개인정보보호위원회
심의ㆍ의결
제2024-001-002호
의료분야 개인정보 보호조치 개선권고에 관한 건
의결일: 2024년 1월 10일
요지
안건번호 : 제2024-001-002호
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
안건명 : 의료분야 개인정보 보호조치 개선권고에 관한 건
의결연월일 : 2024. 1. 10.
주문
1. 피심인에 대하여 개인정보 보호법
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 전자의무기록(Electronic Medical Record) 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다( , ).
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 전자의무기록(Electronic Medical Record) 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다( , , ).
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다( , , ).
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 전자의무기록(Electronic Medical Record) 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다( ).
3) 피심인은 외부(의료기관)에서 개인정보취급자가 정보통신망을 통해 클라우드형 전자의무기록(Electronic Medical Record) 시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다( ).
4) 피심인은 전자의무기록(Electronic Medical Record) 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다( ).
5) 피심인은 의료기관이 개인정보취급자의 접속기록을 보관ㆍ관리할 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 등을 포함한 접속기록을 기록ㆍ보관하는 기능을 전자의무기록(Electronic Medical Record) 시스템을 통해 제공하여야 하며( ), 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다( , , ).
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 전자의무기록(Electronic Medical Record) 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다( , ).
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 전자의무기록(Electronic Medical Record) 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다( , , ).
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 전자의무기록(Electronic Medical Record) 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다( , , ).
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 전자의무기록(Electronic Medical Record) 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다( ).
3) 피심인은 외부(의료기관)에서 개인정보취급자가 정보통신망을 통해 클라우드형 전자의무기록(Electronic Medical Record) 시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다( ).
4) 피심인은 전자의무기록(Electronic Medical Record) 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다( ).
5) 피심인은 의료기관이 개인정보취급자의 접속기록을 보관ㆍ관리할 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 등을 포함한 접속기록을 기록ㆍ보관하는 기능을 전자의무기록(Electronic Medical Record) 시스템을 통해 제공하여야 하며( ), 의료기관이 전자의무기록(Electronic Medical Record) 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다( , , ).
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
이유
Ⅰ. 기초 사실
피심인은 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 개인정보처리자이자( , ), 정보통신서비스제공자이면서( ), 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150216085" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 EMR 시스템인 ’ ', ’ ', ’ ( )’ 서비스를 제공ㆍ운영하면서 EMR 시스템 장애지원, AS 처리, 안전성 확보조치(환자 주민등록번호 및 이용자 비밀번호 암호화, 계정 접근이력 관리 등) 및 진료내역 파기 등의 목적으로 의료기관으로부터 환자 개인정보를 위탁받아 처리하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. EMR 시스템을 통해 불필요한 주민등록번호 입력 기능을 제공한 사실
피심인은 EMR 시스템을 통해 의료기관에 의료기관 직원(의사, 간호사 등 EMR 시스템 이용 계정을 발급받는 자)의 주민등록번호를 입력하는 기능을 제공한 사실이 있다( , ).
나. EMR 시스템을 통해 환자 개인정보 삭제 기능을 제공하지 않은 사실
피심인은 의료기관에 EMR 시스템을 제공하면서 보관기간이 경과한 환자 개인정보 삭제 기능을 제공하지 않고, 의료기관의 요청을 받을 경우 원격으로 접속하여 삭제하는 방식으로 개인정보를 파기하는 정책을 운영한 사실이 있다( , , ).
다. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실
피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유 및 발급한 권한 내용을 입력하는 기능을 제공하지 않은 사실이 있다( , , ).
또한, 피심인은 의료기관의 개인정보취급자가 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력하여 EMR 시스템에 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용한 사실이 있다( ).
또한, 피심인은 의료기관의 개인정보취급자가 정보통신망을 통해 외부에서 클라우드형 EMR 시스템에 접속하려는 경우, 가상사설망(각주:가상사설망(VPN : Virtual Private Network) : 개인정보취급자가 사업장 내의 개인정보처리시스템에 대해 원격으로 접속할 때 IPsec이나 SSL 기반의 암호 프로토콜을 사용한 터널링 기술을 통해 안전한 암호통신을 할 수 있도록 해주는 보안 시스템을 의미) (VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단이나 안전한 인증수단을 적용하지 않은 사실이 있다( ).
피심인은 의료기관의 개인정보취급자 비밀번호를 암호화 저장하면서, 안전하지 않은 암호화 알고리즘(MD5)을 적용한 사실이 있다( ).
또한, 피심인은 의료기관 개인정보취급자의 EMR 시스템 접속기록 중 처리한 정보주체 정보 항목을 누락한 접속기록을 기록ㆍ보관하는 기능을 제공하였으며( ), 의료기관의 개인정보취급자가 EMR 시스템을 통해 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않은 사실이 있다( , , ).
Ⅲ. 개선방안
1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.
나. 舊 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.“라고 규정하고 있다.
다. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.
한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제5조제6항은 “개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.”고 규정하고 있고, 제6조제2항은 “개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.”라고 규정하고 있다. 한편, 제7조제2항은 “개인정보처리자는 비밀번호 및 생체인식정보는 암호화하여 저장하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.”고 규정하고 있다.
한편, 제8조제1항은 “개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관ㆍ관리하여야 한다.”라고 규정하고 있으며, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용ㆍ분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다”라고 규정하고 있다.
舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있고, 제5조제6항에 대하여는 “개인정보처리자는 개인정보처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위하여 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우에는 개인정보처리시스템에 접근을 제한하는 등 기술적 조치를 하여야 한다. 계정정보 또는 비밀번호를 일정 횟수(예: 5회) 이상 잘못 입력한 경우 사용자계정 잠금 등의 조치를 취하거나 계정정보나 비밀번호 입력과 동시에 추가적인 인증수단(인증서, OTP 등)을 적용하여 정당한 접근권한이 있는 자임을 확인하는 등의 조치를 취하는 것을 말한다. 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우에도 반드시 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치가 필요하다.”라고 설명하고 있다.
또한, 제6조제2항에 대해 “인터넷구간 등 외부로부터 개인정보처리시스템에 대한 접속은 원칙적으로 차단하여야 하나, 개인정보처리자의 업무 특성 또는 필요에 의해 개인정보취급자가 노트북, 업무용 컴퓨터, 모바일 기기 등으로 외부에서 정보통신망을 통해 개인정보처리시스템에 접속이 필요한 경우에는 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.”라고 설명하고 있으며, 안전한 접속수단의 예시로 가상사설망(VPN : Virtual Private Network) 또는 전용선 등을, 안전한 인증수단 예시로 인증서(PKI), 보안토큰, 일회용 비밀번호(OTP) 등을 설명하고 있다.
한편, 제7조에 대하여 “개인정보처리자는 비밀번호, 바이오정보를 DB 또는 파일 등으로 저장하는 경우에는 노출 또는 위ㆍ변조되지 않도록 암호화하여 저장하여야 한다. 비밀번호의 경우에는 복호화 되지 않도록 일방향(해쉬 함수) 암호화 하여야 한다. 일방향 암호화는 저장된 값으로 원본값을 유추하거나 복호화할 수 없도록 한 암호화 방법으로서, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인한다.”고 설명하면서, “고유식별정보, 비밀번호, 바이오정보를 암호화하는 경우에는 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.”라고 해설하면서 SHA-224/256/384/512, Whirlpool 등을 안전한 암호화 알고리즘으로 예시를 들고 있다.
또한, 제8조제1항에 대하여 “접속기록에는 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 항목들을 기록하여야 한다.”고 설명하고 있으며, 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.
한편, 舊 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드한 경우 사유 확인” 등을 들고 있다.
2. 개선 방안
가. 의료기관이 직원 주민등록번호를 입력하도록 기능을 제공한 사실 관련
{舊 보호법 제3조(개인정보 보호 원칙)}
피심인이 EMR 시스템을 통해 의료기관이 직원의 주민등록번호를 수집할 수 있도록 주민등록번호 입력기능을 제공한 행위는 개인정보의 처리 목적을 명확하게 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하는 舊 보호법 제3조제1항에 반할 소지가 있다.
피심인은 의료기관이 의료법 및 기타 법령상 직원(의사, 간호사 등)의 주민등록번호를 수집ㆍ처리할 근거가 없는 한 EMR 시스템에서 주민등록번호를 입력하는 기능을 삭제할 필요가 있다( , ).
나. EMR 시스템을 통한 개인정보 삭제 기능을 제공하지 않은 사실 관련
{舊 보호법 제21조(파기)}
의료기관은 보관기간이 경과한 환자의 개인정보를 관련 법령에 따라 처리한 후 파기할 의무가 있고, 의료기관이 보관 중인 개인정보는 환자의 건강정보를 포함하여 민감한 정보가 포함되어 있으므로, 의료기관에 EMR 시스템을 제공하는 피심인은 의료기관이 EMR 시스템을 통해 환자 개인정보를 적시에 삭제할 수 있도록 관련 기능을 제공할 필요가 있다( , , ).
다. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한, 암호화, 접속기록}
의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.
피심인은 EMR 시스템을 통해 의료기관의 개인정보취급자별 개인정보처리시스템 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하고 있으나, 권한 발급 사유 및 발급한 권한 내용을 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유를 포함하도록 기능을 개선할 필요가 있다( , , ).
또한, 피심인이 의료기관의 개인정보취급자가 EMR 시스템에 접근 시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용하여 개인정보처리시스템에 권한없는 자의 비정상적인 접근을 방지하기 어려우므로, 관련 기능을 개선할 필요가 있다( ).
피심인이 의료기관의 개인정보취급자가 정보통신망을 통해 외부에서 EMR 시스템에 접속하려는 경우 안전한 접속수단 또는 안전한 인증수단을 적용하지 않은 행위의 경우 외부 인터넷으로부터 계정도용이나 크리덴셜 스터핑(credential stuffing) 공격 발생 시 개인정보 유출 위험을 현저하게 증대시키므로 해당 기능을 개선할 필요가 있다( ).
피심인이 의료기관 개인정보취급자의 비밀번호를 암호화 저장하면서 안전하지 않은 암호화 알고리즘을 사용한 행위는 비밀번호의 노출 또는 위ㆍ변조 위험을 발생시킬 수 있으므로, 안전한 암호화 알고리즘으로 개선할 필요가 있다( ).
피심인은 의료기관이 개인정보취급자의 접속기록을 보관ㆍ관리할 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 등을 포함한 개인정보취급자의 접속기록을 기록ㆍ보관하는 기능을 EMR 시스템을 통해 제공하여야 하나, 처리한 정보주체 정보를 누락하여 기록ㆍ보관하도록 하여 개인정보 처리 내역에 대한 책임추적이 어려워질 우려가 있으므로 기능 개선이 필요하다( ).
또한, 피심인이 의료기관의 개인정보취급자가 개인정보를 다운로드 시 그 사유를 입력하는 기능을 제공하지 않아, 비인가된 개인정보 처리나 대량의 개인정보 조회 등의 비정상 행위를 탐지하고 적절한 대응조치를 하기 어려우므로, 다운로드 정보주체의 수, 일정기간 내 다운로드 횟수, 업무시간 외 다운로드 수행 여부 등 여러 사정을 고려한 기준에 따른 개인정보 다운로드 사유 입력ㆍ확인 기능을 제공할 필요가 있다( , , ).
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 EMR 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다( , ).
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 EMR 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다( , , ).
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다( , , ).
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 EMR 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다( ).
3) 피심인은 외부(의료기관)에서 개인정보취급자가 정보통신망을 통해 클라우드형 EMR 시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다( ).
4) 피심인은 EMR 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다( ).
5) 피심인은 의료기관이 개인정보취급자의 접속기록을 보관ㆍ관리할 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 등을 포함한 접속기록을 기록ㆍ보관하는 기능을 EMR 시스템을 통해 제공하여야 하며( ), 의료기관이 EMR 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다( , , ).
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
피심인은 영리를 목적으로 의료기관에게 전자의무기록(Electronic Medical Record, 이하 'EMR’이라 한다) 시스템을 제공하는 「舊 개인정보 보호법(각주:법률 제16930호, 2020. 2. 4. 일부개정, 2020. 8. 5. 시행) (이하 '舊 보호법’이라 한다)에 따른 개인정보처리자이자( , ), 정보통신서비스제공자이면서( ), 의료기관이 수집한 환자 개인정보를 위탁받아 처리하는 개인정보 처리 업무 수탁자의 지위를 동시에 가지며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=150216085" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
개인정보보호위원회는 의료기관의 개인정보 유출사건 등을 조사하는 과정에서 의료기관 내 개인정보 관리체계의 취약점을 발견하고 피심인의 개인정보 취급ㆍ운영 실태 및 舊 보호법 위반 여부를 조사(’23. 6. 5. ～ '23. 9. 1.)하였으며, 다음과 같은 사실을 확인하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 EMR 시스템인 ’ ', ’ ', ’ ( )’ 서비스를 제공ㆍ운영하면서 EMR 시스템 장애지원, AS 처리, 안전성 확보조치(환자 주민등록번호 및 이용자 비밀번호 암호화, 계정 접근이력 관리 등) 및 진료내역 파기 등의 목적으로 의료기관으로부터 환자 개인정보를 위탁받아 처리하고 있다.
3. 개인정보의 취급ㆍ운영 관련 사실관계
가. EMR 시스템을 통해 불필요한 주민등록번호 입력 기능을 제공한 사실
피심인은 EMR 시스템을 통해 의료기관에 의료기관 직원(의사, 간호사 등 EMR 시스템 이용 계정을 발급받는 자)의 주민등록번호를 입력하는 기능을 제공한 사실이 있다( , ).
나. EMR 시스템을 통해 환자 개인정보 삭제 기능을 제공하지 않은 사실
피심인은 의료기관에 EMR 시스템을 제공하면서 보관기간이 경과한 환자 개인정보 삭제 기능을 제공하지 않고, 의료기관의 요청을 받을 경우 원격으로 접속하여 삭제하는 방식으로 개인정보를 파기하는 정책을 운영한 사실이 있다( , , ).
다. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실
피심인은 EMR 시스템에서 의료기관의 개인정보취급자별 접근권한 부여ㆍ변경ㆍ말소 내역을 기록하고, 이를 3년 이상 보관하는 기능을 제공하고 있으나, 권한 발급 사유 및 발급한 권한 내용을 입력하는 기능을 제공하지 않은 사실이 있다( , , ).
또한, 피심인은 의료기관의 개인정보취급자가 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력하여 EMR 시스템에 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용한 사실이 있다( ).
또한, 피심인은 의료기관의 개인정보취급자가 정보통신망을 통해 외부에서 클라우드형 EMR 시스템에 접속하려는 경우, 가상사설망(각주:가상사설망(VPN : Virtual Private Network) : 개인정보취급자가 사업장 내의 개인정보처리시스템에 대해 원격으로 접속할 때 IPsec이나 SSL 기반의 암호 프로토콜을 사용한 터널링 기술을 통해 안전한 암호통신을 할 수 있도록 해주는 보안 시스템을 의미) (VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단이나 안전한 인증수단을 적용하지 않은 사실이 있다( ).
피심인은 의료기관의 개인정보취급자 비밀번호를 암호화 저장하면서, 안전하지 않은 암호화 알고리즘(MD5)을 적용한 사실이 있다( ).
또한, 피심인은 의료기관 개인정보취급자의 EMR 시스템 접속기록 중 처리한 정보주체 정보 항목을 누락한 접속기록을 기록ㆍ보관하는 기능을 제공하였으며( ), 의료기관의 개인정보취급자가 EMR 시스템을 통해 환자 개인정보를 다운로드할 경우, 그 사유를 입력ㆍ확인하는 기능을 제공하지 않은 사실이 있다( , , ).
Ⅲ. 개선방안
1. 관련법 규정(각주:이하의 규정은 조사('23.9.1. 완료) 당시 시행 중이었던 舊 법령을 기준으로 표기하였으며, 이 사건 관련사항은 현행 규정('23.9.15. 시행 법령, '23.9.22. 시행 고시)에서도 내용이 개정됨이 없이 동일하다.) 가. 舊 보호법 제3조제1항은 “개인정보처리자는 개인정보의 처리목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.”라고 규정하고 있다.
나. 舊 보호법 제21조제1항은 “개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.“라고 규정하고 있다.
다. 舊 보호법 제29조는 안전조치의무에 관한 규정으로 “개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.”라고 규정하고 있다.
같은 법 시행령(각주:대통령령 제32813호, 2022. 7. 19. 일부개정, 2020. 10. 20. 시행) (이하 '舊 시행령’이라 한다) 제30조제1항은 “개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다. ...... 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치, 3. 개인정보를 안전하게 저장ㆍ전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 조치”라고 규정하고 있다.
한편, 舊 시행령 제30조제3항에 따라 안전성 확보조치에 관한 세부 기준을 구체적으로 정하고 있는 舊 개인정보의 안전성 확보조치 기준(각주:개인정보보호위원회 고시 제2021-2호, 2021.9.15. 일부개정) (이하 '舊 안전성 확보조치 기준’이라 한다) 제5조제3항은 “개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다”라고 규정하고 있다. 또한, 제5조제6항은 “개인정보처리자는 권한 있는 개인정보취급자만이 개인정보처리시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 하여야 한다.”고 규정하고 있고, 제6조제2항은 “개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.”라고 규정하고 있다. 한편, 제7조제2항은 “개인정보처리자는 비밀번호 및 생체인식정보는 암호화하여 저장하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.”고 규정하고 있다.
한편, 제8조제1항은 “개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관ㆍ관리하여야 한다.”라고 규정하고 있으며, 제8조제2항은 “개인정보처리자는 개인정보의 오ㆍ남용ㆍ분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다”라고 규정하고 있다.
舊 안전성 확보조치 기준 해설서는 제5조제3항에 대해 “개인정보처리자는 접근권한 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성한 관리대장 등에 기록하고 해당 기록을 최소 3년간 보관하여야 한다. 예를 들어, 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력 등을 확인할 수 있도록 필요한 정보를 보관하여야 한다”라고 해설하고 있고, 제5조제6항에 대하여는 “개인정보처리자는 개인정보처리시스템에 권한 없는 자의 비정상적인 접근을 방지하기 위하여 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우에는 개인정보처리시스템에 접근을 제한하는 등 기술적 조치를 하여야 한다. 계정정보 또는 비밀번호를 일정 횟수(예: 5회) 이상 잘못 입력한 경우 사용자계정 잠금 등의 조치를 취하거나 계정정보나 비밀번호 입력과 동시에 추가적인 인증수단(인증서, OTP 등)을 적용하여 정당한 접근권한이 있는 자임을 확인하는 등의 조치를 취하는 것을 말한다. 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우에도 반드시 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치가 필요하다.”라고 설명하고 있다.
또한, 제6조제2항에 대해 “인터넷구간 등 외부로부터 개인정보처리시스템에 대한 접속은 원칙적으로 차단하여야 하나, 개인정보처리자의 업무 특성 또는 필요에 의해 개인정보취급자가 노트북, 업무용 컴퓨터, 모바일 기기 등으로 외부에서 정보통신망을 통해 개인정보처리시스템에 접속이 필요한 경우에는 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다.”라고 설명하고 있으며, 안전한 접속수단의 예시로 가상사설망(VPN : Virtual Private Network) 또는 전용선 등을, 안전한 인증수단 예시로 인증서(PKI), 보안토큰, 일회용 비밀번호(OTP) 등을 설명하고 있다.
한편, 제7조에 대하여 “개인정보처리자는 비밀번호, 바이오정보를 DB 또는 파일 등으로 저장하는 경우에는 노출 또는 위ㆍ변조되지 않도록 암호화하여 저장하여야 한다. 비밀번호의 경우에는 복호화 되지 않도록 일방향(해쉬 함수) 암호화 하여야 한다. 일방향 암호화는 저장된 값으로 원본값을 유추하거나 복호화할 수 없도록 한 암호화 방법으로서, 인증검사 시에는 사용자가 입력한 비밀번호를 일방향 함수에 적용하여 얻은 결과값과 시스템에 저장된 값을 비교하여 인증된 사용자임을 확인한다.”고 설명하면서, “고유식별정보, 비밀번호, 바이오정보를 암호화하는 경우에는 국내 및 미국, 일본, 유럽 등의 국외 암호 연구 관련 기관에서 사용 권고하는 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.”라고 해설하면서 SHA-224/256/384/512, Whirlpool 등을 안전한 암호화 알고리즘으로 예시를 들고 있다.
또한, 제8조제1항에 대하여 “접속기록에는 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 항목들을 기록하여야 한다.”고 설명하고 있으며, 제8조제2항에 대하여는 “개인정보처리시스템에 접근하여 개인정보를 다운로드한 경우에는 내부 관리계획으로 정하는 바에 따라 그 사유를 확인하고, 개인정보취급자가 개인정보의 오ㆍ남용이나 유출을 목적으로 다운로드한 것이 확인되었다면 지체없이 개인정보취급자가 다운로드한 개인정보를 회수하여 파기하는 등 필요한 조치를 하여야 한다”라고 하면서, “다운로드란 개인정보처리시스템에 접속하여 개인정보취급자의 컴퓨터 등에 개인정보를 엑셀, 워드, 텍스트, 이미지 등의 파일형태로 저장하는 것을 말한다”고 설명하고 있다.
한편, 舊 안전성 확보조치 기준 해설서는 다운로드 사유 확인이 필요한 기준 책정의 예시로 “(다운로드 정보주체의 수) 통상적으로 개인정보 처리 건수가 일평균 20건 미만인 소규모 기업에서 개인정보취급자가 100명 이상의 정보주체에 대한 개인정보를 다운로드한 경우 사유 확인, (일정기간 내 다운로드 횟수) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드한 행위에 대한 사유 확인, (업무시간 외 다운로드 수행) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드한 경우 사유 확인” 등을 들고 있다.
2. 개선 방안
가. 의료기관이 직원 주민등록번호를 입력하도록 기능을 제공한 사실 관련
{舊 보호법 제3조(개인정보 보호 원칙)}
피심인이 EMR 시스템을 통해 의료기관이 직원의 주민등록번호를 수집할 수 있도록 주민등록번호 입력기능을 제공한 행위는 개인정보의 처리 목적을 명확하게 하고, 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하도록 하는 舊 보호법 제3조제1항에 반할 소지가 있다.
피심인은 의료기관이 의료법 및 기타 법령상 직원(의사, 간호사 등)의 주민등록번호를 수집ㆍ처리할 근거가 없는 한 EMR 시스템에서 주민등록번호를 입력하는 기능을 삭제할 필요가 있다( , ).
나. EMR 시스템을 통한 개인정보 삭제 기능을 제공하지 않은 사실 관련
{舊 보호법 제21조(파기)}
의료기관은 보관기간이 경과한 환자의 개인정보를 관련 법령에 따라 처리한 후 파기할 의무가 있고, 의료기관이 보관 중인 개인정보는 환자의 건강정보를 포함하여 민감한 정보가 포함되어 있으므로, 의료기관에 EMR 시스템을 제공하는 피심인은 의료기관이 EMR 시스템을 통해 환자 개인정보를 적시에 삭제할 수 있도록 관련 기능을 제공할 필요가 있다( , , ).
다. EMR 시스템의 안전조치 의무 관련 기능을 미흡하게 제공한 사실 관련
{舊 보호법 제29조(안전조치의무) 중 접근권한, 암호화, 접속기록}
의료기관은 EMR 시스템의 기능을 확인하여 개인정보 보호법을 준수할 수 있는 제품을 선택해야 하며, 피심인은 의료기관의 수탁사로서 의료기관이 개인정보 보호법을 준수할 수 있는 기능을 갖춘 EMR 서비스를 제공하여야 한다.
피심인은 EMR 시스템을 통해 의료기관의 개인정보취급자별 개인정보처리시스템 접근권한 부여ㆍ변경ㆍ말소 내역 기록 기능을 제공하고 있으나, 권한 발급 사유 및 발급한 권한 내용을 기록항목에서 누락하여 개인정보취급자에 대한 접근권한 발급 과정과 이력을 확인하기에 불충분하므로 접근권한 기록 항목에 권한부여 사유를 포함하도록 기능을 개선할 필요가 있다( , , ).
또한, 피심인이 의료기관의 개인정보취급자가 EMR 시스템에 접근 시 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 하여 접근이 제한된 경우, 개인정보취급자 여부를 확인하지 않고 계정잠금을 해제하도록 기능을 적용하여 개인정보처리시스템에 권한없는 자의 비정상적인 접근을 방지하기 어려우므로, 관련 기능을 개선할 필요가 있다( ).
피심인이 의료기관의 개인정보취급자가 정보통신망을 통해 외부에서 EMR 시스템에 접속하려는 경우 안전한 접속수단 또는 안전한 인증수단을 적용하지 않은 행위의 경우 외부 인터넷으로부터 계정도용이나 크리덴셜 스터핑(credential stuffing) 공격 발생 시 개인정보 유출 위험을 현저하게 증대시키므로 해당 기능을 개선할 필요가 있다( ).
피심인이 의료기관 개인정보취급자의 비밀번호를 암호화 저장하면서 안전하지 않은 암호화 알고리즘을 사용한 행위는 비밀번호의 노출 또는 위ㆍ변조 위험을 발생시킬 수 있으므로, 안전한 암호화 알고리즘으로 개선할 필요가 있다( ).
피심인은 의료기관이 개인정보취급자의 접속기록을 보관ㆍ관리할 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 등을 포함한 개인정보취급자의 접속기록을 기록ㆍ보관하는 기능을 EMR 시스템을 통해 제공하여야 하나, 처리한 정보주체 정보를 누락하여 기록ㆍ보관하도록 하여 개인정보 처리 내역에 대한 책임추적이 어려워질 우려가 있으므로 기능 개선이 필요하다( ).
또한, 피심인이 의료기관의 개인정보취급자가 개인정보를 다운로드 시 그 사유를 입력하는 기능을 제공하지 않아, 비인가된 개인정보 처리나 대량의 개인정보 조회 등의 비정상 행위를 탐지하고 적절한 대응조치를 하기 어려우므로, 다운로드 정보주체의 수, 일정기간 내 다운로드 횟수, 업무시간 외 다운로드 수행 여부 등 여러 사정을 고려한 기준에 따른 개인정보 다운로드 사유 입력ㆍ확인 기능을 제공할 필요가 있다( , , ).
Ⅳ. 처분 및 결정
1. 개선권고
피심인에 대하여 개인정보 보호법 제61조제2항에 따라 다음과 같이 개선을 권고한다.
가. 피심인은 의료기관이 직원의 주민등록번호를 불필요하게 수집ㆍ처리하지 않도록 EMR 시스템에서 직원의 주민등록번호 뒷자리 입력기능을 삭제하여야 한다( , ).
나. 피심인은 의료기관에서 보관기간이 경과한 환자 개인정보를 관련 법령에 따라 처리 후 EMR 시스템을 통해 직접 삭제할 수 있도록 삭제 기능을 제공하여야 한다( , , ).
다. 피심인은 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손을 방지하고, 의료기관 내 처리되는 개인정보의 안전성을 확보하기 위하여 EMR 시스템을 통해 다음과 같은 기능을 제공하여야 한다.
1) 피심인은 의료기관이 EMR 시스템을 통해 개인정보취급자의 접근권한 부여ㆍ변경ㆍ말소 내역을 기록ㆍ관리할 수 있도록 신청자 정보, 신청일시, 승인자 및 발급자 정보, 신청 및 발급 사유 등 발급 과정과 이력을 확인할 수 있는 정보를 입력하고 관리하는 기능을 제공해야 한다( , , ).
2) 피심인은 의료기관의 권한 있는 개인정보취급자만이 EMR 시스템에 접근할 수 있도록 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하고, 개인정보취급자에게 개인정보처리시스템에 대한 접근을 재부여하는 경우 개인정보취급자 여부를 확인 후 계정 잠금 해제 등의 조치를 취할 수 있도록 기능을 제공하여야 한다( ).
3) 피심인은 외부(의료기관)에서 개인정보취급자가 정보통신망을 통해 클라우드형 EMR 시스템에 접속하려는 경우 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하거나 안전한 인증수단을 적용하여야 한다( ).
4) 피심인은 EMR 시스템을 통해 의료기관 개인정보취급자의 비밀번호를 저장할 때는 안전한 암호화 알고리즘으로 암호화하여 저장하여야 한다( ).
5) 피심인은 의료기관이 개인정보취급자의 접속기록을 보관ㆍ관리할 수 있도록 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보 등을 포함한 접속기록을 기록ㆍ보관하는 기능을 EMR 시스템을 통해 제공하여야 하며( ), 의료기관이 EMR 시스템을 통해 개인정보를 다운로드하는 경우 그 사유를 입력ㆍ확인할 수 있는 기능을 제공하여야 한다( , , ).
라. 피심인은 가.부터 다.까지의 개선권고에 따른 개선조치를 이행하고, 개선권고 통지를 받은 날로부터 180일 이내에 조치결과를 제출하여야 한다.
Ⅴ. 결론
피심인에 대하여 개인정보 보호법 제61조(의견제시 및 개선권고) 제2항에 따라 개선권고를 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).