제2024-001-001호

안건번호 : 제2024-001-001호
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.

1. 피심인에 대하여 개인정보 보호법
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 전자의무기록(Electronic Medical Record) 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다.
나. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보를 다운로드한 경우 그 사유를 확인할 수 있도록 개인정보 다운로드 사유 입력ㆍ확인 기능을 제공하여야 한다.
다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.

Ⅰ. 기초 사실

피심인은 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 개인정보처리자이면서, 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150215995" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과

1. 조사 배경

개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.

2. 행위 사실

가. 개인정보 수집현황

피심인은 EMR 시스템인 ’ ' 서비스를 제공ㆍ운영하면서, EMR 시스템 장애지원, AS 처리 등의 목적으로 의료기관으로부터 환자 개인정보를 위탁받아 처리하고 있다.

3. 개인정보의 취급ㆍ운영 관련 사실관계

가. EMR 시스템을 통해 불필요한 주민등록번호 입력 기능을 제공한 사실

피심인은 EMR 시스템을 통해 의료기관에 의료기관 직원(의사, 간호사 등 EMR 시스템 이용 계정을 발급받는 자)의 주민등록번호를 입력하는 기능을 제공한 사실이 있다.

나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실

피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유를 입력하는 기능을 제공하지 않은 사실이 있다.

또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템을 통해 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않은 사실이 있다.

Ⅲ. 개선방안

1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.

나. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.

같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.

한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용ㆍ분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다”라고 규정하고 있다.

舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있다.

또한, 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드 한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드 한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.

한편, 舊 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드 한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드 한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드 한 경우 사유 확인” 등을 들고 있다.

2. 개선 방안

가. 의료기관이 직원 주민등록번호를 입력하도록 기능을 제공한 사실 관련
{舊 보호법 제3조(개인정보 보호 원칙)}

피심인이 EMR 시스템을 통해 의료기관이 직원의 주민등록번호를 수집할 수 있도록 주민등록번호 입력기능을 제공한 행위는 개인정보의 처리 목적을 명확하게 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하는 舊 보호법 제3조제1항에 반할 소지가 있다.

피심인은 의료기관이 의료법 및 기타 법령상 직원(의사, 간호사 등)의 주민등록번호를 수집ㆍ처리할 근거가 없는 한 EMR 시스템에서 주민등록번호를 입력하는 기능을 삭제할 필요가 있다.

나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한ㆍ접속기록}

의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.

피심인은 EMR 시스템을 통해 의료기관의 개인정보취급자별 개인정보처리시스템 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하고 있으나, 권한 발급 사유를 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유 등을 포함하도록 기능을 개선할 필요가 있다.

또한, 피심인이 의료기관의 개인정보취급자가 개인정보를 다운로드 하는 경우, 그 사유를 입력하는 기능을 제공하지 않아, 비인가된 개인정보 처리나 대량의 개인정보 조회 등의 비정상 행위를 탐지하고 적절한 대응조치를 하기 어려우므로, 다운로드 정보주체의 수, 일정기간 내 다운로드 횟수, 업무시간 외 다운로드 수행 여부 등 여러 사정을 고려한 기준에 따른 개인정보 다운로드 사유 입력ㆍ확인 기능을 제공할 필요가 있다.

Ⅳ. 처분 및 결정

1. 개선권고

피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.

가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 EMR 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다.

나. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.

1) 피심인은 의료기관이 EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.

2) 피심인은 의료기관이 EMR 시스템을 통해 개인정보를 다운로드한 경우 그 사유를 확인할 수 있도록 개인정보 다운로드 사유 입력ㆍ확인 기능을 제공하여야 한다.

다. 피심인은 가.부터 나.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.

Ⅴ. 결론

피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.