제2023-013-163호

안건번호 : 제2023-013-163호
안건명 : 개인정보보호 처리실태 개선 권고에 관한 건
신청인 : 의료법인 (법인등록번호 : ) 대표자
의결연월일 : 2023. 7. 26.

1. 피심인 산하 종합병원에 대하여 다음과 같이 개선할 것을 권고한다.
가. 민감정보 등을 처리하는 개인정보처리시스템 접속이 가능한 PC 등을 설치한 장소에 대해서는 출입통제 절차를 수립ㆍ운영하여 개인정보 유출이 발생하지 않도록 할 것
나. 상기 개선 권고 통지를 받은 날로부터 60일 이내에 조치결과를 제출할 것

Ⅰ. 피심인의 일반 현황

피심인은 개인정보처리시스템( )으로 개인정보를 처리하는 「개인정보 보호법」(법률 제16930호, 이하 “보호법”이라 함) 제2조제5호에 따른 개인정보처리자인 종합병원을 운영하는 의료법인으로 일반현황은 다음과 같다.
< 일반현황 >
<img src="/LSW/flDownload.do?flSeq=147389211" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

개인정보보호위원회는 경찰의 의약품 판매질서 위반 관련 수사과정에서 환자정보 유출 사실이 확인된 피심인 산하 종합병원 현장조사 및 이와 관련된 제출자료를 토대로 조사한 결과, 다음과 같은 사실을 확인하였다.

1. 개인정보 유출 개요

가. 유출 규모 및 경위

○ (유출 규모) 피심인 산하 병원에서 ’19.1월부터 ’19.12월까지 2,366명의 환자정보*가 유출되었고, 이중 진료과와 처방코드는 민감정보에 해당한다.

* 성명, 환자등록번호, 생년월일, 나이, 성별, 처방일, 처방의, 진료과, 처방내역(수량, 용량, 횟수, 일수, 처방코드)

○ (유출 경위) 제약사 직원이 의사 대기실에 로그인되어 있는 직원전용 PC에서 환자정보를 촬영하거나 다운로드 후 외부로 전송하였다.

나. 유출 경과 및 대응
<img src="/LSW/flDownload.do?flSeq=147389213" alt="2번째 이미지"></img>
2. 행위사실

○ 물리적 공간 접근 통제를 소홀히 한 행위

- 피심인 산하 병원은 의사 대기실 출입통제를 소홀히 하여 로그인되어 있던 직원전용 PC를 통해 제약사 직원이 환자 정보를 외부로 전송한 사실이 있다.

3. 위법성 판단

○ 개인정보가 유출된 장소는 개인정보의 안전성 확보조치 기준(이하 '고시’) 제11조제1항에서 규정하는 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소가 아니라는 점에서 해당 장소에 대한 출입통제 절차를 수립ㆍ운영하지 않은 행위가 보호법 제23조제2항ㆍ제29조, 같은 법 시행령 제30조제1항제6호 및 고시 제11조제1항 위반에 해당한다고 보기는 어려우나,

- 민감정보 등을 포함한 다량의 개인정보가 처리되는 시스템에 접속할 수 있는 기기에 대한 권한 없는 자의 물리적 접근이 가능한 상황에 대한 개선이 필요한 것으로 판단된다.

Ⅲ. 개선권고

피심인 산하 종합병원이 개인정보처리시스템 접속이 가능한 장소에 대한 출입통제 절차를 수립ㆍ운영하지 않은 행위에 대해 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
<img src="/LSW/flDownload.do?flSeq=147389215" alt="3번째 이미지"></img>
Ⅳ. 결론

피심인 산하 종합병원에 대한 보호법 제61조(의견제시 및 개선권고) 제2항에 따른 개선권고를 주문과 같이 의결한다.