|
지난해 12월부터 개정 시행된 개인정보보호법에 따라 의료기관의 주의가 당부된다. 옥션, SK컴즈, KT 등 대기업 개인정보 유출 사건에서 알 수 있듯이 사회적 파장이 적지 않기 때문이다.
28일 ‘2015 의료기관 개인정보보호&정보보안 컨퍼런스’가 한국과학기술회관에서 개최됐다. 이번 행사에서는 개인정보보호법 기술적·관리적 조치, 의료기관 인증평가 대응 방안 등이 다뤄졌다.
개정 시행된 고시안은 ▲사람, 홈페이지에 의한 개인정보 유출사고 대응 강화 ▲신규 보안위협 대응조치 강화 ▲모바일 기기 이용 확대에 따른 보호조치 강화 등을 골자로 삼고 있다.
예를 들어 본인확인 시 주민번호만으로 가능했지만, 변경된 이후부터 주민번호 외 아이핀, 휴대폰, 공인인증서와 같은 추가적인 정보로 확인해야 한다.
첫번째 연자로 나선 한국인터넷진흥원 김호성 팀장은 의료기관이 주의해야 할 사항을 상세히 소개했다. 주로 의료기관이 개인정보보호법 강화 조치에 따라 추가적인 조치를 취하지 않아도 될 부분에 대해 언급했다.
그는 “현재 의료기관에서는 환자 편의를 위해 검사결과를 전화 또는 문자로 알려주는 경우가 있다”며 “이 부분에 대해 개인정보보호법상 문제가 되는지 묻는 분들이 많다”고 전했다.
결론부터 이야기하자면 환자 본인이 확인된 경우, 검사결과 통보는 진료 목적 범위에 해당하기 때문에 별도 동의를 받지 않아도 된다.
또한 진료 목적으로 다른 의료기관 또는 검사기관에 개인정보 처리를 위탁하는 경우 환자 동의를 받을 필요가 없다. 단, 계약 시 문서화, 수탁자 공개, 수탁자 관리·감독 등 몇 가지 사항은 준수해야 한다.
김호성 팀장은 “의료기관에서 환자 및 보호자와의 분쟁을 대비하기 위해 음성녹음 파일과 CT영상은 암호화 대상에서 제외된다”며 “그러나 직원 출입 시 사용하는 지문은 바이오정보로 암호화 대상에 포함된다”고 설명했다.
그러나 이와 별도로 개인정보보호 관련 의료기관 인증평가를 받기 위해서는 꼼꼼한 내부 자료와 시스템 구축이 필요해 보인다.
무엇보다 중요한 지침은 의료기관 인증평가 기준에 나와 있는 제12조 4항이다. 4항에는 개인정보 보호 및 보안에 대한 각종 증빙 서류가 명시돼있다.
대한병원정보협회 한기태 사무총장은 “평소 제12조 4항에 해당하는 개인정보 취급 관리 및 책임자 명시, 교육훈련 지침, 보안감사, 외부위탁관리 지침 등 다양한 규정에 대해 증빙서류를 잘 갖춰 놓아야 한다”고 말했다.
개인정보보호 인증평가 준비 프로세스는 ‘개인정보보호 및 보안 지침서 작성’, ‘보안 지침서 분석’, ‘증빙자료 작성’ 순으로 구성된다.
한기태 사무총장은 “현재 건국대병원 실무자로 근무하고 있는 입장에서 우리는 내부관리 계획을 수립·승인 후 운영함으로써 우수 평가를 받은 바 있다”며 “조직도, 내부관리계획, 서약서 등을 구성원들로부터 미리 받아 놓아야 한다”고 제언했다.
한기태 사무총장은 “이와 더불어 정보시스템 접근권한 및 통제에 대한 절차를 세워놓고, 의료행위 관련 정보시스템 접속기록 보관 및 위변조 방지에 힘써야 할 것”이라고 전했다.
이어 “비정상적으로 많은 데이터 다운로드 사례 적발 등 주기적으로 접속기록을 모니터링 한다면 개인정보보호 강화에 많은 도움이 된다”고 덧붙였다. |
