개인정보관련 주민번호 활용방법

주제	인터넷 진료예약 시 주민등록번호 요구 ------------------------------------
문제상황	00대학병원에서 인터넷 홈페이지에 진료예약 게시판을 운영하고 있는데, 환자는 예약게시판을 통해 희망진료일, 희망교수를 선택하고, 증상을 직접 입력할 수 있습니다. 병원의 전화예약센터 담당직원은 관리자모드로 홈페이지에 로그인하여 인터넷 예약을 처리하고 있습니다. 그러나 개인정보보호 관련 법률에 따라 홈페이지 회원가입 시 주민등록번호를 수집할 수 없게 되어 환자의 주민등록번호를 확인할 수가 없게 되었다고 합니다. 그 결과 예약게시판에 예약게시물이 게재되면 전화예약센터에서 환자에게 개별적으로 전화를 하고 주민등록번호를 문의하여 일일이 진료예약을 처리하고 있어 업무가 가중되었습니다. ---------------------------------
질문	병원 홈페이지 회원가입 시에 주민등록번호는 진료목적으로만 이용되고 저장되지 않으며, 진료예약업무담당자가 관리자모드로 로그인하는 경우에만 환자의 주민등록번호를 확인할 수 있다고 안내하는 경우에는 개인정보보호법에 저촉되지 않나요? ----------------------------
해결방법	병원이 환자의 대기시간 단축 등 원활한 진료를 목적으로 인터넷을 통하여 진료예약을 받는 경우에 해당 환자의 성명, 전화번호, 생년월일 등의 정보를 수집하는 것은 해당 환자와의 계약의 체결 및 이행을 위하여 필요한 범위 내 개인정보 수집으로 볼 수 있으나, 주민등록번호의 경우에는 해당 환자의 생년월일이나 전화번호 등을 통해 충분히 본인 식별이 가능하기 때문에 진료예약을 위해 반드시 수집하여야 하는 개인정보로 보기 어렵습니다. 따라서, 환자가 인터넷 홈페이지를 통해 진료예약을 하는 경우에는 해당 환자의 성명, 전화번호, 생년월일 등 최소한의 정보를 수집하고, 진료를 받기 위해 환자가 내원하는 경우에 주민등록번호 등 진료기록부 작성에 필요한 개인정보를 수집하는 형태로 병원의 내부업무 절차를 개선하여야 할 것입니다. ---------------
결론	병원은 목적에 필요한 최소한의 개인정보를 수집하여야 하므로, 홈페이지를 통한 회원가입이나 진료예약 시에는 환자의 주민등록번호를 수집하여서는 아니 될 것입니다.

=========================================================================================

개인정보 활용 동의서에 서명을 해야 진료 받을 수 있다?

주제	진료를 목적으로 개인정보 수집 시 동의 여부 -----------------------------------
문제상황	심한 일교차로 감기증상이 있어 집 근처 병원을 방문하였습니다. 진료 접수를 하려고 하는데 병원에서는 개인정보 활용 동의서에 서명을 해야만 진료를 받을 수 있다고 합니다. 환자의 동의가 없으면 환자의 이름, 주민등록번호 등 개인정보를 수집할 수 없고, 건강보험심사평가원에도 필요한 정보를 제공 할 수 없어 진료비 청구를 하지 못한다고 합니다. 또한 환자의 동의를 받지 않고 병원에서 환자의 개인정보를 수집하는 경우에는 처벌을 받는다고 합니다. --------------------------------------
질문	병원에서 진료를 받기 위해 반드시 개인정보 활용 동의서에 서명해야 하나요? -------------------------------------------------
해결방법	원칙적으로 개인정보를 수집·이용하기 위해서는 정보주체의 동의를 받아야 하나, 법률의 특별한 규정이 있거나 법령상 의무를 준수하기 위해 불가피한 경우에는 동의 없이 개인정보를 수집 및 이용할 수 있습니다. 의료법에 전화번호의 수집에 대해서는 명문의 규정이 없지만 환자의 진료예약시간 변경, 병원 휴진안내, 처방전 오류 등 진료와 관련하여 비상시 연락을 위해 환자의 전화번호가 필요하므로, 동의 없이 환자의 전화번호를 수집·이용할 수 있습니다. 다만, 환자의 동의 없이 수집한 개인정보는 반드시 환자의 진료와 관련하여 진료목적으로만 이용하여야 하며, 진료목적 범위를 벗어난 병원소식, 예방접종, 건강검진 안내 등 병원의 홍보목적으로 환자의 개인정보를 이용하기 위해서는 환자로부터 별도의 동의를 받아야 합니다. -----------------------------------------------------------------
결론	의료법에서 진료기록부 작성, 처방전 작성 및 교부, 의료행위 등을 규정하고 있으므로 진료목적에 필요한 성명, 주민등록번호, 주소 등의 개인정보는 환자의 동의가 없어도 수집·이용할 수 있습니다.

============================================================================================

병원 진료기록 삭제 요청하면 즉시 삭제 가능하다?

주제	병원의 개인정보 삭제 요청 가능 여부 --------------------------------------
문제상황	병원에 방문해서 진료를 받으려고 하니 주민등록번호, 성명, 주소 등을 물어봐서 알려주었습니다. 진료과정이나 서비스가 마음에 들지 않아 앞으로는 이 병원에 방문하지 않으려고 합니다. 그래서 병원에 주민등록번호와 개인정보를 삭제해달라고 요청하였는데, 병원은 보유하고 있는 개인정보를 삭제할 수 없으며, 10년간 보관해야 한다고 합니다. --------------------------------------
질문	개인정보보호법에 따라 환자가 개인정보 삭제요청을 한 경우 병원에서 삭제하지 않고 10년 동안 보관하는 것이 타당한가요? ----------------------------------
해결방법	개인정보보호법에 따라 정보주체는 자신의 개인정보에 대해서 삭제를 요청할 수 있습니다. 그러나 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있고 일정기간 보존하도록 규정하고 있는 경우, 개인정보처리자(병원)는 정보주체의 삭제요청이 있더라도, 법에서 정한 보유기간 동안 개인정보를 파기하지 않고 보존하여야 합니다. 병원은 의료법에 따라서 환자의 성명, 주소, 주민등록번호 등이 기재된 진료기록부를 작성해야 하고, 작성된 진료기록부를 의료법에 따라 최소한 10년간 보존해야 합니다. 다만, 의료기관이 10년 이상 보관하고 있는 진료기록에 대하여 환자가 자신의 개인정보 삭제를 요청하는 경우에는 의료법에서 따른 보존기간이 경과하였으므로, 삭제 등의 필요한 조치를 하여야 합니다. -------------------------------
결론	병원을 더 이상 이용할 계획이 없는 환자가 병원에 자신의 개인정보를 삭제해달라고 요청하는 경우에도 병원은 의료법에 따라 진료기록을 10년간 보존해야 합니다 따라서, 10년간은 진료기록부에 기재된 개인정보를 환자의 요청에 따라 삭제할 수 없습니다

===========================================================

의료기관이 외부 검사기관에 환자의 개인정보도 제공?

주제	개인정보 제3자 제공 또는 개인정보처리업무의 위탁 여부
문제상황	의료기관에서 입원 및 외래 환자의 정확한 검사를 위해 전문검사기관에 환자의 검사를 의뢰할 때 검사대상물과 환자의 개인정보를 전문검사기관에 제공하고, 전문검사기관은 검사결과를 의료기관에 회신하여 줍니다.
질문	의료기관이 외부 검사기관에게 검사를 의뢰하면서 환자의 개인정보를 제공하는 것은 개인정보의 제3자 제공에 해당되는지 아니면 개인정보처리업무의 위탁에 해당하는지요?
해결방법	개인정보의 제3자 제공은 제3자의 이익 또는 제3자의 업무를 처리할 목적을 위한 것이고, 개인정보가 제3자에게 제공된 이후에는 제3자가 자신의 책임 하에 개인정보를 처리합니다. 반면, 개인정보처리업무의 위탁은 개인정보처리자의 업무를 처리할 목적으로 개인정보가 수탁자에게 이전되고, 위탁 후 수탁자는 여전히 위탁자인 개인정보처리자의 관리·감독을 받습니다. 환자의 검사는 의료기관에서 수행되어야 하지만, 장비 및 인력 등의 이유로 외부 검사기관에 환자의 검사물과 개인정보를 제공하여 검사를 진행하는 것으로 개인정보처리가 수반되는 업무위탁에 해당합니다. 개인정보처리업무를 위탁하는 경우에는 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항, 개인정보의 기술적·관리적 보호조치에 관한 사항, 위탁업무의 목적 및 범위, 재 위탁 제한에 관한 사항, 개인정보의 관리 현황 등 감독에 관한 사항이 포함된 문서에 의하여야 하며, 위탁자는 위탁하는 업무의 내용과 수탁자를 인터넷 홈페이지에 지속적으로 공개하여야 합니다.
결론	환자의 검사를 의료기관에서 직접 수행하지 않고 외부 검사기관에 환자의 검사물과 개인정보를 제공하여 검사를 진행하는 것은 개인정보처리가 수반되는 업무위탁에 해당합니다.

=====================================================================================

연대보증인의 개인정보는 보호받을 수 없다?

주제	환자 연대보증인의 개인정보 수집
문제상황	병원에 입원한 환자에게 연락가능한 가족이나 지인이 없는 경우 환자의 의식불명, 사망 등으로 인하여 병원비를 받지 못하는 상황이 종종 발생합니다. 우리 병원에서는 환자가 입원하는 경우 병원비 등을 원활하게 징수하기 위해 내부 규정으로 연대보증인을 세우도록 하고 있습니다.
질문	이러한 경우 진료목적의 범위에 해당하는 것으로 보고 연대보증인의 동의 없이 주민등록번호를 포함한 개인정보의 수집·이용이 가능한가요?
해결방법	의료법에 따라 의료기관이 진료목적을 위해서는 환자의 개인정보를 동의 없이 수집할 수 있습니다. 그러나 진료비 수납을 위해 내부규정으로 연대보증인을 세우도록 하고 연대보증인의 개인정보를 수집하는 것은 환자의 진료와는 관련이 없으므로 연대보증인의 개인정보를 수집하기 위해서는 연대보증인의 동의를 받아야 합니다. 동의를 받을 때에는 수집·이용 목적, 수집하는 개인정보 항목, 보유 및 이용기간, 동의 거부권리 및 불이익의 내용을 연대보증인이 명확하게 인지할 수 있도록 알리고 연대보증인으로부터 동의의 의사표시를 확인하여야 합니다.
결론	연대보증인의 개인정보를 수집하기 위해서는 개인정보 보호법에 따라 동의를 받아야 하며, 연대보증인의 주민등록번호를 수집하기 위해서는 별도의 동의를 받아야 합니다.

========================================================================================

의료 기관에서 진료와 관련된 증빙서류 발급 시 환자 동의 필요하다?

주제	의료 기관에서 환자의 기록 제공 시 동의 여부
문제상황	병원에서는 진단서, 진료기록부 등 환자의 진료와 관련된 여러 증명서류를 발급하고 있습니다. 개인정보보호법에 따르면 환자 본인이 아닌 환자의 배우자, 부모, 자녀 등 가족에게 환자의 진료와 관련된 각종 증명서류를 발급하는 것은 ‘개인정보의 제3자 제공’에 해당되므로 정보주체인 환자 동의를 받아야 하는 것으로 알고 있습니다. 그런데 의료법에서는 진료기록 열람이나 사본 발급에 대해 동의서, 위임장, 가족관계증명서 등 별도의 절차를 규정하고 있습니다.
질문	병원에서 환자의 증명서류를 발급하는 경우, 의료법에 따른 절차 이외에 개인정보보호법에 따라서도 환자 본인의 동의를 받아야 하는 것인지요?
해결방법	개인정보보호법 제6조에 의하면 다른 법률에 특별한 규정이 있는 경우에는 해당 법률을 우선적으로 적용하도록 규정하고 있습니다. 이와 관련하여, 의료법(제21조)은 환자가 아닌 다른 사람에게 환자의 진료기록을 열람하게 하거나 사본을 발급하는 경우에 대한 구체적 허용 근거를 명시하고 있습니다. 특히 의료법은 환자의 배우자, 직계 존비속, 배우자의 직계 존속 등 환자의 친족이 기록 열람이나 사본 발급을 요청하는 경우에는 요청자의 신분증 사본, 가족관계증명서 등 친족관계 확인 서류, 환자 본인의 동의서와 신분증 사본 등 엄격한 절차와 구비서류를 규정하고 있습니다.(의료법 시행규칙 제13조의2)
결론	의료법에 따라 환자의 친족이 관련 서류를 구비하여 환자에 대한 진료기록 등을 열람하거나 사본 제출을 요구하는 경우에는 의료법에서 정한 요건이 우선 적용되며, 개인정보보호법에 따라 동의를 다시 받을 필요는 없습니다.

=================================================================================

의료기록 보관, 규모와 상관없이 보호조치 필요하다?

주제	개인정보 서류의 물리적 보호조치 방법
문제상황	의료기관에서는 환자의 진료 및 관리를 위해 의료법에 따라 진료기록부를 작성하고 별도의 시설·장소에 보관하고 있습니다. 규모가 작은 의원급 의료기관 등에서는 장소, 비용 등의 문제로 대부분 수납장 등에 진료기록을 보관하고 있고, 또 수시로 진료기록을 꺼내보는 경우가 많습니다.
질문	소규모의 의료기관에서 진료기록 등을 보관하는 경우 반드시 별도의 보관 시설·장소, 잠금장치 설치 등 물리적 조치를 취해야 하는지요?
해결방법	의료기관의 경우 그 업무의 특성상 수시로 의료기록을 꺼내보는 경우가 발생하므로, 일과 중에는 잠금장치를 열어둔 채 업무공간에서 쓸 수 있습니다. 다만 일과 후 이를 보관하는 경우에는 개인정보 보호를 위하여 반드시 물리적 보호조치를 취해야 합니다. 의원급 의료기관 등에서도 개인정보의 안전한 보관을 위해 보관시설을 마련하거나 잠금장치를 설치해야 합니다. 다만 물리적 보관 장소를 반드시 별도로 마련해야 한다는 의미는 아니며, 해당 개인정보처리자의 사정에 따라 수납장 등 보관 시설에 잠금장치를 설치하는 방법도 무방합니다.
결론	개인정보보호법 제29조, 개인정보의 안전성 확보조치 기준 고시 제10조에 따르면 비록 의원급 의료기관 등 소규모의 개인정보처리자라 하더라도 반드시 물리적 접근방지 조치를 취해야 합니다.

==========================================================

개인정보가 포함된 공공기록물은 함부로 파기해서는 안 된다?

주제	공공기관의 개인정보 파기 시 개인정보보호법 적용여부
문제상황	저는 공공 의료기관에서 근무하고 있는 의무기록사입니다. 국가기록원에서 공공기록물 관리에 관한 법률에 따라 의료원에 기록물관리 자격을 갖춘 전문요원을 배치하도록 하고, 2012년부터는 전문요원의 심사 없이는 기록물을 폐기해서는 안 된다는 공문을 받았습니다. 의료법과 개인정보보호법에 의하여 보관기간이 지난 의무기록을 파기하고자 하는데, 이런 경우 공공기록물 관리에 관한 법률에 따라 의료원에 전문요원을 배치하고 전문요원의 심사를 거친 후에 의무기록을 파기해야 하는지 아니면 즉시 파기하여야 하는지가 불분명합니다.
질문	공공기관에 해당하는 의료기관은 어느 법률에 따라 개인정보를 파기하여야 하나요?
해결방법	개인정보보호법에 따라 개인정보 보호에 대하여 다른 법률에서 특별하게 규정하고 있는 경우에는 해당 법률이 개인정보 보호법에 우선하여 적용됩니다. 따라서 공공의료기관이 보유하고 있는 의무기록 중에 공공기록물 관리에 관한 법률이 적용되는 공공기록물은 공공기록물 관리에 관한 법률에 따라 의료기관에 배치된 전문요원의 심사를 받은 후에 파기하여야 합니다.
결론	공공기록물 관리에 관한 법률의 적용을 받는 공공기록물은 공공기록물에서 정한 절차에 따라 파기해야 합니다.