개인정보보호법 위반 유의사례 공개...외주전산업체 위탁업무 공개 '의무'
"자율점검 교육, 책임 전가 의혹은 오해...요양기관 피해 방지 차원" 강조
이형훈 보건복지부 보건의료정책과장은 19일 보건복지부 세종청사에서 전문기자협의회와 간담회를 갖고, 요양기관 종사자들이 개인정보보호법을 잘 몰라서 위반하는 다섯 가지 사례를 소개하고, 개인정보보호법 준수 협조를 요청했다.
이 과장에 따르면 대다수 의원급 의료기관에서 종이로 신규환자에게 받는 접수증에 기록된 환자의 이름과 주민등록번호, 주소, 전화번호 등의 개인정보를 OCS 등에 옮겨 입력한 후 접수증을 파기하지 않는 사례가 많은데, 이는 개인정보보호법 위반이다.
OCS 등에 옮겨 입력한 후 자체적으로 파기계획을 수립하거나, 접수증이 유출되지 않도록 잘 보관한 후 단시간 내에 파기해야 한다.
의료기관에서 종이로 처방, 진료기록을 작성한 후 OCS 등에 옮겨 입력하는 경우 역시 OCS에서 환자정보를 입력하고 나면 종이로 작성한 처방 및 진료기록은 파기해야 해야 한다.
또한 의료기관 및 약국에서 OCS, EMR, 건강보험청구 SW, 약국경영관리시스템을 외주 전산업체와 위·수탁 계약을 체결하여 운영하는 경우에는 수탁자(외주 전산업체 명의)와 위탁한 업무사항을 요양기관 홈페이지 또는 홈페이지가 없을 경우 요양기관 내 게시물에 게재해야 한다.
의료법, 약사법, 국민건강보험법 등 관련 법률에 따라 당연히 환자의 개인정보를 수집·이용하는 경우 환자에게 개인정보동의서를 받을 필요가 없지만, 불필요하게 받은 동의서를 파기하지 않고, 이면지로 재활용 또는 쓰레기통에 버리게 되면 개인정보보호법 위반이다.
아울러 요양기관 내에서 다른 진료과에서 수집한 환자 개인정보를 타 과 또는 해당 과에서 진료목적이 아닌 연구 등의 목적으로 사용하려면 환자를 식별할 수 있는 개인정보는 삭제해야 한다.
이와 관련 이 과장은 "요양기관에서 소홀하기 쉬운 개인정보보호법 위반사례는 주로 외주전산업체와 체결한 위·수탁 계약 관련 사항들"이라면서 "보건복지부가 건강보험심사평가원을 통해 9월부터 10월말까지 실시할 예정인 요양기관 자율점검 교육을 통해 위반사례 방지 점검을 할 수 있다"고 말했다.
이어 "최근 발생한 대한약사회 약학정보원과 지누스의 정보유출 사건을 계기로 개인정보보호 점검 필요성이 부각되면서 교육 일정을 빨리 잡다보니 의료계로부터 불필요한 오해를 산 것 같다"면서 "자율점검 교육은 일련의 환자정보 유출 사건의 책임을 의료계에 전가하려는 것이 절대 아니다"고 강조했다.
아울러 "환자의 진료정보는 민감정보로 분류돼 엄격히 관리하도록 돼 있으며, 관리의무가 요양기관에 있다"면서 "이미 요양기관의 개인정보보호를 위한 가이드라인을 배포한 바 있지만, 혹시라도 부족한 부분이 있을 경우를 대비해 자율점검 교육을 실시하려는 것"이라고 덧붙였다.
