개정 개인정보보호법 시행으로 의료기관도 조심해야 할 부분이 많아진 가운데, 진료관련 개인정보 단계별 처리ㆍ관리법이 소개돼 눈길을 끈다.
법무법인 화우 이광욱 변호사는 지난 21일 코엑스에서 열린 ‘메디컬 코리아&케이 호스피털 페어(Medical Korea&K-Hospital Fair)’에서 개인정보 처리시 의료기관이 유의할 점에 대해 강의했다.
앞서 지난 2014년 8월 7일부터 시행 중인 개정 개인정보보호법에 따라 법령상 근거 없이 불필요하게 주민등록번호를 수집하는 행위가 엄격히 제한되고 있다.
하지만 의료기관의 경우 의료법에 따라 진료목적으로는 환자의 동의 없이도 주민번호를 비롯한 개인정보를 수집할 수 있다.
이광욱 변호사는 진료신청 단계에서의 개인정보 처리와 관련, 인터넷ㆍ전화 등을 통한 진료ㆍ검사 예약시 ▲환자 이름 ▲주민등록번호 ▲주소 ▲전화번호 ▲진료과목 등의 개인정보는 환자의 동의 없이 수집할 수 있다고 밝혔다. 단, 단순예약이나 시간약속을 목적으로는 주민번호를 수집할 수 없으며, 주민번호는 암호화를 해야 한다.
진료ㆍ검사 예약이 아닌 홍보 등 목적의 개인정보 수집에는 정보주체의 동의가 필요하며, 통화시에는 정보주체에게 녹취사실을 알리고 통화내용을 녹취하는 것이 좋다. 이는 의무는 아니지만 행정자치부 권고 사항으로, 일정시간이 지나면 폐기하면 된다.
방문에 의한 진료 신청시 역시 ▲환자 이름 ▲주민등록번호 ▲주소 ▲전화번호 ▲진료과목은 동의 없이 수집이 가능하다. 다만, 진료목적 이외의 최신 의학정보나 각종 건강행사 등 의료기관이 홍보를 위한 서비스를 제공하기 위해서는 정보주체의 별도 동의를 받아야 한다.
여기서 말하는 ‘진료목적’의 범위는 ▲진료와 직접 관련된 진료 신청, 진단, 검사, 치료, 수납 등 업무 ▲진료신청 문자발송, 검사결과 통보 등의 업무 ▲진료와 연결된 예방접종(일반적 접종 안내는 진료목적에 포함되지 않음) ▲병원 이전 또는 휴업에 관한 정보(각종 검사 등과 연결되므로 진료목적의 범위에 속함) 등이다.
또한 이 변호사는 진료단계에서의 개인정보 처리에 대해서는 ▲진료기록부 ▲조산기록부 ▲간호기록부 ▲환자명부 ▲수술기록부 ▲처방전은 민감정보에 해당돼 규제가 강한 편이지만, 의료법에 근거가 있기 때문에 동의없이 수집이 가능하다고 설명했다.
법률에 근거하지 않은 개인정보를 수집하기 위해서는 환자의 동의를 받아야 하며, 동의를 받을 때는 ▲개인정보의 수집ㆍ이용 목적 ▲수집하려는 개인정보 항목 ▲개인정보 보유 및 이용기간 ▲동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 알려야 한다.
특별한 규정에 의한 개인정보의 처리도 있다.
의료법 제21조(환자의 진료기록의 내용 확인 등)에 따르면, 의료인은 자신이 진료했거나 진료하고 있는 환자의 진료기록의 내용 확인 또는 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부해야 한다.
감염병 예방관리법 제11조(감염병환자 등 신고)는 소속 의료기관장에게 보고, 의료기관장은 관할 보건소장에게 신고하도록 명시하고 있다.
이외에도 응급의료법 제11조에 따른 응급환자의 이송 시에도 예외규정에 의해 개인정보가 처리된다.
이 변호사는 처방 단계 이후의 개인정보 처리와 관련, 처방전 기재사항은 의료법 등 근거가 있으므로 동의 없이도 가능하며, 진료비 수납시 카드사 및 카드번호, 카드승인번호를 수집할 수 있다고 설명했다.
다만 그는, 실무에서는 단계별로 개인정보 처리조항을 나누기 어려우니 최초 내원시 환자에게 ‘개인정보 처리 동의서’를 받는 것이 가장 안전하고 확실한 방법이라고 조언했다.
의료기관의 복도, 계단, 주차장 등 불특정 다수가 통제받지 않고 다닐 수 있는 공개된 장소에 영상정보처리기기(CCTV)를 설치ㆍ운영할 때는 정보주체가 쉽게 알아볼 수 있도록 안내판을 설치해야 한다.
안내판에는 ▲설치 목적 및 장소 ▲촬영 범위 및 시간 ▲관리책임자 성명(또는 직책) 및 연락처 ▲(영상정보처리기기 설치ㆍ운영을 위탁한 경우) 수탁관리자 성명(또는 직책)ㆍ업체명 및 연락처를 기재해야 한다.
의료기관의 진료실, 처치실, 수술실, 입원실, 행정사무실, 의무기록실, 전산소 등 비공개 장소에서는 안내판 설치만 해서는 안 되고, 반드시 정보주체의 수집ㆍ이용 동의를 받아야 한다.
동의를 받을 때에는 영상정보 수집의 목적, 보유기간 등을 알리고 동의를 받아야 하며, 반드시 수집 목적으로만 이용해야 한다.
한편, 환자의 개인정보는 관리적ㆍ기술적ㆍ물리적 보호조치를 통해 안전하게 보관해야 한다.
상시 근로자가 5인 이상인 경우 내부관리 계획을 수립ㆍ시행해야 하며, 개인정보 보호책임자를 지정하고, 개인정보 처리방침 수립 공개 등을 실시해야 한다.
또, 개인정보 처리방침은 환자가 쉽게 볼 수 있도록 의료기관의 홈페이지 또는 의료기관 내 보기 쉬운 장소에 게시하는 등의 방법으로 공개해야 한다.
보존기간이 경과하고 수집ㆍ이용목적이 달성된 개인정보는 보존기간의 종료일 또는 개인정보의 처리가 불필요한 것으로 인정되는 날로부터 5일 이내에 파기해야 한다.
이 변호사는 개인정보 관리 안전성 확보 조치 중 관리적 조치(내부관리계획 수립ㆍ시행) 및 물리적 조치(보관시설, 잠금장치)는 어렵지 않은 사항이며, 특히 문제가 발생했을 때 형사처벌을 경감받기 위해서는 형식적으로라도 ‘내부관리계획’을 수립해 놔야 한다고 강조했다.
기술적 조치(접근권한 관리, 비밀번호 관리, 접근통제 시스템 설치ㆍ운영, 개인정보 암호화, 접속기록 보관 및 위ㆍ변조 방지, 보안 프로그램 설치ㆍ운영)의 경우 돈이 많이 들기 때문에 선택사항인데, 이를 시행하지 않을 경우 문제가 될 소지가 있다고 덧붙였다.