약국을위한 개인정보보호의이해 2013. 12. 22. 요양기관정보화지원협의회
목차 개인정보개요개인정보보호법약국개인정보적용약국개인정보실무개인정보보호상담사례 HIRA Services
Ⅰ. 개인정보개요 개인정보란생존하는개인에관한정보로서성명, 주민등록번호등에의하여당해개인을식별할수있는부호, 문자, 음성, 음향및영상등의정보 개인기본정보 개인을식별하기위한최소한의정보 주민등록번호등고유식별정보 개인신상정보 개인의신체적특징및주변정보 결혼사항, 위치정보, 직업등 개인금융정보 재산, 신용등경제상황에대한정보 신용등급, 통장, 부동산등 개인의료정보 신체적 / 정신적상태와조제 ( 진료 ) 기록정보 치료 / 진료내역, 혈액형등
검토항목위험유형 Ⅰ. 개인정보개요 개인정보 Life-Cycle 단계별유형 수집 보유 이용 제공 파기 동의 / 승인없는불법수집 악성코드, 인증및접근통제취약으로유출 / 위변조 / 손실 허용되지않은장소 ( 매체 ) 에저장 암호화, 접근통제취약으로해킹발생 유출 / 위변조 / 손실 목적외이용, 2 차악용 악성코드, 인증및접근통제취약으로유출 / 위변조 / 손실 동의 / 승인없는불법제공 암호화, 접근통제취약으로해킹발생 완전파기미흡으로악용 수집인 or 시스템 수집방법 : WEB(WAP), 신청서, FAX, 시스템 /DB 연동등 저장장소 ( 매체 ) : PC, 파일서버, DB, 로그등 저장형태 : 평문, 암호화, * 마스킹등 이용인 or 시스템 이용방법 : 화면조회, 출력, 파일저장등 제공인 or 시스템 제공대상 제공방법 : 시스템 /DB 연동, 대량파일전송등 파기인 or 시스템 파기방법 : DB 삭제, HDD 포맷, 전송후파기, 서류파쇄등 개인정보 Life-Cycle 단계별위험을고려하여흐름관리필요 개인정보흐름및위험수준모니터링
Ⅱ. 개인정보보호법 개인정보보호법은왜만들어졌나? 배경 개인정보활용범위및가치가증대되고개인정보침해사고가빈번히발생되어체계적인대응필요성 개별법간상이한법적용으로사각지대발생해소 규범을일원화하여개인정보를취급하는모든공공. 민간부문의보호조치의무화 의료기관개인정보보호의필요성 의료기관은국민들의중요한개인정보 ( 주민등록번호, 질병정보등 ) 를수집 처리 민감정보가포함된진료정보유출시심각한사생활침해발생가능 철저한개인정보관리및보호필요
Ⅱ. 개인정보보호법 제 1 장총칙 - 목적, 정의, 개인정보보호원칙, 다른법률과의관계등 개인정보보호법 본문 9 장 76 개조문, 부칙 제 2 장개인정보보호정책의수립등 - 개인정보보호위원회, 기본계획 시행계획수립, 개인정보보호지침, 자율규제촉진등 제 3 장개인정보의처리 - 수집 이용 제공등처리기준, 민감정보 고유식별정보제한, 영상정보처리기기제한등 제 4 장개인정보의안전한관리 - 안전조치의무, 개인정보파일등록 공개, 개인정보영향평가, 유출통지제도등 제 5 장정보주체의권리보장 - 열람요구권, 정정 삭제요구권, 처리정지요구권, 권리행사방법및절차, 손해배상책임등 제 6 장개인정보분쟁조정위원회 - 분쟁조정위원회설치 구성, 분쟁조정의신청방법 절차, 효력, 집단분쟁조정제도등 제 7 장개인정보단체소송 단체소송대상, 소송허가요건, 확정판결의효력등 제 8 장보칙 - 적용제외, 금지행위, 침해사실신고, 시정조치등 제 9 장벌칙 벌칙, 과태료및양벌규정등 부칙 : 시행일, 경과조치, 다른법률의개정등 개인정보보호법전면시행 ( 2011.9.30) 행정처분유예기간종료 (2012.3.29)
Ⅱ. 개인정보보호법 제 3 장개인정보의처리 주요개정사항 제16조 ( 개인정보의수집제한 ) ( 신설 ) 2 개인정보처리자는정보주체의동의를받아개인정보를수집하는경우필요한최소한의정보외의개인정보수집에는동의하지아니할수있다는사실을구체적으로알리고개인정보를수집하여야한다. ( 개정 ) 3 개인정보처리자는정보주체가필요한최소한의정보외의개인정보수집에동의하지아니한다는이유로정보주체에게재화또는서비스의제공을거부하여서는아니된다제24조의2( 주민등록번호처리의제한 ) - 신설 1 제24조제1항에도불구하고개인정보처리자는다음각호의어느하나에해당하는경우를제외하고는주민등록번호를처리할수없다. 1. 법령에서구체적으로주민등록번호의처리를요구하거나허용한경우 2. 정보주체또는제3자의급박한생명, 신체, 재산의이익을위하여명백히필요하다고인정되는경우 3. 제1호및제2호에준하여주민등록번호처리가불가피한경우로서안전행정부령으로정하는경우 2 개인정보처리자는제1항각호에따라주민등록번호를처리하는경우에도정보주체가인터넷홈페이지를통하여회원으로가입하는단계에서는주민등록번호를사용하지아니하고도회원으로가입할수있는방법을제공하여야한다. 3 안전행정부장관은개인정보처리자가제2항에따른방법을제공할수있도록관계법령의정비, 계획의수립, 필요한시설및시스템의구축등제반조치를마련 지원할수있다.
Ⅱ. 개인정보보호법 제 4 장개인정보의안전한관리 제34조의2( 과징금의부과등 ) - 신설 1 안전행정부장관은개인정보처리자가처리하는주민등록번호가분실 도난 유출 변조또는훼손된경우에는 5억원이하의과징금을부과 징수할수있다. 다만, 주민등록번호가분실 도난 유출 변조또는훼손되지 주요개정사항 아니하도록개인정보처리자가제24조제3항에따른안전성확보에필요한조치를다한경우에는그러하지아니하다. 2 안전행정부장관은제1항에따른과징금을부과하는경우에는다음각호의사항을고려하여야한다. 1. 제24조제3항에따른안전성확보에필요한조치이행노력정도 2. 분실 도난 유출 변조또는훼손된주민등록번호의정도 3. 피해확산방지를위한후속조치이행여부 3 안전행정부장관은제1항에따른과징금을내야할자가납부기한까지내지아니하면납부기한의다음날부터과징금을낸날의전날까지의기간에대하여내지아니한과징금의연 100분의 6의범위에서대통령령으로정하는 가산금을징수한다. 이경우가산금을징수하는기간은 60개월을초과하지못한다. 4 안전행정부장관은제1항에따른과징금을내야할자가납부기한까지내지아니하면기간을정하여독촉을하고, 그지정한기간내에과징금및제2항에따른가산금을내지아니하면국세체납처분의예에따라징수한다. 5 과징금의부과 징수에관하여그밖에필요한사항은대통령령으로정한다.
Ⅱ. 개인정보보호법 제 8 장보칙 주요개정사항 제65조 ( 고발및징계권고 ) ( 개정 ) 2 안전행정부장관은이법등개인정보보호와관련된법규의위반행위가있다고인정될만한상당한이유가있을때에는책임이있는자 ( 대표자및책임있는임원을포함한다 ) 를징계할것을해당개인정보처리자에게권고할수있다. 이경우권고를받은사람은이를존중하여야하며그결과를안전행정부장관에게통보하여야한다. 개인정보보호법개정 ( 2013.8.6) 행정처분유예기간 (2014.8.7)
Ⅲ. 약국개인정보적용 개인정보보호법적용대상 법시행이전 법시행이후 분야별개별법적용 ( 약 51 만 ) 적용대상 : 공공 민간부문의모든개인정보처리자 공공기관 : 공공기관개인정보보호법 포털, 금융기관, 의료기관, 학원, 제조업, 서비스업등 신용정보제공 이용자 : 신용정보법 72 개업종 350 만전체사업자 정보통신서비스제공자 : 정보통신망법 적용범위 : 전자파일형태외에동창회명부, 여행사 백화점등준용사업자 : 정보통신망법 민원서류, 이벤트응모권등수기포함
Ⅲ. 약국개인정보적용 의료기관에서개인정보로기록하는서류 ( 범위 ) 외래초진 외래경과 퇴원기록 임상관찰내역 의사지시 초기간호정보 간호일지 간호활동수행기록 퇴원간호계획 입원초진 입원경과 과별서식 타과의뢰 수술, 마취, 검사동의서 수술간호상태확인표 마취기록, 마취전상태평가 수술기록 수술간호기록 회복간호기록 검체검사보고서, 영상검사보고서, 병리검사보고서 기능검사보고서 중환자간호기록 투석간호기록 진단서, 소견서등 스캔자료 PACS ( 영상검사결과 ) 단기입원기록 전과기록등 처방전 조제기록부
Ⅳ. 약국개인정보실무 개인정보의단계별조치요령 ( 제 3 장수집 이용 ) 개인정보수집 이용 수집하는목적에맞게최소한의개인정보만을수집 이용한다. 처방전, 조제기록, 요양급여청구정보 처방에따라조제하고급여청구하는일반약국 조제기록과요양급여청구정보를통합하여관리가능 동의 불필요 고객관리정보 마케팅등을위해고객정보를별도로관리하는약국 처방전의개인정보를고객관리를위해사용할경우 동의필요 홈페이지회원정보 홈페이지를운영하며회원정보를수집하는약국 개인정보보호법제 15 조 ( 개인정보의수집 이용 ) 동의필요 개인정보의수집 이용목적, 항목, 보유 이용기간, 거부할권리 ( 불이익의내용포함 ) 등
Ⅳ. 약국개인정보실무 개인정보의단계별조치요령 ( 제 3 장수집 이용 ) 개인정보제 3 자위탁 대상 청구 SW 사용및 AS, 데이터보관 ( 웹하드, 클라우딩 ), 처방전파기 약국청구프로그램사용 : 공급업체와계약 내용 약국청구프로그램 A/S : A/S 업체와직접계약 데이터보관서비스이용 : 서비스제공업체와계약 처방전파기 : 약국과파기업체간직접계약 수탁자가개인정보보호법을위반하여손해배상책임이있는경우개인정보처리자 ( 위탁자 ) 의소속직원으로간주함
Ⅳ. 약국개인정보실무 영상정보처리기기설치및운영 ( 제 3 장 25 조 ) 공개된장소의영상정보처리기기설치 Ο 공개된장소 : 정보주체가접근하거나통행시제한을받지아니한장소 - 약국내대기실, 접수대, 휴게실, 주차장등 개인의사생활 ( 목욕탕, 탈의실등 ) 침해가우려되는장소는 CCTV 설치 운영안됨 ( 예외 ) 법령에서허용, 범죄예방 수사, 시설안전 화재예방, 교통단속, 교통정보의수집분석및제공 공개된장소에설치된영상정보처리기기는안내판설치필요안내판기재내용 1. 설치목적및장소 2. 촬영범위및시간 3. 관리책임자의성명 ( 직책 ) 및연락처 4. ( 위탁받은자가있는경우 ) 위탁받은자의명칭및연락처 영상정보처리기기는임의로조작하거나다른곳을비취서도안되며녹음은금지
Ⅳ. 약국개인정보실무 개인정보의단계별조치요령 ( 제 4 장관리의무 ) 개인정보보호법제 29 조 ( 안전조치의무 ) - 의료기관은개인정보의안전한처리를위해서관리적 기술적 물리적조치를취해야한다. 조치사항 관리적보안 안전성확보조치내용 ( 대상 ) 상시근무인원 5인이상인의료기관 ( 안전행정부 개인정보보호지침 ) ( 내용 ) 개인정보처리방침수립, 공개 ( 목적, 기간, 제3자제공, 위탁에관한사항등 ) 개인정보보호책임자지정, 개인정보취급자감독, 개인정보유출통지등 * 홈페이지보유기관은홈페이지에공개 ( 미운영기관은접수창구에비치 ) 기술적보안 ( 접근통제 ) 업무용PC를이용하는경우윈도우운영체계에서제공하는방화벽설치 ( 접근제한 ] 개인정보처리시스템접근을최소화, 권한부여, 변경등 ( 기록 3년보관 ) * 고유식별정보, 비밀번호등저장및전송시암호화 ( 접근보호 ) 업무용PC에보안프로그램 ( 백신소프트웨어 ) 설치 ( 비밀번호 ) 제 3 자가쉽게추측할수없도록 9 자리이상, 최소 6 개월마다변경 물리적보안 개인정보가담긴서류나보조저장매체등의보관을위해캐비닛이나보관함마련
Ⅳ. 약국개인정보실무 기술적보안 PC 보안 ( 암호설정 ) 컴퓨터부팅시윈도우암호설정 시작 제어판 사용자계정 암호변경
Ⅳ. 약국개인정보실무 기술적보안 PC 보안 (Windows 방화벽설정 ) 방화벽설정 시작 제어판 windows방화벽 windows방화벽설정또는해지 방화벽설정업데이트에서권장설정사용클릭
Ⅳ. 약국개인정보실무 기술적보안 PC 보안 ( 암호설정 ) 컴퓨터대기상태시화면보호기설정 시작 제어판 개인설정 화면보호기 다시시작할때로그온화면표시 체크
Ⅳ. 약국개인정보실무 기술적보안 PC 보안 ( 바이러스백신 ) 바이러스백신프로그램설치 정품바이러스백신프로그램설치 V3 internet security, 노턴안티바이러스계열등상용소프트웨어 ( 주의 ) V3 lite, 알약등무료버전약국사용금지 PC 보안 ( 개인정보자료암호설정 ) 보관중인파일및외부에 E- 메일전송등
Ⅳ. 약국개인정보실무 개인정보의단계별조치요령 ( 제 5 장권리보장 ) 제공 열람 수정 삭제 의료인이나의료기관종사자는환자가아닌다른사람에게환자에관한기록을열람하게하거나사본을내주는등내용을확인하게해서는안됨 의료정보는정보주체라할지라도수정 삭제불가 ( 의료법제22, 23조 ) 정보주체가수정 삭제요청시 10일이내처리 ( 개인정보보호법제36조 ) 개인정보의단계별조치 ( 제 3 장파기 ) 처방전보관 처방전보관기간은약사법 2 년 ( 요양급여비용청구처방전 3 년 ) 잠금장치가된보관함또는보관시설이용, 제 3 자위탁 처방전폐기 보유기간이경과한처방전은주기적으로폐기, 폐기전문업체위탁
Ⅳ. 약국개인정보실무 개인정보보호법의무사항및위반시벌칙 구분 주요내용 처벌및벌칙 수 5년이하징역또는민감정보 ( 사상ㆍ신념ㆍ정당가입ㆍ건강등 ) 처리기준위반 ( 제23조 ) 집 5천만원이하벌금 ㆍ이 부당한수단이나방법에의해개인정보를취득하거나개인정보처리에관한동의를얻는행위를한자 ( 제59조 ) 3년이하징역또는 3천만원이하벌금 용 탈의실ㆍ목욕실등 CCTV 설치금지위반 ( 제25조 ) 5천만원이하과태료 제공안전관리 정보주체의동의없는개인정보제3자제공 ( 제17조 ) 개인정보주체에게알려야할사항을알리지아니한자 ( 제15조, 제17조, 제18조, 제26조 ) 개인정보의누설또는타인이용에제공 ( 제59조 ) CCTV 설치목적과다른목적으로임의조작하거나다른곳을비추는자또는녹음기능을사용한자 ( 제25조 ) 직무상알게된비밀을누설하거나직무상목적외사용한자 ( 제60조 ) 5년이하징역또는 5천만원이하벌금 3천만원이하과태료 5년이하징역또는 5천만원이하벌금 3년이하징역또는 3천만원이하벌금 개인정보의정정ㆍ삭제요청에대한필요한조치를취하지않고, 개인정보를계속권이용하거나제3자에게제공한자 ( 제36조 ) 익정보주체의정정ㆍ삭제요구에따라필요조치를취하지아니한자 ( 제36조 ) 파기개인정보미파기 ( 제21조 ) 2년이하징역또는 1천만원이하벌금 3천만원이하과태료 3천만원이하과태료
Ⅴ. 개인정보보호상담사례 개인정보제공 Q & A Q: 의료기관에서전화로환자의조제내역을요청할경우 A: 응급환자인경우 - 응급의료법제5조에따라응급의료종사자가응급의료를위하여필요한협조를요청하면누구든지적극협조하도록하고있으므로응급의료기관에필요한정보를제공하는것은정보주체의동의없이가능합니다. A: 일반환자인경우 - 환자의동의가있는경우에만제공이가능하나전화상으로환자의동의여부를확인하기어려운경우제공하지않도록주의하시기바랍니다. 조제기록부의열람 : 약사법제 30 조에따라환자, 배우자, 환자의직계존비속, 배우자의 직계존속및환자가지정하는대리인이열람을요청할경우따라야함
Ⅵ. HIRA Services 약국개인정보보호를위한서비스제공 약국홈페이지개인정보보안취약점점검서비스 진료비청구포털서비스 (MCPoS : Medical Claim Portal Service) - 청구용 SAM 파일, 조제내역 DB 암복호화 약국미니홈피제작서비스 ( 웹접근성 2.0 준용 ) 의료기관개인정보보호가이드라인책자제공
Ⅵ. HIRA Services 요양기관업무포털서비스 (biz.hira.or.kr) 심사정보, 현황신고, 신청및자료제출, 진료비청구, 평가등 의약품안심서비스 (DUR : Drug Utilization Review) 진료비청구포털서비스 (MCPoS : Medical Claim Portal Service 알림서비스 ( 업무처리결과, 진행사항조회등 )