의료기관 개인정보보호 가이드라인 수정안 나온다

• 복지부, 병협 포럼에서 개정방향 발표…이달 중순 확정

의료기관 개인정보보호 가이드라인이 의료인 및 직원, 환자의 개인정보보호를 강화하는 방안으로 개정작업이 이뤄지고 있다.

보건복지부 정채용 정보화담당관은 10일 대한병원협회가 주최한 '제5회 병원 의료정보화 협력 및 교류를 위한 발전 포럼'을 통해 의료기관 개인정보보호 가이드라인 개정방향을 소개했다.

대한병원협회가 10일 병원의료정보화 협력 및 교류를 위한 발전 포럼을 개최했다.

정 담당관은 "안전행정부와 공동으로 작업해서 보급한 버전 1.0 가이드라인은 현장에서 사용하는데 불편하다는 문제점이 제기됐다"며 "실제 환자가 병원에서 진료를 받고 퇴원하는 순간까지 일어나는 실제 사건, 업무를 중심으로 개인정보를 보호할 수 있는 방향으로 개정작업을 하고 있다"고 설명했다.

정 담당관은 "환자 이외 의료기관 종사자인 의료인, 직원 등의 개인정보도 보호받을 수 있도록 할 것"이라며 "7월 중순 쯤 행안부의 협조를 받아 확정된 가이드라인을 발표할 것"이라고 밝혔다.

200쪽 이상의 분량으로 제작되고 있는 확정 가이드라인은 의료기관에서 어려움을 겪고 있는 개인정보보호에 대한 사례 중심으로 구성될 예정이다.

◆신규 의료기관 가이드라인 특징=신규 가이드라인은 의료기관 개인정보 처리 기준, 환자정보 처리기준, 영상정보처리기기 설치·운영, 의료인력 개인정보 처리 기준 등으로 구성된다.

특히 의료정보 처리에 있어 수집·이용단계, 제3자 제공단계, 위탁단계, 파기단계 등 처리단계별에 따라 조치해야 하는 방안이 상세히 제공된다.

의료정보 보호를 위한 안전성 확보 조치안도 마련됐다. 상시 근로자수 5인 이상 의료기관은 내부관리계획을 수립해야 한다.

정보 접근 권한은 최소 권한으로 부여하고, 기록은 3년간 보관할 수 있다. 비밀번호는 일정 횟수 이상 비밀번호 입력 오류시 계정잠금을 통해 무작위 대입 공격을 차단해야 한다.

영상정보처리기기 설치·운영에 대해서도 정확히 명기됐다. 의료기관의 경우 출입이 제한된 진료실, 처치실, 수술실, 입원실, 행정사무실 등 비공개 장소에 CCTV를 설치할 수 있지만, 개인영상을 수집할 경우 정보주체의 수집·이용 동의가 있어야 한다.

공개된 장소에 설치된 CCTV는 임의조작이나 다른곳을 비춰서 안되며, 녹음기능 사용이 불가하다.

개인정보 유출이 확인될 경우 확인한 때로부터 5일이내 통지하고 1만건 이상 유출되면 5일 이내 복지부에 보고, 안행부 신고가 이뤄져야 한다.

보건복지부가 발표한 의료기관 개인정보보호 가이드라인 개정방향 책자

◆개인정보보호 Q&A

Q)개인정보 동의서를 자필 사인이 아닌 카드 결제 사인으로 대체 가능한가 A)개인정보 동의는 수집목적, 항목, 보유기간 등을 고지한 후 별도로 동의를 득해야 하며 타업무 서명을 활용할 수 없다.

Q)네트워크병원 A지점 의사가 B지점에 파견진료시 환자를 진료한 후 해당 환자가 A지점에서 동일한 의료인으로부터 진료 받을때 환자의 동의를 받아 진료기록을 확인해야 하나 A)환자, 보호자 동의를 얻어야 한다. 다만 해당환자의 의식이 없거나 응급환자인 경우나 환자 보호자가 없어 동의를 받을 수 없는 경우 동의 없이 송부 가능하다.

Q)홈페이지 비밀번호를 전화로 문의시 본인 확인은 어느수준까지 해야 하나 A)본인확인을 거쳐 알려줄 수 없는 개인정보다. 임시로 비밀번호를 부여해 '비밀번호 작성규칙'에 따라 본인이 직접 비밀번호를 새로이 작성한 후 이용하도록 해야 한다.

Q)병원에서 보호자에게 환자에 대한 상태를 설명할 때도 환자 동의를 얻어야 하나 A)환자 이외 사람에게 환자의 건강상태를 제공하면 안되지만, '열람 또는 사본의 교본 등 허용 사유' 가운데 어느 하나에 해당하는 경우 환자에 대한 기록을 열람하거나 그 사본을 교부받는 등 내용을 확인할 수 있다.

Q)대학병원에서 전공의, 인턴 수련 목적으로 비진료인력 참관하는 경우와 실습학생 등이 실습참관을 할 경우 환자 동의를 받아야 하는가 A)의료행위 보조자로서 의학 등 전공학생은 지도교수 또는 의료인의 지도, 감독을 받아 법령이 인정하는 의료행위는 환자의 동의를 받지 않고도 참관 및 의료행위를 할 수 있다.

Q)전화로 병원에 입원하고 있는지 여부를 문의받을 경우 알려줘도 되는가 A)환자의 입원정보는 개인정보로서 동의 없이 알려주는 것은 허용되지 않는다. 다만 개인정보보호법 제18조제2항에 따른 '목적 외 제3자 제공 허용사유' 사운데 어느 하나에 해당하는 경우에 한해 알려줄 수 있다.