의료기관의 개인정보 보호 2015. 1. 23 의료기관정책과 박미라 서기관.

Presentation on theme: "의료기관의 개인정보 보호 2015. 1. 23 의료기관정책과 박미라 서기관."— Presentation transcript:

1 의료기관의 개인정보 보호 의료기관정책과 박미라 서기관

2 목 차 개인정보보호법 주요내용 진료신청 시 개인정보 처리기준 개인정보 처리단계별 조치기준 의료기관 개인정보보호 사례

3 Ⅰ. 개인정보보호법 주요내용

4 개인정보보호법 제정 및 시행 개인정보보호법은 약 350만개 모든 공공기관과 사업자를
개인정보보호 3.0 시대의 개막 개인정보보호법은 약 350만개 모든 공공기관과 사업자를 규율 대상으로 확대하여, 법 적용 사각지대 해소 대통령 소속으로 ‘개인정보보호위원회’를 구성하여, 주요 정책사안 심의 및 의결 ‘공공기관의 개인정보보호에 관한 법률’ 폐지와 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’의 일부조항 흡수 4

5 법률 적용대상 및 적용범위 확대 법 시행 이전 공공기관, 정보통신사업자, 신용정보 제공·이용자 등
분야별 개별법이 있는 경우에 한하여 개인정보보호 의무 적용 - 공공기관: 공공기관 개인정보보호법 - 정보통신사업자(영리사업자, 온라인 사업자): 정보통신망법 법 시행 이후 적용 대상 확대: 공공기관과 민간기관에 대한 통합 적용 - 국회·법원·헌법재판소·중앙선거관리위원회 등 공공기관 대상 확대 - 의료기관, 협회·동창회 등 비영리단체 대상 확대 - 온라인사업자에서 오프라인 사업자까지 대상 확대 적용범위 확대: 전자기록뿐 아니라 수기 기록 개인정보도 보호대상 확대 5

6 고유식별정보 처리 제한 법 시행 이전 주민등록번호 등 고유식별정보의 민간사용 사전적 제한 규정 없음
인터넷상에서 주민등록번호 외의 회원가입 방법 제공 의무화 (정보통신사업자 한정) 법 시행 이후 원칙적 처리금지 - 정보주체의 별도 동의, 법령의 근거가 있는 경우 등 예외 허용 인터넷상 주민등록번호 외 회원가입 방법 제공 의무화 대상 확대 (정보통신사업자 → 공공기관, 일 1만명 이상 개인정보처리자) 주민등록번호 등 고유식별정보 처리시 암호화 등 안전조치 확보의무 6

7 영상정보처리기기 규제 법 시행 이전 공공기관 설치·운영 폐쇄회로텔레비전(CCTV)
- 범죄예방 및 교통단속 등 공익을 위하여 필요한 경우 - 녹음기능, 임의조작 금지 법 시행 이후 공공기관에서 민간기관까지 확대 - 법령, 범죄예방·수사, 시설안전 및 화재예방, 교통단속 등 - 녹음기능, 임의조작 금지 규율대상 확대 - 기존 ‘폐쇄회로텔레비전(CCTV)’에서 네트워크카메라 포함 7

8 유출통지, 집단분쟁조정 및 단체소송 개인정보 유출사실 통지 의무화 집단분쟁조정도입(재판상 화해 효력 부여)
법 시행 이전 관련 제도 없음 법 시행 이후 개인정보 유출사실 통지 의무화 집단분쟁조정도입(재판상 화해 효력 부여) - 개인정보 피해가 대부분 ·소액 사건인 점 고려 단체소송(권리침해 중지) 도입 - 재산피해 단체소송은 제외 8

9 주민번호 수집 법정주의(법 개정) (개정전) 제24조 제1항 정보주체로부터 별도 동의를 받은 경우
법령에서 구체적으로 주민등록번호 처리를 요구ㆍ허용한 경우 (개정후) 제24조의2 제1항 법령(법률,시행령,시행규칙)에서 구체적으로 주민등록번호 처리를 요구ㆍ허 용한 경우 정보주체 또는 제3자의 급박한 생명, 신체, 재산ㆍ이익을 위해 명백히 필요하다고 인정되는 경우 기타 이에 준하는 경우로서 안전행정부령으로 정하는 경우 기 보유 주민번호 중 법령상 근거가 없는 경우 법 시행 후 2년 이내 파기(‘16.8.6) 9

10 주민번호 수집 법정주의(법 개정) 부칙 <법률 제12504호>, “법률 제11990호 개인정보 보호법 일부개정법률 제24조 의2 및 제75조제2항제5호의 개정규정은 2016년 1월 1일 부터 시행한다.” 제24조의2(주민등록번호 처리의 제한) 제75조(과태료) ② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다. <개정 > 5. 제24조의2제2항을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자 10

11 과징금 및 징계권고 제도(법 개정) 현행법 관련 제도 없음 개정법 제34조의 2, 제76조, 제65조
주민등록번호 분실 · 도난 · 유출 ·변조 또는 훼손된 경우 5억원 이하 과징금 부과 ·징수 단, 주민번호 안전성 확보조치 이행시 과징금 면제 과징금 부과한 행위에 대해 과태료 부과 금지(과태료 규정 적용 특례) 안전행정부장관의 징계 권고 대상에 개인정보처리자의 대표자(CEO) 및 책임 있는 임원이 포함되는 징계권고 제도 도입 11

12 개인정보보호법과 의료법 의료법과의 적용 관계 개인정보보호법은 일반법이므로 다른 법률에 특별한 규정이 있는
경우를 제외하고는 개인정보보호법 적용 의료법에 따른 진료기록부, 조산기록부, 간호기록부, 환자명부, 수술기록부, 처방전 등을 위한 개인정보 수집·열람·제공은 의료법 규정이 우선적용 의료법에 규정되어 있지 않은 사항은 개인정보보호법에 따라 처리 - 영상정보처리기기 설치운영 제한, 유출통지제, 집단분쟁조정제, 권리침해 중지 단체소송 등은 의료법 수범자에게도 모두 적용 12

13 Ⅱ. 진료신청 시 개인정보 처리기준

14 진료신청 시 개인정보 처리 1. 진료신청단계 ▶ 진료 신청 시 동의 없이 수집할 수 있는 개인정보
- 인터넷, 전화 등에 의한 진료 · 검사 예약 시 : “성명”, “주소”, “연락처”, “주민등록번호”(건강보험 가입여부 또는 건강검진 대상여부 확인 필요 시) ☞ 진료과목 추가 여부 검토 - 병원 내, 단순예약(시간약속)* 시 : “성명”, “주소”, “연락처”, “생년월일”(필요 시) ※ 예) 장례식장, 산후조리원 등 의료기관 부대시설 이용 및 단순 서류발급 예약 등 ☞ 개인정보 수집에 대한 “동의” 필요 및 “주민등록번호” 수집 금지 - 방문에 의한 진료·검사 신청 시 : “성명”, “주민등록번호”, “주소”, “전화번호”, “진료과목” 14

15 진료신청 시 개인정보 처리 2. 진료신청단계 ▶ 정보주체의 동의 없이 수집 가능한 진료목적의 범위
- 진료와 직접 관련된 진료신청, 진단, 검사, 치료, 수납 등 업무 - 진료신청 문자발송, 검사결과 통보 등의 업무 - 진료와 연결된 예방접종 - 병원 이전 또는 휴업에 관한 정보 ▶ 14세 미만의 경우 법정대리인의 동의를 받아 개인정보 수집 15

16 진료신청 시 개인정보 처리 2. 진료신청단계 ▶ 진료과정에서 환자 동의 없이 수집하는 개인정보
- 진료기록부: 성명, 주소, 연락처, 주민등록번호 등 인적 사항, 주된 증상(병력, 가족력 추가 기록 가능), 진단결과, 치료 내용, 진료 일시 - 처방전: 환자의 성명 및 주민등록번호, 처방의약품의 명칭·분량·용법 및 용량 등 ▶ 법률에 따른 의료인의 개인정보 제공 의무 - 진료환자의 진료기록의 송부( 환자나 환자 보호자의 동의를 받은 경우, 의료법 제21조) - 감염병 환자 등 신고(감염병 예방 및 관리에 관한 법률 제11조) - 응급환자의 이송(응급의료에 관한 법률 제11조) - 감염인 진단 검안사실의 신고(후천성면역결핍증예방법 제5조) - 특정수혈부작용 신고(혈액관리법 제10조) - 뇌사추정자 신고(장기 등 이식에 관한 법률 제17조) 16

17 진료신청 시 개인정보 처리 2. 진료신청단계 3. 처방단계 ▶ 법률의 규정에 따라 환자정보 제공 가능
- 국민건강보험공단,건강보험심사평가원, 법원, 국민연금공단, 보험회사 등 ▶ 의료법에 따른 보존기간이 경과하지 않은 개인정보는 삭제 요구 불가 3. 처방단계 ▶ 처방과정에서 처방전의 작성·교부·발급 - 환자정보 보호를 위한 안전성 확보조치 필요 ▶ 진료비 수납을 위한 최소한의 정보(카드번호, 카드승인번호 등)는 수집 가능 17

18 Ⅲ. 개인정보 처리 단계별 조치기준

19 개인정보의 수집·이용 (1) 동의 없이 수집·이용이 가능한 경우 공공부문
▶ 진료목적 개인정보는 환자의 동의 없이 수집·이용가능 진료신청서: 성명, 주민등록번호, 진료과목, 전화번호, 환자등록번호 등 선택진료신청서 진료기록부 조산기록부 간호기록부 환자명부 처방전 검사소견서 진단서 요양급여의뢰서 등 19

20 개인정보의 수집·이용 (2) 법률에 따른 의료인의 개인정보 제공 의무 공공부문
▶ 감염병 환자, 감염병 의사환자 또는 병원체 보유자 신고 의무 - 성명, 주민등록번호, 전화번호, 직업, 성별, 주소, 감염병명, 발병일 등 ▶ 응급환자 이송 의무 - 환자 성명․주민등록번호․주소, 응급처치 후 환자상태, 응급처치사항 등 ▶ 감염인 진단 검안사실 신고의무 - 사망자 성명․주민등록번호․주소, 검사소견, 추정감염경로 등 ▶ 특정수혈부작용 신고 의무 - 수혈자의 성명, 내원 당시 질환명, 수혈 의료기관명, 수혈 전 검사결과 등 ▶ 뇌사추정자 신고 의무 - 뇌사추정자의 성명, 생년월일 및 주소, 뇌사추정자의 상태 및 발생원인 20

21 개인정보의 수집·이용 (3) 동의를 받아야 수집·이용이 가능한 경우 ▶ 고객관리를 위한 개인정보는 별도의 동의 필요
수집목적: DM, SMS 등을 통한 홍보 및 마케팅 수집항목: 환자 인적사항 등 수집방법: 고객정보 수집 · 이용에 동의한 환자의 정보만 수집 ▶ 홈페이지 회원 개인정보 수집시, 정보주체의 동의 필요 수집목적: 홈페이지 회원관리 수집항목: 필수정보(성명, ID, 비밀번호), 선택정보(생년월일, 전화번호, 이메일, 관심정보 등) ※ 주의: 홈페이지 회원정보로 주민등록번호는 수집하지 않도록 해야 함 21

22 개인정보 보호 법령의 적용(1) ▶ 개인정보보호법은 개인정보 처리에 관한 사항을 규정한 일반법이나, ▶ 의료분야를 규율하는 법령 등에 환자나 의료기관 등의 개인정보 처리와 관련된 특별한 규정이 있으면 해당법령이 우선 적용 구 분 조치사항 적용법령 일반원칙 O 의료법, 국민건강보험법 등에 규정이 있는 경우 해당 법령을 우선 적용 - 규정이 없는 경우 개인정보보호법 적용 O 개인정보보호법을 적용 수집·이용 O 진료기록부, 조산기록부, 간호기록부, 환자명부, 처방전, 검사소견서 등은 동의 없이 수집·이용 - 홈페이지 회원정보는 반드시 동의 필요 O 의료법 제22조 - 의료법시행규칙 제15조 관리 O 위탁시 문서로 하고 위탁사실 공개 O 안전한 관리를 위한 보호조치 이행 - 비밀번호설정, 백신 설치, 암호화 등 O 개인정보 처리방침 수립·공개 O 개인정보보호법 제26조, 제29조, 제30조 22

23 개인정보 보호 법령의 적용(2) 구 분 조치사항 적용법령 제3자 제공 열람·정정 삭제 보관 및 파기
O 개인정보보호법에서 지정하는 경우*외에는 제공이나 열람할 수 없음 * 동의, 법률근거, 급박한 생명·신체의 이익 등 O 개인정보보호법 제18조 - 국민건강보험법 제47조 열람·정정 삭제 O 정보주체의 열람 등 요청이 있을 경우 10일 이내 처리 - 법에 따라 수집하는 정보는 정정·삭제 요청 불가 O 진료기록부는 환자의 배우자, 직계 존비속 등 가족도 열람,사본요청 가능(의료법 적용) O 개인정보보호법 제35조, 제36조 O 의료법 제21조 보관 및 파기 O 보유목적이 달성되면 파기 * 보유기간 : 환자명부 5년, 진료기록부 10년, 처방전 2년 등 O 개인정보보호법 제21조 - 국민건강보험법 시행규칙 제58조 - 의료법 제22조 23

24 개인정보 보호 법령의 적용(3) 구 분 조치사항 적용법령 유출, 침해 대응 폐업 영상정보 처리기기 운영
O 정보주체에게 유출사실을 알리고 1만건 이상 유출시 안전행정부 또는 전문기관(KISA, NIA)에 신고 O 개인정보보호법 제34조 폐업 O 민간 의료기관 개설자가 폐업 또는 휴업 신고를 할 때에는 기록·보존하고 있는 진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록을 관할 보건소장에게 이관 O 공공 의료기관이 폐업한 경우 그 사무를 승계하는 기관이 없을 때에는 폐업하는 의료기관의 장은 지체 없이 그 기관의 기록물을 소관 영구기록물관리기관으로 이관 O 의료법 제40조 영상정보 처리기기 운영 O 공개된 장소에 CCTV 설치시 안내판 설치 및 영상정보 안전관리 O 개인정보보호법 제25조 24

25 Ⅳ. 의료기관 개인정보보호 사례

26 1. 진료신청 시 개인정보 처리기준 인터넷 진료·검사 예약 시 주민등록번호를 요구하는 것이 개인정보보호법에 저촉되나요?
인터넷 진료·검사 예약 시 주민등록번호를 요구하는 것이 개인정보보호법에 저촉되나요? 인터넷 진료 ·검사 예약 시 환자의 성명, 연락처, 주민등록번호, 주소, 진료과목(검토 중) 수집 가능 단, 인터넷으로 수집한 주민등록번호는 암호화하여야 하며, 주민등록번호를 포함한 개인정보는 안전하게 보관하고 관리하여야 함 26

27 2. 진료신청 시 개인정보 처리기준 환자의 편의를 위해 진료·검사 예약 시 건강보험 가입여부 및 건강검진 대상 여부를 확인하여 안내하고 있는데 주민등록번호를 사용할 수 있나요? 인터넷, 전화 등을 통한 진료·검사예약 시 건강보험 가입여부, 건강검진 대상 여부 확인이 꼭 필요한 경우에는 국민건강보험법 등의 근거에 따라 주민등록번호 처리 가능 다만, 진료나 검진 목적의 의료기관 내원이 아닌 장례식장, 산후조리원 이용 및 단순 서류발급을 위한 예약 등 단순예약(시간약속)을 위한 주민등록번호의 수집·이용은 원칙적으로 허용되지 않음 27

28 3. 진료신청 시 개인정보 처리기준 병원에서 환자의 개인정보 수집 · 이용 동의서를 꼭 받아야 하는지? 받는다면 최초 방문 시에만 받으면 되는지? 의료기관에서 의료법에 근거하여 수집하는 개인정보는 수집 · 이용 동의서를 받을 필요가 없음 또한 동의를 받을 경우 최초 방문 시에만 받음 다만, 이후 이용 목적이 추가되거나 제3자 제공 등 처리 목적 등이 변경될 경우에는 별도의 동의를 받아야 함 28

29 [참고문헌] ▶ 안전행정부 개인정보보호 교육자료 (2014)
개인정보보호 종합 지원포털 ( ▶ 개인정보보호 가이드라인[의료기관 편] ( ) 29