개인정보보호위원회
심의ㆍ의결
제2024-001-003호
의료분야 개인정보 보호조치 개선권고에 관한 건
의결일: 2024년 1월 10일
요지
안건번호 : 제2024-001-003호
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
주문
1. 피심인에 대하여 개인정보 보호법
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 전자의무기록(Electronic Medical Record) 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
나. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 전자의무기록(Electronic Medical Record) 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다.
다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 전자의무기록(Electronic Medical Record) 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
나. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 전자의무기록(Electronic Medical Record) 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다.
다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
이유
Ⅰ. 기초 사실
피심인은 영리를 목적으로 의료기관에게 클라우드형 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 정보통신서비스제공자이면서, 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147392313" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 클라우드형 EMR 시스템인 ’ ' 서비스를 제공ㆍ운영하면서 EMR 기능제공 및 서비스 운영의 목적으로 의료기관으로부터 환자 개인정보를 위탁받아 처리하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. EMR 시스템을 통해 환자 개인정보 삭제기능을 제공하지 않은 사실
피심인은 의료기관(민간부문)에게 EMR 시스템을 제공하면서 보관기간이 경과한 환자 개인정보 삭제 기능을 제공하지 않고, 의료기관의 요청을 받을 경우 원격으로 개인정보를 파기하는 정책을 운영한 사실이 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실
피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유를 입력하는 기능을 제공하지 않은 사실이 있다.
또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템에 접근시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용한 사실이 있다.
또한, 피심인은 의료기관(민간부문)의 개인정보취급자가 EMR 시스템을 통해 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않은 사실이 있다.
Ⅲ. 개선방안
1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.“라고 규정하고 있다.
나. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.
한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제5조제6항은 “개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.”고 규정하고 있다.
한편, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용ㆍ분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다”라고 규정하고 있다.
舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있다. 또한, 제5조제6항에 대하여는 “개인정보처리자는 개인정보처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위하여 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우에는 개인정보처리시스템에 접근을 제한하는 등 기술적 조치를 하여야 한다. 계정정보 또는 비밀번호를 일정 횟수(예: 5회) 이상 잘못 입력한 경우 사용자계정 잠금 등의 조치를 취하거나 계정정보나 비밀번호 입력과 동시에 추가적인 인증수단(인증서, OTP 등)을 적용하여 정당한 접근권한이 있는 자임을 확인하는 등의 조치를 취하는 것을 말한다. 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우에도 반드시 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치가 필요하다.”라고 설명하고 있다.
또한, 고시 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드 한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.
한편, 舊 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드한 경우 사유 확인” 등을 들고 있다.
2. 개선 방안
가. EMR 시스템을 통한 개인정보 삭제 기능을 제공하지 않은 사실 관련
{舊 보호법 제21조(파기)}
의료기관은 보관기간이 경과한 환자의 개인정보를 관련 법령에 따라 처리한 후 파기할 의무가 있고, 의료기관이 보관 중인 개인정보는 환자의 건강정보를 포함하여 민감한 정보가 포함되어 있으므로, 의료기관에 EMR 시스템을 제공하는 피심인은 의료기관이 EMR 시스템을 통해 환자 개인정보를 적시에 삭제할 수 있도록 관련 기능을 제공할 필요가 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한, 접속기록}
의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.
피심인은 EMR 시스템을 통해 의료기관의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하여 3년간 보관하도록 하나, 권한 발급 사유를 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유 등을 포함하도록 기능을 개선할 필요가 있다.
또한, 피심인이 의료기관의 개인정보취급자가 EMR 시스템에 접근 시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용하여 개인정보처리시스템에 권한없는 자의 비정상적인 접근을 방지하기 어려우므로, 관련 기능을 개선할 필요가 있다.
또한, 피심인이 의료기관의 개인정보취급자가 개인정보를 다운로드할 경우 그 사유를 입력하는 기능을 제공하지 않아, 비인가된 개인정보 처리나 대량의 개인정보 조회 등의 비정상 행위를 탐지하고 적절한 대응조치를 하기 어려우므로, 다운로드 정보주체의 수, 일정기간 내 다운로드 횟수, 업무시간 외 다운로드 수행 여부 등 여러 사정을 고려한 기준에 따른 개인정보 다운로드 사유 입력ㆍ확인 기능을 추가할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 EMR 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
나. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 EMR 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 의료기관이 EMR 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다.
다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 영리를 목적으로 의료기관에게 클라우드형 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 정보통신서비스제공자이면서, 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=147392313" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 클라우드형 EMR 시스템인 ’ ' 서비스를 제공ㆍ운영하면서 EMR 기능제공 및 서비스 운영의 목적으로 의료기관으로부터 환자 개인정보를 위탁받아 처리하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. EMR 시스템을 통해 환자 개인정보 삭제기능을 제공하지 않은 사실
피심인은 의료기관(민간부문)에게 EMR 시스템을 제공하면서 보관기간이 경과한 환자 개인정보 삭제 기능을 제공하지 않고, 의료기관의 요청을 받을 경우 원격으로 개인정보를 파기하는 정책을 운영한 사실이 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실
피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유를 입력하는 기능을 제공하지 않은 사실이 있다.
또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템에 접근시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용한 사실이 있다.
또한, 피심인은 의료기관(민간부문)의 개인정보취급자가 EMR 시스템을 통해 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않은 사실이 있다.
Ⅲ. 개선방안
1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.“라고 규정하고 있다.
나. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.
한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제5조제6항은 “개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.”고 규정하고 있다.
한편, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용ㆍ분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다”라고 규정하고 있다.
舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있다. 또한, 제5조제6항에 대하여는 “개인정보처리자는 개인정보처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위하여 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우에는 개인정보처리시스템에 접근을 제한하는 등 기술적 조치를 하여야 한다. 계정정보 또는 비밀번호를 일정 횟수(예: 5회) 이상 잘못 입력한 경우 사용자계정 잠금 등의 조치를 취하거나 계정정보나 비밀번호 입력과 동시에 추가적인 인증수단(인증서, OTP 등)을 적용하여 정당한 접근권한이 있는 자임을 확인하는 등의 조치를 취하는 것을 말한다. 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우에도 반드시 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치가 필요하다.”라고 설명하고 있다.
또한, 고시 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드 한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.
한편, 舊 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드한 경우 사유 확인” 등을 들고 있다.
2. 개선 방안
가. EMR 시스템을 통한 개인정보 삭제 기능을 제공하지 않은 사실 관련
{舊 보호법 제21조(파기)}
의료기관은 보관기간이 경과한 환자의 개인정보를 관련 법령에 따라 처리한 후 파기할 의무가 있고, 의료기관이 보관 중인 개인정보는 환자의 건강정보를 포함하여 민감한 정보가 포함되어 있으므로, 의료기관에 EMR 시스템을 제공하는 피심인은 의료기관이 EMR 시스템을 통해 환자 개인정보를 적시에 삭제할 수 있도록 관련 기능을 제공할 필요가 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한, 접속기록}
의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.
피심인은 EMR 시스템을 통해 의료기관의 개인정보취급자별로 개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하여 3년간 보관하도록 하나, 권한 발급 사유를 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유 등을 포함하도록 기능을 개선할 필요가 있다.
또한, 피심인이 의료기관의 개인정보취급자가 EMR 시스템에 접근 시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용하여 개인정보처리시스템에 권한없는 자의 비정상적인 접근을 방지하기 어려우므로, 관련 기능을 개선할 필요가 있다.
또한, 피심인이 의료기관의 개인정보취급자가 개인정보를 다운로드할 경우 그 사유를 입력하는 기능을 제공하지 않아, 비인가된 개인정보 처리나 대량의 개인정보 조회 등의 비정상 행위를 탐지하고 적절한 대응조치를 하기 어려우므로, 다운로드 정보주체의 수, 일정기간 내 다운로드 횟수, 업무시간 외 다운로드 수행 여부 등 여러 사정을 고려한 기준에 따른 개인정보 다운로드 사유 입력ㆍ확인 기능을 추가할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 EMR 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
나. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 EMR 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 의료기관이 EMR 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다.
다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).