 관한 사항을 기록한 개인정보파일

3. 「조세범처벌법」에 따른 범칙행위 조사 및 「관세법」에 따른 범칙행위 조사에 관한 사항을 기록한 개인정보파일

4. 공공기관의 내부적 업무처리만을 위하여 사용되는 개인정보파일

5. 다른 법령에 따라 비밀로 분류된 개인정보파일

③ 행정자치부장관은 필요하면 제1항에 따른 개인정보파일의 등록사항과 그 내용을 검토하여 해당 공공기관의 장에게 개선을 권고할 수 있다. <개정 2013.3.23., 2014.11.19.>

④ 행정자치부장관은 제1항에 따른 개인정보파일의 등록 현황을 누구든지 쉽게 열람할 수 있도록 공개하여야 한다. <개정 2013.3.23., 2014.11.19.>

⑤ 제1항에 따른 등록과 제4항에 따른 공개의 방법, 범위 및 절차에 관하여 필요한 사항은 대통령령으로 정한다.

⑥ 국회, 법원, 헌법재판소, 중앙선거관리위원회(그 소속 기관을 포함한다)의 개인정보파일 등록 및 공개에 관하여는 국회규칙, 대법원규칙, 헌법재판소규칙 및 중앙선거관리위원회규칙으로 정한다.

제33조(개인정보 영향평가) ① 공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 "영향평가"라 한다)를 하고 그 결과를 행정자치부장관에게 제출하여야 한다. 이 경우 공공기관의 장은 영향평가를 행정자치부장관이 지정하는 기관(이하 "평가기관"이라 한다) 중에서 의뢰하여야 한다. <개정 2013.3.23., 2014.11.19.>

② 영향평가를 하는 경우에는 다음 각 호의 사항을 고려하여야 한다.

1. 처리하는 개인정보의 수

2. 개인정보의 제3자 제공 여부

3. 정보주체의 권리를 해할 가능성 및 그 위험 정도

4. 그 밖에 대통령령으로 정한 사항

③ 행정자치부장관은 제1항에 따라 제출받은 영향평가 결과에 대하여 보호위원회의 심의ㆍ의결을 거쳐 의견을 제시할 수 있다. <개정 2013.3.23., 2014.11.19.>

④ 공공기관의 장은 제1항에 따라 영향평가를 한 개인정보파일을 제32조제1항에 따라 등록할 때에는 영향평가 결과를 함께 첨부하여야 한다.

⑤ 행정자치부장관은 영향평가의 활성화를 위하여 관계 전문가의 육성, 영향평가 기준의 개발ㆍ보급 등 필요한 조치를 마련하여야 한다. <개정 2013.3.23., 2014.11.19.>

⑥ 제1항에 따른 평가기관의 지정기준 및 지정취소, 평가기준, 영향평가의 방법ㆍ절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

⑦ 국회, 법원, 헌법재판소, 중앙선거관리위원회(그 소속 기관을 포함한다)의 영향평가에 관한 사항은 국회규칙, 대법원규칙, 헌법재판소규칙 및 중앙선거관리위원회규칙으로 정하는 바에 따른다.

⑧ 공공기관 외의 개인정보처리자는 개인정보파일 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 하기 위하여 적극 노력하여야 한다.

제34조(개인정보 유출 통지 등) ① 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

② 개인정보처리자는 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다.

③ 개인정보처리자는 대통령령으로 정한 규모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체 없이 행정자치부장관 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 행정자치부장관 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다. <개정 2013.3.23., 2014.11.19.>

④ 제1항에 따른 통지의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

제34조의2(과징금의 부과 등) ① 행정자치부장관은 개인정보처리자가 처리하는 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손된 경우에는 5억원 이하의 과징금을 부과ㆍ징수할 수 있다. 다만, 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 개인정보처리자가 제24조제3항에 따른 안전성 확보에 필요한 조치를 다한 경우에는 그러하지 아니하다. <개정 2014.11.19.>

② 행정자치부장관은 제1항에 따른 과징금을 부과하는 경우에는 다음 각 호의 사항을 고려하여야 한다. <개정 2014.11.19.>

1. 제24조제3항에 따른 안전성 확보에 필요한 조치 이행 노력 정도

2. 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손된 주민등록번호의 정도

3. 피해확산 방지를 위한 후속조치 이행 여부

③ 행정자치부장관은 제1항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니하면 납부기한의 다음 날부터 과징금을 낸 날의 전날까지의 기간에 대하여 내지 아니한 과징금의 연 100분의 6의 범위에서 대통령령으로 정하는 가산금을 징수한다. 이 경우 가산금을 징수하는 기간은 60개월을 초과하지 못한다. <개정 2014.11.19.>

④ 행정자치부장관은 제1항에 따른 과징금을 내야 할 자가 납부기한까지 내지 아니하면 기간을 정하여 독촉을 하고, 그 지정한 기간 내에 과징금 및 제2항에 따른 가산금을 내지 아니하면 국세 체납처분의 예에 따라 징수한다. <개정 2014.11.19.>

⑤ 과징금의 부과ㆍ징수에 관하여 그 밖에 필요한 사항은 대통령령으로 정한다.

[본조신설 2013.8.6.]

제5장 정보주체의 권리 보장

제35조(개인정보의 열람) ① 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다.

② 제1항에도 불구하고 정보주체가 자신의 개인정보에 대한 열람을 공공기관에 요구하고자 할 때에는 공공기관에 직접 열람을 요구하거나 대통령령으로 정하는 바에 따라 행정자치부장관을 통하여 열람을 요구할 수 있다. <개정 2013.3.23., 2014.11.19.>

③ 개인정보처리자는 제1항 및 제2항에 따른 열람을 요구받았을 때에는 대통령령으로 정하는 기간 내에 정보주체가 해당 개인정보를 열람할 수 있도록 하여야 한다. 이 경우 해당 기간 내에 열람할 수 없는 정당한 사유가 있을 때에는 정보주체에게 그 사유를 알리고 열람을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 열람하게 하여야 한다.

④ 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체에게 그 사유를 알리고 열람을 제한하거나 거절할 수 있다.

1. 법률에 따라 열람이 금지되거나 제한되는 경우

2. 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우

가. 조세의 부과ㆍ징수 또는 환급에 관한 업무

나. 「초ㆍ중등교육법」 및 「고등교육법」에 따른 각급 학교, 「평생교육법」에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무

다. 학력ㆍ기능 및 채용에 관한 시험, 자격 심사에 관한 업무

라. 보상금ㆍ급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무

마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무

⑤ 제1항부터 제4항까지의 규정에 따른 열람 요구, 열람 제한, 통지 등의 방법 및 절차에 관하여 필요한 사항은 대통령령으로 정한다.

제36조(개인정보의 정정ㆍ삭제) ① 제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.

② 개인정보처리자는 제1항에 따른 정보주체의 요구를 받았을 때에는 개인정보의 정정 또는 삭제에 관하여 다른 법령에 특별한 절차가 규정되어 있는 경우를 제외하고는 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 정정ㆍ삭제 등 필요한 조치를 한 후 그 결과를 정보주체에게 알려야 한다.

③ 개인정보처리자가 제2항에 따라 개인정보를 삭제할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

④ 개인정보처리자는 정보주체의 요구가 제1항 단서에 해당될 때에는 지체 없이 그 내용을 정보주체에게 알려야 한다.

⑤ 개인정보처리자는 제2항에 따른 조사를 할 때 필요하면 해당 정보주체에게 정정ㆍ삭제 요구사항의 확인에 필요한 증거자료를 제출하게 할 수 있다.

⑥ 제1항ㆍ제2항 및 제4항에 따른 정정 또는 삭제 요구, 통지 방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

제37조(개인정보의 처리정지 등) ① 정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구할 수 있다. 이 경우 공공기관에 대하여는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구할 수 있다.

② 개인정보처리자는 제1항에 따른 요구를 받았을 때에는 지체 없이 정보주체의 요구에 따라 개인정보 처리의 전부를 정지하거나 일부를 정지하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체의 처리정지 요구를 거절할 수 있다.

1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

2. 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

3. 공공기관이 개인정보를 처리하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우

4. 개인정보를 처리하지 아니하면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우

③ 개인정보처리자는 제2항 단서에 따라 처리정지 요구를 거절하였을 때에는 정보주체에게 지체 없이 그 사유를 알려야 한다.

④ 개인정보처리자는 정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 지체 없이 해당 개인정보의 파기 등 필요한 조치를 하여야 한다.

⑤ 제1항부터 제3항까지의 규정에 따른 처리정지의 요구, 처리정지의 거절, 통지 등의 방법 및 절차에 필요한 사항은 대통령령으로 정한다.

제38조(권리행사의 방법 및 절차) ① 정보주체는 제35조에 따른 열람, 제36조에 따른 정정ㆍ삭제, 제37조에 따른 처리정지 등의 요구(이하 "열람등요구"라 한다)를 문서 등 대통령령으로 정하는 방법ㆍ절차에 따라 대리인에게 하게 할 수 있다.

② 만 14세 미만 아동의 법정대리인은 개인정보처리자에게 그 아동의 개인정보 열람등요구를 할 수 있다.

③ 개인정보처리자는 열람등요구를 하는 자에게 대통령령으로 정하는 바에 따라 수수료와 우송료(사본의 우송을 청구하는 경우에 한한다)를 청구할 수 있다.

④ 개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다.

⑤ 개인정보처리자는 정보주체가 열람등요구에 대한 거절 등 조치에 대하여 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하고 안내하여야 한다.

제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

② 개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리하지 아니한 경우에는 개인정보의 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다.

제6장 개인정보 분쟁조정위원회

제40조(설치 및 구성) ① 개인정보에 관한 분쟁의 조정(調停)을 위하여 개인정보 분쟁조정위원회(이하 "분쟁조정위원회"라 한다)를 둔다.

② 분쟁조정위원회는 위원장 1명을 포함한 20명 이내의 위원으로 구성하며, 그 중 1명은 상임위원으로 한다.

③ 위원은 다음 각 호의 어느 하나에 해당하는 사람 중에서 행정자치부장관이 임명하거나 위촉한다. <개정 2013.3.23., 2014.11.19.>

1. 개인정보 보호업무를 관장하는 중앙행정기관의 고위공무원단에 속하는 공무원 또는 이에 상당하는 공공부문 및 관련 단체의 직에 재직하고 있거나 재직하였던 사람으로서 개인정보 보호업무의 경험이 있는 사람

2. 대학이나 공인된 연구기관에서 부교수 이상 또는 이에 상당하는 직에 재직하고 있거나 재직하였던 사람

3. 판사ㆍ검사 또는 변호사로 재직하고 있거나 재직하였던 사람

4. 개인정보 보호와 관련된 시민사회단체 또는 소비자단체로부터 추천을 받은 사람

5. 개인정보처리자로 구성된 사업자단체의 임원으로 재직하고 있거나 재직하였던 사람

④ 위원장은 위원 중에서 공무원이 아닌 사람으로 행정자치부장관이 임명한다. <개정 2013.3.23., 2014.11.19.>

⑤ 위원장과 위원의 임기는 2년으로 하되, 1차에 한하여 연임할 수 있다. 다만, 제3항제1호에 따라 임명된 공무원인 위원은 그 직에 재직하는 동안 재임한다.

⑥ 분쟁조정위원회는 분쟁조정 업무를 효율적으로 수행하기 위하여 필요하면 대통령령으로 정하는 바에 따라 조정사건의 분야별로 5명 이내의 위원으로 구성되는 조정부를 둘 수 있다. 이 경우 조정부가 분쟁조정위원회에서 위임받아 의결한 사항은 분쟁조정위원회에서 의결한 것으로 본다.

⑦ 분쟁조정위원회 또는 조정부는 재적위원 과반수의 출석으로 개의하며 출석위원 과반수의 찬성으로 의결한다.

⑧ 행정자치부장관은 분쟁조정위원회 사무국 운영 등 업무를 지원하기 위하여 대통령령으로 정하는 바에 따라 전문기관을 지정할 수 있다. <개정 2013.3.23., 2014.11.19.>

⑨ 이 법에서 정한 사항 외에 분쟁조정위원회 운영에 필요한 사항은 대통령령으로 정한다.

제41조(위원의 신분보장) 위원은 자격정지 이상의 형을 선고받거나 심신상의 장애로 직무를 수행할 수 없는 경우를 제외하고는 그의 의사에 반하여 면직되거나 해촉되지 아니한다.

제42조(위원의 제척ㆍ기피ㆍ회피) ① 분쟁조정위원회의 위원은 다음 각 호의 어느 하나에 해당하는 경우에는 제43조제1항에 따라 분쟁조정위원회에 신청된 분쟁조정사건(이하 이 조에서 "사건"이라 한다)의 심의ㆍ의결에서 제척(除斥)된다.

1. 위원 또는 그 배우자나 배우자였던 자가 그 사건의 당사자가 되거나 그 사건에 관하여 공동의 권리자 또는 의무자의 관계에 있는 경우

2. 위원이 그 사건의 당사자와 친족이거나 친족이었던 경우

3. 위원이 그 사건에 관하여 증언, 감정, 법률자문을 한 경우

4. 위원이 그 사건에 관하여 당사자의 대리인으로서 관여하거나 관여하였던 경우

② 당사자는 위원에게 공정한 심의ㆍ의결을 기대하기 어려운 사정이 있으면 위원장에게 기피신청을 할 수 있다. 이 경우 위원장은 기피신청에 대하여 분쟁조정위원회의 의결을 거치지 아니하고 결정한다.

③ 위원이 제1항 또는 제2항의 사유에 해당하는 경우에는 스스로 그 사건의 심의ㆍ의결에서 회피할 수 있다.

제43조(조정의 신청 등) ① 개인정보와 관련한 분쟁의 조정을 원하는 자는 분쟁조정위원회에 분쟁조정을 신청할 수 있다.

② 분쟁조정위원회는 당사자 일방으로부터 분쟁조정 신청을 받았을 때에는 그 신청내용을 상대방에게 알려야 한다.

③ 공공기관이 제2항에 따른 분쟁조정의 통지를 받은 경우에는 특별한 사유가 없으면 분쟁조정에 응하여야 한다.

제44조(처리기간) ① 분쟁조정위원회는 제43조제1항에 따른 분쟁조정 신청을 받은 날부터 60일 이내에 이를 심사하여 조정안을 작성하여야 한다. 다만, 부득이한 사정이 있는 경우에는 분쟁조정위원회의 의결로 처리기간을 연장할 수 있다.

② 분쟁조정위원회는 제1항 단서에 따라 처리기간을 연장한 경우에는 기간연장의 사유와 그 밖의 기간연장에 관한 사항을 신청인에게 알려야 한다.

제45조(자료의 요청 등) ① 분쟁조정위원회는 제43조제1항에 따라 분쟁조정 신청을 받았을 때에는 해당 분쟁의 조정을 위하여 필요한 자료를 분쟁당사자에게 요청할 수 있다. 이 경우 분쟁당사자는 정당한 사유가 없으면 요청에 따라야 한다.

② 분쟁조정위원회는 필요하다고 인정하면 분쟁당사자나 참고인을 위원회에 출석하도록 하여 그 의견을 들을 수 있다.

제46조(조정 전 합의 권고) 분쟁조정위원회는 제43조제1항에 따라 분쟁조정 신청을 받았을 때에는 당사자에게 그 내용을 제시하고 조정 전 합의를 권고할 수 있다.

제47조(분쟁의 조정) ① 분쟁조정위원회는 다음 각 호의 어느 하나의 사항을 포함하여 조정안을 작성할 수 있다.

1. 조사 대상 침해행위의 중지

2. 원상회복, 손해배상, 그 밖에 필요한 구제조치

3. 같거나 비슷한 침해의 재발을 방지하기 위하여 필요한 조치

② 분쟁조정위원회는 제1항에 따라 조정안을 작성하면 지체 없이 각 당사자에게 제시하여야 한다.

③ 제1항에 따라 조정안을 제시받은 당사자가 제시받은 날부터 15일 이내에 수락 여부를 알리지 아니하면 조정을 거부한 것으로 본다.

④ 당사자가 조정내용을 수락한 경우 분쟁조정위원회는 조정서를 작성하고, 분쟁조정위원회의 위원장과 각 당사자가 기명날인하여야 한다.

⑤ 제4항에 따른 조정의 내용은 재판상 화해와 동일한 효력을 갖는다.

제48조(조정의 거부 및 중지) ① 분쟁조정위원회는 분쟁의 성질상 분쟁조정위원회에서 조정하는 것이 적합하지 아니하다고 인정하거나 부정한 목적으로 조정이 신청되었다고 인정하는 경우에는 그 조정을 거부할 수 있다. 이 경우 조정거부의 사유 등을 신청인에게 알려야 한다.

② 분쟁조정위원회는 신청된 조정사건에 대한 처리절차를 진행하던 중에 한 쪽 당사자가 소를 제기하면 그 조정의 처리를 중지하고 이를 당사자에게 알려야 한다.

제49조(집단분쟁조정) ① 국가 및 지방자치단체, 개인정보 보호단체 및 기관, 정보주체, 개인정보처리자는 정보주체의 피해 또는 권리침해가 다수의 정보주체에게 같거나 비슷한 유형으로 발생하는 경우로서 대통령령으로 정하는 사건에 대하여는 분쟁조정위원회에 일괄적인 분쟁조정(이하 "집단분쟁조정"이라 한다)을 의뢰 또는 신청할 수 있다.

② 제1항에 따라 집단분쟁조정을 의뢰받거나 신청받은 분쟁조정위원회는 그 의결로써 제3항부터 제7항까지의 규정에 따른 집단분쟁조정의 절차를 개시할 수 있다. 이 경우 분쟁조정위원회는 대통령령으로 정하는 기간 동안 그 절차의 개시를 공고하여야 한다.

③ 분쟁조정위원회는 집단분쟁조정의 당사자가 아닌 정보주체 또는 개인정보처리자로부터 그 분쟁조정의 당사자에 추가로 포함될 수 있도록 하는 신청을 받을 수 있다.

④ 분쟁조정위원회는 그 의결로써 제1항 및 제3항에 따른 집단분쟁조정의 당사자 중에서 공동의 이익을 대표하기에 가장 적합한 1인 또는 수인을 대표당사자로 선임할 수 있다.

⑤ 분쟁조정위원회는 개인정보처리자가 분쟁조정위원회의 집단분쟁조정의 내용을 수락한 경우에는 집단분쟁조정의 당사자가 아닌 자로서 피해를 입은 정보주체에 대한 보상계획서를 작성하여 분쟁조정위원회에 제출하도록 권고할 수 있다.

⑥ 제48조제2항에도 불구하고 분쟁조정위원회는 집단분쟁조정의 당사자인 다수의 정보주체 중 일부의 정보주체가 법원에 소를 제기한 경우에는 그 절차를 중지하지 아니하고, 소를 제기한 일부의 정보주체를 그 절차에서 제외한다.

⑦ 집단분쟁조정의 기간은 제2항에 따른 공고가 종료된 날의 다음 날부터 60일 이내로 한다. 다만, 부득이한 사정이 있는 경우에는 분쟁조정위원회의 의결로 처리기간을 연장할 수 있다.

⑧ 집단분쟁조정의 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

제50조(조정절차 등) ① 제43조부터 제49조까지의 규정에서 정한 것 외에 분쟁의 조정방법, 조정절차 및 조정업무의 처리 등에 필요한 사항은 대통령령으로 정한다.

② 분쟁조정위원회의 운영 및 분쟁조정 절차에 관하여 이 법에서 규정하지 아니한 사항에 대하여는 「민사조정법」을 준용한다.

제7장 개인정보 단체소송

제51조(단체소송의 대상 등) 다음 각 호의 어느 하나에 해당하는 단체는 개인정보처리자가 제49조에 따른 집단분쟁조정을 거부하거나 집단분쟁조정의 결과를 수락하지 아니한 경우에는 법원에 권리침해 행위의 금지ㆍ중지를 구하는 소송(이하 "단체소송"이라 한다)을 제기할 수 있다.

1. 「소비자기본법」 제29조에 따라 공정거래위원회에 등록한 소비자단체로서 다음 각 목의 요건을 모두 갖춘 단체

가. 정관에 따라 상시적으로 정보주체의 권익증진을 주된 목적으로 하는 단체일 것

나. 단체의 정회원수가 1천명 이상일 것

다. 「소비자기본법」 제29조에 따른 등록 후 3년이 경과하였을 것

2. 「비영리민간단체 지원법」 제2조에 따른 비영리민간단체로서 다음 각 목의 요건을 모두 갖춘 단체

가. 법률상 또는 사실상 동일한 침해를 입은 100명 이상의 정보주체로부터 단체소송의 제기를 요청받을 것

나. 정관에 개인정보 보호를 단체의 목적으로 명시한 후 최근 3년 이상 이를 위한 활동실적이 있을 것

다. 단체의 상시 구성원수가 5천명 이상일 것

라. 중앙행정기관에 등록되어 있을 것

제52조(전속관할) ① 단체소송의 소는 피고의 주된 사무소 또는 영업소가 있는 곳, 주된 사무소나 영업소가 없는 경우에는 주된 업무담당자의 주소가 있는 곳의 지방법원 본원 합의부의 관할에 전속한다.

② 제1항을 외국사업자에 적용하는 경우 대한민국에 있는 이들의 주된 사무소ㆍ영업소 또는 업무담당자의 주소에 따라 정한다.

제53조(소송대리인의 선임) 단체소송의 원고는 변호사를 소송대리인으로 선임하여야 한다.

제54조(소송허가신청) ① 단체소송을 제기하는 단체는 소장과 함께 다음 각 호의 사항을 기재한 소송허가신청서를 법원에 제출하여야 한다.

1. 원고 및 그 소송대리인

2. 피고

3. 정보주체의 침해된 권리의 내용

② 제1항에 따른 소송허가신청서에는 다음 각 호의 자료를 첨부하여야 한다.

1. 소제기단체가 제51조 각 호의 어느 하나에 해당하는 요건을 갖추고 있음을 소명하는 자료

2. 개인정보처리자가 조정을 거부하였거나 조정결과를 수락하지 아니하였음을 증명하는 서류

제55조(소송허가요건 등) ① 법원은 다음 각 호의 요건을 모두 갖춘 경우에 한하여 결정으로 단체소송을 허가한다.

1. 개인정보처리자가 분쟁조정위원회의 조정을 거부하거나 조정결과를 수락하지 아니하였을 것

2. 제54조에 따른 소송허가신청서의 기재사항에 흠결이 없을 것

② 단체소송을 허가하거나 불허가하는 결정에 대하여는 즉시항고할 수 있다.

제56조(확정판결의 효력) 원고의 청구를 기각하는 판결이 확정된 경우 이와 동일한 사안에 관하여는 제51조에 따른 다른 단체는 단체소송을 제기할 수 없다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 판결이 확정된 후 그 사안과 관련하여 국가ㆍ지방자치단체 또는 국가ㆍ지방자치단체가 설립한 기관에 의하여 새로운 증거가 나타난 경우

2. 기각판결이 원고의 고의로 인한 것임이 밝혀진 경우

제57조(「민사소송법」의 적용 등) ① 단체소송에 관하여 이 법에 특별한 규정이 없는 경우에는 「민사소송법」을 적용한다.

② 제55조에 따른 단체소송의 허가결정이 있는 경우에는 「민사집행법」 제4편에 따른 보전처분을 할 수 있다.

③ 단체소송의 절차에 관하여 필요한 사항은 대법원규칙으로 정한다.

제8장 보칙

제58조(적용의 일부 제외) ① 다음 각 호의 어느 하나에 해당하는 개인정보에 관하여는 제3장부터 제7장까지를 적용하지 아니한다.

1. 공공기관이 처리하는 개인정보 중 「통계법」에 따라 수집되는 개인정보

2. 국가안전보장과 관련된 정보 분석을 목적으로 수집 또는 제공 요청되는 개인정보

3. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보

4. 언론, 종교단체, 정당이 각각 취재ㆍ보도, 선교, 선거 입후보자 추천 등 고유 목적을 달성하기 위하여 수집ㆍ이용하는 개인정보

② 제25조제1항 각 호에 따라 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여 처리되는 개인정보에 대하여는 제15조, 제22조, 제27조제1항ㆍ제2항, 제34조 및 제37조를 적용하지 아니한다.

③ 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조, 제30조 및 제31조를 적용하지 아니한다.

④ 개인정보처리자는 제1항 각 호에 따라 개인정보를 처리하는 경우에도 그 목적을 위하여 필요한 범위에서 최소한의 기간에 최소한의 개인정보만을 처리하여야 하며, 개인정보의 안전한 관리를 위하여 필요한 기술적ㆍ관리적 및 물리적 보호조치, 개인정보의 처리에 관한 고충처리, 그 밖에 개인정보의 적절한 처리를 위하여 필요한 조치를 마련하여야 한다.

제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위

2. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위

3. 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출하는 행위

제60조(비밀유지 등) 다음 각 호의 업무에 종사하거나 종사하였던 자는 직무상 알게 된 비밀을 다른 사람에게 누설하거나 직무상 목적 외의 용도로 이용하여서는 아니 된다. 다만, 다른 법률에 특별한 규정이 있는 경우에는 그러하지 아니하다.

1. 제8조에 따른 보호위원회의 업무

2. 제33조에 따른 영향평가 업무

3. 제40조에 따른 분쟁조정위원회의 분쟁조정 업무

제61조(의견제시 및 개선권고) ① 행정자치부장관은 개인정보 보호에 영향을 미치는 내용이 포함된 법령이나 조례에 대하여 필요하다고 인정하면 보호위원회의 심의ㆍ의결을 거쳐 관계 기관에 의견을 제시할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 행정자치부장관은 개인정보 보호를 위하여 필요하다고 인정하면 개인정보처리자에게 개인정보 처리 실태의 개선을 권고할 수 있다. 이 경우 권고를 받은 개인정보처리자는 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 행정자치부장관에게 알려야 한다. <개정 2013.3.23., 2014.11.19.>

③ 관계 중앙행정기관의 장은 개인정보 보호를 위하여 필요하다고 인정하면 소관 법률에 따라 개인정보처리자에게 개인정보 처리 실태의 개선을 권고할 수 있다. 이 경우 권고를 받은 개인정보처리자는 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 관계 중앙행정기관의 장에게 알려야 한다.

④ 중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 그 소속 기관 및 소관 공공기관에 대하여 개인정보 보호에 관한 의견을 제시하거나 지도ㆍ점검을 할 수 있다.

제62조(침해 사실의 신고 등) ① 개인정보처리자가 개인정보를 처리할 때 개인정보에 관한 권리 또는 이익을 침해받은 사람은 행정자치부장관에게 그 침해 사실을 신고할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 행정자치부장관은 제1항에 따른 신고의 접수ㆍ처리 등에 관한 업무를 효율적으로 수행하기 위하여 대통령령으로 정하는 바에 따라 전문기관을 지정할 수 있다. 이 경우 전문기관은 개인정보침해 신고센터(이하 "신고센터"라 한다)를 설치ㆍ운영하여야 한다. <개정 2013.3.23., 2014.11.19.>

③ 신고센터는 다음 각 호의 업무를 수행한다.

1. 개인정보 처리와 관련한 신고의 접수ㆍ상담

2. 사실의 조사ㆍ확인 및 관계자의 의견 청취

3. 제1호 및 제2호에 따른 업무에 딸린 업무

④ 행정자치부장관은 제3항제2호의 사실 조사ㆍ확인 등의 업무를 효율적으로 하기 위하여 필요하면 「국가공무원법」 제32조의4에 따라 소속 공무원을 제2항에 따른 전문기관에 파견할 수 있다. <개정 2013.3.23., 2014.11.19.>

제63조(자료제출 요구 및 검사) ① 행정자치부장관은 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. <개정 2013.3.23., 2014.11.19.>

1. 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우

2. 이 법 위반에 대한 신고를 받거나 민원이 접수된 경우

3. 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우

② 행정자치부장관은 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다. <개정 2013.3.23., 2014.11.19.>

③ 관계 중앙행정기관의 장은 소관 법률에 따라 개인정보처리자에게 제1항에 따른 자료제출을 요구하거나 제2항에 따른 검사를 할 수 있다.

④ 행정자치부장관과 관계 중앙행정기관의 장은 개인정보처리자로부터 제출받거나 수집한 서류ㆍ자료 등을 이 법에 따른 경우를 제외하고는 제3자에게 제공하거나 일반에게 공개하여서는 아니 된다. <개정 2013.3.23., 2014.11.19.>

⑤ 행정자치부장관과 관계 중앙행정기관의 장은 정보통신망을 통하여 자료의 제출 등을 받은 경우나 수집한 자료 등을 전자화한 경우에는 개인정보ㆍ영업비밀 등이 유출되지 아니하도록 제도적ㆍ기술적 보완조치를 하여야 한다. <개정 2013.3.23., 2014.11.19.>

제64조(시정조치 등) ① 행정자치부장관은 개인정보가 침해되었다고 판단할 상당한 근거가 있고 이를 방치할 경우 회복하기 어려운 피해가 발생할 우려가 있다고 인정되면 이 법을 위반한 자(중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 제외한다)에 대하여 다음 각 호에 해당하는 조치를 명할 수 있다. <개정 2013.3.23., 2014.11.19.>

1. 개인정보 침해행위의 중지

2. 개인정보 처리의 일시적인 정지

3. 그 밖에 개인정보의 보호 및 침해 방지를 위하여 필요한 조치

② 관계 중앙행정기관의 장은 개인정보가 침해되었다고 판단할 상당한 근거가 있고 이를 방치할 경우 회복하기 어려운 피해가 발생할 우려가 있다고 인정되면 소관 법률에 따라 개인정보처리자에 대하여 제1항 각 호에 해당하는 조치를 명할 수 있다.

③ 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 그 소속 기관 및 소관 공공기관이 이 법을 위반하였을 때에는 제1항 각 호에 해당하는 조치를 명할 수 있다.

④ 보호위원회는 중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회가 이 법을 위반하였을 때에는 해당 기관의 장에게 제1항 각 호에 해당하는 조치를 하도록 권고할 수 있다. 이 경우 권고를 받은 기관은 특별한 사유가 없으면 이를 존중하여야 한다.

제65조(고발 및 징계권고) ① 행정자치부장관은 개인정보처리자에게 이 법 등 개인정보 보호와 관련된 법규의 위반에 따른 범죄혐의가 있다고 인정될 만한 상당한 이유가 있을 때에는 관할 수사기관에 그 내용을 고발할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 행정자치부장관은 이 법 등 개인정보 보호와 관련된 법규의 위반행위가 있다고 인정될 만한 상당한 이유가 있을 때에는 책임이 있는 자(대표자 및 책임있는 임원을 포함한다)를 징계할 것을 해당 개인정보처리자에게 권고할 수 있다. 이 경우 권고를 받은 사람은 이를 존중하여야 하며 그 결과를 행정자치부장관에게 통보하여야 한다. <개정 2013.3.23., 2013.8.6., 2014.11.19.>

③ 관계 중앙행정기관의 장은 소관 법률에 따라 개인정보처리자에 대하여 제1항에 따른 고발을 하거나 소속 기관ㆍ단체 등의 장에게 제2항에 따른 징계권고를 할 수 있다. 이 경우 제2항에 따른 권고를 받은 사람은 이를 존중하여야 하며 그 결과를 관계 중앙행정기관의 장에게 통보하여야 한다.

제66조(결과의 공표) ① 행정자치부장관은 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 보호위원회의 심의ㆍ의결을 거쳐 공표할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 관계 중앙행정기관의 장은 소관 법률에 따라 제1항에 따른 공표를 할 수 있다.

③ 제1항 및 제2항에 따른 공표의 방법, 기준 및 절차 등은 대통령령으로 정한다.

제67조(연차보고) ① 보호위원회는 관계 기관 등으로부터 필요한 자료를 제출받아 매년 개인정보 보호시책의 수립 및 시행에 관한 보고서를 작성하여 정기국회 개회 전까지 국회에 제출(정보통신망에 의한 제출을 포함한다)하여야 한다.

② 제1항에 따른 보고서에는 다음 각 호의 내용이 포함되어야 한다.

1. 정보주체의 권리침해 및 그 구제현황

2. 개인정보 처리에 관한 실태조사 등의 결과

3. 개인정보 보호시책의 추진현황 및 실적

4. 개인정보 관련 해외의 입법 및 정책 동향

5. 그 밖에 개인정보 보호시책에 관하여 공개 또는 보고하여야 할 사항

제68조(권한의 위임ㆍ위탁) ① 이 법에 따른 행정자치부장관 또는 관계 중앙행정기관의 장의 권한은 그 일부를 대통령령으로 정하는 바에 따라 특별시장, 광역시장, 도지사, 특별자치도지사 또는 대통령령으로 정하는 전문기관에 위임하거나 위탁할 수 있다. <개정 2013.3.23., 2014.11.19.>

② 제1항에 따라 행정자치부장관 또는 관계 중앙행정기관의 장의 권한을 위임 또는 위탁받은 기관은 위임 또는 위탁받은 업무의 처리 결과를 행정자치부장관 또는 관계 중앙행정기관의 장에게 통보하여야 한다. <개정 2013.3.23., 2014.11.19.>

③ 행정자치부장관은 제1항에 따른 전문기관에 권한의 일부를 위임하거나 위탁하는 경우 해당 전문기관의 업무 수행을 위하여 필요한 경비를 출연할 수 있다. <개정 2013.3.23., 2014.11.19.>

제69조(벌칙 적용 시의 공무원 의제) 행정자치부장관 또는 관계 중앙행정기관의 장의 권한을 위탁한 업무에 종사하는 관계 기관의 임직원은 「형법」 제129조부터 제132조까지의 규정을 적용할 때에는 공무원으로 본다. <개정 2013.3.23., 2014.11.19.>

제9장 벌칙

제70조(벌칙) 공공기관의 개인정보 처리업무를 방해할 목적으로 공공기관에서 처리하고 있는 개인정보를 변경하거나 말소하여 공공기관의 업무 수행의 중단ㆍ마비 등 심각한 지장을 초래한 자는 10년 이하의 징역 또는 1억원 이하의 벌금에 처한다.

제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.

1. 제17조제1항제2호에 해당하지 아니함에도 같은 항 제1호를 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알고 개인정보를 제공받은 자

2. 제18조제1항ㆍ제2항, 제19조, 제26조제5항 또는 제27조제3항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

3. 제23조를 위반하여 민감정보를 처리한 자

4. 제24조제1항을 위반하여 고유식별정보를 처리한 자

5. 제59조제2호를 위반하여 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

6. 제59조제3호를 위반하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출한 자

제72조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다.

1. 제25조제5항을 위반하여 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비추는 자 또는 녹음기능을 사용한 자

2. 제59조제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

3. 제60조를 위반하여 직무상 알게 된 비밀을 누설하거나 직무상 목적 외에 이용한 자

제73조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 1천만원 이하의 벌금에 처한다.

1. 제24조제3항, 제25조제6항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손당한 자

2. 제36조제2항을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니하고 개인정보를 계속 이용하거나 이를 제3자에게 제공한 자

3. 제37조제2항을 위반하여 개인정보의 처리를 정지하지 아니하고 계속 이용하거나 제3자에게 제공한 자

제74조(양벌규정) ① 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제70조에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인을 7천만원 이하의 벌금에 처한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.

② 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제71조부터 제73조까지의 어느 하나에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과(科)한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.

제75조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자에게는 5천만원 이하의 과태료를 부과한다.

1. 제15조제1항을 위반하여 개인정보를 수집한 자

2. 제22조제5항을 위반하여 법정대리인의 동의를 받지 아니한 자

3. 제25조제2항을 위반하여 영상정보처리기기를 설치ㆍ운영한 자

② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2013.8.6.>

1. 제15조제2항, 제17조제2항, 제18조제3항 또는 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자

2. 제16조제3항 또는 제22조제4항을 위반하여 재화 또는 서비스의 제공을 거부한 자

3. 제20조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자

4. 제21조제1항을 위반하여 개인정보를 파기하지 아니한 자

4의2. 제24조의2제1항을 위반하여 주민등록번호를 처리한 자

5. 제24조의2제2항을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자

6. 제24조제3항, 제25조제6항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자

7. 제25조제1항을 위반하여 영상정보처리기기를 설치ㆍ운영한 자

8. 제34조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자

9. 제34조제3항을 위반하여 조치 결과를 신고하지 아니한 자

10. 제35조제3항을 위반하여 열람을 제한하거나 거절한 자

11. 제36조제2항을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자

12. 제37조제4항을 위반하여 처리가 정지된 개인정보에 대하여 파기 등 필요한 조치를 하지 아니한 자

13. 제64조제1항에 따른 시정명령에 따르지 아니한 자

③ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다.

1. 제21조제3항을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자

2. 제22조제1항부터 제3항까지의 규정을 위반하여 동의를 받은 자

3. 제25조제4항을 위반하여 안내판 설치 등 필요한 조치를 하지 아니한 자

4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서에 의하지 아니한 자

5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자

6. 제27조제1항 또는 제2항을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자

7. 제30조제1항 또는 제2항을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자

8. 제31조제1항을 위반하여 개인정보 보호책임자를 지정하지 아니한 자

9. 제35조제3항ㆍ제4항, 제36조제2항ㆍ제4항 또는 제37조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자

10. 제63조제1항에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자

11. 제63조제2항에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자

④ 제1항부터 제3항까지의 규정에 따른 과태료는 대통령령으로 정하는 바에 따라 행정자치부장관과 관계 중앙행정기관의 장이 부과ㆍ징수한다. 이 경우 관계 중앙행정기관의 장은 소관 분야의 개인정보처리자에게 과태료를 부과ㆍ징수한다. <개정 2013.3.23., 2014.11.19.>

제75조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자에게는 5천만원 이하의 과태료를 부과한다.

1. 제15조제1항을 위반하여 개인정보를 수집한 자

2. 제22조제5항을 위반하여 법정대리인의 동의를 받지 아니한 자

3. 제25조제2항을 위반하여 영상정보처리기기를 설치ㆍ운영한 자

② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. <개정 2013.8.6., 2014.3.24.>

1. 제15조제2항, 제17조제2항, 제18조제3항 또는 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자

2. 제16조제3항 또는 제22조제4항을 위반하여 재화 또는 서비스의 제공을 거부한 자

3. 제20조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자

4. 제21조제1항을 위반하여 개인정보를 파기하지 아니한 자

4의2. 제24조의2제1항을 위반하여 주민등록번호를 처리한 자

5. 제24조의2제3항을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자

6. 제24조제3항, 제25조제6항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자

7. 제25조제1항을 위반하여 영상정보처리기기를 설치ㆍ운영한 자

8. 제34조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자

9. 제34조제3항을 위반하여 조치 결과를 신고하지 아니한 자

10. 제35조제3항을 위반하여 열람을 제한하거나 거절한 자

11. 제36조제2항을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자

12. 제37조제4항을 위반하여 처리가 정지된 개인정보에 대하여 파기 등 필요한 조치를 하지 아니한 자

13. 제64조제1항에 따른 시정명령에 따르지 아니한 자

③ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다.

1. 제21조제3항을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자

2. 제22조제1항부터 제3항까지의 규정을 위반하여 동의를 받은 자

3. 제25조제4항을 위반하여 안내판 설치 등 필요한 조치를 하지 아니한 자

4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서에 의하지 아니한 자

5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자

6. 제27조제1항 또는 제2항을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자

7. 제30조제1항 또는 제2항을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자

8. 제31조제1항을 위반하여 개인정보 보호책임자를 지정하지 아니한 자

9. 제35조제3항ㆍ제4항, 제36조제2항ㆍ제4항 또는 제37조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자

10. 제63조제1항에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자

11. 제63조제2항에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자

④ 제1항부터 제3항까지의 규정에 따른 과태료는 대통령령으로 정하는 바에 따라 행정자치부장관과 관계 중앙행정기관의 장이 부과ㆍ징수한다. 이 경우 관계 중앙행정기관의 장은 소관 분야의 개인정보처리자에게 과태료를 부과ㆍ징수한다. <개정 2013.3.23., 2014.11.19.>

[시행일 : 2016.1.1.] 제75조제2항제5호

제76조(과태료에 관한 규정 적용의 특례) 제75조의 과태료에 관한 규정을 적용할 때 제34조의2에 따라 과징금을 부과한 행위에 대하여는 과태료를 부과할 수 없다.

[본조신설 2013.8.6.]

부칙  <제12844호, 2014.11.19.>  (정부조직법)

제1조(시행일) 이 법은 공포한 날부터 시행한다. 다만, 부칙 제6조에 따라 개정되는 법률 중 이 법 시행 전에 공포되었으나 시행일이 도래하지 아니한 법률을 개정한 부분은 각각 해당 법률의 시행일부터 시행한다.

제2조부터 제5조까지 생략

제6조(다른 법률의 개정) ①부터 <55>까지 생략

<56> 개인정보 보호법 일부를 다음과 같이 개정한다.

제9조제1항, 제11조제1항, 제12조제1항, 제13조 각 호 외의 부분, 제24조의2제1항제3호, 제30조제4항, 제32조제1항 각 호 외의 부분 전단, 같은 조 제3항ㆍ제4항, 제33조제1항 전단ㆍ후단, 같은 조 제3항ㆍ제5항, 제34조제3항 전단ㆍ후단, 제34조의2제1항 본문, 같은 조 제2항 각 호 외의 부분, 같은 조 제3항 전단, 같은 조 제4항, 제35조제2항, 제40조제3항 각 호 외의 부분, 같은 조 제4항ㆍ제8항, 제61조제1항, 같은 조 제2항 전단ㆍ후단, 제62조제1항, 같은 조 제2항 전단, 같은 조 제4항, 제63조제1항 각 호 외의 부분, 같은 조 제2항 전단, 같은 조 제4항ㆍ제5항, 제64조제1항 각 호 외의 부분, 제65조제1항, 같은 조 제2항 전단ㆍ후단, 제66조제1항, 제68조제1항부터 제3항까지, 제69조 및 제75조제4항 전단 중 "안전행정부장관"을 각각 "행정자치부장관"으로 한다.

제18조제4항 중 "안전행정부령"을 "행정자치부령"으로 한다.

<57>부터 <258>까지 생략

제7조 생략

참고 3		의료분야 관련 법령

1		의료법

제17조(진단서 등)

①의료업에 종사하고 직접 진찰하거나 검안(檢案)한 의사[이하 이 항에서는 검안서에 한하여 검시(檢屍)업무를 담당하는 국가기관에 종사하는 의사를 포함한다], 치과의사, 한의사가 아니면 진단서·검안서·증명서 또는 처방전[의사나 치과의사가 「전자서명법」에 따른 전자서명이 기재된 전자문서 형태로 작성한 처방전(이하 "전자처방전"이라 한다)을 포함한다. 이하 같다]을 작성하여 환자(환자가 사망한 경우에는 배우자, 직계존비속 또는 배우자의 직계존속을 말한다) 또는 「형사소송법」 제222조제1항에 따라 검시(檢屍)를 하는 지방검찰청검사(검안서에 한한다)에게 교부하거나 발송(전자처방전에 한한다)하지 못한다. 다만, 진료 중이던 환자가 최종 진료 시부터 48시간 이내에 사망한 경우에는 다시 진료하지 아니하더라도 진단서나 증명서를 내줄 수 있으며, 환자 또는 사망자를 직접 진찰하거나 검안한 의사·치과의사 또는 한의사가 부득이한 사유로 진단서·검안서 또는 증명서를 내줄 수 없으면 같은 의료기관에 종사하는 다른 의사·치과의사 또는 한의사가 환자의 진료기록부 등에 따라 내줄 수 있다.

②의료업에 종사하고 직접 조산한 의사·한의사 또는 조산사가 아니면 출생·사망 또는 사산 증명서를 내주지 못한다. 다만, 직접 조산한 의사·한의사 또는 조산사가 부득이한 사유로 증명서를 내줄 수 없으면 같은 의료기관에 종사하는 다른 의사·한의사 또는 조산사가 진료기록부 등에 따라 증명서를 내줄 수 있다.

③의사·치과의사 또는 한의사는 자신이 진찰하거나 검안한 자에 대한 진단서·검안서 또는 증명서 교부를 요구받은 때에는 정당한 사유 없이 거부하지 못한다.

④의사·한의사 또는 조산사는 자신이 조산(助産)한 것에 대한 출생·사망 또는 사산 증명서 교부를 요구받은 때에는 정당한 사유 없이 거부하지 못한다.

⑤제1항부터 제4항까지의 규정에 따른 진단서, 증명서의 서식·기재사항, 그 밖에 필요한 사항은 보건복지부령으로 정한다.

제19조(비밀 누설 금지)

의료인은 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료·조산 또는 간호를 하면서 알게 된 다른 사람의 비밀을 누설하거나 발표하지 못한다.

제21조(기록 열람 등) ① 의료인이나 의료기관 종사자는 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 하여서는 아니 된다.  <개정 2009.1.30.>

② 제1항에도 불구하고 의료인이나 의료기관 종사자는 다음 각 호의 어느 하나에 해당하면 그 기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확인할 수 있게 하여야 한다. 다만, 의사·치과의사 또는 한의사가 환자의 진료를 위하여 불가피하다고 인정한 경우에는 그러하지 아니하다.  <개정 2009.1.30., 2010.1.18., 2011.4.7., 2011.12.31., 2012.2.1.>

1. 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 환자 본인의 동의서와 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

2. 환자가 지정하는 대리인이 환자 본인의 동의서와 대리권이 있음을 증명하는 서류를 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

3. 환자가 사망하거나 의식이 없는 등 환자의 동의를 받을 수 없어 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

4. 「국민건강보험법」 제14조, 제47조, 제48조 및 제63조에 따라 급여비용 심사·지급·대상여부 확인·사후관리 및 요양급여의 적정성 평가·가감지급 등을 위하여 국민건강보험공단 또는 건강보험심사평가원에 제공하는 경우

5. 「의료급여법」 제5조, 제11조, 제11조의3 및 제33조에 따라 의료급여 수급권자 확인, 급여비용의 심사·지급, 사후관리 등 의료급여 업무를 위하여 보장기관(시·군·구), 국민건강보험공단, 건강보험심사평가원에 제공하는 경우

6. 「형사소송법」 제106조, 제215조 또는 제218조에 따른 경우

7. 「민사소송법」 제347조에 따라 문서제출을 명한 경우

8. 「산업재해보상보험법」 제118조에 따라 근로복지공단이 보험급여를 받는 근로자를 진료한 산재보험 의료기관(의사를 포함한다)에 대하여 그 근로자의 진료에 관한 보고 또는 서류 등 제출을 요구하거나 조사하는 경우

9. 「자동차손해배상 보장법」 제12조제2항 및 제14조에 따라 의료기관으로부터 자동차보험진료수가를 청구받은 보험회사등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우

10. 「병역법」 제11조의2에 따라 지방병무청장이 징병검사와 관련하여 질병 또는 심신장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 징병검사대상자의 진료기록·치료 관련 기록의 제출을 요구한 경우

11. 「학교안전사고 예방 및 보상에 관한 법률」 제42조에 따라 공제회가 공제급여의 지급 여부를 결정하기 위하여 필요하다고 인정하여 「국민건강보험법」 제42조에 따른 요양기관에 대하여 관계 진료기록의 열람 또는 필요한 자료의 제출을 요청하는 경우

12. 「고엽제후유의증 환자지원 등에 관한 법률」 제7조제3항에 따라 의료기관의 장이 진료기록 및 임상소견서를 보훈병원장에게 보내는 경우

13. 「의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률」 제28조제3항에 따른 경우

14. 「국민연금법」 제123조에 따라 국민연금공단이 부양가족연금, 장애연금 및 유족연금 급여의 지급심사와 관련하여 가입자 또는 가입자였던 사람을 진료한 의료기관에 해당 진료에 관한 사항의 열람 또는 사본 교부를 요청하는 경우

③ 의료인은 다른 의료인으로부터 제22조 또는 제23조에 따른 진료기록의 내용 확인이나 환자의 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하여야 한다. 다만, 해당 환자의 의식이 없거나 응급환자인 경우 또는 환자의 보호자가 없어 동의를 받을 수 없는 경우에는 환자나 환자 보호자의 동의 없이 송부할 수 있다.  <개정 2009.1.30.>

④ 진료기록을 보관하고 있는 의료기관이나 진료기록이 이관된 보건소에 근무하는 의사·치과의사 또는 한의사는 자신이 직접 진료하지 아니한 환자의 과거 진료 내용의 확인 요청을 받은 경우에는 진료기록을 근거로 하여 사실을 확인하여 줄 수 있다.  <신설 2009.1.30.>

⑤ 의료인은 응급환자를 다른 의료기관에 이송하는 경우에는 지체 없이 내원 당시 작성된 진료기록의 사본 등을 이송하여야 한다.  <신설 2009.1.30.>

제22조(진료기록부 등)

①의료인은 각각 진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록(이하 "진료기록부등"이라 한다)을 갖추어 두고 그 의료행위에 관한 사항과 의견을 상세히 기록하고 서명하여야 한다.

②의료인이나 의료기관 개설자는 진료기록부등[제23조제1항에 따른 전자의무기록(電子醫務記錄)을 포함한다. 이하 제40조제2항에서 같다]을 보건복지부령으로 정하는 바에 따라 보존하여야 한다.

③의료인은 진료기록부등을 거짓으로 작성하거나 고의로 사실과 다르게 추가기재·수정하여서는 아니 된다

제33조(개설 등)

①의료인은 이 법에 따른 의료기관을 개설하지 아니하고는 의료업을 할 수 없으며, 다음 각 호의 어느 하나에 해당하는 경우 외에는 그 의료기관 내에서 의료업을 하여야 한다.

1. 「응급의료에 관한 법률」 제2조제1호에 따른 응급환자를 진료하는 경우

2. 환자나 환자 보호자의 요청에 따라 진료하는 경우

3. 국가나 지방자치단체의 장이 공익상 필요하다고 인정하여 요청하는 경우

4. 보건복지부령으로 정하는 바에 따라 가정간호를 하는 경우

5. 그 밖에 이 법 또는 다른 법령으로 특별히 정한 경우나 환자가 있는 현장에서 진료를 하여야 하는 부득이한 사유가 있는 경우

②다음 각 호의 어느 하나에 해당하는 자가 아니면 의료기관을 개설할 수 없다. 이 경우 의사는 종합병원·병원·요양병원 또는 의원을, 치과의사는 치과병원 또는 치과의원을, 한의사는 한방병원·요양병원 또는 한의원을, 조산사는 조산원만을 개설할 수 있다.

1. 의사, 치과의사, 한의사 또는 조산사

2. 국가나 지방자치단체

3. 의료업을 목적으로 설립된 법인(이하 "의료법인"이라 한다)

4. 「민법」이나 특별법에 따라 설립된 비영리법인

5. 「공공기관의 운영에 관한 법률」에 따른 준정부기관, 「지방의료원의 설립 및 운영에 관한 법률」에 따른 지방의료원, 「한국보훈복지의료공단법」에 따른 한국보훈복지의료공단

③제2항에 따라 의원·치과의원·한의원 또는 조산원을 개설하려는 자는 보건복지부령으로 정하는 바에 따라 시장·군수·구청장에게 신고하여야 한다.

④제2항에 따라 종합병원·병원·치과병원·한방병원 또는 요양병원을 개설하려면 보건복지부령으로 정하는 바에 따라 시·도지사의 허가를 받아야 한다. 이 경우 시·도지사는 개설하려는 의료기관이 제36조에 따른 시설기준에 맞지 아니하는 경우에는 개설허가를 할 수 없다.

⑤제3항과 제4항에 따라 개설된 의료기관이 개설 장소를 이전하거나 개설에 관한 신고 또는 허가사항 중 보건복지부령으로 정하는 중요사항을 변경하려는 때에도 제3항 또는 제4항과 같다.

⑥조산원을 개설하는 자는 반드시 지도의사(指導醫師)를 정하여야 한다.

⑦다음 각 호의 어느 하나에 해당하는 경우에는 의료기관을 개설할 수 없다.

1. 약국 시설 안이나 구내인 경우

2. 약국의 시설이나 부지 일부를 분할·변경 또는 개수하여 의료기관을 개설하는 경우

3. 약국과 전용 복도·계단·승강기 또는 구름다리 등의 통로가 설치되어 있거나 이런 것들을 설치하여 의료기관을 개설하는 경우

⑧제2항제1호의 의료인은 어떠한 명목으로도 둘 이상의 의료기관을 개설·운영할 수 없다. 다만, 2 이상의 의료인 면허를 소지한 자가 의원급 의료기관을 개설하려는 경우에는 하나의 장소에 한하여 면허 종별에 따른 의료기관을 함께 개설할 수 있다.

제40조(폐업·휴업 신고와 진료기록부등의 이관)

①의료기관 개설자는 의료업을 폐업하거나 1개월 이상 휴업하려면 보건복지부령으로 정하는 바에 따라 관할 시장·군수·구청장에게 신고하여야 한다.

②의료기관 개설자는 제1항에 따라 폐업 또는 휴업 신고를 할 때 제22조나 제23조에 따라 기록·보존하고 있는 진료기록부등을 관할 보건소장에게 넘겨야 한다. 다만, 의료기관 개설자가 보건복지부령으로 정하는 바에 따라 진료기록부등의 보관계획서를 제출하여 관할 보건소장의 허가를 받은 경우에는 직접 보관할 수 있다.

2		의료법 시행규칙

제13조의2(기록 열람 등의 요건)

①법 제21조제2항제1호에 따라 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속(이하 이 조에서 "친족"이라 한다)이 환자에 관한 기록의 열람이나 그 사본의 발급을 요청할 경우에는 다음 각 호의 서류를 갖추어 의료기관 개설자에게 제출하여야 한다.

1. 기록 열람이나 사본 발급을 요청하는 자의 신분증(주민등록증, 여권, 운전면허증 그 밖에 공공기관에서 발행한 본인임을 확인할 수 있는 신분증을 말한다. 이하 이 조에서 같다) 사본

2. 가족관계증명서, 주민등록표 등본 등 친족관계임을 확인할 수 있는 서류

3. 환자가 자필서명한 별지 제9호의2서식의 동의서. 다만, 환자가 만 14세 미만의 미성년자인 경우에는 제외한다.

4. 환자의 신분증 사본. 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 경우에는 제외한다.

②법 제21조제2항제2호에 따라 환자가 지정하는 대리인이 환자에 관한 기록의 열람이나 그 사본의 발급을 요청할 경우에는 다음 각 호의 서류를 갖추어 의료기관 개설자에게 제출하여야 한다.

1. 기록열람이나 사본발급을 요청하는 자의 신분증 사본

2. 환자가 자필 서명한 별지 제9호의2서식의 동의서 및 별지 제9호의3서식의 위임장. 이 경우 환자가 만 14세 미만의 미성년자인 경우에는 환자의 법정대리인이 작성하여야 하며, 가족관계증명서 등 법정대리인임을 확인할 수 있는 서류를 첨부하여야 한다.

3. 환자의 신분증 사본. 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 자는 제외한다.

③법 제21조제2항제3호에 따라 환자의 동의를 받을 수 없는 상황에서 환자의 친족이 환자에 관한 기록의 열람이나 그 사본 발급을 요청할 경우에는 별표 2의2에서 정하는 바에 따라 서류를 갖추어 의료기관 개설자에게 제출하여야 한다.

④환자가 본인에 관한 진료기록 등을 열람하거나 그 사본의 발급을 원하는 경우에는 본인임을 확인할 수 있는 신분증을 의료기관 개설자에게 제시하여야 한다.

제14조(진료기록부 등의 기재 사항) ① 법 제22조제1항에 따라 진료기록부·조산기록부와 간호기록부(이하 "진료기록부등"이라 한다)에 기록해야 할 의료행위에 관한 사항과 의견은 다음 각 호와 같다.

1. 진료기록부

가. 진료를 받은 사람의 주소·성명·연락처·주민등록번호 등 인적사항

나. 주된 증상. 이 경우 의사가 필요하다고 인정하면 주된 증상과 관련한 병력(病歷)·가족력(家族歷)을 추가로 기록할 수 있다.

다. 진단결과 또는 진단명

라. 진료경과(외래환자는 재진환자로서 증상·상태, 치료내용이 변동되어 의사가 그 변동을 기록할 필요가 있다고 인정하는 환자만 해당한다)

마. 치료 내용(주사·투약·처치 등)

바. 진료 일시(日時)

2. 조산기록부

가. 조산을 받은 자의 주소·성명·연락처·주민등록번호 등 인적사항

나. 생·사산별(生·死産別) 분만 횟수

다. 임신 후의 경과와 그에 대한 소견

라. 임신 중 의사에 의한 건강진단의 유무(결핵·성병에 관한 검사를 포함한다)

마. 분만 장소 및 분만 연월일시분(年月日時分)

바. 분만의 경과 및 그 처치

사. 산아(産兒) 수와 그 성별 및 생·사의 구별

아. 산아와 태아부속물에 대한 소견

자. 삭제

차. 산후의 의사의 건강진단 유무

3. 간호기록부

가. 간호를 받는 사람의 성명

나. 체온·맥박·호흡·혈압에 관한 사항

다. 투약에 관한 사항

라. 섭취 및 배설물에 관한 사항

마. 처치와 간호에 관한 사항

바. 간호 일시(日時)

② 의료인은 진료기록부등을 한글로 기록하도록 노력하여야 한다.

③ 보건복지부장관은 법 제22조에 따라 의료인이 진료기록부등에 기록하는 질병명, 검사명, 약제명 등 의학용어와 진료기록부등의 서식 및 세부내용에 관한 표준을 마련하여 고시할 수 있다.

제15조(진료에 관한 기록의 보존)

①의료기관의 개설자 또는 관리자는 진료에 관한 기록을 다음 각 호에 정하는 기간 동안 보존하여야 한다.

1. 환자 명부 : 5년

2. 진료기록부 : 10년

3. 처방전 : 2년

4. 수술기록 : 10년

5. 검사소견기록 : 5년

6. 방사선사진 및 그 소견서 : 5년

7. 간호기록부 : 5년

8. 조산기록부: 5년

9. 진단서 등의 부본(진단서·사망진단서 및 시체검안서 등을 따로 구분하여 보존할 것) : 3년

②제1항의 진료에 관한 기록은 마이크로필름이나 광디스크 등(이하 이 조에서 "필름"이라 한다)에 원본대로 수록하여 보존할 수 있다.

③제2항에 따른 방법으로 진료에 관한 기록을 보존하는 경우에는 필름촬영책임자가 필름의 표지에 촬영 일시와 본인의 성명을 적고, 서명 또는 날인하여야 한다.

제28조(의료기관 개설허가 사항의 변경허가)

①법 제33조제5항에 따라 의료기관의 개설허가를 받은 자가 그 개설 장소를 이전하거나 다음 각 호의 어느 하나에 해당하는 개설허가 사항의 변경허가를 받으려면 의료기관 개설허가증과 변경 사항을 확인할 수 있는 서류를 첨부하여 별지 제16호서식의 허가사항 변경신청서를 시·도지사에게 제출하여야 한다.

1. 의료기관 개설자의 변경 사항

2. 법 제3조제2항에 따른 의료기관의 종류 변경 또는 진료과목의 변동 사항

3. 진료과목 증감이나 입원실 등 주요시설 변경에 따른 시설 변동 내용

4. 의료기관의 명칭 변경 사항

5. 의료기관의 의료인 수

②시·도지사는 제1항에 따라 변경허가를 한 때에 의료기관 개설허가증을 고쳐쓸 필요가 있으면 이를 개서하여 주거나 재발급하여야 한다

제30조(폐업ㆍ휴업의 신고)

①법 제40조에 따라 의료기관의 개설자가 의료업을 폐업하거나 휴업하려면 별지 제18호서식의 신고서를 관할 시장·군수·구청장에게 제출하여야 한다.

②시장·군수·구청장은 매월의 의료기관 폐업신고의 수리 상황을 그 다음달 15일까지 보건복지부장관에게 보고하여야 한다.

③법 제33조제2항 및 제8항에 따라 의원·치과의원·한의원 또는 조산원을 개설한 의료인이 부득이한 사유로 3개월을 초과하여 그 의료기관을 관리할 수 없는 경우 그 개설자는 폐업 또는 휴업 신고를 하여야 한다.

④법 제40조제2항 단서에 따라 폐업 또는 휴업의 신고를 하는 의료기관 개설자가 진료기록부등을 직접 보관하려면 별지 제19호서식의 진료기록 보관계획서에 다음 각 호의 서류를 첨부하여 폐업 또는 휴업 예정일 전까지 관할 보건소장의 허가를 받아야 한다.

1. 진료기록부등의 종류별 수량 및 목록

2. 진료기록부등에 대한 체계적이고 안전한 보관계획에 관한 서류

3		국민건강보험법

제47조(요양급여비용의 청구와 지급 등) ① 요양기관은 공단에 요양급여비용의 지급을 청구할 수 있다. 이 경우 제2항에 따른 요양급여비용에 대한 심사청구는 공단에 대한 요양급여비용의 청구로 본다.

② 제1항에 따라 요양급여비용을 청구하려는 요양기관은 심사평가원에 요양급여비용의 심사청구를 하여야 하며, 심사청구를 받은 심사평가원은 이를 심사한 후 지체 없이 그 내용을 공단과 요양기관에 알려야 한다.

③ 제2항에 따라 심사 내용을 통보받은 공단은 지체 없이 그 내용에 따라 요양급여비용을 요양기관에 지급한다. 이 경우 이미 낸 본인일부부담금이 제2항에 따라 통보된 금액보다 더 많으면 요양기관에 지급할 금액에서 더 많이 낸 금액을 공제하여 해당 가입자에게 지급하여야 한다.

④ 공단은 제3항에 따라 가입자에게 지급하여야 하는 금액을 그 가입자가 내야 하는 보험료와 그 밖에 이 법에 따른 징수금(이하 "보험료등"이라 한다)과 상계(相計)할 수 있다.

⑤ 공단은 심사평가원이 제63조에 따른 요양급여의 적정성을 평가하여 공단에 통보하면 그 평가 결과에 따라 요양급여비용을 가산하거나 감액 조정하여 지급한다. 이 경우 평가 결과에 따라 요양급여비용을 가산하거나 감액하여 지급하는 기준은 보건복지부령으로 정한다.

⑥ 요양기관은 제2항에 따른 심사청구를 다음 각 호의 단체가 대행하게 할 수 있다.

1. 「의료법」 제28조제1항에 따른 의사회·치과의사회·한의사회·조산사회 또는 같은 조 제6항에 따라 신고한 각각의 지부 및 분회

2. 「의료법」 제52조에 따른 의료기관 단체

3. 「약사법」 제11조에 따른 약사회 또는 같은 법 제14조에 따라 신고한 지부 및 분회

⑦ 제1항부터 제6항까지의 규정에 따른 요양급여비용의 청구·심사·지급 등의 방법과 절차에 필요한 사항은 보건복지부령으로 정한다.

제48조(요양급여 대상 여부의 확인 등) ① 가입자나 피부양자는 본인일부부담금 외에 자신이 부담한 비용이 제41조제3항에 따라 요양급여 대상에서 제외되는 비용인지 여부에 대하여 심사평가원에 확인을 요청할 수 있다.

② 제1항에 따른 확인 요청을 받은 심사평가원은 그 결과를 요청한 사람에게 알려야 한다. 이 경우 확인을 요청한 비용이 요양급여 대상에 해당되는 비용으로 확인되면 그 내용을 공단 및 관련 요양기관에 알려야 한다.

③ 제2항 후단에 따라 통보받은 요양기관은 받아야 할 금액보다 더 많이 징수한 금액(이하 "과다본인부담금"이라 한다)을 지체 없이 확인을 요청한 사람에게 지급하여야 한다. 다만, 공단은 해당 요양기관이 과다본인부담금을 지급하지 아니하면 해당 요양기관에 지급할 요양급여비용에서 과다본인부담금을 공제하여 확인을 요청한 사람에게 지급할 수 있다.

4		국민건강보험법 시행규칙

제19조(요양급여비용의 청구) ① 법 제47조제1항에 따라 요양기관 또는 같은 조 제6항에 따른 대행청구단체가 요양급여비용을 청구하려면 요양급여비용 심사청구서에 급여를 받은 사람에 대한 요양급여비용 명세서를 첨부하여 심사평가원에 제출하여야 한다.

② 요양기관 또는 대행청구단체는 제1항에 따른 요양급여비용 명세서에 다음 각 호의 사항을 적어야 한다.

1. 가입자(지역가입자의 경우에는 세대주를 말한다)의 성명 및 건강보험증 번호

2. 요양급여를 받은 사람의 성명 및 주민등록번호

3. 질병명 또는 부상명

4. 요양 개시 연월일 및 요양 일수

5. 요양급여비용의 내용

6. 본인부담금 및 비용청구액

7. 처방전 내용 등

③ 요양급여비용의 청구방법, 요양급여비용 심사청구서 및 요양급여비용 명세서의 서식·작성요령, 그 밖에 요양급여비용의 청구에 필요한 사항은 보건복지부장관이 정하여 고시한다.

5		의료급여법

제11조(급여비용의 청구와 지급) ① 의료급여기관은 제10조에 따라 의료급여기금에서 부담하는 급여비용의 지급을 시장·군수·구청장에게 청구할 수 있다. 이 경우 제2항에 따른 심사청구는 시장·군수·구청장에 대한 급여비용의 청구로 본다.

② 제1항에 따라 급여비용을 청구하려는 의료급여기관은 급여비용심사기관에 급여비용의 심사청구를 하여야 하며, 심사청구를 받은 급여비용심사기관은 이를 심사한 후 지체 없이 그 내용을 시장·군수·구청장 및 의료급여기관에 알려야 한다.

③ 제2항에 따라 심사의 내용을 통보받은 시장·군수·구청장은 지체 없이 그 내용에 따라 급여비용을 의료급여기관에 지급하여야 한다. 이 경우 수급권자가 이미 납부한 본인부담금(제10조에 따라 수급권자가 부담하여야 하는 급여비용을 말한다. 이하 같다)이 과다한 경우에는 의료급여기관에 지급할 금액에서 그 과다하게 납부된 금액을 공제하여 수급권자에게 반환하여야 한다.

④ 시장·군수·구청장은 급여비용을 지급할 때에 제2항에 따른 급여비용심사기관이 의료급여의 적정 여부를 평가하여 시장·군수·구청장에게 알린 경우에는 그 평가결과에 따라 급여비용을 가산 또는 감액 조정하여 지급한다. 이 경우 평가결과에 따른 급여비용의 가감지급의 기준은 보건복지부령으로 정한다.

⑤ 의료급여기관은 제2항에 따른 심사청구를 다음 각 호의 단체가 대행하게 할 수 있다.

1. 「의료법」 제28조제1항에 따른 의사회·치과의사회·한의사회·조산사회 또는 같은 조 제6항에 따라 신고한 각각의 지부 및 분회

2. 「의료법」 제52조에 따른 의료기관단체

3. 「약사법」 제11조에 따른 대한약사회 또는 같은 법 제14조에 따라 신고한 지부 및 분회

⑥ 제1항부터 제5항까지에서 규정한 사항 외에 급여비용의 청구, 심사, 지급 등의 방법 및 절차에 필요한 사항은 보건복지부령으로 정한다.

⑦ 시장·군수·구청장은 「산업재해보상보험법」 제10조에 따른 근로복지공단이 이 법에 따라 의료급여를 받을 수 있는 사람에게 「산업재해보상보험법」 제40조에 따른 요양급여를 지급한 후 그 지급결정이 취소된 경우로서 그 요양급여 비용을 청구하는 경우에는 그 요양급여가 이 법에 따라 실시할 수 있는 의료급여에 상당한 것으로 인정되면 그 의료급여에 해당하는 금액을 지급할 수 있다.

6		산업안전보건법

제43조(건강진단) ① 사업주는 근로자의 건강을 보호·유지하기 위하여 고용노동부장관이 지정하는 기관 또는 「국민건강보험법」에 따른 건강검진을 하는 기관(이하 "건강진단기관"이라 한다)에서 근로자에 대한 건강진단을 하여야 한다. 이 경우 근로자대표가 요구할 때에는 건강진단 시 근로자대표를 입회시켜야 한다.  <개정 2010.6.4>

② 고용노동부장관은 근로자의 건강을 보호하기 위하여 필요하다고 인정할 때에는 사업주에게 특정 근로자에 대한 임시건강진단의 실시나 그 밖에 필요한 조치를 명할 수 있다.  <개정 2010.6.4>

③ 근로자는 제1항 및 제2항에 따라 사업주가 실시하는 건강진단을 받아야 한다. 다만, 사업주가 지정한 건강진단기관에서 진단 받기를 희망하지 아니하는 경우에는 다른 건강진단기관으로부터 이에 상응하는 건강진단을 받아 그 결과를 증명하는 서류를 사업주에게 제출할 수 있다.

④ 건강진단기관은 제1항 및 제2항에 따라 건강진단을 실시한 때에는 고용노동부령으로 정하는 바에 따라 그 결과를 근로자 및 사업주에게 통보하고 고용노동부장관에게 보고하여야 한다.  <개정 2010.6.4>

⑤ 사업주는 제1항·제2항 또는 다른 법령에 따른 건강진단 결과 근로자의 건강을 유지하기 위하여 필요하다고 인정할 때에는 작업장소 변경, 작업 전환, 근로시간 단축, 작업환경측정, 시설·설비의 설치 또는 개선, 그 밖에 적절한 조치를 하여야 한다.

⑥ 사업주는 제19조에 따른 산업안전보건위원회 또는 근로자대표가 요구할 때에는 직접 또는 건강진단을 한 건강진단기관으로 하여금 건강진단 결과에 대한 설명을 하도록 하여야 한다. 다만, 본인의 동의 없이는 개별 근로자의 건강진단 결과를 공개하여서는 아니 된다.

⑦ 사업주는 제1항 및 제2항에 따른 건강진단 결과를 근로자의 건강 보호·유지 외의 목적으로 사용하여서는 아니 된다.

⑧ 제1항에 따른 건강진단의 종류·시기·주기·항목·비용 및 건강진단기관의 지정·관리, 제2항에 따른 임시건강진단, 제5항에 따른 적절한 조치, 그 밖에 건강진단에 필요한 사항은 고용노동부령으로 정한다.  <개정 2010.6.4>

⑨ 고용노동부장관은 건강진단의 정확성과 신뢰성을 확보하기 위하여 건강진단기관의 건강진단·분석 능력을 평가하고, 평가 결과에 따른 지도·교육을 하여야 한다. 이 경우 평가 및 지도·교육의 방법·절차 등은 고용노동부장관이 정하여 고시한다.  <개정 2010.6.4>

⑩ 고용노동부장관은 건강진단의 수준향상을 위하여 건강진단기관 중 제1항에 따라 고용노동부장관이 지정하는 기관을 평가(제9항에 따른 평가를 포함한다)한 후 그 결과를 공표할 수 있다. 이 경우 평가 기준, 평가 방법 및 공표 방법 등에 관하여 필요한 사항은 고용노동부령으로 정한다.  <개정 2010.6.4>

⑪ 건강진단기관 중 제1항에 따라 고용노동부장관이 지정하는 기관에 관하여는 제15조의2를 준용한다.

7		산업안전보건법 시행규칙

제107조(건강진단 결과의 보존) 법 제64조제1항 단서에 따라 사업주는 제105조제3항에 따라 송부 받은 건강진단 결과표 및 법 제43조제3항 단서에 따라 근로자가 제출한 건강진단 결과를 증명하는 서류(이들 자료가 전산입력된 경우에는 그 전산입력된 자료를 말한다)를 5년간 보존하여야 한다. 다만, 고용노동부장관이 정하여 고시하는 물질을 취급하는 근로자에 대한 건강진단 결과의 서류 또는 전산입력 자료는 30년간 보존하여야 한다.

8		국세기본법

제85조의3(장부 등의 비치와 보존) ① 납세자는 각 세법에서 규정하는 바에 따라 모든 거래에 관한 장부 및 증거서류를 성실하게 작성하여 갖춰 두어야 한다.

② 제1항에 따른 장부 및 증거서류는 그 거래사실이 속하는 과세기간에 대한 해당 국세의 법정신고기한이 지난 날부터 5년간 보존하여야 한다. 다만, 제26조의2제1항제5호에 해당하는 경우에는 같은 호에 규정한 날까지 보존하여야 한다.

③ 납세자는 제1항에 따른 장부와 증거서류의 전부 또는 일부를 전산조직을 이용하여 작성할 수 있다. 이 경우 그 처리과정 등을 대통령령으로 정하는 기준에 따라 자기테이프, 디스켓 또는 그 밖의 정보보존 장치에 보존하여야 한다.

④ 제1항을 적용하는 경우 「전자문서 및 전자거래 기본법」 제5조제2항에 따른 전자화문서로 변환하여 같은 법 제31조의2에 따른 공인전자문서센터에 보관한 경우에는 제1항에 따라 장부 및 증거서류를 갖춘 것으로 본다. 다만, 계약서 등 위조·변조하기 쉬운 장부 및 증거서류로서 대통령령으로 정하는 것은 그러하지 아니하다.

9		감염병 예방 및 관리에 관한 법률

제11조(의사 등의 신고) ① 의사나 한의사는 다음 각 호의 어느 하나에 해당하는 사실(제16조제5항에 따라 표본감시 대상이 되는 감염병으로 인한 경우는 제외한다)이 있으면 소속 의료기관의 장에게 보고하여야 하고, 해당 환자와 그 동거인에게 보건복지부장관이 정하는 감염 방지 방법 등을 지도하여야 한다. 다만, 의료기관에 소속되지 아니한 의사 또는 한의사는 그 사실을 관할 보건소장에게 신고하여야 한다.  <개정 2010.1.18>

1. 감염병환자등을 진단하거나 그 사체를 검안(檢案)한 경우

2. 예방접종 후 이상반응자를 진단하거나 그 사체를 검안한 경우

3. 감염병환자등이 제1군감염병부터 제4군감염병까지에 해당하는 감염병으로 사망한 경우

② 제1항에 따라 보고를 받은 의료기관의 장은 제1군감염병부터 제4군감염병까지의 경우에는 지체 없이, 제5군감염병 및 지정감염병의 경우에는 7일 이내에 관할 보건소장에게 신고하여야 한다.

③ 육군, 해군, 공군 또는 국방부 직할 부대에 소속된 군의관은 제1항 각 호의 어느 하나에 해당하는 사실(제16조제5항에 따라 표본감시 대상이 되는 감염병으로 인한 경우는 제외한다)이 있으면 소속 부대장에게 보고하여야 하고, 보고를 받은 소속 부대장은 관할 보건소장에게 지체 없이 신고하여야 한다.

④ 제16조제1항에 따른 감염병 표본감시기관은 제16조제5항에 따라 표본감시 대상이 되는 감염병으로 인하여 제1항제1호 또는 제3호에 해당하는 사실이 있으면 보건복지부령으로 정하는 바에 따라 보건복지부장관 또는 관할 보건소장에게 신고하여야 한다.

⑤ 제1항부터 제4항까지의 규정에 따른 감염병환자등의 진단 기준, 신고의 방법 및 절차 등에 관하여 필요한 사항은 보건복지부령으로 정한다.

10		감염병 예방 및 관리에 관한 법률 시행규칙

제6조(의사 등의 감염병 발생신고) ① 법 제11조제1항 각 호 외의 부분 단서, 제2항 및 제3항에 따라 같은 조 제1항제1호 및 제3호에 해당하는 사실을 신고하려는 의사, 한의사, 의료기관의 장 또는 소속 부대장은 별지 제1호서식의 감염병 발생 신고서(전자문서로 된 신고서를 포함한다)를 감염병환자, 감염병의사환자 또는 병원체보유자(이하 "감염병환자등"이라 한다)의 소재지를 관할하는 보건소장에게 제출하여야 한다.

② 법 제11조제1항부터 제3항까지의 규정에 따라 보고 및 신고를 해야 하는 감염병은 제1군감염병부터 제5군감염병까지 및 지정감염병으로 한다.

③ 법 제11조제4항에 따라 같은 조 제1항제1호 및 제3호에 해당하는 사실을 신고하려는 감염병 표본감시기관은 질병관리본부장이 정하는 표본감시기관용 신고서(전자문서로 된 신고서를 포함한다)를 질병관리본부장 또는 감염병환자등의 소재지를 관할하는 보건소장에게 제출하여야 한다.

④ 법 제11조제5항에 따른 감염병의 진단 기준은 별표 2와 같으며, 그 밖의 세부 사항은 보건복지부장관이 정하여 고시한다.

11		성매개감염병 및 후천성면역결핍증 건강진단규칙

제7조(감염병환자의 발생 신고 등) 의료기관의 장은 제6조에 따라 건강진단을 실시한 결과 감염병환자가 발생한 경우에는 「감염병의 예방 및 관리에 관한 법률」 제11조에 따라 관할 보건소장에게 신고하고, 「의료법」 제22조에 따라 진료기록부 등을 기록·보존하여야 한다.

12		응급의료에 관한 법률

제11조(응급환자의 이송) ① 의료인은 해당 의료기관의 능력으로는 응급환자에 대하여 적절한 응급의료를 할 수 없다고 판단한 경우에는 지체 없이 그 환자를 적절한 응급의료가 가능한 다른 의료기관으로 이송하여야 한다.

② 의료기관의 장은 제1항에 따라 응급환자를 이송할 때에는 응급환자의 안전한 이송에 필요한 의료기구와 인력을 제공하여야 하며, 응급환자를 이송받는 의료기관에 진료에 필요한 의무기록(醫務記錄)을 제공하여야 한다.

③ 의료기관의 장은 이송에 든 비용을 환자에게 청구할 수 있다.

④ 응급환자의 이송절차, 의무기록의 이송 및 비용의 청구 등에 필요한 사항은 보건복지부령으로 정한다.

13		응급의료에 관한 법률 시행규칙

제4조(응급환자의 이송절차 및 의무기록의 이송) ① 의료인은 법 제11조에 따라 응급환자를 다른 의료기관으로 이송하는 경우에는 이송받는 의료기관에 연락하고, 적절한 이송수단을 알선하거나 제공하여야 한다.

② 의료인은 제1항에 따라 이송받는 의료기관에 대한 연락이나 준비를 할 수 없는 경우에는 법 제27조제1항에 따른 응급의료정보센터(이하 "정보센터"라 한다)나 「119구조ㆍ구급에 관한 법률」 제10조의2에 따른 119구급상황관리센터를 통하여 이송받을 수 있는 의료기관을 확인하고 적절한 이송수단을 알선하거나 제공하여야 한다.

③ 제1항과 제2항에 따라 응급환자를 이송하는 경우에 제공하여야 하는 의무기록은 다음 각 호와 같다.

1. 별지 제2호서식의 응급환자진료의뢰서

2. 검사기록 등 의무기록과 방사선 필름의 사본 그 밖에 응급환자의 진료에 필요하다고 판단되는 자료

[전문개정 2014.5.1.]

14		후천성면역결핍증 예방법

제5조(의사 또는 의료기관 등의 신고) ① 감염인을 진단하거나 감염인의 사체를 검안한 의사 또는 의료기관은 보건복지부령으로 정하는 바에 따라 즉시 진단·검안 사실을 관할 보건소장에게 신고하고, 감염인과 그 배우자(사실혼 관계에 있는 사람을 포함한다. 이하 같다) 및 성 접촉자에게 후천성면역결핍증의 전파 방지에 필요한 사항을 알리고 이를 준수하도록 지도하여야 한다. 이 경우 가능하면 감염인의 의사(意思)를 참고하여야 한다.

② 학술연구 또는 제9조에 따른 혈액 및 혈액제제(血液製劑)에 대한 검사에 의하여 감염인을 발견한 사람이나 해당 연구 또는 검사를 한 기관의 장은 보건복지부령으로 정하는 바에 따라 즉시 보건복지부장관에게 신고하여야 한다.

③ 감염인이 사망한 경우 이를 처리한 의사 또는 의료기관은 보건복지부령으로 정하는 바에 따라 즉시 관할 보건소장에게 신고하여야 한다.

④ 제1항 및 제3항에 따라 신고를 받은 보건소장은 특별자치시장·특별자치도지사·시장·군수 또는 구청장(자치구의 구청장을 말한다. 이하 같다)에게 이를 보고하여야 하고, 보고를 받은 특별자치시장·특별자치도지사는 보건복지부장관에게, 시장·군수·구청장은 특별시장·광역시장 또는 도지사를 거쳐 보건복지부장관에게 이를 보고하여야 한다.

15		후천성면역결핍증 예방법 시행규칙

제2조(의사 또는 의료기관 등의 신고) ① 「후천성면역결핍증 예방법」(이하 "법"이라 한다) 제5조제1항에 따라 감염인을 진단하거나 감염인의 사체를 검안한 의사 또는 의료기관은 다음 각 호의 사항을 별지 제1호서식에 따라 관할 보건소장에게 신고하여야 한다.

1. 감염인에 대한 진단방법, 주요 증상 및 주요 감염경로

2. 감염인에 대한 진단 및 초진연월일

3. 가검물번호

4. 감염인의 사망 및 검안연월일과 검안 내용(사체를 검안한 경우로 한정한다)

5. 진단한 의사의 성명과 그가 종사하는 의료기관의 주소 및 명칭

② 법 제5조제2항에 따라 학술연구 또는 혈액 및 혈액제제에 대한 검사에 의하여 감염인을 발견한 자나 해당 연구 또는 검사를 실시한 기관의 장은 다음 각 호의 사항을 별지 제1호의2서식에 따라 즉시 보건복지부장관에게 신고하여야 한다.  <개정 2010.3.19>

1. 연구 또는 검사의 방법 및 연구 또는 검사연월일

2. 연구 또는 검사자의 성명과 그가 종사하는 기관의 주소 및 명칭

③ 법 제5조제3항에 따라 감염인이 사망한 경우 이를 처리한 의사 또는 의료기관은 다음 각 호의 사항을 별지 제1호서식에 따라 즉시 관할 보건소장에게 신고하여야 한다.

1. 사망자의 성명·주민등록번호 및 주소

2. 사망연월일 및 사망 전의 주요증상

3. 사망 전 감염인을 진단한 의료기관의 명칭 및 소재지와 진단한 의사의 성명

④ 제1항부터 제3항까지의 규정에도 불구하고 필요한 경우 구두·전화 등의 방법으로 신고할 수 있되, 신고 후 지체 없이 별지 제1호서식 또는 별지 제1호의2서식에 따라 신고서를 제출하여야 한다.

16		혈액관리법

제10조(특정수혈부작용에 대한 조치) ① 의료기관의 장은 특정수혈부작용이 발생한 경우에는 보건복지부령으로 정하는 바에 따라 그 사실을 보건복지부장관에게 신고하여야 한다.

② 보건복지부장관은 제1항에 따라 특정수혈부작용의 발생신고를 받으면 그 발생 원인의 파악 등을 위한 실태조사를 하여야 한다. 이 경우 특정수혈부작용과 관련된 의료기관의 장과 혈액원등은 실태조사에 협조하여야 한다.

17		혈액관리법 시행규칙

제13조(특정수혈부작용의 신고 등) ① 의료기관의 장은 법 제10조제1항의 규정에 의하여 특정수혈부작용발생사실을 확인한 날부터 15일이내에 별지 제8호서식에 의하여 당해의료기관 소재지의 보건소장을 거쳐 특별시장·광역시장 또는 도지사(이하 "시·도지사"라 한다)에게 특정수혈부작용발생사실을 신고하여야 한다. 다만, 사망의 경우에는 지체없이 신고하여야 한다.

②시·도지사는 매월말 기준으로 별지 제9호서식의 특정수혈부작용발생현황보고서를 작성하여 다음달 10일까지 보건복지부장관에게 제출하여야 한다. 다만, 사망의 경우에는 지체없이 제출하여야 한다.

③ 법 제10조제2항에 따른 실태조사에는 다음 각 호의 내용이 포함되어야 한다.

1. 수혈자의 인적사항, 수혈기록 및 의무기록 조사

2. 헌혈자의 헌혈기록 및 과거 헌혈혈액 검사결과 조회

3. 수혈자 및 헌혈자의 특정수혈부작용 관련 진료내역 및 검사결과 확인

4. 헌혈혈액 보관검체 검사결과 확인

5. 헌혈자 채혈혈액 검사결과 확인

18		장기 등 이식에 관한 법률

제10조(국립장기이식관리기관) ① 장기등의 이식에 관한 사항을 적정하게 관리하기 위하여 장기이식관리기관(이하 "국립장기이식관리기관"이라 한다)을 두되, 국립장기이식관리기관은 보건복지부 소속 기관 중에서 보건복지부령으로 정하는 기관으로 한다.

② 국립장기이식관리기관의 업무는 다음 각 호와 같다.

1. 이식대상자의 선정

2. 장기등기증희망자의 등록 및 관리, 장기등기증자 및 장기등이식대기자의 인적사항과 신체검사결과에 관한 자료의 관리

3. 제13조에 따른 장기이식등록기관, 제16조에 따른 뇌사판정기관, 제19조에 따른 뇌사판정대상자관리전문기관, 제20조에 따른 장기구득기관 및 제25조에 따른 장기이식의료기관에 대한 지도·감독

4. 장기등의 적출 및 이식에 관한 조사·연구, 정보·통계의 관리 및 홍보

5. 그 밖에 장기등의 적출 및 이식에 관하여 대통령령으로 정하는 업무

③ 국립장기이식관리기관의 운영 등에 필요한 사항은 대통령령으로 정한다.