개인정보보호위원회
심의ㆍ의결
제2024-001-006호
의료분야 개인정보 보호조치 개선권고에 관한 건
의결일: 2024년 1월 10일
요지
안건번호 : 제2024-001-006호
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
주문
1. 의료기관의 개인정보 보호 수준을 강화하여 개인정보의 분실ㆍ도난ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 개인정보 보호법
제7조의9제1항제3호에 따라 다음과 같은 내용을 에 권고한다.
가. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 의료기관의 개인정보취급자에 대한 접근권한 부여ㆍ변경ㆍ말소 내역 관련 기록하여야 하는 항목을 포함
2) 개인정보취급자가 일정 시간 이상 개인정보처리시스템에 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션종료시간)의 상한에 관한 기준을 의료기관의 유형 및 특성을 고려하여 마련
3) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
4) 개인정보취급자의 접속기록 중 '처리한 정보주체 정보’ 항목을 추가
5) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
6) 클라우드형 전자의무기록시스템에 필요한 추가적인 안전조치를 검토하여 인증기준에 반영
7) 개인정보 보호법 제29조 및 같은 법 시행령
제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준
」을 준수하도록 안내
나. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 개인정보취급자가 일정시간 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션 종료시간)의 상한에 관한 기준을 마련하여 포함
2) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
3) 접속기록 중 처리한 정보주체 정보를 기록항목에 추가
4) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
5) 개인정보 보호법 제29조 및 같은 법 시행령 제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준」을 준수하도록 안내
다. 는 가.부터 나.까지의 개선권고에 따라 인증기준 등을 개선하고, 개선권고 통지를 받은 날로부터 180일 이내에 인증기준 반영 결과를 제출한다.
제7조의9제1항제3호에 따라 다음과 같은 내용을 에 권고한다.
가. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 의료기관의 개인정보취급자에 대한 접근권한 부여ㆍ변경ㆍ말소 내역 관련 기록하여야 하는 항목을 포함
2) 개인정보취급자가 일정 시간 이상 개인정보처리시스템에 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션종료시간)의 상한에 관한 기준을 의료기관의 유형 및 특성을 고려하여 마련
3) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
4) 개인정보취급자의 접속기록 중 '처리한 정보주체 정보’ 항목을 추가
5) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
6) 클라우드형 전자의무기록시스템에 필요한 추가적인 안전조치를 검토하여 인증기준에 반영
7) 개인정보 보호법 제29조 및 같은 법 시행령
제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준
」을 준수하도록 안내
나. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 개인정보취급자가 일정시간 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션 종료시간)의 상한에 관한 기준을 마련하여 포함
2) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
3) 접속기록 중 처리한 정보주체 정보를 기록항목에 추가
4) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
5) 개인정보 보호법 제29조 및 같은 법 시행령 제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준」을 준수하도록 안내
다. 는 가.부터 나.까지의 개선권고에 따라 인증기준 등을 개선하고, 개선권고 통지를 받은 날로부터 180일 이내에 인증기준 반영 결과를 제출한다.
이유
Ⅰ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관의 개인정보 관리체계의 취약점을 발견하고 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템 제공사업자의 개인정보 취급ㆍ운영 실태 및 舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다) 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 개인정보의 취급ㆍ운영 관련 사실관계
조사대상 EMR 시스템은 ①의료기관의 개인정보취급자에 대한 접근권한 부여ㆍ변경ㆍ말소 기록 항목 중 일부를 누락하거나, ②의료기관의 개인정보취급자가 정보통신망을 통해 외부에서 접속 시 안전한 접속수단 또는 인증수단을 적용하지 않았고, ③비밀번호를 저장할 때 안전하지 않은 암호화 알고리즘을 적용하거나, ④의료기관 개인정보취급자의 접속기록 항목 중 처리한 정보주체 정보를 누락하고, ⑤의료기관의 개인정보취급자가 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않고 있었다.
Ⅱ. 개선방안
조사대상 EMR 시스템 제공사업자가 EMR을 통해 의료기관이 舊 보호법 및 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다)을 준수할 수 있는 기능을 미흡하게 제공하고 있는 부분은 개인정보 보호법(각주:법률 제19234호, 2023. 3. 14., 일부개정, 시행 2023. 9. 15.) (이하 ’보호법'이라 한다) 제61조제2항에 따라 EMR 시스템 제공사업자에 개선권고하고, 의료기관 전반의 개인정보 보호조치 강화를 위해 「 」 및 「 」에 반영할 사항은 보호법 제7조의9제1항제3호에 따라 에 개선권고한다.
1. 관련법 규정
가. 보호법 제7조의9제1항제3호는 ”보호위원회는 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항에 대하여 심의ㆍ의결할 수 있다”고 규정하고 있고, 제4항은 “보호위원회는 제1항제3호의 사항을 심의ㆍ의결한 경우에는 관계 기관에 그 개선을 권고할 수 있다”고 규정하고 있으며, 제5항은 “보호위원회는 제4항에 따른 권고 내용의 이행여부를 점검할 수 있다”고 규정하고 있다.
나. 보호법 제29조는 안전조치 의무에 관한 규정으로, “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제33723호, 2023. 9. 12., 일부개정, 2023. 9. 15. 시행) (이하 '시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 권한을 제한하기 위한 다음 각 목의 조치 가. 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템”이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행, 나. 정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영, 다. 그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치, 3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치, 4. 개인정보를 안전하게 저장ㆍ전송하는데 필요한 다음 각 목의 조치, 가. 비밀번호의 일방향 암호화 저장 등 인증정보의 암호화 저장 또는 이에 상응하는 조치......, 5. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치, 가. 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독, 나. 개인정보처리시스템에 대한 접속기록의 안전한 보관, 다. 그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치...... 8. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치“라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회고시 제2023-6호, 2023. 9. 22., 일부개정, 2023. 9. 22. 시행) (이하 '안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 제6조제2항은 “개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다. 다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.”라고 규정하고 있다. 한편, 제6조제4항은 “개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속이 차단되도록 하는 등 필요한 조치를 하여야 한다.”라고 규정하고 있고, 제7조제1항은 “개인정보처리자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.”고 규정하고 있다.
한편, 제8조제1항은 “개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다. 1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우, 2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우”라고 규정하고 있으며, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.”라고 규정하고 있다.
안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있고,
또한, 제6조제2항에 대해 “인터넷구간 등 외부로부터 개인정보처리시스템에 대한 접속은 원칙적으로 차단하여야 하나, 개인정보처리자의 업무 특성 또는 필요에 의해 개인정보취급자가 노트북, 업무용 컴퓨터, 모바일 기기 등으로 외부에서 정보통신망을 통해 개인정보처리시스템에 접속이 필요한 경우에는 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.”라고 설명하고 있으며, 안전한 접속수단의 예시로 가상사설망(VPN : Virtual Private Network) 또는 전용선 등을, 안전한 인증수단 예시로 인증서(PKI), 보안토큰, 일회용 비밀번호(OTP) 등을 설명하고 있다. 제6조제5항에 관하여는 “개인정보처리시스템에 접속하는 업무용 컴퓨터 등에서 해당 개인정보처리시스템에 대한 접속의 차단을 의미하며, 업무용 컴퓨터의 화면보호기 등은 접속차단에 해당하지 않는다. 개인정보취급자가 일정시간 이상 업무처리를 하지 않아 개인정보처리시스템에 접속이 차단된 이후, 다시 접속하고자 할 때에도 최초의 로그인과 동일한 방법으로 접속하여야 한다.”라고 설명하고 있다.
한편, 제7조에 대하여 “개인정보처리자는 비밀번호, 바이오정보를 DB 또는 파일 등으로 저장하는 경우에는 노출 또는 위ㆍ변조되지 않도록 암호화하여 저장하여야 한다. 비밀번호의 경우에는 복호화 되지 않도록 일방향(해쉬 함수) 암호화하여야 한다. 일방향 암호화는 저장된 값으로 원본값을 유추하거나 복호화할 수 없도록 한 암호화 방법으로서, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인한다.”고 설명하고 있다. 또한, “고유식별정보, 비밀번호, 바이오정보를 암호화 하는 경우에는 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.”라고 해설하면서 SHA-224/256/384/512, Whirlpool 등을 안전한 암호화 알고리즘으로 예시를 들고 있다.
또한, 제8조제1항에 대하여 “접속기록에는 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 항목들을 기록하여야 한다.”고 설명하고 있으며, 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.
한편, 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드한 경우 사유 확인” 등을 들고 있다.
Ⅲ. 개선권고
1. 의료기관의 개인정보 보호 수준을 강화하여 개인정보의 분실ㆍ도난ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 보호법 제7조의9제1항제3호에 따라 다음과 같은 내용을 에 권고한다.
가. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 의료기관의 개인정보취급자에 대한 접근권한 부여ㆍ변경ㆍ말소 내역 관련 기록하여야 하는 항목을 포함
2) 개인정보취급자가 일정 시간 이상 개인정보처리시스템에 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션종료시간)의 상한에 관한 기준을 의료기관의 유형 및 특성을 고려하여 마련
3) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
4) 개인정보취급자의 접속기록 중 '처리한 정보주체 정보’ 항목을 추가
5) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
6) 클라우드형 EMR에 필요한 추가적인 안전조치를 검토하여 인증기준에 반영
7) 개인정보 보호법 제29조 및 같은 법 시행령 제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준」을 준수하도록 안내
나. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 개인정보취급자가 일정시간 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션 종료시간)의 상한에 관한 기준을 마련하여 포함
2) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
3) 접속기록 중 처리한 정보주체 정보를 기록항목에 추가
4) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
5) 개인정보 보호법 제29조 및 같은 법 시행령 제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준」을 준수하도록 안내
다. 는 가.부터 나.까지의 개선권고에 따라 인증기준 등을 개선하고, 개선권고 통지를 받은 날로부터 180일 이내에 인증기준 반영 결과를 제출한다.
Ⅳ. 결론
피심인에 대하여 보호법 제7조의9제1항제3호에 따라 개선권고를 주문과 같이 의결한다.
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관의 개인정보 관리체계의 취약점을 발견하고 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템 제공사업자의 개인정보 취급ㆍ운영 실태 및 舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다) 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 개인정보의 취급ㆍ운영 관련 사실관계
조사대상 EMR 시스템은 ①의료기관의 개인정보취급자에 대한 접근권한 부여ㆍ변경ㆍ말소 기록 항목 중 일부를 누락하거나, ②의료기관의 개인정보취급자가 정보통신망을 통해 외부에서 접속 시 안전한 접속수단 또는 인증수단을 적용하지 않았고, ③비밀번호를 저장할 때 안전하지 않은 암호화 알고리즘을 적용하거나, ④의료기관 개인정보취급자의 접속기록 항목 중 처리한 정보주체 정보를 누락하고, ⑤의료기관의 개인정보취급자가 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않고 있었다.
Ⅱ. 개선방안
조사대상 EMR 시스템 제공사업자가 EMR을 통해 의료기관이 舊 보호법 및 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다)을 준수할 수 있는 기능을 미흡하게 제공하고 있는 부분은 개인정보 보호법(각주:법률 제19234호, 2023. 3. 14., 일부개정, 시행 2023. 9. 15.) (이하 ’보호법'이라 한다) 제61조제2항에 따라 EMR 시스템 제공사업자에 개선권고하고, 의료기관 전반의 개인정보 보호조치 강화를 위해 「 」 및 「 」에 반영할 사항은 보호법 제7조의9제1항제3호에 따라 에 개선권고한다.
1. 관련법 규정
가. 보호법 제7조의9제1항제3호는 ”보호위원회는 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항에 대하여 심의ㆍ의결할 수 있다”고 규정하고 있고, 제4항은 “보호위원회는 제1항제3호의 사항을 심의ㆍ의결한 경우에는 관계 기관에 그 개선을 권고할 수 있다”고 규정하고 있으며, 제5항은 “보호위원회는 제4항에 따른 권고 내용의 이행여부를 점검할 수 있다”고 규정하고 있다.
나. 보호법 제29조는 안전조치 의무에 관한 규정으로, “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제33723호, 2023. 9. 12., 일부개정, 2023. 9. 15. 시행) (이하 '시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 권한을 제한하기 위한 다음 각 목의 조치 가. 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템(이하 “개인정보처리시스템”이라 한다)에 대한 접근 권한의 부여ㆍ변경ㆍ말소 등에 관한 기준의 수립ㆍ시행, 나. 정당한 권한을 가진 자에 의한 접근인지를 확인하기 위해 필요한 인증수단 적용 기준의 설정 및 운영, 다. 그 밖에 개인정보에 대한 접근 권한을 제한하기 위하여 필요한 조치, 3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치, 4. 개인정보를 안전하게 저장ㆍ전송하는데 필요한 다음 각 목의 조치, 가. 비밀번호의 일방향 암호화 저장 등 인증정보의 암호화 저장 또는 이에 상응하는 조치......, 5. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치, 가. 개인정보처리시스템에 접속한 자의 접속일시, 처리내역 등 접속기록의 저장ㆍ점검 및 이의 확인ㆍ감독, 나. 개인정보처리시스템에 대한 접속기록의 안전한 보관, 다. 그 밖에 접속기록 보관 및 위조ㆍ변조 방지를 위하여 필요한 조치...... 8. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치“라고 규정하고 있다.
한편, 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회고시 제2023-6호, 2023. 9. 22., 일부개정, 2023. 9. 22. 시행) (이하 '안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 제6조제2항은 “개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다. 다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.”라고 규정하고 있다. 한편, 제6조제4항은 “개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속이 차단되도록 하는 등 필요한 조치를 하여야 한다.”라고 규정하고 있고, 제7조제1항은 “개인정보처리자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.”고 규정하고 있다.
한편, 제8조제1항은 “개인정보처리자는 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다. 1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우, 2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우”라고 규정하고 있으며, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보의 다운로드가 확인된 경우에는 내부 관리계획 등으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.”라고 규정하고 있다.
안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있고,
또한, 제6조제2항에 대해 “인터넷구간 등 외부로부터 개인정보처리시스템에 대한 접속은 원칙적으로 차단하여야 하나, 개인정보처리자의 업무 특성 또는 필요에 의해 개인정보취급자가 노트북, 업무용 컴퓨터, 모바일 기기 등으로 외부에서 정보통신망을 통해 개인정보처리시스템에 접속이 필요한 경우에는 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.”라고 설명하고 있으며, 안전한 접속수단의 예시로 가상사설망(VPN : Virtual Private Network) 또는 전용선 등을, 안전한 인증수단 예시로 인증서(PKI), 보안토큰, 일회용 비밀번호(OTP) 등을 설명하고 있다. 제6조제5항에 관하여는 “개인정보처리시스템에 접속하는 업무용 컴퓨터 등에서 해당 개인정보처리시스템에 대한 접속의 차단을 의미하며, 업무용 컴퓨터의 화면보호기 등은 접속차단에 해당하지 않는다. 개인정보취급자가 일정시간 이상 업무처리를 하지 않아 개인정보처리시스템에 접속이 차단된 이후, 다시 접속하고자 할 때에도 최초의 로그인과 동일한 방법으로 접속하여야 한다.”라고 설명하고 있다.
한편, 제7조에 대하여 “개인정보처리자는 비밀번호, 바이오정보를 DB 또는 파일 등으로 저장하는 경우에는 노출 또는 위ㆍ변조되지 않도록 암호화하여 저장하여야 한다. 비밀번호의 경우에는 복호화 되지 않도록 일방향(해쉬 함수) 암호화하여야 한다. 일방향 암호화는 저장된 값으로 원본값을 유추하거나 복호화할 수 없도록 한 암호화 방법으로서, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인한다.”고 설명하고 있다. 또한, “고유식별정보, 비밀번호, 바이오정보를 암호화 하는 경우에는 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.”라고 해설하면서 SHA-224/256/384/512, Whirlpool 등을 안전한 암호화 알고리즘으로 예시를 들고 있다.
또한, 제8조제1항에 대하여 “접속기록에는 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 항목들을 기록하여야 한다.”고 설명하고 있으며, 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.
한편, 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드한 경우 사유 확인” 등을 들고 있다.
Ⅲ. 개선권고
1. 의료기관의 개인정보 보호 수준을 강화하여 개인정보의 분실ㆍ도난ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 보호법 제7조의9제1항제3호에 따라 다음과 같은 내용을 에 권고한다.
가. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 의료기관의 개인정보취급자에 대한 접근권한 부여ㆍ변경ㆍ말소 내역 관련 기록하여야 하는 항목을 포함
2) 개인정보취급자가 일정 시간 이상 개인정보처리시스템에 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션종료시간)의 상한에 관한 기준을 의료기관의 유형 및 특성을 고려하여 마련
3) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
4) 개인정보취급자의 접속기록 중 '처리한 정보주체 정보’ 항목을 추가
5) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
6) 클라우드형 EMR에 필요한 추가적인 안전조치를 검토하여 인증기준에 반영
7) 개인정보 보호법 제29조 및 같은 법 시행령 제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준」을 준수하도록 안내
나. 「 」에 다음과 같은 내용을 반영할 것을 권고한다.
1) 개인정보취급자가 일정시간 접속하지 않을 경우 자동으로 시스템 접속이 차단되도록 하는 최대 접속 시간(세션 종료시간)의 상한에 관한 기준을 마련하여 포함
2) 현행 기술 수준에 맞는 안전한 암호화 알고리즘을 안내
3) 접속기록 중 처리한 정보주체 정보를 기록항목에 추가
4) 개인정보 다운로드 사유를 입력ㆍ확인하는 기능을 포함
5) 개인정보 보호법 제29조 및 같은 법 시행령 제30조제3항에 따라 개인정보보호위원회가 고시하는 「개인정보의 안전성 확보조치 기준」을 준수하도록 안내
다. 는 가.부터 나.까지의 개선권고에 따라 인증기준 등을 개선하고, 개선권고 통지를 받은 날로부터 180일 이내에 인증기준 반영 결과를 제출한다.
Ⅳ. 결론
피심인에 대하여 보호법 제7조의9제1항제3호에 따라 개선권고를 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).