개인정보보호위원회
심의ㆍ의결
제2024-001-004호
의료분야 개인정보 보호조치 개선권고에 관한 건
의결일: 2024년 1월 10일
요지
안건번호 : 제2024-001-004호
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
주문
1. 피심인에 대하여 개인정보 보호법
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 전자의무기록(Electronic Medical Record) 시스템에서 의료인의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다.
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 전자의무기록(Electronic Medical Record) 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 전자의무기록(Electronic Medical Record) 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보 처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 전자의무기록(Electronic Medical Record) 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다.
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 전자의무기록(Electronic Medical Record) 시스템에서 의료인의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다.
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 전자의무기록(Electronic Medical Record) 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 전자의무기록(Electronic Medical Record) 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보 처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 전자의무기록(Electronic Medical Record) 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다.
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
이유
Ⅰ. 기초 사실
피심인은 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 개인정보처리자이면서, 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150216063" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 EMR 시스템인 ’ ' 서비스를 제공ㆍ운영하면서 제품이용 문의, EMR 시스템 장애지원, AS 처리 등의 목적으로 의료기관으로부터 환자 개인정보 처리업무를 위탁받아 처리하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. EMR 시스템을 통해 불필요한 주민등록번호 입력 기능을 제공한 사실
피심인은 EMR 시스템을 통해 의료기관에 의료기관 직원(의사, 간호사 등 EMR 시스템 이용 계정을 발급받는 자)의 주민등록번호를 입력하는 기능을 제공한 사실이 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실
피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유를 입력하는 기능을 제공하지 않은 사실이 있다.
또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템에 접근시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용한 사실이 있다.
피심인은 의료기관의 개인정보취급자 비밀번호를 암호화 저장하면서, 안전하지 않은 암호화 알고리즘(SHA1)를 적용한 사실이 있다.
Ⅲ. 개선방안
1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.
나. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.
한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제5조제6항은 “개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.”고 규정하고 있고, 제7조제2항은 “개인정보처리자는 비밀번호 및 생체인식정보는 암호화하여 저장하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.”고 규정하고 있다.
舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있고, 제5조제6항에 대하여는 “개인정보처리자는 개인정보처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위하여 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우에는 개인정보처리시스템에 접근을 제한하는 등 기술적 조치를 하여야 한다. 계정정보 또는 비밀번호를 일정 횟수(예: 5회) 이상 잘못 입력한 경우 사용자계정 잠금 등의 조치를 취하거나 계정정보나 비밀번호 입력과 동시에 추가적인 인증수단(인증서, OTP 등)을 적용하여 정당한 접근권한이 있는 자임을 확인하는 등의 조치를 취하는 것을 말한다. 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재 부여하는 경우에도 반드시 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치가 필요하다.”라고 설명하고 있다.
한편, 제7조에 대하여 “개인정보처리자는 비밀번호, 바이오정보를 DB 또는 파일 등으로 저장하는 경우에는 노출 또는 위ㆍ변조되지 않도록 암호화하여 저장하여야 한다. 비밀번호의 경우에는 복호화 되지 않도록 일방향(해쉬 함수) 암호화하여야 한다. 일방향 암호화는 저장된 값으로 원본값을 유추하거나 복호화할 수 없도록 한 암호화 방법으로서, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인한다.”고 설명하면서, “고유식별정보, 비밀번호, 바이오정보를 암호화하는 경우에는 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.”라고 해설하면서 SHA-224/256/384/512, Whirlpool 등을 안전한 암호화 알고리즘으로 예시를 들고 있다.
2. 개선 방안
가. 의료기관이 직원 주민등록번호를 입력하도록 기능을 제공한 사실 관련
{舊 보호법 제3조(개인정보 보호 원칙)}
피심인이 EMR 시스템을 통해 의료기관 직원의 주민등록번호를 수집할 수 있도록 주민등록번호 입력기능을 제공한 행위는 개인정보의 처리 목적을 명확하게 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하는 舊 보호법 제3조제1항에 반할 소지가 있다.
피심인은 의료기관이 의료법 및 기타 법령상 직원(의사, 간호사 등)의 주민등록번호를 수집ㆍ처리할 근거가 없는 한 EMR 시스템에서 주민등록번호를 입력하는 기능을 삭제할 필요가 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한, 암호화}
의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.
피심인이 EMR 시스템을 통해 의료기관의 개인정보취급자별 개인정보처리시스템 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하고 있으나, 권한 발급 사유를 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유 등을 포함하도록 기능을 개선할 필요가 있다.
또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템에 접근 시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용하여 개인정보처리시스템에 권한없는 자의 비정상적인 접근을 방지하기 어려우므로, 관련 기능을 개선할 필요가 있다.
피심인이 의료기관 개인정보취급자의 비밀번호를 암호화 저장하면서 안전하지 않은 암호화 알고리즘을 사용한 행위는 비밀번호의 노출 또는 위ㆍ변조 위험을 발생시킬 수 있으므로, 안전한 암호화 알고리즘으로 개선할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 EMR 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다.
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 EMR 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 EMR 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보 처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 EMR 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다.
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 개인정보처리자이면서, 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150216063" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 EMR 시스템인 ’ ' 서비스를 제공ㆍ운영하면서 제품이용 문의, EMR 시스템 장애지원, AS 처리 등의 목적으로 의료기관으로부터 환자 개인정보 처리업무를 위탁받아 처리하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. EMR 시스템을 통해 불필요한 주민등록번호 입력 기능을 제공한 사실
피심인은 EMR 시스템을 통해 의료기관에 의료기관 직원(의사, 간호사 등 EMR 시스템 이용 계정을 발급받는 자)의 주민등록번호를 입력하는 기능을 제공한 사실이 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실
피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유를 입력하는 기능을 제공하지 않은 사실이 있다.
또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템에 접근시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용한 사실이 있다.
피심인은 의료기관의 개인정보취급자 비밀번호를 암호화 저장하면서, 안전하지 않은 암호화 알고리즘(SHA1)를 적용한 사실이 있다.
Ⅲ. 개선방안
1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.
나. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.
한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제5조제6항은 “개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.”고 규정하고 있고, 제7조제2항은 “개인정보처리자는 비밀번호 및 생체인식정보는 암호화하여 저장하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.”고 규정하고 있다.
舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있고, 제5조제6항에 대하여는 “개인정보처리자는 개인정보처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위하여 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우에는 개인정보처리시스템에 접근을 제한하는 등 기술적 조치를 하여야 한다. 계정정보 또는 비밀번호를 일정 횟수(예: 5회) 이상 잘못 입력한 경우 사용자계정 잠금 등의 조치를 취하거나 계정정보나 비밀번호 입력과 동시에 추가적인 인증수단(인증서, OTP 등)을 적용하여 정당한 접근권한이 있는 자임을 확인하는 등의 조치를 취하는 것을 말한다. 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재 부여하는 경우에도 반드시 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치가 필요하다.”라고 설명하고 있다.
한편, 제7조에 대하여 “개인정보처리자는 비밀번호, 바이오정보를 DB 또는 파일 등으로 저장하는 경우에는 노출 또는 위ㆍ변조되지 않도록 암호화하여 저장하여야 한다. 비밀번호의 경우에는 복호화 되지 않도록 일방향(해쉬 함수) 암호화하여야 한다. 일방향 암호화는 저장된 값으로 원본값을 유추하거나 복호화할 수 없도록 한 암호화 방법으로서, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인한다.”고 설명하면서, “고유식별정보, 비밀번호, 바이오정보를 암호화하는 경우에는 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.”라고 해설하면서 SHA-224/256/384/512, Whirlpool 등을 안전한 암호화 알고리즘으로 예시를 들고 있다.
2. 개선 방안
가. 의료기관이 직원 주민등록번호를 입력하도록 기능을 제공한 사실 관련
{舊 보호법 제3조(개인정보 보호 원칙)}
피심인이 EMR 시스템을 통해 의료기관 직원의 주민등록번호를 수집할 수 있도록 주민등록번호 입력기능을 제공한 행위는 개인정보의 처리 목적을 명확하게 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하는 舊 보호법 제3조제1항에 반할 소지가 있다.
피심인은 의료기관이 의료법 및 기타 법령상 직원(의사, 간호사 등)의 주민등록번호를 수집ㆍ처리할 근거가 없는 한 EMR 시스템에서 주민등록번호를 입력하는 기능을 삭제할 필요가 있다.
나. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한, 암호화}
의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.
피심인이 EMR 시스템을 통해 의료기관의 개인정보취급자별 개인정보처리시스템 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하고 있으나, 권한 발급 사유를 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유 등을 포함하도록 기능을 개선할 필요가 있다.
또한, 피심인은 의료기관의 개인정보취급자가 EMR 시스템에 접근 시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용하여 개인정보처리시스템에 권한없는 자의 비정상적인 접근을 방지하기 어려우므로, 관련 기능을 개선할 필요가 있다.
피심인이 의료기관 개인정보취급자의 비밀번호를 암호화 저장하면서 안전하지 않은 암호화 알고리즘을 사용한 행위는 비밀번호의 노출 또는 위ㆍ변조 위험을 발생시킬 수 있으므로, 안전한 암호화 알고리즘으로 개선할 필요가 있다.
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 EMR 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다.
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 EMR 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다.
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다.
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 EMR 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보 처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다.
3) 피심인은 EMR 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다.
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).