의료기관 개인정보보호 가이드라인

2012. 9.

	행정안전부		보건복지부

• • 목    차 • •

Ⅰ. 가이드라인 개요	3

Ⅱ. 개인정보 처리 기본원칙	6

Ⅲ. 개인정보 처리단계별 조치요령	9

1. 개인정보의 수집․ 이용	9

2. 개인정보의 관리	14

3. 개인정보의 ․제공·열람	24

4. 정정․삭제 등 정보주체의 요구사항 처리	31

5. 개인정보 파기	33

6. 폐업 및 의료기관 허가사항 변경 시 조치사항	36

7. 개인정보 유출․침해 시 조치방법	38

8. 영상정보처리기기의 설치 및 운영	40

《참고》

1. 표준 서식

2. 개인정보보호법

3. 의료분야 관련 법령

I. 가이드라인 개요

1. 발간 배경

□ 의료기관에서는 주민등록번호, 질병정보 등 국민들의 중요한 개인정보를 수집·처리하고 있습니다.

○ 특히, 질병정보 등 민감정보가 포함된 진료정보가 유출될 경우 심각한 사생활 침해가 발생할 수 있으므로 더욱 안전하게 관리하여야 합니다.

□ 개인정보보호에 관한 일반법인 개인정보보호법이 ’11.3.29. 제정되어 같은 해 9.30부터 시행되고 있습니다.

○ 개인정보 보호 기반조성 및 개인정보 보호법의 안정적 정착을 위해 의료기관의 특성을 고려한 업무처리 기준이 요구되고 있습니다.

○ 이에 따라 개인정보보호법, 의료법, 국민건강보험법 등 관련 법령의 적용범위와 해석을 명확히 하여 의료기관의 이해를 돕고자 본 가이드라인을 마련하였습니다.

2. 목    적

○ 병원, 의원, 한의원, 치과의원 등 각급 의료기관들이 개인정보를 수집하여 처리하는 모든 업무과정에서 고려하여야 할 절차와 규칙을 정의합니다.

○ 관련법령, 처리기준, 유사사례를 종합적으로 정리하여 의료기관이 개인정보보호 실무 수행시 쉽게 적용할 수 있는 가이드라인을 제공합니다.

○ 의료기관과 환자간에 발생할 수 있는 개인정보보호 관련 분쟁을 예방하고 개인정보 유출 등 침해사고를 방지할 수 있는 제도적 기반을 정립합니다.

3. 용어 정의

○ “정보주체”란 살아 있는 개인으로서 자신에 관한 개인정보의 결정권을 보유하고 있는 주체를 말합니다.

○ “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함)를 의미합니다.

○ “개인정보처리”란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말합니다.

○ “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말합니다.

○ “개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 의미합니다.

○ “진료정보”란 진료를 목적으로 수집하여 처리하는 개인정보가 포함된 정보로 진료기록부, 수술기록부, 조산기록부, 간호기록부, 환자명부 등으로 관리되는 정보를 의미합니다.(진료정보에는 사망한 자의 정보가 포함됨)

※ 홈페이지 회원정보는 진료정보에 해당하지 않습니다.

○ “영상정보처리기기”란 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유․무선망을 통하여 전송하는 일체의 장치로써 개인정보보호법 시행령 제3조에 따른 폐쇄회로 텔레비전(CCTV) 및 네트워크 카메라를 의미합니다.

II. 개인정보 처리 기본원칙

1. 개인정보의 개념

○‘개인정보’란 살아있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보를 말합니다.

- 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함합니다.

< 개인정보의 범위 >

1. 개인에 관한 정보

법률상의 개인정보는 "자연인(自然人)에 관한 정보"만 해당됨.   법인(法人)이나 단체의 정보는 법률에 따라 보호되는 개인정보의 범위에는 해당되지 않음

2. 생존하는 개인에 관한 정보

법률상의 개인정보는 "생존하는 자연인"에 관한 정보만 해당됨. 따라서 이미 사망하였거나 민법에 의한 실종선고 등 관계 법령에 의해 사망한 것으로 간주되는 자에 관한 정보는 법률상의 개인정보로 볼 수 없음

3. 생존하는 특정 개인을 알아볼 수 있는 정보

법률상의 개인정보에 해당되기 위해서는 그 정보로 "특정 개인을 알아볼(식별할)" 수 있어야 하며, 해당 정보만으로는 특정 개인을 식별할 수 없다 하더라도 "다른 정보와 쉽게 결합" 하여 식별 가능하다면, 개인정보에 해당됨. 예를 들어, 단순히 "성명" 정보만 있다면 특정 개인을 식별하는 것이 쉽지 않으나(동명이인 등), 개개인의 "주소․연락처" 등과 결합되어 특정한 개인을 식별할 수 있다면 개인정보로 볼 수 있음

4. 정보의 종류·형태 비제한

개인정보는 문자·음성·부호·영상 등 정보의 종류나 형태의 제한이 없음

- 개인과 직접 관련이 있는 정보뿐만 아니라 그 개인에 대한 의견, 평가 등 제3자에 의해 생성된 간접적인 정보도 해당합니다.

< 개인정보의 예시 >

구 분		내 용
일반정보		이름, 주민등록번호, 주소, 전화번호, 생년월일, 이메일 주소, ID/PW, 가족관계 및 가족구성원의 정보, IP 주소
신체적 정보	신체	얼굴, 지문, 홍채, 음성, 유전자정보, 키, 몸무게
	의료/건강	건강상태, 진료기록, 신체장애, 장애등급
정신적 정보	기호/성향	도서·비디오 대여기록, 신문·잡지 구독정보, 여행 등 활동 내역, 인터넷 검색내역
	신념/사상	종교 및 활동내역, 정당·노조 가입여부 및 활동내역
재산적 정보	금융	소득정보, 신용카드번호 및 비밀번호, 통장계좌번호 및 비밀번호, 동산·부동산 보유내역, 저축내역
	신용	개인신용평가정보, 대출·담보설정 내역, 신용카드 사용내역
사회적 정보	교육	학력, 성적, 출석상황, 자격증 보유내역, 상벌기록, 생활기록부
	범죄 등	전과·범죄기록, 재판기록, 과태료 납부내역
	근로	직장, 근무처, 근로경력, 상벌기록, 직무평가기록
기타	통신	통화내역, 인터넷 접속내역, 이메일, 문자메시지
	위치	IP주소, GPS 등에 의한 개인위치정보
	병역	병역여부, 기간, 군번, 계급, 근무부대, 주특기
	화상	CCTV 등 영상매체를 통해 수집된 화상정보

2. 개인정보 보호 원칙

○ 개인정보 보호법은 정보주체의 ‘개인정보 자기결정권’을 보장합니다.

- 이를 위해서는 개인정보의 수집·이용·제공 등이 정보주체의 동의 등 정당한 절차에 의해 이루어지고,

- 개인정보가 내부자의 고의나 관리 부주의 또는 외부의 공격으로 인해 유출·변조·훼손되지 않도록 안전하게 관리되어야 합니다.

< 개인정보 자기결정권 >

- 자신에 관한 정보가 어떤 목적으로, 언제, 어느 범위까지 타인에게 전달되고 이용될 수 있는지를 해당 정보주체가 스스로 결정할 수 있는 권리로서

- 자신의 개인정보 수집 출처, 처리 목적에 대해 고지 받을 권리와 개인정보의 정정 및 삭제, 이의 제기 등을 할 수 있는 권리를 포함함

○ 개인정보 보호법 제3조에 따른 개인정보 보호 원칙은 다음과 같습니다.

< 개인정보보호 원칙 >

개인정보 보호법	OECD 가이드라인
목적에 필요한 최소한 범위안에서 적법하고 정당하게 수집	수집 제한의 원칙
처리목적 범위 안에서 정확성·안전성·최신성 보장	정보 정확성의 원칙
처리목적의 명확화	목적 명확화 원칙
필요 목적 범위 안에서 적법하게 처리, 목적 외 활용 금지	이용 제한의 원칙
정보주체의 권리침해 위험성 등을 고려, 안전성 확보	안전 보호의 원칙
개인정보 처리사항 공개	공개의 원칙
열람청구권 등 정보주체의 권리보장	개인 참여의 원칙
개인정보처리자의 책임준수·실천, 신뢰성 확보 노력	책임의 원칙

3. 법령의 적용

○ 개인정보 보호법은 개인의 존엄과 가치를 구현하기 위하여 개인정보 처리에 관한 사항을 규정하고 있는 일반법이므로

○ 의료분야를 규율하고 있는 다른 법령 등에 환자나 의료기관 등의 개인정보 처리와 관련된 특별한 규정이 있으면 해당 법령이 우선 적용되며 그렇지 않은 경우 개인정보 보호법이 적용됩니다.

< 개인정보 보호법 제6조 (다른 법률과의 관계) >

개인정보 보호에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「신용정보의 이용 및 보호에 관한 법률」 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다.

4. 적용 법령 및 주요 조치사항

구 분	진료정보	일반 개인정보
개 념	O 진료를 목적으로 수집하여 처리하는 개인정보가 포함된 정보 - 진료기록부, 수술기록부, 조산기록부, 간호기록부, 환자명부 등	O 홈페이지 회원정보, 홍보를 위한 연락처 등 일반 개인정보
일반원칙	O 의료법에 규정이 있는 경우 의료법 우선 적용 - 규정이 없는 경우 개인정보보호법 적용	O 개인정보보호법 적용
수집·이용	O 의료법 제22조(시행규칙 제14조)	O 개인정보보호법 제15조
	- 동의 없이 수집 가능 - 진료목적으로만 사용 가능	- 동의를 받아 수집
관리	O 개인정보보호법 - 제26조 : 위탁시 문서로 위탁하여야 하며 위탁사실을 공개하여야 함 - 제29조 : 안전한 관리를 위해 접근통제, 암호화, 접속기록보관, 물리적 보호조치 등 안전성 확보조치를 하여야 함 - 제30조 : 개인정보처리방침을 수립하여 공개하여야 함 - 제31조 : 개인정보보호책임자를 지정하여야 함
제공·열람	O 의료법 제21조 - 의료법에서 지정하는 경우*외에는 제공이나 열람할 수 없음 * 가족·대리인 요청, 특별규정(열거주의)	O 개인정보보호법 제18조 - 개인정보보호법에서 지정하는 경우*외에는 제공할 수 없음 * 다른 법률 근거시 제공 가능
정정·삭제 등 요구사항 처리	O 의료법 제22조	O 개인정보보호법 제35조, 제36조
	- 법에따라 수집하는 정보이므로 정정·삭제 할수 없음	- 법에서 정한 사유 외에는 정보주체의 열람·정정·삭제 등 요구에 응하여야 함
보관 및 파기	O 의료법 시행규칙 제15조	O 개인정보보호법 제21조
	- 법에서 정한 최소 보유기간 이상 보관하여야 하며 진료목적상 필요시 연장보관 가능	- 보유목적이 달성되면 즉시 파기
이관	O 의료법 제40조	O 개인정보보호법 제27조
	- 폐업이나 휴업시 관할 보건소장에게 진료기록 이관 - 보건소장의 허가를 받은 경우 의료기관 개설자가 계속 보관 가능 ※ 허가사항 변경시는 의료기관이 유지되는 것으로 봄	- 의료기관 변경시 정보주체에게 이관사실을 알려야 함
유출, 침해 대응	O 개인정보보호법 제34조 - 정보주체에게 유출사실을 알리고 1만건 이상일 경우 행정안전부 또는 전문기관(KISA, NIA)에 신고 O 개인정보보호법 제62조, 제63조 - 정보주체가 침해신고센터에 침해사실을 신고한 경우 조사에 협조
영상정보처리기기 운영	O 개인정보보호법 제25조 - 대기실 등 공개된 장소에 CCTV 설치시 반드시 안내판을 설치 O 개인정보보호법 제15조 - 진료실, 수술실 등 비공개 장소에 CCTV를 운영하려면 정보주체의 동의를 받아야 함

III. 개인정보 처리단계별 조치요령

1		개인정보의 수집․이용

1. (진료정보의 수집・이용) 진료목적으로 수집하는 정보로서 법률상 규정에 의해 수집하는 성명, 주민번호, 주소, 연락처 등의 정보는 환자의 동의를 받지 않고 수집・이용할 수 있음

※ 의료법 제22조(진료기록부 등)

❍ 의료법 시행규칙 제14조(진료기록부 등의 기재 사항)는 진료기록부·조산기록부와 간호기록부 등에 기재할 항목을 규정하고 있습니다.

1. 진료기록부 (의료법 시행규칙 제14조)

가. 진료를 받은 자의 주소·성명·주민등록번호·병력(病歷) 및 가족력(家族歷)

나. 주된 증상, 진단 결과, 진료경과 및 예견

다. 치료 내용(주사·투약·처치 등)

라. 진료 일시분(日時分)

❍ 이와 같이 의료기관이 의료법령에 따라 진료 목적으로 수집하는 개인정보는 환자의 동의 없이 수집・이용 할 수 있습니다.

- 병원에서 진료기록부 기재 등 법령에 의한 업무를 목적으로 이름, 주소, 주민등록번호를 수집・이용한다면 개인정보 수집・이용 동의서를 받을 필요가 없습니다. 전화번호의 경우 환자의 비상시 연락을 위해 동의 없이 받을 수 있으나 진료목적 범위를 벗어난 목적으로 이용해서는 안됩니다.

2. (진료정보 외의 개인정보 수집・이용) 진료와 직접적인 관계없이 홍보나 홈페이지 회원관리 등의 목적으로 개인정보를 수집할 때에는 반드시 정보주체의 동의를 받아야 함

- 단, 직원의 채용 등 인사관리 등을 위한 목적으로 내부 직원의 필수정보를 수집하여 이용하는 경우 개인정보보호법 제15조제1항제4호(계약의 체결과 이행)의 경우로 볼 수 있으므로 동의 없이 수집・이용 가능

※ 개인정보보호법 제15조(개인정보의 수집·이용)

❍ 의료기관이 홍보나 홈페이지 관리 등을 위해 개인정보를 수집하는 경우에는 반드시 정보주체의 동의가 필요합니다.

- 정보주체의 동의를 받을 때에는 ①개인정보의 수집·이용 목적 ②수집하려는 개인정보 항목 ③개인정보의 보유 및 이용기간 ④동의를 거부할 권리가 있다는 사실과 그에 따른 불이익(있을 경우)을 알리고 동의를 받아야 합니다.

❍ 의료기관 직원의 인사관리를 위한 정보는 근로계약의 체결과 이행에 관련된 필수정보에 한하여 동의 없이 수집·이용할 수 있습니다.

- 근로계약과 관계한 정보가 아닐지라도 법령에 의해 수집해야하는 정보는 동의 없이 수집할 수 있습니다. 예를 들어, 국민건강보험법 시행규칙 제12조에 의해 요양기관 현황을 통보할 때 직원의 개인정보(주민등록번호 포함)를 포함하도록 하고 있으므로 동의 없이 직원의 정보를 수집할 수 있으며 국민건강보험공단 및 심사평가원에 제공할 수 있습니다.

Tip!  직원인사관리 관련 개인정보 처리는 http://www.privacy.go.kr>>자료실>>지침자료 중

‘『개인정보보호 가이드라인 – 인사․노무편』 행정안전부․고용노동부(2012)’를 참고하세요!

3. (진료정보의 이용) 진료정보는 진료목적으로만 이용하여야 하며 진료 목적 외의 다른 용도로 이용할 경우 별도의 동의를 받아야 함

※ 의료법 제21조(기록열람 등), 개인정보보호법 제18조(개인정보의 이용·제공 제한)

❍ 의료법에 따라 진료목적으로 수집한 진료정보를 병원홍보 등 다른 목적으로 사용할 수 없습니다.

- 진료목적외의 목적으로 개인정보를 사용하기 위해서는 수집목적, 항목, 거부할 권한이 있다는 사실 등을 환자에게 정확히 안내하고 별도로 동의를 받아야 합니다.

진료목적의 범위

O 진료와 직접 관련된 예약, 진단, 검사, 치료, 수납 등 업무

O 예약확인 문자발송, 검사결과 통보 등의 업무

O 예방접종 안내는 진료와 연결되는 경우 진료행위로 볼 수 있으나 일반적인 접종 안내는 진료목적에 포함되지 않음

(예: 간염1차 접종자에게 2차접종 안내는 연결되는 진료이나 독감접종 안내는 직접적인 진료목적으로 볼 수 없음)

O 병원 이전이나 휴업에 관한 정보는 진료예약, 검사 등과 연결되므로 가능

<Q&A> 이럴 땐 어떻게???

【Q1-1】 모든 병원에서 환자의 개인정보 수집이용 동의서를 꼭 받아야 하나요?
아닙니다. 병원의 개인정보 수집이용 목적에 따라 동의서 징구여부를 결정하셔야 합니다. 의료기관에서 수집하는 개인정보는 개인정보보호법 제15조제1항제2호(법률 규정, 법령상 의무 준수) 및 제4호(정보주체와의 계약의 체결 및 이행)에 해당할 경우 정보주체의 동의 없이 수집이용하실 수 있습니다. 의료법에서 허용하거나 요구하는 이외의 사항을 수집하는 경우에는 정보주체의 동의가 필요합니다만, 연락처의 경우 처방전 오류 등 위급한 상황 시 연락이나 진료와 직접적인 관련이 있는 경우(진료예약시간, 검사결과 통보 등)에 한하여 동의 없이 수집이용 가능합니다. 만약 병원소식, 건강정보, 백신접종 홍보 등 정보주체의 직접적인 진료와 관계없는 내용을 문자, 우편 등으로 보내고자 한다면 수집이용 동의를 받아야 합니다. 따라서, 만약 병원에서 환자에게 SMS나 우편 등을 통해 진료목적 외로 개인정보를 이용하지 않고, 오로지 법령에 따라 필요한 정보만 처리하신다면, 동의서를 징구할 필요가 없습니다. 마지막으로 동의를 받을 경우 최초 방문 시에만 받으면 됩니다만, 이후 이용 목적이 추가되거나 제3자 제공 등 처리 목적 등이 변경될 경우에는 정보주체의 별도의 동의를 받아야 합니다.

【Q1-2】 네트워크 병원의 경우 A라는 지점에서 진료를 받은 후 다른 지점에서 진료를 받을 때 진료정보를 공유 받아 수집·이용할 수 있나요?
환자나 환자 보호자가 동의할 경우에만 가능합니다. 환자나 환자보호자의 동의 없이 일률적으로 타 의료기관의 진료기록 등을 공유하는 것은 의료법에 저촉될 수 있습니다. 의료법 제21조제3항에 따라 의료인은 다른 의료인으로부터 진료기록의 내용 확인이나 환자의 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하도록 하고 있으므로 A라는 지점에서 다른 지점으로 진료정보를 제공하기 위해서는 동의절차를 거쳐야 합니다.

【Q1-3】 홈페이지 상담코너에 질문을 하고 답변을 원할 경우, 성명과 이메일 주소를 입력하도록 하는데 이 경우에도 동의를 받아야 하는지?
홈페이지에서의 진료상담은 의료법상 진료행위가 아니므로 개인정보보호법 제15조에 따라 정보주체의 동의를 받아야 합니다. 또한 개인의 건강정보(병력 등)와 같은 민감정보를 수집할 경우에는 제23조에 따라 별도로 구분하여 동의를 받아야 합니다.

【Q1-4】 진료실 앞 모니터에 대기자 명단을 게시하고 있는데, 이 때 환자의 이름을 전체 다 표시해도 되는지?
성명 전체 표기는 가능합니다. 의료기관에서 환자의 이름을 모두 표기하는 것은 개인정보보호법 제15조제1항제4호에 따라 동의없이 이용할 수 있는 것으로 판단됩니다. 다만 민감한 진료과에서는 '홍*동'처럼 이름 중 일부를 *표 처리하는 등 성명 전체가 표시되지 않도록 조치하는 것이 바람직합니다.

【Q1-5】 “SMS, DM등 병원 원내, 홍보에 따른 개인정보 활용에 동의합니다”라고 한 줄로 압축해서 동의 받아도 되는지?
아닙니다. 문의하신 방법은 법률을 준수한 것이라고 볼 수 없습니다. 개인정보 수집이용 동의를 받을 때에는 반드시 아래의 내용을 알리고 동의를 받아야 합니다. 1. 개인정보의 수집·이용 목적 2. 수집하려는 개인정보의 항목 3. 개인정보의 보유 및 이용 기간 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

2		개인정보의 관리

1. (개인정보처리의 위탁) 개인정보 처리 위탁은 문서로 하여야 하며 위탁사실을 홈페이지 등을 통해 정보주체에게 공개하고 수탁자에 대한 관리감독을 철저히 하여야 함

- 특히 재화나 서비스의 홍보나 판매권유를 위탁하는 경우에는 정보주체에게 전화나 팩스, 서면 등의 방법으로 알려야 함

※ 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리의 제한)

❍ 개인정보 처리를 위탁할 때에는 반드시 위탁의 내용과 책임 등 개인정보보호법에 따라 포함하여야 하는 사항들을 담은 문서로 해야 합니다.

- 또한, 위탁업무의 내용과 수탁자에 대한 사항을 인터넷 홈페이지를 통해 공개하여야 하며, 홈페이지에 공개할 수 없는 경우 사업장 등의 보기 쉬운 장소에 게시하는 방법 등으로 공개하여야 합니다.

- 특히 서비스의 홍보나 판매 권유의 목적으로 개인정보를 위탁할 때에는 정보주체에게 서면 등의 방법으로 위탁사실을 알려야 합니다.

※ 정보주체에게 직접 알릴 수 없는 경우 홈페이지나 사업장에 30일 이상 게시

❍ 업무위탁 문서에는 다음의 내용이 포함되어야 합니다.

- 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

- 개인정보의 기술적·관리적 보호조치에 관한 사항

- 위탁업무의 목적 및 범위, 재위탁 제한에 관한 사항

- 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

- 위탁업무와 관련하여 보유하고 있는 개인정보의 관리현황 점검 등 감독에 관한 사항

- 법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

☞ 표준서식13(P.60) ‘표준 개인정보처리 위탁 계약서’ 참조

개인정보의 제3자 제공과 개인정보처리 업무 위탁의 구분

․ 제3자 제공 : 제3자가 자신의 이익을 위하여 개인정보를 처리할 수 있도록 개인정보를 제공하는 것

․ 업무 위탁 : 처리자의 이익을 위하여, (처리자의 감독 하에) 제3자로 하여금 처리업무를 대행하게 하는 것

❍ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실․도난․유출․ 변조 또는 훼손되지 않도록 수탁자를 교육하고 감독하여야 합니다.

❍ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 개인정보보호법을 위반하여 발생한 손해배상 책임에 대하여는 수탁자를 개인정보처리자(위탁자)의 소속직원으로 봅니다.

2. (진료정보의 안전한 관리) 진료정보의 안전한 보관을 위해서 접근 통제, 접근 권한 제한, 암호화, 접속기록 보관, 보안프로그램 설치 등 안전성 확보를 위한 조치를 취해야함

※ 개인정보보호법 제29조(안전조치 의무)

❍ 의료기관에서는 개인정보의 안전한 처리를 위해서 관리적, 기술적, 물리적 조치를 취해야 합니다.

안전성 확보조치 주요 내용
관리적 보호조치	① 내부관리계획 수립 및 시행
기술적 보호조치	② 접근 통제 및 접근권한의 제한 조치
	③ 암호화 기술 적용 또는 이에 상응하는 조치
	④ 접속기록의 보관 및 위변조 방지를 위한 조치
	⑤ 보안프로그램의 설치 및 갱신
물리적 보호조치	⑥ 개인정보의 안전한 보관을 위한 보관시설 마련 또는 잠금장치의 설치 등 물리적 조치

① 내부관리계획 수립

상시 근무인원이 5인 이상인 의료기관은 개인정보보호 책임자의 지정, 안전성 확보에 필요한 조치사항 등을 담은 내부관리계획을 수립하여야 합니다.

내부관리계획에 포함되는 내용은 아래와 같습니다.

- 개인정보보호책임자의 지정에 관한 사항

- 개인정보보호책임자 및 개인정보취급자의 역할과 책임에 관한 사항

- 개인정보의 안전성 확보에 필요한 조치에 관한 사항

- 개인정보취급자에 대한 교육에 관한 사항

- 그밖에 개인정보보호를 위하여 필요한 사항

② 접근통제 및 접근 권한의 제한 조치

접근 통제시스템은 네트워크를 통한 개인정보처리시스템의 불법적인 접근 및 침해사고 방지를 위해 비인가자의 접근을 차단할 수 있는 보안시스템입니다.

개인정보처리시스템이나 웹서비스를 이용해서 개인정보를 관리하는 의료기관은 방화벽 또는 침입방지 시스템(IPS)을 설치해야 합니다. 만약 업무용 PC를 이용하여 사용하신다면 윈도우 등 운영체제에서 제공하는 방화벽 기능을 이용하시면 됩니다.

접근권한 권리는 업무 목적에 따라 개인정보처리시스템에 대한 접근을 최소화하고, 인가되지 않은 담당자의 접근은 차단하는 기능입니다. 따라서 업무 수행에 필요한 최소한의 범위로 관리자가 업무담당자별로 조회, 생성, 삭제 등의 권한을 다르게 부여, 변경, 말소할 수 있어야 합니다. 아울러 권한 부여, 변경, 말소 내역은 최소 3년간 보관하도록 합니다.

비밀번호는 고객정보가 위험에 노출되지 않도록 하기 위하여 제3자가 쉽게 추측할 수 없고, 해킹이 어렵도록 안전하게 설정합니다.

안전한 비밀번호 작성 규칙

1. 비밀번호 최소길이

- 최소10자리 : 영대문자, 영소문자, 숫자, 특수문자 중 2종류 조합

- 최소8자리 : 영대문자, 영소문자, 숫자, 특수문자 중 3종류 조합

2. 추측하기 어려운 비밀번호 사용

- 일련번호, 전화번호 등 쉬운 문자열 포함되지 않도록 함

- 잘 알려진 단어, 키보드 상에 나란히 있는 문자열이 포함되지 않도록 함

3. 주기적인 변경 및 동일 비밀번호 사용 제한

- 비밀번호를 최소 6개월마다 변경하고 동일한 비밀번호 교대사용 지양

③ 암호화 기술 적용 또는 이에 상응하는 조치

암호화는 개인정보 취급자의 실수 도는 해커의 공격 등으로 개인정보가 비인가자에게 유․노출 되더라도 주요내용을 확인할 수 없도록 하는 기능입니다.

암호화 대상은 고유식별정보, 비밀번호, 바이오정보로 정보의 저장 및 전송시 암호화를 수행해야 합니다.

* 그 외 다른 개인정보(예: 이름, 전화번호, 이메일 등)는 암호화 대상이 아닙니다.

	보안서버 예시 및 암호화 방법
1. 인터넷을 통해 전송시 보안서버(SSL), VPN 등을 통해 암호화 ※ 의료기관과 심사평가원간 자료 전송시 보안서버(SSL)를 통한 암호화 적용 중 2.. DB나 시스템에 저장시 안전한 알고리즘을 통해 암호화 비밀번호 저장시는 복호화되지 않도록 일방향 암호화하고 주민등록번호 등 고유식별정보는 양방향 암호화하여 저장

위험도 분석을 통해 충분한 보호조치가 갖추어졌다고 평가되는 경우 외에는 대상항목 저장시 안전한 암호화 모듈을 통한 암호화가 필요합니다.

④ 접속기록의 보관 및 위․변조 방지를 위한 조치

접속기록은 개인정보처리시스템에 대한 불법적인 접근 또는 행동을 확인할 수 있도록 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무내역을 말합니다.

개인정보 취급자의 개인정보의 입력, 출력, 수정사항 및 파일별 담당자별 데이터 접근내역 등의 접속기록(예: 로그파일)을 자동으로 생성하고, 최소 6개월 이상 보관 관리하여야 합니다.

※ CD,DVD 등 덮어 쓸 수 없는 매체에 기록하거나 접속기록을 수정 할 수 있는 HDD, 테이프에 백업시에는 위․변조 여부를 알 수 있는 별도의 장비에 보관해야 합니다.

⑤ 보안 프로그램 설치 및 운영

보안 프로그램은 악성프로그램 등을 통한 고객정보의 손상 유출을 방지하기 위해 설치운영하는 백신 소프트웨어 등을 말합니다.

고객정보를 저장 관리하는 개인정보처리자는 PC에 백신 소프트웨어 등의 보안 프로그램을 설치하고 매일 업데이트하여 악성코드가 설치되지 않도록 ․운영해야 합니다.

⑥ 개인정보의 안전한 보관을 위한 보관시설 또는 잠금장치의 설치

보관시설은 비인가자의 접근으로 인하여 개인정보의 절도, 파괴 등이 발생하지 않도록 별도의 통제된 공간(전산실 자료보관실 등)의 물리적 저장장소를 말합니다.

통제된 공간은 반드시 개인정보 보관 전용공간일 필요는 없지만 출입에 대한 통제절차를 마련하여 비인가자의 출입을 제한하여야 합니다.

개인정보의 별도 보관시설 마련이 어렵다면 잠금장치가 있는 안전한 장소에 보관하여야 합니다.

개인정보가 담긴 서류나 보조저장매체 등의 보관을 위해 잠금장치가 있는 캐비넷이나 보관함을 마련하여 안전하게 보관하도록 합니다.

※ 소규모 의원에서 진료정보 관리를 전문 의료정보업체에 위탁할 때 접근통제, 암호화 등 안전성 확보를 위한 조치를 이행할 수 있는 업체를 선정하고 이행여부를 수시로 감독하여야 합니다.

3. (개인정보처리방침의 수립 및 공개) 관리하는 모든 개인정보파일에 대하여 처리목적, 항목, 보유기간 등 법에서 정한 내용을 포함하는 개인정보처리방침을 수립하고 홈페이지 또는 사업장에 공개하여야 함

※ 개인정보보호법 제30조(개인정보처리방침의 공개)

❍ 의료기관에서 관리하는 진료정보, 홈페이지 회원정보, 홍보목적의 고객정보 등의 개인정보파일에 대하여 개인정보처리방침을 수립하고 공개하여야 합니다.

- 개인정보처리방침을 공개할 때에는 홈페이지에 게재하는 것을 원칙으로 하나, 홈페이지를 운영하지 않는 의료기관은 접수창구 등에 게시하는 방법으로 공개할 수 있습니다.

※ 내부 직원정보에 대한 개인정보처리방침은 직원들이 쉽게 볼 수 있는 곳에 내부적으로만 공개하면 됩니다.

개인정보처리방침에 포함되는 내용

1. 개인정보의 처리 목적

2. 개인정보의 처리 및 보유 기간

3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)

4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)

5. 정보주체의 권리·의무 및 그 행사방법에 관한 사항

6. 처리하는 개인정보의 항목

7. 개인정보의 파기에 관한 사항

8. 개인정보의 안전성 확보 조치에 관한 사항

※ 개인정보처리방침의 수립·변경 내역

☞ 개인정보처리방침 예시는 표준서식2(P.47) 참고 또는 http://www.privacy.go.kr에서 개인정보처리방침 자동생성 기능 이용

4. (개인정보보호책임자의 지정) 개인정보처리에 관한 업무를 총괄해서 책임질 개인정보보호 책임자를 지정

※ 개인정보보호법 제31조(개인정보보호책임자의 지정)

❍ 의료기관에서는 개인정보처리에 관한 업무를 총괄하는 책임자를 지정 하여야 합니다.

개인정보보호책임자는 아래 어느 하나에 해당하는 사람으로 지정합니다.

① 사업주 또는 대표자

② 개인정보 처리 관련 업무를 담당하는 부서의 장 또는 개인정보 보호에 관한 소양이 있는 사람

- 다만, 공공기관에 해당하는 의료기관은 개인정보보호법 시행령 제32조제2항에 따라 개인정보 처리 관련 업무를 담당하는 부서의 장을 개인정보보호책임자로 지정합니다.

❍ 개인정보보호 책임자는 다음의 업무를 수행합니다.

- 개인정보 보호 계획의 수립 및 시행

- 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

- 개인정보 처리와 관련한 불만의 처리 및 피해 구제

- 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축

- 개인정보 보호 교육 계획의 수립 및 시행

- 개인정보파일의 보호 및 관리·감독

- 개인정보 처리방침의 수립․변경 및 시행

- 개인정보 보호 관련 자료의 관리

- 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

<Q&A> 이럴 땐 어떻게???

【Q2-1】 위탁업체를 통해 검사결과 안내, 예약안내, 고객관리서비스를 운영하는 병원인데 위탁사실에 대하여 정보주체의 동의를 받아야 하는지?
병원으로부터 업무를 위탁받은 수탁업체는 정보주체로부터 별도로 수집이용에 대한 동의를 받을 필요는 없으며, 개인정보보호법 시행령 제28조제2항 내지 제3항에 따른 방법으로 위탁자(병원 등)가 정보주체에게 알리는 것으로 갈음할 수 있습니다.

【Q2-2】 타 의료기관에 검사를 의뢰하여 검사하는 경우 정보주체의 동의를 받아야 하는지?
타 의료기관에 검사를 위탁하는 경우에는 정보주체의 동의를 받을 필요는 없으나, 서면에 의한 계약 및 위탁사실 공지 등 개인정보보호법 제26조 및 동 법 시행령 제28조에 따라 위탁업무를 처리하셔야 합니다.

【Q2-3】 소규모 의원에서도 의료기록 서류 보관시 별도의 보관시설이나 잠금장치 설치 등 물리적 조치를 반드시 취해야 하는지?
개인정보 보호법 제29조 및 시행령 제30조제1항제6호에 따라 개인정보의 안전한 보관을 위해 보관시설을 마련하거나 잠금장치를 설치해야합니다. 일과 중 수시로 사용하는 의료기록은 잠금장치를 열어둔 채 업무공간에서 쓸 수 있으나, 일과 후 등 이를 보관하는 경우에는 물리적 보호조치를 취해야 합니다.

【Q2-4】 20병상 미만의 소규모 의원을 개설하려고 하는데 DB 암호화, 전송보안(메일암호) 등의 작업이 필요한지?
네. 필요합니다. 개인정보보호법 제29조에 따라 개인정보처리자는 개인정보가 분실, 도난, 유출, 변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 안전성확보에 필요한 기술적, 관리적, 및 물리적 조치를 취해야 합니다. 이러한 조치에는 개인정보를 안전하게 저장/전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 보안프로그램의 설치 등이 포함되어있습니다. (개인정보보호법 시행령 제30조)

【Q2-5】 동의서 원본 보관이 어려운데 스캔하여 파일로 관리해도 되는지?
동의서를 스캔파일 등을 통하여 보관할 수 있는지 여부에 대하여도 별도의 규정은 없으나 동의서 원본과 동일성이 완벽하게 유지된다고 가정할 경우에는 영상스캔을 통해 전자파일로 보관할 수 있습니다. 그러나, 종이로 작성된 원본과 이를 스캔한 전자파일간의 동일성에 대하여는 소비자 등으로부터 다양한 이슈가 제기될 수 있다는 점에 대하여는 유의하여 주시기 바랍니다. ※ 법원은 사본의 증거능력을 인정, 다만 원본과 완전히 동일한 효력을 가지기 위해서는 전자문서 및 전자거래 기본법에 정한 바에 따라야 함 개인정보 수집 이용 동의서는 법령상 별도의 보관기간을 설정하고 있지 않으나, 향후 동의 여부에 대한 입증책임 등을 고려하여 동의서에 표기된 개인정보 보유 이용기간 까지는 보관하는 것이 바람직할 것으로 판단됩니다.

【Q2-6】 네트워크 병원이 각 지점별로 각각 별도의 웹사이트를 구축하고 있으나 전체적인 웹사이트 관리, 회원관리, 게시판(상담예약) 관리 등 DB는 통합 관리되어 서울 본점 마케팅 담당자가 관리한다면 법적으로 문제가 되는지?
네트워크 병원들은 같은 개인정보처리자가 아닌 별개의 개인정보처리자이므로 법 제31조에 따라 각각의 개인정보보호 책임자를 지정해야 합니다. 이를 위반시에는 1천만원 이하의 과태료가 부과될 수 있습니다. 또한 네트워크 병원의 웹사이트 회원정보는 의료법에 따른 진료정보로 볼 수 없으므로 동의를 받아 수집하여야 하며, 회원정보 공유를 위해서는 제3자 제공에 대한 동의도 필요합니다.

3		개인정보의 제공․열람

1. (환자정보의 제공․열람) 의료인이나 의료기관 종사자는 환자가 아닌 다른사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인하게 하여서는 안됨

- 다만, 법령에서 요구․허용하거나 법령에서 정하는 요건을 갖추어 요청한 경우에는 가능함

※ 의료법 제21조(기록열람 등)

❍ 진료정보의 열람이나 제공에 관하여는 의료법의 특별한 규정이 우선 적용되므로 의료법에서 허용한 경우에만 가능합니다.

❍ 의료법 제21조(기록 열람 등)에 따라 환자 본인 이외의 자에게 환자에 관한 기록 열람이나 사본 교부 등 내용을 확인해주는 것은 법령에 따른 요건을 갖춘 경우에 한하여만 허용됩니다. (표 참조)

❍ 의료인인 다른 의료인으로부터 진료기록의 내용 확인이나 환자의 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하여야 합니다. 다만, 해당 환자의 의식이 없거나 응급환자인 경우 또는 환자의 보호자가 없어 동의를 받을 수 없는 경우에는 환자나 환자 보호자의 동의 없이 송부할 수 있습니다. (의료법 제21조제3항)

□ 환자정보의 제공・열람(환자, 친족, 대리인 신청)

☞ 환자 동의 또는 관련서류 제출 등 요건 충족시 제공 가능(음영부분은 환자 동의서가 필요한 경우)

환자정보 제공・열람 신청인	요 건	근 거
환자 본인	①본인 신분증(주민등록증, 여권, 운전면허증 그 밖에 공공기관에서 발행한 본인임을 증명할 수 있는 신분증)	의료법 시행규칙 제13조의2제4항
환자의 임의대리인 (환자가 지정한 친구, 동료, 지인 등)	①신청인 신분증 사본 ②환자 자필서명 동의서 ③환자 자필서명 위임장(만14세미만의 미성년자인 경우 환자의 법정대리인이 작성하고, 가족관계증명서 등 법정대리인임을 확인할 수 있는 서류 첨부) ④환자 신분증 사본(만17세미만으로 주민등록증이 발급되지 않은 경우에는 제외)	의료법 제21조제2항제2호 의료법 시행규칙 제13조의2제2항
환자의 친족	①신청인 신분증 사본 ②신청인이 환자의 친족임을 확인할 수 있는 서류(혼인관계증명서, 가족관계증명서 등) ③환자 자필서명 동의서(만14세미만인 경우 제외) ④환자 신분증 사본(만17세미만으로 주민등록증이 발급되지 않은 경우에는 제외)	의료법 제21조제2항제1호 의료법 시행규칙 제13조의2제1항
환자의 친족 (환자가 사망한 경우)	①신청인 신분증 사본 ②신청인이 환자의 친족임을 확인할 수 있는 서류(가족관계증명서, 주민등록표 등본 등) ③환자의 사망사실을 확인할 수 있는 자료(가족관계증명서, 제적등본, 사망진단서 등)	의료법 제21조제2항제3호 의료법 시행규칙 제13조의2제3항
환자의 친족 (환자가 의식불명 또는 의식불명은 아니지만 중증의 질환 부상으로 자필서명을 할 수 없는 경우)	①신청인 신분증 사본 ②신청인이 환자의 친족임을 확인할 수 있는 서류(가족관계증명서, 주민등록표 등본 등) ③환자가 의식불명 또는 중증의 질환・부상으로 자필서명을 할 수 없음을 확인할 수 있는 진단서	의료법 시행규칙 제13조의2제3항
환자의 친족 (환자가 행방불명인 경우)	①신청인 신분증 사본 ②신청인이 환자의 친족임을 확인할 수 있는 서류(가족관계증명서, 주민등록표 등본 등) ③ 환자의 행방불명 사실을 확인할 수 있는 서류(주민등록표 등본, 법원의 실종선고 결정문 사본 등)	의료법 시행규칙 제13조의2제3항
환자의 친족 (환자가 의사무능력자인 경우)	①신청인 신분증 사본 ②신청인이 환자의 친족임을 확인할 수 있는 서류(가족관계증명서, 주민등록표 등본 등) ③환자가 의사무능력자임을 입증하는 자료(법원의 금치산 선고 결정문 사본, 의사무능력자임을 증명하는 정신과 전문의의 진단서)	의료법 시행규칙 제13조의2제3항

※‘친족’이란 환자의 배우자, 직계 존속․․비속 또는 배우자의 직계 존속을 말함(의료법 시행규칙 제13조의2)

□ 환자정보의 제공・열람(공공기관, 보험회사 등)

☞ 관련법령에 따른 사유인 경우 환자 동의 없이 제공 가능

환자정보 제공・열람 신청인	사 유	관련법령	의료법
국민건강보험공단 건강보험심사평가원	급여비용심사∙지급∙대상여부 확인∙사후관리 및 요양급여의 적정성 평가∙가감지급 등을 위한 업무를 처리할 경우	국민건강보험법 제13조, 제43조, 제43조의2, 제56조	의료법 제21조제2항제4호
시군구 국민건강보험공단 건강보험심사평가원	의료급여 수급권자 확인, 급여비용의 심사∙지급∙사후관리 등 의료급여 업무를 처리할 경우	의료급여법 제5조, 제11조, 제11조의3, 제33조	의료법 제21조제2항제5호
법원∙수사기관 (형사소송)	관련법령에 따라 압수, 수색, 검증하는 경우	형사소송법 제106조, 제215조 또는 제218조	의료법 제21조제2항제6호
법원 (민사소송)	관련법령에 따라 법원이 제출을 명령한 경우	민사소송법 제347조에 따른 문서제출 명령	의료법 제21조제2항제7호
근로복지공단	근로복지공단이 보험급여를 받는 근로자를 진료한 산재보험 의료기관(의사 포함)에 대하여 그 근로자의 진료에 관한 보고 또는 서류 등 제출을 요구하거나 조사하는 경우	산업재해보상보험법 제118조	의료법 제21조제2항제8호
보험회사	자동차보험진료수가를 청구받은 보험회사등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우	자동차손해배상 보장법 제12조제2항 및 제14조	의료법 제21조제2항제9호
지방병무청	지방병무청장이 징병검사와 관련하여 질병 또는 심시장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 징병검사대상자의 진료기록∙치료 관련 기록의 제출을 요구한 경우	병역법 제11조의2	의료법 제21조제2항제10호
학교안전공제회	공제회가 공제급여의 지급 여부를 결정하기 위하여 필요하다고 인정하여 「국민건강보험법」 제42조에 따른 요양기관에 대하여 관계 진료기록의 열람 또는 필요한 자료의 제출을 요청하는 경우	학교안전사고 예방 및 보상에 관한 법률 제42조	의료법 제21조제2항제11호
보훈병원	의료기관의 장이 진료기록 및 임상소견서를 보훈병원장에게 보내는 경우	고엽제후유의증 환자지원 등에 관한 법률 제7조제3항	의료법 제21조제2항제12호
한국의료분쟁조정중재원	감정위원 또는 조사관이 의료사고가 발생한 보건의료기관에 출입하여 관련 문서 또는 물건을 조사∙열람 또는 복사하는 경우	의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률 제28조제3항	의료법 제21조제2항제13호 (2012.9.1.시행)
국민연금공단	국민연금공단이 부양가족연금, 장애연금 및 유족연금 급여의 지급심사와 관련하여 가입자 또는 가입자였던 사람을 진료한 의료기관에 해당 진료에 관한 사항의 열람 또는 사본 교부를 요청하는 경우	국민연금법 제123조	의료법 제21조제2항제14호

2. (진료정보가 아닌 개인정보의 제공) 진료정보가 아닌 개인정보는 개인정보보호법 제18조 2항 각호에 해당하는 경우에만 목적외로 이용하거나 제3자에게 제공할 수 있음

- 정보주체의 동의를 받아 목적외로 이용하거나 제공하는 경우에는 제공받는자, 이용목적, 보유 및 이용기간 등을 정보주체에게 알려야 함

- 국민건강보험법 제12조에 따라 의료기관에 종사하는 의료인의 정보를 국민건강보험공단 및 심사평가원에 제공하는 경우에는 별도의 동의 없이 제공 가능

※ 개인정보보호법 제18조(개인정보의 이용·제공 제한)

❍ 의료기관은 개인정보를 수집목적의 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공할 수 없습니다.

❍ 그러나, 의료법의 적용을 받는 진료정보 외의 홈페이지 회원정보, 고객정보, 직원 인사정보 등은 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있는 경우를 제외하고는 몇 가지 예외적인 경우에 한하여 목적 외의 용도로 이용하거나 제3자에게 제공할 수 있습니다.

개인정보의 목적외 이용이나 제3자 제공 가능 범위

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우

5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의·의결을 거친 경우

6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

8. 법원의 재판업무 수행을 위하여 필요한 경우

9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

※ 5호∼9호까지는 공공기관에서 개인정보를 제공하는 경우에만 적용

❍ 정보주체에게 목적 외 이용이나 제3자 제공에 대한 동의를 받는 경우에는 ①개인정보를 제공받는 자 ②개인정보의 이용 목적(제공시에는 제공받는 자의 이용 목적) ③이용 또는 제공하는 개인정보의 항목 ④개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용기간) ⑤동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용 등을 알리고 동의를 받아야 합니다.

❍ 개인정보보호법 제18조제2항제2호에 따라 법률에 특별한 규정이 있을 시에는 정보주체의 동의없이 개인정보를 제공할 수 있는데, 국민건강보험법 제43조에 따라 요양기관의 시설장비 및 인력 등에 대한 현황을 신고하는 경우가 이에 해당합니다.

<Q&A> 이럴 땐 어떻게???

【Q3-1】 전화상으로 환자의 입원여부를 묻거나 입원병실을 묻는 경우 알려줘도 되는지?
의료법 제19조에 따라 의료인은 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료·조산 또는 간호를 하면서 알게 된 다른 사람의 비밀을 누설하거나 발표하지 못하므로 환자의 개인정보인 입원 여부를 환자의 동의 없이 알려 주는 경우 의료법에 저촉될 수 있습니다. 환자 본인이나 보호자와 직접 연락할 수 있도록 조치를 취해 주시는 것이 바람직할 것으로 판단됩니다.

【Q3-2】 외부에서 전화를 통해 환자 본인이나 가족 또는 외부 병원직원이라고 하면서 환자진료정보(개인정보)에 관하여 문의할 때 알려줘도 되는지? 또는 가족의 보험정산을 위해 병원에 영수증, 처방내역 등을 팩스로 요청했는데 보내줘도 되는지?
전화를 통해 환자진료정보를 알려주는 것은 의료법 위반이 될 수 있습니다. 의료법 제19조(비밀 누설 금지)에서는 의료인은 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료·조산 또는 간호를 하면서 알게 된 다른 사람의 비밀을 누설하거나 발표하지 못하게 되어 있고, 의료법 제21조(기록열람 등)에서는 환자에 관한 기록열람이나 사본발급을 요청할 경우 의료법 시행규칙 제13조의2(기록 열람 등의 요건)에서 규정하고 있는 제출서류를 구비하여 제출하여야 합니다.

【Q3-3】 경찰서에서 수사를 위한다고 하면 개인정보보호법과 상관없이 무조건 개인정보를 제공해야 하는지?
경찰이 요구하는 자료가 환자의 진료기록에 관한 것이라면 의료법을 우선 적용합니다. 따라서 의료법 제21조2항6호에 따라 형사소송법 제106호, 제215조 또는 제218조에 따른 경우에만 제공할 수 있습니다. 환자의 진료기록 외의 정보나 보호자 등의 정보를 동의 없이 제3자인 경찰에 제공하기 위해서는 개인정보 보호법 제18조제2항제2호부터 제9호에 해당하는 경우에만 가능하며, 특히 5호부터 9호는 제공하는 자가 공공기관일 경우에 한합니다.

【Q3-4】 법원으로부터 진료받은 환자의 진료내용에 대해 민사소송법 제294조 및 가사소송법 제8조에 의거 사실조회 촉탁을 받은 경우 제공할 수 있는지?
환자의 진료내용은 의료법 제21조에 따라야 하므로 「형사소송법」 제106조, 제215조 또는 제218조에 따른 경우와 「민사소송법」 제347조에 따라 문서 제출을 명한 경우 외에는 법원에 제공할 수 없습니다.

【Q3-5】공공의료기관에 경찰서에서 수사와 관련하여 형사소송법 제199조 제2항, 경찰관 직무집행법 제8조 제1항을 근거로 직원의 주민등록번호, 연락처, 재직여부 등의 개인정보 제공요청이 있을 경우 제공할 수 있는지?
공공기관의 경우 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우라면, 개인정보보호법 제18조제2항제7호에 따라 본인 동의 없이도 제공 가능합니다. 또한 이 경우 시행령 제19조에 따라 주민등록번호도 제공할 수 있습니다.

【Q3-6】 네트워크 병원의 경우 A라는 지점에서 진료를 받고 같은 명칭을 사용하는 네트워크 소속 병․의원들에서 재진료를 받기 위해 진료 기록 및 개인정보를 A로부터 공유받아 수집 보관할 수 있는지?
환자나 환자보호자의 동의 없이 일률적으로 타 의료기관의 진료기록 등을 공유하는 것은 의료법에 저촉됩니다. 개인정보보호법 제6조에 따라 개인정보 보호에 관하여는 다른 법률에 특별한 규정이 있는 경우에는 해당 법률을 따르도록 규정하고 있습니다. 의료법 제21조제3항에 따라 의료인은 다른 의료인으로부터 진료기록의 내용 확인이나 환자의 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하여야 하므로 A지점에서는 환자나 환자 보호자의 동의를 받은 경우에만 다른 지점에 진료정보를 제공할 수 있습니다.

【Q3-7】 제약회사에서 환자를 식별할 수 있는 개인정보를 제외한 진료정보를 요청할 경우 제공할 수 있는지?
의료법에 따라 작성된 진료정보는 의료법 제21조(기록 열람 등)에 명시된 경우에 한해서만 환자 이외의 자에게 제공할 수 있습니다.

4		정정․삭제 등 정보주체의 요구사항 처리

1. (진료정보의 수정·삭제 요청) 의료법 제22조에 따라 작성하고 동법 시행규칙 제15조의 기간 동안 보관하는 진료기록부 등에 대해서는 보관기간 동안 정당한 사유 없이는 수정·삭제할 수 없음

※ 의료법 제22조(진료기록부 등)

❍ 의료법에 따라 수집하고 지정된 기간동안 보관하도록 명시된 의료정보에 대해서는 보관기간 동안 정보주체가 삭제를 요구할 수 없으며, 임의로 수정할 수 없습니다.

2. (진료정보가 아닌 개인정보의 열람·정정·삭제 요청) 정보주체가 본인의 개인정보에 대한 열람·수정·삭제 등 요청이 있을 경우 의료기관은 개인정보보호법 제35조, 제36조에 따라 조치하여야 함

※ 개인정보보호법 제35조(개인정보의열람), 제36조(개인정보의 정정·삭제)

❍ 진료정보를 제외한 홈페이지 회원정보, 고객정보, 인사정보 등은 개인정보보호법의 적용을 받으므로 정보주체가 열람, 처리정지, 수정, 삭제 등을 요구할 경우 10일 이내에 요청에 대한 처리를 하거나 연기 또는  처리할 수 없는 사유를 정보주체에게 통보하여야 합니다.

<Q&A> 이럴 땐 어떻게???

【Q4-1】개인정보보호법 제36조에 따른 개인정보 정정·삭제 요청원이 의료기관에서 작성한 진료기록에도 해당되는지?
의료법 시행규칙 제14조에 따라 진료기록부등의 작성을 위해 수집대상으로 명시되어 있는 개인정보는 법령상 의무 수집대상이므로 삭제․정정요청권이 적용되지 않는 것으로 판단됩니다

【Q4-2】개인정보보호법 제35조 및 제36조에 따라 열람, 정정, 삭제 등의 요청을 받았을 때 간단한 사항이라도 반드시 법에서 정한 신청서와 통지서에 맞추어 조치해야 하는지? 아니면 구두로 조치해도 되는지?
열람요청 내용이 간소히 처리될 수 있는 성격으로서 별도의 신청서를 받거나 통지서를 제공하는 것이 오히려 불편을 초래한다고 판단되는 경우에는 신청인과 해당 기관이 상호 합의하여 처리 할 수 있을 것으로 판단됩니다. - 개인정보의 열람 청구와 통지에 관하여는 현행 개인정보보호법 제35조 및 시행령 제41조에서 정한 절차에 따라 처리하는 것을 원칙으로 하고 있으며, 이는 열람 등의 요구 내용을 보다 명확화하고 열람등을 요청받은 기관에 일정 기간 내 통지 의무를 부과함으로서 개인정보에 대한 정보주체의 권익을 강화하기 위한 목적입니다.

5		개인정보의 파기

1. (진료정보의 보유기간) 의료법 시행규칙 제14조에 명시된 주소, 성명, 주민등록번호, 병력, 가족력 등 진료정보는 동법 시행규칙 제15조에 명시된 기간동안 보존하도록 하고 있으며, 의료법에서 명시한 기간은 최소 보존기간이므로 연장이 가능

- 단, 진료기록부상의 성명, 주소, 주민등록번호 등의 개인정보는 최종  진료일로부터 의료법상 보존기간동안 보유하여야 하므로 동일 진료기록부에 포함된 진료이력도 개인정보와 같은 기간 동안 보유할 수 있음

※ 의료법 시행규칙 제15조(진료에관한 기록의 보존)

❍ 진료정보는 의료법에 따라 정보주체의 동의 없이 수집하는 개인정보이므로 의료법에서 정한 보존기간 동안 보유하여야 하며, 진료목적상 필요한 경우 의료기관에서 추가적으로 보존할 수 있습니다.

- 보유기간을 연장했을 경우 의료기관은 해당 보유기간동안 의료기록을 안전하게 보존할 책임이 있습니다.

❍ 진료기록부에는 성명, 주소, 주민등록번호, 병력, 가족력 등 신상정보와 치료내용, 소견 등 진료이력이 함께 포함되며, 신상정보는 최종 진료일부터 최소한 의료법상 보존기간동안 보존하여야 합니다.

- 따라서, 진료기록부의 개인 신상정보의 최소 보유기간은 최종 진료일로부터 진료기록의 보존기간인 10년 동안으로 산정할 수 있습니다.

진료기록의 보존기간

1. 환자 명부 : 5년               2. 진료기록부 : 10년

3. 처방전 : 2년                  4. 수술기록 : 10년

5. 검사소견기록 : 5년            6. 방사선사진 및 그 소견서 : 5년

7. 간호기록부 : 5년              8. 조산기록부: 5년

2. (진료정보의 파기 방법) 파기시에는 복구 또는 재생되지 않도록 전자적 파일은 복원이 불가능한 방법으로 영구 삭제하고, 종이 등 기록매체는 파쇄 또는 소각

※ 개인정보보호법 제21조(개인정보의 파기)

❍ 공공기관인 의료기관은 반드시 기록물평가심의회를 구성하여 보유기간 연장이나 폐기를 결정해야 합니다.

※공공기관 기록물관리법 제27조(기록물의 폐기), 제27조의2(기록물평가심의회)

	기록물평가심의회 운영 방법
O 공공기관은 보유기간이 경과한 진료기록에 대한 보존기간 재평가, 폐기심의를 위해 연1회 이상 기록물평가심의회를 구성·운영하여야 합니다. O 기록물평가심의회는 외부전문가 2인 이상을 포함하여 5인 이내로 구성합니다.

❍ 진료정보를 파기할 때에는 복구되지 않도록 파쇄 또는 소각의 방법을 이용하여야 하며, 전자진료기록은 복구되지 않는 방법으로 매체에서 삭제합니다.

- 파쇄 또는 소각의 방법으로 직접 진료정보를 파기하기 어려운 소규모 의원은 의료인 협회, 의료기관 협회의 중앙회나 지부에서 공동 파기하는 방법으로 파기업무를 지원할 수 있습니다. 단, 공동 파기를 수행하는 협회는 정보가 유출되지 않도록 안전성을 확보하기 위한 업무지침을 수립하여 시행하여야 합니다.

3. (진료정보가 아닌 개인정보의 파기) 진료정보가 아닌 개인정보는 보유기간이 경과하였거나 처리목적의 달성 등 사유 발생시 즉시 파기하여야 함

- 정당한 사유가 없는 한 5일 이내에 파기하여야 하며 파기시 복구되지 않는 방법으로 파기하고 파기에 관한 기록을 남겨 관리하여야 함

※ 개인정보보호법 제21조(개인정보의 파기)

❍ 개인정보 수집시 산정한 보유기간이 경과하였거나 회원탈퇴 등으로 개인정보 보유가 불필요하게 된 경우 개인정보를 즉시 파기하여야 합니다.

- 특히, 홈페이지 회원정보와 같이 홍보 및 서비스 목적의 개인정보는 보유기간이 과다하게 산정되지 않도록 주의 하여야 합니다.

❍ 개인정보의 파기는 개인정보보호책임자의 책임하에 정당한 사유가 없는 한 5일 이내에 복구되지 않는 삭제, 파쇄, 소각 등의 방법으로 파기하여야 하며 파기에 관한 기록을 관리하여야 합니다.

6		폐업 및 의료기관 허가사항 변경 시 조치사항

1. (폐업시 진료정보의 처리) 의료기관의 폐업이나 1개월 이상 휴업시 진료기록부 등 진료정보를 관할 보건소로 이관하여야 함

- 단, 폐업이나 휴업을 하는 의료기관의 개설자가 진료정보를 직접 보관하고자 하는 경우에는 진료기록 보관계획서를 작성하여 관할 보건소장의 허가를 받아 보관할 수 있음

※ 의료법 제40조(폐업·휴업 신고와 진료기록부 등의 이관)

❍ 의료기관을 폐업이나 휴업할 경우 진료정보는 관할 보건소로 이관하여야 하며 이관하지 않고 의료기관의 개설자가 계속 보관하고자 할 경우에는 진료기록보관계획서를 작성하여 진료기록부 등의 종류별 수량 및 목록, 진료기록부 등에 대한 체계적이고 안전한 보관계획 서류 등을 갖추어 보건소장의 허가를 받아야 합니다.

- 진료기록은 환자의 민감정보를 담고 있는 중요한 개인정보이므로 임의로 다른 의료기관이나 개인에게 제공 또는 이관할 수 없습니다.

※ 폐업이나 휴업으로 인해 진료정보를 관할 보건소로 이관할 경우 의료기관이 정보주체에게 이관사실을 통보하여 열람권을 보장할 수 있도록 하는 것이 바람직합니다.

2. (개설내용 변경시 진료정보 처리) 의료기관은 의료법 제33조에 의해 개설신고 또는 허가를 받은 내용으로 개인정보처리자로 봄

- 의료법 제33조 5항에 따라 개설자 등의 변경신고를 한 경우에도 동일 개인정보처리자가 유지되는 것으로 보아 진료정보를 계속 보관할 수 있음

※ 의료법 제28조(의료기관 개설허가 사항의 변경허가)

❍ 동일 의료기관에 대하여 개설자의 변경사항을 시·도지사에게 허가를 받거나 시장‧군수‧구청장에게 신고한 경우 동일한 개인정보처리자가 유지되는 것으로 보아 진료정보를 계속 보관할 수 있습니다.

- 또한, 의료기관 개설자가 폐업신고 후 보건소장의 허가를 받아 진료기록을 보관하고 있다가 새로 의료기관을 개설한 경우에도 진료기록을 계속 보관할 수 있습니다.

※ 의료기관 개설자 변경으로 개인정보보호책임자 재지정이 필요한 경우 개인정보처리방침에 변경사항을 반영한 후 공개해야 합니다.

3. (진료정보가 아닌 개인정보의 이전) 의료기관의 합병이나 이전 등으로 보유중인 홈페이지 회원정보, 고객정보 등 개인정보의 관리주체를 변경하고자 하는 경우에는 개인정보의 이전사실, 이전받는 자에 대한 정보, 정보주체의 조치방법 등을 인터넷 홈페이지나 사업장에 게시하는 방법으로 정보주체에게 알려야 함

- 개인정보를 이전하더라도 이전 당시의 목적으로만 개인정보를 이용하거나 제공할 수 있음

※ 개인정보보호법 제27조(영업양도 등에 따른 개인정보의 이전 제한)

❍ 의료기관의 합병 등으로 관리주체가 변경되는 경우 진료정보가 아닌 일반 개인정보는 정보주체에게 이전사실을 알리고 이전할 수 있습니다.

- 이전받은 개인정보는 수집당시 동의를 받은 목적, 항목, 보유기간, 제3자 제공 등의 범위 내에서만 이용할 수 있습니다.

<Q&A> 이럴 땐 어떻게???

【Q6-1】A와 B가 공동 개원을 하다가 A가 독립해 나갈 경우, 병원 전체 환자의 진료정보를 복사해 갈 수 있는지? (혹은 A의 환자 정보만 복사해 나가도 되는지?)
공동 개설자라 하더라도 독립하여 별도의 의료기관을 개설하였다면 동일한 개인정보처리자로 볼 수 없으므로 진료정보를 임의로 복사할 수 없습니다. - 의료법 시행규칙 제15조에 의하면 의료기관의 개설자 또는 관리자는 진료에 관한 기록을 보존하도록 규정하고 있습니다. 따라서, 비록 기존 의료기관의 공동개설자 중 한 명이 별도로 의료기관을 개설하여 분리하고 진료의 연속성 유지․기존 의료기관의 개설자로서의 지위․ 그간의 진료관행에 따라 자신이 진료한 환자의 진료기록을 별도로 보관할 필요성을 감안하더라도 환자의 동의 없이 공동개설 기간 중의 진료기록 등을 복사하여 외부로 반출할 수 없을 것입니다 - 환자의 진료를 위하여 필요한 경우에는 의료법 제21조제3항에 따라 의료기관에 보관중인 진료기록의 내용 확인을 요청할 수 있으며 의료기관은 환자나 보호자의 동의를 받아 제공할 수 있습니다.

7		개인정보의 유출․침해시 조치방법

1. (개인정보 유출시 조치 절차) 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 유출사실을 알려야 함

- 1만명 이상 개인정보가 유출되었을 경우 행정안전부 또는 전문기관에 유출사실을 신고

※ 개인정보보호법 제34조(개인정보 유출통지 등)

❍ 개인정보가 유출되었음을 알게 되면 정당한 사유가 없는 한 5일 이내에 정보주체에게 ①유출된 개인정보 항목 ②유출된 시점 및 경위 ③유출로 인한 피해를 최소화 하기 위해 정보주체가 할 수 있는 방법 등에 관한 정보 ④개인정보처리자의 대응조치 및 피해 구제절차 ⑤피해 발생시 신고 등을 접수할 수 있는 담당부서 및 연락처를 알려야 합니다.

- 또한 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 합니다.

- 만약 1만명 이상의 개인정보가 유출되면 5일 이내에 행정안전부나 한국정보화진흥원(NIA), 한국인터넷진흥원(KISA)에 신고해야합니다.

☞ 개인정보 유출 신고서 서식은 표준서식11(P.58) 참고

- 유출통지는 서면, 전자우편, 팩스, 전화, 문자전송 등의 방법으로 정보주체에게 개별 통지하여야 하며, 1만명 이상 개인정보 유출 시에는 개별 통지와 함께 홈페이지에 유출통지 내용(5개항목)을 7일 이상 게시하여야 합니다.

유출신고 기관 및 연락처

o 행정안전부(privacy.go.kr) : ☏02-2100-1737 Fax)02-2100-1739 (friend8@korea.kr)

o 한국인터넷진흥원(privacy.kisa.or.kr) : ☏118 Fax)02-405-5229 (118@kisa.or.kr)

o 한국정보화진흥원(privacy.nia.or.kr) : ☏02-2131-0111 Fax)02-2131-0112 (privacy@nia.or.kr)

2. (개인정보 침해신고에 대한 대응)  개인정보에 관한 권리 또는 이익을 침해받은 사람은 개인정보침해신고센터에 침해사실을 신고한 경우, 해당기관이 사실의 조사·확인을 통해 필요한 조치를 취하므로 사실조사에 적극 협조하여야 함

※ 개인정보보호법 제62조(침해사실의 신고 등)

❍ 개인정보에 대한 침해를 받은 사람은 한국인터넷진흥원의 개인정보침해신고센터(☏118)에 신고할 수 있습니다.

- 침해신고센터에서는 신고된 내용에 대한 사실의 조사․확인 및 관계자의 의견 청취를 수행하며, 이를 위해 의료기관에 관계 물품․서류 등 자료를 제출하게 할 수 있습니다. 이 경우 의료기관은 사실조사 등에 적극 협조하여야 합니다. (개인정보보호법 제63조)

❍ 정보주체와 개인정보처리자간의 분쟁이 있는 경우 분쟁조정위원회에 분쟁조정을 신청하면 조정을 받을 수 있습니다.

- 분쟁조정위원회에서는 분쟁 조정을 위해 사실조사를 통해 침해행위 중지, 손해배상, 재발방지 대책 등의 조정안을 작성할 수 있습니다.

※ 분쟁조정위원회의 자료조사 요청이 있을 경우 협조하여야 하며 분쟁조정이 이루어지지 않을 경우 소송 등으로 이어질 수 있습니다.

개인정보 침해구제 절차

① 개인정보 침해에 대한 신고(☏118, privacy.kisa.or.kr)

② 개인정보침해신고센터의 사실조사(서면, 방문조사 등)

③ 사실조사 결과 통보 및 위법 사실 발견시 조치(수사의뢰, 과태료 등)

④ 손해배상, 침해행위 중지, 재발방지 등에 대한 분쟁조정 신청(www.privacy.go.kr)

※ 동일 피해를 입은 정보주체가 50명 이상인 경우 집단분쟁조정 신청 가능

⑤ 분쟁조정위원회 자료조사 및 조정안 작성

⑥ 조정안 제시(당사자들이 조정안 수용시 재판상 화해의 효력을 갖음)

⑦ 분쟁조정이 실패할 경우 민사소송 또는 단체소송 제기 가능(관할 지방법원)

※ 단체소송은 권리침해행위의 금지·중지를 구하는 소송

8		영상정보처리기기기(CCTV 등)의 설치 및 운영

1. (공개된 장소의 영상정보처리기기 설치) 공개된 장소에 영상정보처리기기를 설치․운영하는 것은 개인정보보호법에서 정하는 사유에 해당하는 경우에만 허용됨

- 공개된 장소에 영상정보처리기기를 설치하는 경우에는 정보주체가 쉽게 알아볼 수 있도록 안내판을 설치하여야 함

※ 개인정보보호법 제25조(영상정보처리기기의 설치·운영 제한)

❍ 공개된 장소란 개인이 접근하거나 통행하는 데에 제한을 받지 아니하고 자유롭게 출입할 수 있는 장소를 의미합니다.

❍ 공개된 장소에 영상정보처리기기를 설치하고자 한다면 개인정보보호법에서 정하는 다음의 경우에만 설치․운영할 수 있습니다.

- 법령에서 구체적으로 허용하고 있는 경우

- 범죄의 예방 및 수사를 위하여 필요한 경우

- 시설안전 및 화재 예방을 위하여 필요한 경우

- 교통단속, 교통정보의 수집․분석 및 제공을 위하여 필요한 경우

❍ 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 영상정보처리기기를 설치․운영할 수 없습니다. 다만, 법령에 근거하여 사람을 구금하거나 보호하는 다음의 시설은 예외입니다.

(단, 이 경우에도 사생활 침해를 최소화하여야 함)

영상정보처리기기 설치 운영 제한의 예외(개인정보보호법 시행령 제22조제1항)

1. 「형의 집행 및 수용자의 처우에 관한 법률」 제2조제4호에 따른 교정시설

2. 「정신보건법」 제3조제3호부터 제5호까지의 규정에 따른 정신의료기관(수용시설을 갖추고 있는 것만 해당한다), 정신질환자사회복귀시설 및 정신요양시설

<정신보건법 제3조제3호~제5호>

3. "정신의료기관"이라 함은 의료법에 의한 의료기관중 주로 정신질환자의 진료를 행할 목적으로 제12조제1항의 시설기준 등에 적합하게 설치된 병원(이하 "정신병원"이라 한다)과 의원 및 병원급 이상의 의료기관에 설치된 정신건강의학과를 말한다.

4. "정신질환자사회복귀시설"(이하 "사회복귀시설"이라 한다)이라 함은 이 법에 의하여 설치된 시설로서 정신질환자를 정신의료기관에 입원시키거나 정신요양시설에 입소시키지 아니하고 사회복귀촉진을 위한 훈련을 행하는 시설을 말한다.

5. "정신요양시설"이라 함은 이 법에 의하여 설치된 시설로서 정신의료기관에서 의뢰된 정신질환자와 만성정신질환자를 입소시켜 요양과 사회복귀촉진을 위한 훈련을 행하는 시설을 말한다.

❍ 공공기관인 의료기관이 영상정보처리기기를 설치할 경우에는 행정절차법에 따른 행정예고나 의견청취를 실시하거나 설명회, 설문조사 등을 실시하여야 합니다.

- 정신보건법 제3조제3호부터 제5호의 기관 및 시설에서 영상정보처리기기를 설치할 경우 관계전문가나 해당시설에 종사하는 사람, 해당 시설에서 보호받고 있는 사람 또는 그 사람의 보호자 등 이해관계인의 의견을 수렴하여야 합니다.

❍ 공개된 장소는 정보주체가 접근하거나 통행하는 데에 제한을 받지 아니하는 장소를 의미하므로 병원 내 대기실, 접수대, 휴게실, 주차장 등이 공개된 장소에 해당한다고 볼 수 있습니다.

❍ 공개된 장소에 설치된 영상정보처리기기는 정보주체가 알아보기 쉬운 장소에 아래 사항을 기재한 안내판을 설치하여야 합니다.

안내판에 기재하여야 할 사항

1. 설치 목적 및 장소

2. 촬영 범위 및 시간

3. 관리책임자의 성명(직책) 및 연락처

4. (공공기관인 의료기관의 경우) 위탁받는 자의 명칭 및 연락처

- 건물 안에 여러 개의 영상정보처리기기를 설치하는 경우에는 출입구 등 잘 보이는 곳에 해당 시설 또는 장소 전체가 영상정보처리기기 설치지역임을 표시하는 안내판을 설치할 수 있습니다.

2. (비공개 장소의 영상정보처리기기 설치) 비공개 장소에 영상정보처리기기를 설치하여 개인을 식별할 수 있는 영상정보를 수집할 경우 개인정보보호법에 따라 정보주체의 동의를 받아야 함

※ 개인정보보호법 제15조(개인정보의 수집·이용)

❍ 진료를 목적으로 하여 특정인만 출입이 가능한 진료실, 수술실, 처치실, 상담실, 입원실 등에 열상정보처리기기를 설치하여 환자들의 영상정보를 수집하려면 정보주체에게 영상정보 수집에 대한 동의를 받아야 합니다.

- 영상정보 수집의 목적, 보유기간 등을 알리고 동의를 받아야 하며 반드시 수집한 목적대로만 사용하여야 합니다.

❍ 비공개 장소에 설치하는 영상정보처리기기에 대해서는 개인정보보호법 제25조가 적용되지 않으므로 설치목적 제한, 안내판 설치 등의 의무는 없으나, 영상정보로서 다른 개인정보와 마찬가지로 개인정보 수집 동의를 받아야 하며, 개인정보처리방침 공개, 안전성확보를 위한 조치 등 개인정보보호법상의 모든 규정이 적용됩니다.

3. (영상정보처리기기 운영 및 영상정보의 관리) 영상정보처리기기운영자는 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 안되며, 녹음기능을 사용할 수 없음

- 또한 영상정보가 유출되지 않도록 안전성 확보에 필요한 조치를 하고 영상정보처리기기 운영·관리방침을 수립하여 공개하여야 함

※ 개인정보보호법 제25조(영상정보처리기기의 설치·운영 제한)

❍ 영상정보처리기기는 본래 설치 목적에 맞게 안내판에 기재되거나 정보주체에게 동의받은 목적과 범위내에서 운영되어야 하며, 임의로 조작하거나 다른 곳을 비춰서는 안됩니다. 또한 영상정보처리기기를 통한 녹음은 금지됩니다.

- 만약, 진료실이나 수술실 등 비공개 장소에서 녹음이 필요한 경우라면 환자의 동의를 받은 경우에 한하여 환자와 의료진의 대화 내용을 녹음기 등을 통해 녹음할 수 있습니다. 이 경우에도 동의하지 않은 제3자간의 대화를 녹음해서는 안됩니다. (통신비밀보호법 제3조 위반)

❍ 영상정보처리기기를 운영할 때에는 촬영된 영상정보가 유출, 변조되지 않도록 안전성 확보에 필요한 조치를 취하여야 합니다.

- 5인 이상이 근무하는 의료기관은 내부관리계획에 CCTV의 안전한 운영을 위한 내용을 포함하여야 하며, 영상정보를 관리하는 컴퓨터도 보안프로그램, 접근통제 등을 통해 보호하여야 합니다. 또한, 영상정보를 보관하는 매체는 잠금장치가 있는 공간에 보관하는 등 물리적 보호조치도 취하여야 합니다.

❍ 또한, 영상정보처리기기 운영·관리 방침을 별도로 수립하여 홈페이지 등에 게시하거나 의료정보 등의 개인정보에 대한 개인정보처리방침에 영상정보처리기기 운영과 관련된 내용을 포함하여 공개할 수 있습니다.

❍ 공공기관인 의료기관이 영상정보처리기기 운영·관리를 위탁하는 경우에는 개인정보보호법 제26조에 따라 위탁내용과 책임 등을 담은 문서로 하여야 하며 안내판에 수탁자의 연락처 등을 표시해야 합니다.

<Q&A> 이럴 땐 어떻게???

【Q8-1】치과 진료실은 목욕실, 화장실과는 달리 신체부위 노출 등 개인의 사생할 침해 가능성이 없다고 보는데 진료실내 CCTV 설치가 가능한지?
특정 환자와 의료인에 한하여 출입할 수 있는 병원 진료실은 비공개 장소로서 법 제15조제1항제1호에 따라 정보주체의 동의를 받아 개인정보(영상)를 수집할 수 있으며 그 수집 목적의 범위에서 한하여 이용할 수 있습니다.

【Q8-2】응급실내 음주환자, 조직폭력배 및 불량배 등이 진료중인 의료인에게 폭언, 폭행과 응급실 기물파손 등의 사례가 자주 발생하여 CCTV를 설치하려고 하는데 응급의료에 관한 법률 제12조의 응급의료 등의 방해 금지를 근거로 설치가 가능한지?
병원 응급실의 경우에는 ‘응급의료에 관한 법률’ 제12조에 따른 ‘응급의료 등의 방해금지’ 등 법적 필요성이 있으므로 ‘개인정보처리자의 정당한 이익을 위해 필요한 경우’가 인정될 수 있으며, 따라서 CCTV 설치, 운영이 가능하다고 판단됩니다. - 먼저, 병원 응급실 내의 ‘접수창구, 대기실, 복도’ 등은 환자 보호자 등이 비교적 제약 없이 출입할 수 있는 장소이므로 개인정보 보호법에 따른 ‘공개된 장소’에 해당합니다. 따라서 범죄예방 및 수사, 시설안전 및 화재예방 등의 목적으로 CCTV를 설치할 수 있습니다(개인정보 보호법 제25조제1항). - 다음으로, 병원 응급실 내의 진료실, 치료실 등은 ‘비공개된 장소’에 해당하므로 이러한 장소에는 촬영대상 정보주체(환자 및 보호자 등)의 동의를 받아 CCCTV를 설치, 운영할 수 있습니다.

참고1		표준서식

1. 개인정보 수집·활용 동의서(예시)

2. 개인정보 처리방침(예시)

3. 개인정보보호 내부관리계획(예시)

4. 진료기록 열람 및 사본발급 동의서(의료법 시행규칙)

5. 진료기록 열람 및 사본발급 위임장(의료법 시행규칙)

6. 개인정보 열람, 정정, 삭제, 처리정지 위임장(개인정보보호법 시행규칙)

7. 개인정보 열람, 정정, 삭제, 처리정지 요구서(개인정보보호법 시행규칙)

8. 개인정보 열람 결과 통지서(개인정보보호법 시행규칙)

9. 개인정보 정정, 삭제, 처리정지 통지서(개인정보보호법 시행규칙)

10. 개인정보 파기 관리대장(표준 개인정보보호 지침)

11. 개인정보 유출 신고서(표준 개인정보보호 지침)

12. 영상정보처리기기 안내판(예시)

13. 개인정보처리 위탁계약서(예시)

[표준서식 1]

【 개인정보 수집 ․ 활용 동의서(예시) 】

■ 기본 개인정보 수집 ․ 활용 (진료정보가 아닌 일반 개인정보)

수집하는 기본 개인정보 항목	이 름
	주 소
	연락처	(전화 또는 휴대전화)
	e-Mail	(선택정보)
개인정보의 수집 및 이용목적	성명, 주소, 연락처 : 병원업무와 의학정보 안내 등 서비스 이용 안내 이메일 주소 : 소식 및 고지사항 전달, 불만처리 등을 위한 원활한 의사소통 경로의 확보 등
개인정보의 보유 및 이용기간	- OO병원은 수집된 고객의 개인정보를 진료 서비스에 대한 불만 처리 등을 위해 소비자보호법에서 정한 기간(5년)동안만 보유하며 그 이후는 DB에서 삭제하고 있습니다.(예시) - 정보제공자가 개인정보 삭제를 요청할 경우 즉시 삭제합니다.
개인정보 제공 동의 거부 권리 및 동의 거부 따른 불이익 내용 또는 제한사항	귀하는 개인정보 제공 동의를 거부할 권리가 있으며, 동의 거부에 따른 불이익은 없음, 다만, 진료관련 안내 서비스를 받을 수 없음.

※ 만 14세 미만 아동인 경우 반드시 법적대리인의 동의가 필요함

[법정대리인 동의서] 본인은 미성년자의 법정대리인으로 OO병원 서비스 이용 신청에 동의합니다.

법정대리인 성명	(인/서명)
법정대리인 연락처
법정대리인과의 관계

※ 개인정보 제공자가 동의한 내용외의 다른 목적으로 활용하지 않으며, 제공된 개인정보의 이용을 거부하고자 할 때에는 개인정보 관리책임자를 통해 열람, 정정, 삭제를 요구할 수 있음

「개인정보보호법」등 관련 법규에 의거하여 상기 본인은 위와 같이 개인정보 수집 및 활용에 동의함.

2012년       월       일

이름 :               (인)

00병원 귀하

[표준서식 2]

【 개인정보처리방침(예시) 】

OO병원(이하 병원 이라 함) 귀하의 개인정보보호를 매우 중요시하며, 『개인정보보호법』을 준수하고 있습니다. 병원은 개인정보처리방침을 통하여 귀하께서 제공하시는 개인정보가 어떠한 용도와 방식으로 이용되고 있으며 개인정보보호를 위해 어떠한 조치가 취해지고 있는지 알려드립니다.

이 개인정보처리방침의 순서는 다음과 같습니다.

1. 수집하는 개인정보의 항목 및 수집방법

2. 개인정보의 수집 및 이용목적

3. 개인정보의 보유 및 이용기간 및 파기절차 및 파기방법

4. 이용자 및 법정대리인의 권리와 그 행사방법

5. 개인정보의 제공 및 공유

6. 개인정보의 위탁

7. 개인정보 보호책임자

8. 개인정보의 안전성 확보조치

9. 정책 변경에 따른 공지의무

1. 수집하는 개인정보의 항목 및 수집방법

병원은 진료를 위해 의료법에 의해 명시된 최소한의 개인정보만을 수집합니다. 귀하가 병원의 진료 서비스를 이용하기 위해 작성하는 진료카드와 진료결과에 대한 기록을 관리합니다.

- 수집항목 : 성명, 주민등록번호, 주소, 연락처, 진료기록

※ 의료법에 의해 고유식별정보 및 진료정보를 의무적으로 보유하여야 하여야 함(별도 동의 불필요)

2. 개인정보의 수집 및 이용목적

병원은 수집한 개인정보를 진료의 목적으로만 사용하며 이용 목적이 변경될 시에는 사전 동의를 구할 것입니다.

3. 개인정보의 보유 및 이용기간 및 파기절차 및 파기방법

병원은 보유기간이 경과하거나 처리목적이 달성되면 개인정보를 지체 없이 파기합니다.

- 보유기간 : 진료기록부 10년(필요시 연장 가능)

※ 진료기록이 최종 기록된 후 10년이 경과한 시점을 보유기간으로 산정

- 파기절차 : 파기방법에 의하여 즉시 파기

- 파기방법 : 전자적 파일형태로 저장된 개인정보는 기록을 재생할 수 없는 기술적 방법을 사용하여 삭제하고 종이에 출력된 개인정보는 분쇄기로 분쇄하거나 소각하여 파기

4. 이용자 및 법정대리인의 권리와 그 행사방법

이용자 및 법정대리인은 개인정보와 관련하여 전화, 서면 등을 이용하여 병원에 개인정보 열람 등의 권리를 행사할 수 있으며, 병원은 지체 없이 필요한 조치를 합니다.

※ 법에 의해 보관이 의무화된 개인정보는 요청이 있더라도 보관기간내에 수정·삭제할 수 없습니다.

5. 개인정보의 제3자 제공

병원은 국민건강보험법에 의거 건강보험심사평가원에 요양급여비용 청구를 위해 진료기록을 제출합니다.

※ 법에 의해 의무적으로 제출하는 사항이므로 별도의 제공 동의 불필요

6. 개인정보 처리의 위탁

병원은 개인정보의 관리시스템의 관리를 위해 다음의 회사에 개인정보를 위탁하고 있습니다.

- 전자진료기록 관리 :  ooo사

- 병원관리시스템 운영 및 유지보수 : ooo사

7. 개인정보 보호책임자

이름	직위	소속	전화번호	메일
홍길동	OO병원 원장	OO병원	(02) ooo-oooo	webmaster@oo.co.kr

8. 개인정보의 안전성 확보조치

OO병원은 이용자의 개인정보보호를 위한 기술적 대책으로서 여러 보안장치를 마련하고 있습니다. 이용자께서 제공하신 모든 정보는 방화벽 등 보안장비에 의해 안전하게 보호/관리되고 있습니다.

또한 OO병원은 이용자의 개인정보보호를 위한 관리적 대책으로서 이용자의 개인정보에 대한 접근 및 관리에 필요한 절차를 마련하고, 이용자의 개인정보를 처리하는 인원을 최소한으로 제한하여 지속적인 보안교육을 실시하고 있습니다. 또한 개인정보를 처리하는 시스템의 사용자를 지정하여 사용자 비밀번호를 부여하고 이를 정기적으로 갱신하겠습니다.

9. 정책 변경에 따른 공지의무

이 개인정보처리방침은 2012년 O월 OO일에 제정되었으며 법령ㆍ정책 또는 보안기술의 변경에 따라 내용의 추가ㆍ삭제 및 수정이 있을 시에는 변경되는 개인정보처리방침을 시행하기 최소 7일전에 병원 홈페이지를 통해 변경이유 및 내용 등을 공지하도록 하겠습니다.

공고일자 : 2012년 O월 OO일

시행일자 : 2012년 O월 OO일

[표준서식 3]

【 개인정보보호 내부관리계획(예시) 】

제1장 총칙

제1조(목적)

제2조(적용범위)

제3조(용어 정의)

제2장 내부관리계획의 수립 및 시행

제4조(내부관리계획의 수립 및 승인)

제5조(내부관리계획의 공표)

제3장 개인정보보호책임자의 의무와 책임

제6조(개인정보보호책임자의 지정)

제7조(개인정보보호책임자의 의무와 책임)

제8조(개인정보취급자의 범위 및 의무와 책임)

제4장 개인정보의 처리단계별 기술적·관리적 안전조치

제9조(개인정보취급자 접근 권한 관리 및 인증)

제10조(접근통제)

제11조(개인정보의 암호화)

제12조(접근기록의 위변조 방지)

제13조(보안프로그램의 설치 및 운영)

제14조(물리적 접근제한)

제5장 개인정보보호 교육

제6장 개인정보 침해대응 및 피해구제

제3장 개인정보보호책임자의 의무와 책임

개인정보 보호책임자의 지정에 관한 사항

￭ 개인정보 보호책임자의 자격요건

- 개인정보 보호책임자(CPO: Chief Privacy Officer) 직제를 신설하거나, 정보주체의 개인정보 보호 업무를 위해 조직된 부서의 장 등을 지정할 수 있다.

- 개인정보 보호책임자는 정보보안 관련 지식뿐만 아니라 개인정보 취급에 관한 법․제도적인 측면 등의 다양한 지식을 습득할 필요가 있다.

- 개인정보 보호책임자의 지정시 인사발령 등을 통해 공식적으로 책임과 역할을 부여하여야 한다.

개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

￭ 개인정보 보호책임자의 역할

- 개인정보 보호책임자는 개인정보의 처리에 관한 업무를 총괄해서 책임지는 역할을 수행하는 사람으로, 개인정보 보호를 위해 개인정보와 관련된 내부지침을 준수하도록 기술적․관리적 보호조치를 실시하고 관리․감독하는 책임을 진다.

- 또한, 정보주체의 불만사항 접수 및 처리에 대한 책임을 지며, 개인정보를 취급하는 직원에 대해 교육훈련을 실시하여야 한다.

￭ 개인정보취급자의 역할 및 책임

- ‘개인정보취급자’는 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자로서 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 해야 한다.

제4장 개인정보의 처리단계별 기술적·관리적 안전조치

접근권한, 접근통제, 암호화, 보안프로그램 설치 등에 관한 사항

￭ 개인정보의 안전성 확보에 필요한 조치에 관한 사항을 빠짐없이 내부관리계획에 포함해야 한다. 세부내용은 해설서 각 항목에 해당하는 부분을 확인한다.

(privacy.go.kr/ - 자료실 - 지침자료 - 개인정보의 안전성 확보조치 기준고시 및 해설서)

제5장 개인정보보호 교육

개인정보취급자에 대한 교육에 관한 사항

￭ 개인정보보호 교육의 목적은 안전하게 개인정보가 관리될 수 있도록 개인정보취급자의 개인정보보호에 대한 인식을 제고시키고 개인정보보호 대책의 필요성을 이해시키는 것이다.

￭ 교육 방법은 집체교육 뿐 아니라 조직의 환경을 고려하여 인터넷 교육, 그룹웨어 교육 등 다양한 방법을 활용하여 실시하도록 하고, 필요한 경우 외부 전문기관이나 전문요원에 위탁하여 교육을 실시할 수도 있다.

․개인정보보호 교육시 행정안전부의 ‘개인정보보호 포털’ 사이트(www.privacy.go.kr)에서 제공하는 온라인 교육 프로그램, 개인정보보호 교육교재 등을 활용할 수 있음

그 밖에 개인정보 보호를 위하여 필요한 사항

￭ 개인정보처리자의 개인정보 운용(수집․이용․저장․제공․파기 등) 환경 및 중요도(민감정보 취급 등)를 고려하여 보안서약서 작성 등 개인정보 보호를 위하여 필요한 사항을 기술할 수 있다.

제6장 개인정보 침해대응 및 피해구제

￭ 개인정보 유출시 학인한 시점으로부터 5일 이내에 정보주체에게 유출사실 통지하여야 한다. 우편, 전화, 전자우편 등을 이용할 수 있으며, 1만건 이상의 정보가 유출된 경우 유출사실을 홈페이지에 게시하고 행정안전부 또는 전문기관(한국인터넷진흥원, 한국정보화진흥원)에 신고하여야 한다.

￭ 침해신고자가 침해행위 중지, 손해배상 등을 원할 경우 분쟁조정위원회의 중재를 받을 수 있고, 50인 이상의 개인정보 침해사고 발생시 집단분쟁조정을 통해 다수의 피해자에 대한 중재가 가능하다.

[표준서식 4]

[별지 제9호의2서식]
진료기록 열람 및 사본발급 동의서
환자 본인	성 명			연락처
	주민등록번호 (외국인등록번호)
	주 소
신청인	성 명		환자와의 관계
	주민등록번호 (외국인등록번호)				연락처
	주 소
열람 및 사본 발급 범위	열람하고자하는 내용 및 사유
	사본발급 받고자 하는 내용 및 사유
본인(또는 법정대리인)은 상기 신청인( )이 「의료법」 제21조제2항 및 같은 법 시행규칙 제13조의2에 따라 본인의 진료기록 등을 열람하거나 사본을 발급받는 것에 대하여 동의합니다. 년 월 일 본인(또는 법정대리인) (자필서명)
비고: 환자 본인이 만 14세 미만의 경우에는 법정대리인이 작성합니다.
210㎜×297㎜[일반용지 60g/㎡(재활용품)]

[표준서식 5]

[별지 제9호의3서식] <신설 2010.1.29>
진료기록 열람 및 사본발급 위임장
① 수 임 인	성명		전화번호
	주민등록번호 (외국인등록번호)		위임인과의 관계
	주소
② 위임인	성명		전화번호
	주민등록번호 (외국인등록번호)
	주소
위임인은 「의료법」제21조제2항 및 같은 법 시행규칙 제13조의2에 따라 「진료기록 등 열람 및 사본발급 동의서」에 기재된 사항에 대하여 일체 권한을 상기 수임인에게 위임합니다. 년 월 일 위임인 (자필서명)
210㎜×297㎜[일반용지 60g/㎡(재활용품)]

[표준서식 6]

■ 개인정보 보호법 시행규칙 [별지 제11호서식]
위 임 장
위임받는 자	성명			전 화 번 호
	생년월일			정보주체와의 관계
	주소
위임자	성명			전화번호
	생년월일
	주소
「개인정보 보호법」 제38조제1항에 따라 위와 같이 개인정보의 (□ 열람, □ 정정·삭제, □ 처리정지)의 요구를 위의 자에게 위임합니다.
년 월 일
위임자			(서명 또는 인)
O O O O		귀하
210mm×297mm[인쇄용지(특급) 34g/㎡]

[표준서식 7]

■ 개인정보 보호법 시행규칙 [별지 제8호서식]
개인정보(［ ］열람 ［ ］정정ㆍ삭제 ［ ］처리정지) 요구서
※ 아래 작성방법을 읽고 굵은 선 안쪽의 사항만 적어 주시기 바랍니다.										(앞 쪽)
접수번호			접수일						처리기간	10일 이내
정보주체	성 명						전 화 번 호
	생년월일
	주 소
대리인	성 명						전 화 번 호
	생년월일						정보주체와의 관계
	주 소
요구내용	［ ］열람			［ ］개인정보의 항목 및 내용 ［ ］개인정보 수집ㆍ이용의 목적 ［ ］개인정보 보유 및 이용 기간 ［ ］개인정보의 제3자 제공 현황 ［ ］개인정보 처리에 동의한 사실 및 내용
	［ ］정정ㆍ삭제			※ 정정ㆍ삭제하려는 개인정보의 항목과 그 사유를 적습니다.
	［ ］처리정지			※ 개인정보의 처리정지를 원하는 대상ㆍ내용 및 그 사유를 적습니다.
「개인정보 보호법 」 제35조제1항ㆍ제2항, 제36조제1항 또는 제37조제1항과 같은 법 시행령 제41조제1항, 제43조제1항 또는 제44조제1항에 따라 위와 같이 요구합니다.
년 월 일
요구인						(서명 또는 인)
O O O O		귀하
작 성 방 법
1. ‘대리인’란은 대리인이 요구인일 때에만 적습니다. 2. 개인정보의 열람을 요구하려는 경우에는 ‘열람’ 란에 ［ √ ］표시를 하고 열람하려는 사항을 선택하여 ［ √ ］ 표시를 합니다. 표시를 하지 않은 경우에는 해당 항목의 열람을 요구하지 않은 것으로 처리됩니다. 3. 개인정보의 정정ㆍ삭제를 요구하려는 경우에는 ‘정정ㆍ삭제’ 란에 ［ √ ］ 표시를 하고 정정하거나 삭제하려는 개인정보의 항목과 그 사유를 적습니다. 4. 개인정보의 처리정지를 요구하려는 경우에는 ‘처리정지’ 란에 ［ √ ］ 표시를 하고 처리정지 요구의 대상ㆍ내용 및 그 사유를 적습니다.
210mm×297mm[일반용지 70g/㎡(재활용품)]

[표준서식 8]

■ 개인정보 보호법 시행규칙 [별지 제9호서식]
개인정보 (［ ］열람 ［ ］일부열람 ［ ］열람연기 ［ ］열람거절) 통지서
(앞 쪽)
수신자 (우편번호: , 주소: )
요구 내용
열람 일시		열람 장소
통지 내용 (［ ］열람 ［ ］일부열람 ［ ］열람연기 ［ ］열람거절 )
열람 형태 및 방법	열람 형태	[ ]열람ㆍ시청	[ ]사본ㆍ출력물	[ ]전자파일	[ ]복제물ㆍ인화물	[ ]기타
열람 방법	[ ]직접방문	[ ]우편	[ ]팩스	[ ]전자우편	[ ]기타
납부 금액	①수수료 원	②우송료 원	계(①+②) 원
수수료 산정 명세
사 유
이의제기방법	※ 개인정보처리자는 이의제기방법을 적습니다.
「개인정보 보호법」 제35조제3항ㆍ제4항 또는 제5항과 같은 법 시행령 제41조제4항 또는 제42조제2항에 따라 귀하의 개인정보 열람 요구에 대하여 위와 같이 통지합니다.
	장년 월 일
발 신 명 의
직인
210㎜×297㎜[신문용지 54g/㎡]

[표준서식 9]

■ 개인정보 보호법 시행규칙 [별지 제10호서식]

개인정보 (［  ］정정ㆍ삭제, ［  ］처리정지) 요구에 대한 결과 통지서

수신자       (우편번호:               , 주소:                                                        )

요구 내용

□ 정정ㆍ삭제

□ 처리정지 조치 내용

□ 정정ㆍ삭제

□ 처리정지

결정 사유

이의제기방법

※ 개인정보처리자는 이의제기방법을 기재합니다.

「개인정보 보호법」 제36조제6항 및 같은 법 시행령 제43조제3항 또는 같은 법 제37조제5항 및 같은 법 시행령 제44조제2항에 따라 귀하의 요구에 대한 결과를 위와 같이 통지합니다.

장년      월      일

발 신 명 의

직인

유의사항

개인정보의 정정ㆍ삭제 또는 처리정지 요구에 대한 결정을 통지받은 경우에는 개인정보처리자가 ‘이의제기방법’란에 적은 방법으로 이의제기를 할 수 있습니다.

210㎜×297㎜[신문용지 54g/㎡]

[표준서식 10]

표준 개인정보보호 지침 [별지 제5호서식]

개인정보파일 파기 관리대장

번호	개인정보 파일명	자료의 종류	생성일	폐기일	폐기사유	처리담당자	처리부서장

[표준서식 11]

표준개인정보지침 [별지 제1호서식]
개인정보 유출신고서
기관명
정보주체에의 통지 여부
유출된 개인정보의 항목 및 규모
유출된 시점과 그 경위
유출피해 최소화 대책ㆍ조치 및 결과
정보주체가 할 수 있는 피해 최소화 방법 및 구제절차
담당부서ㆍ담당자 및 연락처		성명		부서	직위		연락처
	개인정보 보호책임자
	개인정보 취급자
유출신고접수기관	기관명		담당자명			연락처

[표준서식 12]

[표준서식 13]

본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

OOO(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정안전부 예규 제45호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (          ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1.

2.

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정안전부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(행정안전부 고시 제2011-43호) 에 따라 개인정보처리자 및 취급자는 1년에 1회 이상 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)	을 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)

참고2		개인정보보호법

제1장 총칙

제1조(목적) 이 법은 개인정보의 수집ㆍ유출ㆍ오용ㆍ남용으로부터 사생활의 비밀 등을 보호함으로써 국민의 권리와 이익을 증진하고, 나아가 개인의 존엄과 가치를 구현하기 위하여 개인정보 처리에 관한 사항을 규정함을 목적으로 한다.

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1. “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

2. “처리”란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

3. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

4. “개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

5. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

6. “공공기관”이란 다음 각 목의 기관을 말한다.

가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다) 및 그 소속 기관, 지방자치단체

나. 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관

7. “영상정보처리기기”란 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다.

제3조(개인정보 보호 원칙) ① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.

② 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.

③ 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다.

④ 개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다.

⑤ 개인정보처리자는 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다.

⑥ 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다.

⑦ 개인정보처리자는 개인정보의 익명처리가 가능한 경우에는 익명에 의하여 처리될 수 있도록 하여야 한다.

⑧ 개인정보처리자는 이 법 및 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다.

제4조(정보주체의 권리) 정보주체는 자신의 개인정보 처리와 관련하여 다음 각 호의 권리를 가진다.

1. 개인정보의 처리에 관한 정보를 제공받을 권리

2. 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리

3. 개인정보의 처리 여부를 확인하고 개인정보에 대하여 열람(사본의 발급을 포함한다. 이하 같다)을 요구할 권리

4. 개인정보의 처리 정지, 정정ㆍ삭제 및 파기를 요구할 권리

5. 개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리

제5조(국가 등의 책무) ① 국가와 지방자치단체는 개인정보의 목적 외 수집, 오용ㆍ남용 및 무분별한 감시ㆍ추적 등에 따른 폐해를 방지하여 인간의 존엄과 개인의 사생활 보호를 도모하기 위한 시책을 강구하여야 한다.

② 국가와 지방자치단체는 제4조에 따른 정보주체의 권리를 보호하기 위하여 법령의 개선 등 필요한 시책을 마련하여야 한다.

③ 국가와 지방자치단체는 개인정보의 처리에 관한 불합리한 사회적 관행을 개선하기 위하여 개인정보처리자의 자율적인 개인정보 보호활동을 존중하고 촉진ㆍ지원하여야 한다.

④ 국가와 지방자치단체는 개인정보의 처리에 관한 법령 또는 조례를 제정하거나 개정하는 경우에는 이 법의 목적에 부합되도록 하여야 한다.

제6조(다른 법률과의 관계) 개인정보 보호에 관하여는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 「신용정보의 이용 및 보호에 관한 법률」 등 다른 법률에 특별한 규정이 있는 경우를 제외하고는 이 법에서 정하는 바에 따른다.

제2장 개인정보 보호정책의 수립 등

제7조(개인정보 보호위원회) ① 개인정보 보호에 관한 사항을 심의ㆍ의결하기 위하여 대통령 소속으로 개인정보 보호위원회(이하 “보호위원회”라 한다)를 둔다. 보호위원회는 그 권한에 속하는 업무를 독립하여 수행한다.

② 보호위원회는 위원장 1명, 상임위원 1명을 포함한 15명 이내의 위원으로 구성하되, 상임위원은 정무직 공무원으로 임명한다.

③ 위원장은 위원 중에서 공무원이 아닌 사람으로 대통령이 위촉한다.

④ 위원은 다음 각 호의 어느 하나에 해당하는 사람을 대통령이 임명하거나 위촉한다. 이 경우 위원 중 5명은 국회가 선출하는 자를, 5명은 대법원장이 지명하는 자를 각각 임명하거나 위촉한다.

1. 개인정보 보호와 관련된 시민사회단체 또는 소비자단체로부터 추천을 받은 사람

2. 개인정보처리자로 구성된 사업자단체로부터 추천을 받은 사람

3. 그 밖에 개인정보에 관한 학식과 경험이 풍부한 사람

⑤ 위원장과 위원의 임기는 3년으로 하되, 1차에 한하여 연임할 수 있다.

⑥ 보호위원회의 회의는 위원장이 필요하다고 인정하거나 재적위원 4분의 1 이상의 요구가 있는 경우에 위원장이 소집한다.

⑦ 보호위원회는 재적위원 과반수의 출석과 출석위원 과반수의 찬성으로 의결한다.

⑧ 보호위원회의 사무를 지원하기 위하여 보호위원회에 사무국을 둔다.

⑨ 제1항부터 제8항까지에서 규정한 사항 외에 보호위원회의 조직과 운영에 필요한 사항은 대통령령으로 정한다.

제8조(보호위원회의 기능 등) ① 보호위원회는 다음 각 호의 사항을 심의ㆍ의결한다.

1. 제9조에 따른 기본계획 및 제10조에 따른 시행계획

2. 개인정보 보호와 관련된 정책, 제도 및 법령의 개선에 관한 사항

3. 개인정보의 처리에 관한 공공기관 간의 의견조정에 관한 사항

4. 개인정보 보호에 관한 법령의 해석ㆍ운용에 관한 사항

5. 제18조제2항제5호에 따른 개인정보의 이용ㆍ제공에 관한 사항

6. 제33조제3항에 따른 영향평가 결과에 관한 사항

7. 제61조제1항에 따른 의견제시에 관한 사항

8. 제64조제4항에 따른 조치의 권고에 관한 사항

9. 제66조에 따른 처리 결과의 공표에 관한 사항

10. 제67조제1항에 따른 연차보고서의 작성ㆍ제출에 관한 사항

11. 개인정보 보호와 관련하여 대통령, 보호위원회의 위원장 또는 위원 2명 이상이 회의에 부치는 사항

12. 그 밖에 이 법 또는 다른 법령에 따라 보호위원회가 심의ㆍ의결하는 사항

② 보호위원회는 제1항 각 호의 사항을 심의ㆍ의결하기 위하여 필요하면 관계 공무원, 개인정보 보호에 관한 전문 지식이 있는 사람이나 시민사회단체 및 관련 사업자로부터 의견을 들을 수 있고, 관계 기관 등에 대하여 자료 등의 제출을 요구할 수 있다.

제9조(기본계획) ① 개인정보의 보호와 정보주체의 권익 보장을 위하여 행정안전부장관은 3년마다 개인정보 보호 기본계획(이하 “기본계획”이라 한다)을 관계 중앙행정기관의 장과 협의 하에 작성하여 보호위원회에 제출하고, 보호위원회의 심의ㆍ의결을 거쳐 시행하여야 한다.

② 기본계획에는 다음 각 호의 사항이 포함되어야 한다.

1. 개인정보 보호의 기본목표와 추진방향

2. 개인정보 보호와 관련된 제도 및 법령의 개선

3. 개인정보 침해 방지를 위한 대책

4. 개인정보 보호 자율규제의 활성화

5. 개인정보 보호 교육ㆍ홍보의 활성화

6. 개인정보 보호를 위한 전문인력의 양성

7. 그 밖에 개인정보 보호를 위하여 필요한 사항

③ 국회, 법원, 헌법재판소, 중앙선거관리위원회는 해당 기관(그 소속 기관을 포함한다)의 개인정보 보호를 위한 기본계획을 수립ㆍ시행할 수 있다.

제10조(시행계획) ① 중앙행정기관의 장은 기본계획에 따라 매년 개인정보 보호를 위한 시행계획을 작성하여 보호위원회에 제출하고, 보호위원회의 심의ㆍ의결을 거쳐 시행하여야 한다.

② 시행계획의 수립ㆍ시행에 필요한 사항은 대통령령으로 정한다.

제11조(자료제출 요구 등) ① 행정안전부장관은 기본계획을 효율적으로 수립ㆍ추진하기 위하여 개인정보처리자, 관계 중앙행정기관의 장, 지방자치단체의 장 및 관계 단체 등에 개인정보처리자의 법규 준수 현황과 개인정보 관리 실태 등에 관한 자료의 제출이나 의견의 진술 등을 요구할 수 있다.

② 중앙행정기관의 장은 시행계획을 효율적으로 수립ㆍ추진하기 위하여 소관 분야의 개인정보처리자에게 제1항에 따른 자료제출 등을 요구할 수 있다.

③ 제1항 및 제2항에 따른 자료제출 등을 요구받은 자는 특별한 사정이 없으면 이에 따라야 한다.

④ 제1항 및 제2항에 따른 자료제출 등의 범위와 방법 등 필요한 사항은 대통령령으로 정한다.

제12조(개인정보 보호지침) ① 행정안전부장관은 개인정보의 처리에 관한 기준, 개인정보 침해의 유형 및 예방조치 등에 관한 표준 개인정보 보호지침(이하 “표준지침”이라 한다)을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다.

② 중앙행정기관의 장은 표준지침에 따라 소관 분야의 개인정보 처리와 관련한 개인정보 보호지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다.

③ 국회, 법원, 헌법재판소 및 중앙선거관리위원회는 해당 기관(그 소속 기관을 포함한다)의 개인정보 보호지침을 정하여 시행할 수 있다.

제13조(자율규제의 촉진 및 지원) 행정안전부장관은 개인정보처리자의 자율적인 개인정보 보호활동을 촉진하고 지원하기 위하여 다음 각 호의 필요한 시책을 마련하여야 한다.

1. 개인정보 보호에 관한 교육ㆍ홍보

2. 개인정보 보호와 관련된 기관ㆍ단체의 육성 및 지원

3. 개인정보 보호 인증마크의 도입ㆍ시행 지원

4. 개인정보처리자의 자율적인 규약의 제정ㆍ시행 지원

5. 그 밖에 개인정보처리자의 자율적 개인정보 보호활동을 지원하기 위하여 필요한 사항

제14조(국제협력) ① 정부는 국제적 환경에서의 개인정보 보호 수준을 향상시키기 위하여 필요한 시책을 마련하여야 한다.

② 정부는 개인정보 국외 이전으로 인하여 정보주체의 권리가 침해되지 아니하도록 관련 시책을 마련하여야 한다.

제3장 개인정보의 처리

제1절 개인정보의 수집, 이용, 제공 등

제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우

4. 정보주체와의 계약의 체결 및 이행을 위하여 불가피하게 필요한 경우

5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보의 수집ㆍ이용 목적

2. 수집하려는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간

4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

제16조(개인정보의 수집 제한) ① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.

② 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다.

제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 제15조제1항제2호ㆍ제3호 및 제5호에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 개인정보처리자가 개인정보를 국외의 제3자에게 제공할 때에는 제2항 각 호에 따른 사항을 정보주체에게 알리고 동의를 받아야 하며, 이 법을 위반하는 내용으로 개인정보의 국외 이전에 관한 계약을 체결하여서는 아니 된다.

제18조(개인정보의 이용ㆍ제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제3항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없는 형태로 개인정보를 제공하는 경우

5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우

6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

8. 법원의 재판업무 수행을 위하여 필요한 경우

9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

③ 개인정보처리자는 제2항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)

3. 이용 또는 제공하는 개인정보의 항목

4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

④ 공공기관은 제2항제2호부터 제6호까지, 제8호 및 제9호에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 행정안전부령으로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.

⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.

제19조(개인정보를 제공받은 자의 이용ㆍ제공 제한) 개인정보처리자로부터 개인정보를 제공받은 자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 고지) ① 개인정보처리자가 정보주체 이외로부터 수집한 개인정보를 처리하는 때에는 정보주체의 요구가 있으면 즉시 다음 각 호의 모든 사항을 정보주체에게 알려야 한다.

1. 개인정보의 수집 출처

2. 개인정보의 처리 목적

3. 제37조에 따른 개인정보 처리의 정지를 요구할 권리가 있다는 사실

② 제1항은 다음 각 호의 어느 하나에 해당하는 경우에는 적용하지 아니한다. 다만, 이 법에 따른 정보주체의 권리보다 명백히 우선하는 경우에 한한다.

1. 고지를 요구하는 대상이 되는 개인정보가 제32조제2항 각 호의 어느 하나에 해당하는 개인정보파일에 포함되어 있는 경우

2. 고지로 인하여 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

② 개인정보처리자가 제1항에 따라 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

③ 개인정보처리자가 제1항 단서에 따라 개인정보를 파기하지 아니하고 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여서 저장ㆍ관리하여야 한다.

④ 개인정보의 파기방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

제22조(동의를 받는 방법) ① 개인정보처리자는 이 법에 따른 개인정보의 처리에 대하여 정보주체(제5항에 따른 법정대리인을 포함한다. 이하 이 조에서 같다)의 동의를 받을 때에는 각각의 동의 사항을 구분하여 정보주체가 이를 명확하게 인지할 수 있도록 알리고 각각 동의를 받아야 한다.

② 개인정보처리자는 제15조제1항제1호, 제17조제1항제1호, 제23조제1호 및 제24조제1항제1호에 따라 개인정보의 처리에 대하여 정보주체의 동의를 받을 때에는 정보주체와의 계약 체결 등을 위하여 정보주체의 동의 없이 처리할 수 있는 개인정보와 정보주체의 동의가 필요한 개인정보를 구분하여야 한다. 이 경우 동의 없이 처리할 수 있는 개인정보라는 입증책임은 개인정보처리자가 부담한다.

③ 개인정보처리자는 정보주체에게 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보의 처리에 대한 동의를 받으려는 때에는 정보주체가 이를 명확하게 인지할 수 있도록 알리고 동의를 받아야 한다.

④ 개인정보처리자는 정보주체가 제2항에 따라 선택적으로 동의할 수 있는 사항을 동의하지 아니하거나 제3항 및 제18조제2항제1호에 따른 동의를 하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다.

⑤ 개인정보처리자는 만 14세 미만 아동의 개인정보를 처리하기 위하여 이 법에 따른 동의를 받아야 할 때에는 그 법정대리인의 동의를 받아야 한다. 이 경우 법정대리인의 동의를 받기 위하여 필요한 최소한의 정보는 법정대리인의 동의 없이 해당 아동으로부터 직접 수집할 수 있다.

⑥ 제1항부터 제5항까지에서 규정한 사항 외에 정보주체의 동의를 받는 세부적인 방법 및 제5항에 따른 최소한의 정보의 내용에 관하여 필요한 사항은 개인정보의 수집매체 등을 고려하여 대통령령으로 정한다.

제2절 개인정보의 처리 제한

제23조(민감정보의 처리 제한) 개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보“라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는  그러하지 아니하다.

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

제24조(고유식별정보의 처리 제한) ① 개인정보처리자는 다음 각 호의 경우를 제외하고는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보(이하 “고유식별정보”라 한다)를 처리할 수 없다.

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 구체적으로 고유식별정보의 처리를 요구하거나 허용하는 경우

② 대통령령으로 정하는 기준에 해당하는 개인정보처리자는 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입할 경우 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다.

③ 개인정보처리자가 제1항 각 호에 따라 고유식별정보를 처리하는 경우에는 그 고유식별정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 대통령령으로 정하는 바에 따라 암호화 등 안전성 확보에 필요한 조치를 하여야 한다.

④ 행정안전부장관은 제2항에 따른 방법의 제공을 지원하기 위하여 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련할 수 있다.

제25조(영상정보처리기기의 설치ㆍ운영 제한) ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다.

1. 법령에서 구체적으로 허용하고 있는 경우

2. 범죄의 예방 및 수사를 위하여 필요한 경우

3. 시설안전 및 화재 예방을 위하여 필요한 경우

4. 교통단속을 위하여 필요한 경우

5. 교통정보의 수집ㆍ분석 및 제공을 위하여 필요한 경우

② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 다만, 교도소, 정신보건 시설 등 법령에 근거하여 사람을 구금하거나 보호하는 시설로서 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다.

③ 제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장과 제2항 단서에 따라 영상정보처리기기를 설치ㆍ운영하려는 자는 공청회ㆍ설명회의 개최 등 대통령령으로 정하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다.

④ 제1항 각 호에 따라 영상정보처리기기를 설치ㆍ운영하는 자(이하 “영상정보처리기기운영자”라 한다)는 정보주체가 쉽게 인식할 수 있도록 대통령령으로 정하는 바에 따라 안내판 설치 등 필요한 조치를 하여야 한다. 다만, 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다.

⑤ 영상정보처리기기운영자는 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다.

⑥ 영상정보처리기기운영자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 제29조에 따라 안전성 확보에 필요한 조치를 하여야 한다.

⑦ 영상정보처리기기운영자는 대통령령으로 정하는 바에 따라 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 이 경우 제30조에 따른 개인정보 처리방침을 정하지 아니할 수 있다.

⑧ 영상정보처리기기운영자는 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁할 수 있다. 다만, 공공기관이 영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 대통령령으로 정하는 절차 및 요건에 따라야 한다.

제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(이하 “수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라  공개하여야 한다.

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

⑦ 수탁자에 관하여는 제15조부터 제25조까지, 제27조부터 제31조까지, 제33조부터 제38조까지 및 제59조를 준용한다.

제27조(영업양도 등에 따른 개인정보의 이전 제한) ① 개인정보처리자는 영업의 전부 또는 일부의 양도ㆍ합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다.

1. 개인정보를 이전하려는 사실

2. 개인정보를 이전받는 자(이하 “영업양수자등”이라 한다)의 성명(법인의 경우에는 법인의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처

3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차

② 영업양수자등은 개인정보를 이전받았을 때에는 지체 없이 그 사실을 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 다만, 개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다.

③ 영업양수자등은 영업의 양도ㆍ합병 등으로 개인정보를 이전받은 경우에는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있다. 이 경우 영업양수자등은 개인정보처리자로 본다.

제28조(개인정보취급자에 대한 감독) ① 개인정보처리자는 개인정보를 처리함에 있어서 개인정보가 안전하게 관리될 수 있도록 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 자(이하 “개인정보취급자”라 한다)에 대하여 적절한 관리ㆍ감독을 행하여야 한다.

② 개인정보처리자는 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하여야 한다.

제4장 개인정보의 안전한 관리

제29조(안전조치의무) 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.

제30조(개인정보 처리방침의 수립 및 공개) ① 개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방침(이하 “개인정보 처리방침”이라 한다)을 정하여야 한다. 이 경우 공공기관은 제32조에 따라 등록대상이 되는 개인정보파일에 대하여 개인정보 처리방침을 정한다.

1. 개인정보의 처리 목적

2. 개인정보의 처리 및 보유 기간

3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)

4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)

5. 정보주체의 권리ㆍ의무 및 그 행사방법에 관한 사항

6. 그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항

② 개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

④ 행정안전부장관은 개인정보 처리방침의 작성지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다.

제31조(개인정보 보호책임자의 지정) ① 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다.

② 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리ㆍ감독

7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무

③ 개인정보 보호책임자는 제2항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

④ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다.

⑤ 개인정보처리자는 개인정보 보호책임자가 제2항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 된다.

⑥ 개인정보 보호책임자의 지정요건, 업무, 자격요건, 그 밖에 필요한 사항은 대통령령으로 정한다.

제32조(개인정보파일의 등록 및 공개) ① 공공기관의 장이 개인정보파일을 운용하는 경우에는 다음 각 호의 사항을 행정안전부장관에게 등록하여야 한다. 등록한 사항이 변경된 경우에도 또한 같다.

1. 개인정보파일의 명칭

2. 개인정보파일의 운영 근거 및 목적

3. 개인정보파일에 기록되는 개인정보의 항목

4. 개인정보의 처리방법

5. 개인정보의 보유기간

6. 개인정보를 통상적 또는 반복적으로 제공하는 경우에는 그 제공받는 자

7. 그 밖에 대통령령으로 정하는 사항

② 다음 각 호의 어느 하나에 해당하는 개인정보파일에 대하여는 제1항을 적용하지 아니한다.

1. 국가 안전, 외교상 비밀, 그 밖에 국가의 중대한 이익에 관한 사항을 기록한 개인정보파일

2. 범죄의 수사, 공소의 제기 및 유지, 형 및 감호의 집행, 교정처분, 보호처분, 보안관찰처분과 출입국관리에 관한 사항을 기록한 개인정보파일

3. 「조세범처벌법」에 따른 범칙행위 조사 및 「관세법」에 따른 범칙행위 조사에 관한 사항을 기록한 개인정보파일

4. 공공기관의 내부적 업무처리만을 위하여 사용되는 개인정보파일

5. 다른 법령에 따라 비밀로 분류된 개인정보파일

③ 행정안전부장관은 필요하면 제1항에 따른 개인정보파일의 등록사항과 그 내용을 검토하여 해당 공공기관의 장에게 개선을 권고할 수 있다.

④ 행정안전부장관은 제1항에 따른 개인정보파일의 등록 현황을 누구든지 쉽게 열람할 수 있도록 공개하여야 한다.

⑤ 제1항에 따른 등록과 제4항에 따른 공개의 방법, 범위 및 절차에 관하여 필요한 사항은 대통령령으로 정한다.

⑥ 국회, 법원, 헌법재판소, 중앙선거관리위원회(그 소속 기관을 포함한다)의 개인정보파일 등록 및 공개에 관하여는 국회규칙, 대법원규칙, 헌법재판소규칙 및 중앙선거관리위원회규칙으로 정한다.

제33조(개인정보 영향평가) ① 공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 “영향평가”라 한다)를 하고 그 결과를 행정안전부장관에게 제출하여야 한다. 이 경우 공공기관의 장은 영향평가를 행정안전부장관이 지정하는 기관(이하 “평가기관”이라 한다) 중에서 의뢰하여야 한다.

② 영향평가를 하는 경우에는 다음 각 호의 사항을 고려하여야 한다.

1. 처리하는 개인정보의 수

2. 개인정보의 제3자 제공 여부

3. 정보주체의 권리를 해할 가능성 및 그 위험 정도

4. 그 밖에 대통령령으로 정한 사항

③ 행정안전부장관은 제1항에 따라 제출받은 영향평가 결과에 대하여 보호위원회의 심의ㆍ의결을 거쳐 의견을 제시할 수 있다.

④ 공공기관의 장은 제1항에 따라 영향평가를 한 개인정보파일을 제32조제1항에 따라 등록할 때에는 영향평가 결과를 함께 첨부하여야 한다.

⑤ 행정안전부장관은 영향평가의 활성화를 위하여 관계 전문가의 육성, 영향평가 기준의 개발ㆍ보급 등 필요한 조치를 마련하여야 한다.

⑥ 제1항에 따른 평가기관의 지정기준 및 지정취소, 평가기준, 영향평가의 방법ㆍ절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

⑦ 국회, 법원, 헌법재판소, 중앙선거관리위원회(그 소속 기관을 포함한다)의 영향평가에 관한 사항은 국회규칙, 대법원규칙, 헌법재판소규칙 및 중앙선거관리위원회규칙으로 정하는 바에 따른다.

⑧ 공공기관 외의 개인정보처리자는 개인정보파일 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 하기 위하여 적극 노력하여야 한다.

제34조(개인정보 유출 통지 등) ① 개인정보처리자는 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

② 개인정보처리자는 개인정보가 유출된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다.

③ 개인정보처리자는 대통령령으로 정한 규모 이상의 개인정보가 유출된 경우에는 제1항에 따른 통지 및 제2항에 따른 조치 결과를 지체 없이 행정안전부장관 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 행정안전부장관 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.

④ 제1항에 따른 통지의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

제5장 정보주체의 권리 보장

제35조(개인정보의 열람) ① 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다.

② 제1항에도 불구하고 정보주체가 자신의 개인정보에 대한 열람을 공공기관에 요구하고자 할 때에는 공공기관에 직접 열람을 요구하거나 대통령령으로 정하는 바에 따라 행정안전부장관을 통하여 열람을 요구할 수 있다.

③ 개인정보처리자는 제1항 및 제2항에 따른 열람을 요구받았을 때에는 대통령령으로 정하는 기간 내에 정보주체가 해당 개인정보를 열람할 수 있도록 하여야 한다. 이 경우 해당 기간 내에 열람할 수 없는 정당한 사유가 있을 때에는 정보주체에게 그 사유를 알리고 열람을 연기할 수 있으며, 그 사유가 소멸하면 지체 없이 열람하게 하여야 한다.

④ 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체에게 그 사유를 알리고 열람을 제한하거나 거절할 수 있다.

1. 법률에 따라 열람이 금지되거나 제한되는 경우

2. 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

3. 공공기관이 다음 각 목의 어느 하나에 해당하는 업무를 수행할 때 중대한 지장을 초래하는 경우

가. 조세의 부과ㆍ징수 또는 환급에 관한 업무

나. 「초ㆍ중등교육법」 및 「고등교육법」에 따른 각급 학교, 「평생교육법」에 따른 평생교육시설, 그 밖의 다른 법률에 따라 설치된 고등교육기관에서의 성적 평가 또는 입학자 선발에 관한 업무

다. 학력ㆍ기능 및 채용에 관한 시험, 자격 심사에 관한 업무

라. 보상금ㆍ급부금 산정 등에 대하여 진행 중인 평가 또는 판단에 관한 업무

마. 다른 법률에 따라 진행 중인 감사 및 조사에 관한 업무

⑤ 제1항부터 제4항까지의 규정에 따른 열람 요구, 열람 제한, 통지 등의 방법 및 절차에 관하여 필요한 사항은 대통령령으로 정한다.

제36조(개인정보의 정정ㆍ삭제) ① 제35조에 따라 자신의 개인정보를 열람한 정보주체는 개인정보처리자에게 그 개인정보의 정정 또는 삭제를 요구할 수 있다. 다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다.

② 개인정보처리자는 제1항에 따른 정보주체의 요구를 받았을 때에는 개인정보의 정정 또는 삭제에 관하여 다른 법령에 특별한 절차가 규정되어 있는 경우를 제외하고는 지체 없이 그 개인정보를 조사하여 정보주체의 요구에 따라 정정ㆍ삭제 등 필요한 조치를 한 후 그 결과를 정보주체에게 알려야 한다.

③ 개인정보처리자가 제2항에 따라 개인정보를 삭제할 때에는 복구 또는 재생되지 아니하도록 조치하여야 한다.

④ 개인정보처리자는 정보주체의 요구가 제1항 단서에 해당될 때에는 지체 없이 그 내용을 정보주체에게 알려야 한다.

⑤ 개인정보처리자는 제2항에 따른 조사를 할 때 필요하면 해당 정보주체에게 정정ㆍ삭제 요구사항의 확인에 필요한 증거자료를 제출하게 할 수 있다.

⑥ 제1항ㆍ제2항 및 제4항에 따른 정정 또는 삭제 요구, 통지 방법 및 절차 등에 필요한 사항은 대통령령으로 정한다.

제37조(개인정보의 처리정지 등) ① 정보주체는 개인정보처리자에 대하여 자신의 개인정보 처리의 정지를 요구할 수 있다. 이 경우 공공기관에 대하여는 제32조에 따라 등록 대상이 되는 개인정보파일 중 자신의 개인정보에 대한 처리의 정지를 요구할 수 있다.

② 개인정보처리자는 제1항에 따른 요구를 받았을 때에는 지체 없이 정보주체의 요구에 따라 개인정보 처리의 전부를 정지하거나 일부를 정지하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체의 처리정지 요구를 거절할 수 있다.

1. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

2. 다른 사람의 생명ㆍ신체를 해할 우려가 있거나 다른 사람의 재산과 그 밖의 이익을 부당하게 침해할 우려가 있는 경우

3. 공공기관이 개인정보를 처리하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우

4. 개인정보를 처리하지 아니하면 정보주체와 약정한 서비스를 제공하지 못하는 등 계약의 이행이 곤란한 경우로서 정보주체가 그 계약의 해지 의사를 명확하게 밝히지 아니한 경우

③ 개인정보처리자는 제2항 단서에 따라 처리정지 요구를 거절하였을 때에는 정보주체에게 지체 없이 그 사유를 알려야 한다.

④ 개인정보처리자는 정보주체의 요구에 따라 처리가 정지된 개인정보에 대하여 지체 없이 해당 개인정보의 파기 등 필요한 조치를 하여야 한다.

⑤ 제1항부터 제3항까지의 규정에 따른 처리정지의 요구, 처리정지의 거절, 통지 등의 방법 및 절차에 필요한 사항은 대통령령으로 정한다.

제38조(권리행사의 방법 및 절차) ① 정보주체는 제35조에 따른 열람, 제36조에 따른 정정ㆍ삭제, 제37조에 따른 처리정지 등의 요구(이하 “열람등요구”라 한다)를 문서 등 대통령령으로 정하는 방법ㆍ절차에 따라 대리인에게 하게 할 수 있다.

② 만 14세 미만 아동의 법정대리인은 개인정보처리자에게 그 아동의 개인정보 열람등요구를 할 수 있다.

③ 개인정보처리자는 열람등요구를 하는 자에게 대통령령으로 정하는 바에 따라 수수료와 우송료(사본의 우송을 청구하는 경우에 한한다)를 청구할 수 있다.

④ 개인정보처리자는 정보주체가 열람등요구를 할 수 있는 구체적인 방법과 절차를 마련하고, 이를 정보주체가 알 수 있도록 공개하여야 한다.

⑤ 개인정보처리자는 정보주체가 열람등요구에 대한 거절 등 조치에 대하여 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하고 안내하여야 한다.

제39조(손해배상책임) ① 정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.

② 개인정보처리자가 이 법에 따른 의무를 준수하고 상당한 주의와 감독을 게을리하지 아니한 경우에는 개인정보의 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손으로 인한 손해배상책임을 감경받을 수 있다.

제6장 개인정보 분쟁조정위원회

제40조(설치 및 구성) ① 개인정보에 관한 분쟁의 조정(調停)을 위하여 개인정보 분쟁조정위원회(이하 “분쟁조정위원회”라 한다)를 둔다.

② 분쟁조정위원회는 위원장 1명을 포함한 20명 이내의 위원으로 구성하며, 그 중 1명은 상임위원으로 한다.

③ 위원은 다음 각 호의 어느 하나에 해당하는 사람 중에서 행정안전부장관이 임명하거나 위촉한다.

1. 개인정보 보호업무를 관장하는 중앙행정기관의 고위공무원단에 속하는 공무원 또는 이에 상당하는 공공부문 및 관련 단체의 직에 재직하고 있거나 재직하였던 사람으로서 개인정보 보호업무의 경험이 있는 사람

2. 대학이나 공인된 연구기관에서 부교수 이상 또는 이에 상당하는 직에 재직하고 있거나 재직하였던 사람

3. 판사ㆍ검사 또는 변호사로 재직하고 있거나 재직하였던 사람

4. 개인정보 보호와 관련된 시민사회단체 또는 소비자단체로부터 추천을 받은 사람

5. 개인정보처리자로 구성된 사업자단체의 임원으로 재직하고 있거나 재직하였던 사람

④ 위원장은 위원 중에서 공무원이 아닌 사람으로 행정안전부장관이 임명한다.

⑤ 위원장과 위원의 임기는 2년으로 하되, 1차에 한하여 연임할 수 있다. 다만, 제3항제1호에 따라 임명된 공무원인 위원은 그 직에 재직하는 동안 재임한다.

⑥ 분쟁조정위원회는 분쟁조정 업무를 효율적으로 수행하기 위하여 필요하면 대통령령으로 정하는 바에 따라 조정사건의 분야별로 5명 이내의 위원으로 구성되는 조정부를 둘 수 있다. 이 경우 조정부가 분쟁조정위원회에서 위임받아 의결한 사항은 분쟁조정위원회에서 의결한 것으로 본다.

⑦ 분쟁조정위원회 또는 조정부는 재적위원 과반수의 출석으로 개의하며 출석위원 과반수의 찬성으로 의결한다.

⑧ 행정안전부장관은 분쟁조정위원회 사무국 운영 등 업무를 지원하기 위하여 대통령령으로 정하는 바에 따라 전문기관을 지정할 수 있다.

⑨ 이 법에서 정한 사항 외에 분쟁조정위원회 운영에 필요한 사항은 대통령령으로 정한다.

제41조(위원의 신분보장) 위원은 자격정지 이상의 형을 선고받거나 심신상의 장애로 직무를 수행할 수 없는 경우를 제외하고는 그의 의사에 반하여 면직되거나 해촉되지 아니한다.

제42조(위원의 제척ㆍ기피ㆍ회피) ① 분쟁조정위원회의 위원은 다음 각 호의 어느 하나에 해당하는 경우에는 제43조제1항에 따라 분쟁조정위원회에 신청된 분쟁조정사건(이하 이 조에서 “사건”이라 한다)의 심의ㆍ의결에서 제척(除斥)된다.

1. 위원 또는 그 배우자나 배우자였던 자가 그 사건의 당사자가 되거나 그 사건에 관하여 공동의 권리자 또는 의무자의 관계에 있는 경우

2. 위원이 그 사건의 당사자와 친족이거나 친족이었던 경우

3. 위원이 그 사건에 관하여 증언, 감정, 법률자문을 한 경우

4. 위원이 그 사건에 관하여 당사자의 대리인으로서 관여하거나 관여하였던 경우

② 당사자는 위원에게 공정한 심의ㆍ의결을 기대하기 어려운 사정이 있으면 위원장에게 기피신청을 할 수 있다. 이 경우 위원장은 기피신청에 대하여 분쟁조정위원회의 의결을 거치지 아니하고 결정한다.

③ 위원이 제1항 또는 제2항의 사유에 해당하는 경우에는 스스로 그 사건의 심의ㆍ의결에서 회피할 수 있다.

제43조(조정의 신청 등) ① 개인정보와 관련한 분쟁의 조정을 원하는 자는 분쟁조정위원회에 분쟁조정을 신청할 수 있다.

② 분쟁조정위원회는 당사자 일방으로부터 분쟁조정 신청을 받았을 때에는 그 신청내용을 상대방에게 알려야 한다.

③ 공공기관이 제2항에 따른 분쟁조정의 통지를 받은 경우에는 특별한 사유가 없으면 분쟁조정에 응하여야 한다.

제44조(처리기간) ① 분쟁조정위원회는 제43조제1항에 따른 분쟁조정 신청을 받은 날부터 60일 이내에 이를 심사하여 조정안을 작성하여야 한다. 다만, 부득이한 사정이 있는 경우에는 분쟁조정위원회의 의결로 처리기간을 연장할 수 있다.

② 분쟁조정위원회는 제1항 단서에 따라 처리기간을 연장한 경우에는 기간연장의 사유와 그 밖의 기간연장에 관한 사항을 신청인에게 알려야 한다.

제45조(자료의 요청 등) ① 분쟁조정위원회는 제43조제1항에 따라 분쟁조정 신청을 받았을 때에는 해당 분쟁의 조정을 위하여 필요한 자료를 분쟁당사자에게 요청할 수 있다. 이 경우 분쟁당사자는 정당한 사유가 없으면 요청에 따라야 한다.

② 분쟁조정위원회는 필요하다고 인정하면 분쟁당사자나 참고인을 위원회에 출석하도록 하여 그 의견을 들을 수 있다.

제46조(조정 전 합의 권고) 분쟁조정위원회는 제43조제1항에 따라 분쟁조정 신청을 받았을 때에는 당사자에게 그 내용을 제시하고 조정 전 합의를 권고할 수 있다.

제47조(분쟁의 조정) ① 분쟁조정위원회는 다음 각 호의 어느 하나의 사항을 포함하여 조정안을 작성할 수 있다.

1. 조사 대상 침해행위의 중지

2. 원상회복, 손해배상, 그 밖에 필요한 구제조치

3. 같거나 비슷한 침해의 재발을 방지하기 위하여 필요한 조치

② 분쟁조정위원회는 제1항에 따라 조정안을 작성하면 지체 없이 각 당사자에게 제시하여야 한다.

③ 제1항에 따라 조정안을 제시받은 당사자가 제시받은 날부터 15일 이내에 수락 여부를 알리지 아니하면 조정을 거부한 것으로 본다.

④ 당사자가 조정내용을 수락한 경우 분쟁조정위원회는 조정서를 작성하고, 분쟁조정위원회의 위원장과 각 당사자가 기명날인하여야 한다.

⑤ 제4항에 따른 조정의 내용은 재판상 화해와 동일한 효력을 갖는다.

제48조(조정의 거부 및 중지) ① 분쟁조정위원회는 분쟁의 성질상 분쟁조정위원회에서 조정하는 것이 적합하지 아니하다고 인정하거나 부정한 목적으로 조정이 신청되었다고 인정하는 경우에는 그 조정을 거부할 수 있다. 이 경우 조정거부의 사유 등을 신청인에게 알려야 한다.

② 분쟁조정위원회는 신청된 조정사건에 대한 처리절차를 진행하던 중에 한 쪽 당사자가 소를 제기하면 그 조정의 처리를 중지하고 이를 당사자에게 알려야 한다.

제49조(집단분쟁조정) ① 국가 및 지방자치단체, 개인정보 보호단체 및 기관, 정보주체, 개인정보처리자는 정보주체의 피해 또는 권리침해가 다수의 정보주체에게 같거나 비슷한 유형으로 발생하는 경우로서 대통령령으로 정하는 사건에 대하여는 분쟁조정위원회에 일괄적인 분쟁조정(이하 “집단분쟁조정”이라 한다)을 의뢰 또는 신청할 수 있다.

② 제1항에 따라 집단분쟁조정을 의뢰받거나 신청받은 분쟁조정위원회는 그 의결로써 제3항부터 제7항까지의 규정에 따른 집단분쟁조정의 절차를 개시할 수 있다. 이 경우 분쟁조정위원회는 대통령령으로 정하는 기간 동안 그 절차의 개시를 공고하여야 한다.

③ 분쟁조정위원회는 집단분쟁조정의 당사자가 아닌 정보주체 또는 개인정보처리자로부터 그 분쟁조정의 당사자에 추가로 포함될 수 있도록 하는 신청을 받을 수 있다.

④ 분쟁조정위원회는 그 의결로써 제1항 및 제3항에 따른 집단분쟁조정의 당사자 중에서 공동의 이익을 대표하기에 가장 적합한 1인 또는 수인을 대표당사자로 선임할 수 있다.

⑤ 분쟁조정위원회는 개인정보처리자가 분쟁조정위원회의 집단분쟁조정의 내용을 수락한 경우에는 집단분쟁조정의 당사자가 아닌 자로서 피해를 입은 정보주체에 대한 보상계획서를 작성하여 분쟁조정위원회에 제출하도록 권고할 수 있다.

⑥ 제48조제2항에도 불구하고 분쟁조정위원회는 집단분쟁조정의 당사자인 다수의 정보주체 중 일부의 정보주체가 법원에 소를 제기한 경우에는 그 절차를 중지하지 아니하고, 소를 제기한 일부의 정보주체를 그 절차에서 제외한다.

⑦ 집단분쟁조정의 기간은 제2항에 따른 공고가 종료된 날의 다음 날부터 60일 이내로 한다. 다만, 부득이한 사정이 있는 경우에는 분쟁조정위원회의 의결로 처리기간을 연장할 수 있다.

⑧ 집단분쟁조정의 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

제50조(조정절차 등) ① 제43조부터 제49조까지의 규정에서 정한 것 외에 분쟁의 조정방법, 조정절차 및 조정업무의 처리 등에 필요한 사항은 대통령령으로 정한다.

② 분쟁조정위원회의 운영 및 분쟁조정 절차에 관하여 이 법에서 규정하지 아니한 사항에 대하여는 「민사조정법」을 준용한다.

제7장 개인정보 단체소송

제51조(단체소송의 대상 등) 다음 각 호의 어느 하나에 해당하는 단체는 개인정보처리자가 제49조에 따른 집단분쟁조정을 거부하거나 집단분쟁조정의 결과를 수락하지 아니한 경우에는 법원에 권리침해 행위의 금지ㆍ중지를 구하는 소송(이하 “단체소송”이라 한다)을 제기할 수 있다.

1. 「소비자기본법」 제29조에 따라 공정거래위원회에 등록한 소비자단체로서 다음 각 목의 요건을 모두 갖춘 단체

가. 정관에 따라 상시적으로 정보주체의 권익증진을 주된 목적으로 하는 단체일 것

나. 단체의 정회원수가 1천명 이상일 것

다. 「소비자기본법」 제29조에 따른 등록 후 3년이 경과하였을 것

2. 「비영리민간단체 지원법」 제2조에 따른 비영리민간단체로서 다음 각 목의 요건을 모두 갖춘 단체

가. 법률상 또는 사실상 동일한 침해를 입은 100명 이상의 정보주체로부터 단체소송의 제기를 요청받을 것

나. 정관에 개인정보 보호를 단체의 목적으로 명시한 후 최근 3년 이상 이를 위한 활동실적이 있을 것

다. 단체의 상시 구성원수가 5천명 이상일 것

라. 중앙행정기관에 등록되어 있을 것

제52조(전속관할) ① 단체소송의 소는 피고의 주된 사무소 또는 영업소가 있는 곳, 주된 사무소나 영업소가 없는 경우에는 주된 업무담당자의 주소가 있는 곳의 지방법원 본원 합의부의 관할에 전속한다.

② 제1항을 외국사업자에 적용하는 경우 대한민국에 있는 이들의 주된 사무소ㆍ영업소 또는 업무담당자의 주소에 따라 정한다.

제53조(소송대리인의 선임) 단체소송의 원고는 변호사를 소송대리인으로 선임하여야 한다.

제54조(소송허가신청) ① 단체소송을 제기하는 단체는 소장과 함께 다음 각 호의 사항을 기재한 소송허가신청서를 법원에 제출하여야 한다.

1. 원고 및 그 소송대리인

2. 피고

3. 정보주체의 침해된 권리의 내용

② 제1항에 따른 소송허가신청서에는 다음 각 호의 자료를 첨부하여야 한다.

1. 소제기단체가 제51조 각 호의 어느 하나에 해당하는 요건을 갖추고 있음을 소명하는 자료

2. 개인정보처리자가 조정을 거부하였거나 조정결과를 수락하지 아니하였음을 증명하는 서류

제55조(소송허가요건 등) ① 법원은 다음 각 호의 요건을 모두 갖춘 경우에 한하여 결정으로 단체소송을 허가한다.

1. 개인정보처리자가 분쟁조정위원회의 조정을 거부하거나 조정결과를 수락하지 아니하였을 것

2. 제54조에 따른 소송허가신청서의 기재사항에 흠결이 없을 것

② 단체소송을 허가하거나 불허가하는 결정에 대하여는 즉시항고할 수 있다.

제56조(확정판결의 효력) 원고의 청구를 기각하는 판결이 확정된 경우 이와 동일한 사안에 관하여는 제51조에 따른 다른 단체는 단체소송을 제기할 수 없다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다.

1. 판결이 확정된 후 그 사안과 관련하여 국가ㆍ지방자치단체 또는 국가ㆍ지방자치단체가 설립한 기관에 의하여 새로운 증거가 나타난 경우

2. 기각판결이 원고의 고의로 인한 것임이 밝혀진 경우

제57조(「민사소송법」의 적용 등) ① 단체소송에 관하여 이 법에 특별한 규정이 없는 경우에는 「민사소송법」을 적용한다.

② 제55조에 따른 단체소송의 허가결정이 있는 경우에는 「민사집행법」 제4편에 따른 보전처분을 할 수 있다.

③ 단체소송의 절차에 관하여 필요한 사항은 대법원규칙으로 정한다.

제8장 보칙

제58조(적용의 일부 제외) ① 다음 각 호의 어느 하나에 해당하는 개인정보에 관하여는 제3장부터 제7장까지를 적용하지 아니한다.

1. 공공기관이 처리하는 개인정보 중 「통계법」에 따라 수집되는 개인정보

2. 국가안전보장과 관련된 정보 분석을 목적으로 수집 또는 제공 요청되는 개인정보

3. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서 일시적으로 처리되는 개인정보

4. 언론, 종교단체, 정당이 각각 취재ㆍ보도, 선교, 선거 입후보자 추천 등 고유 목적을 달성하기 위하여 수집ㆍ이용하는 개인정보

② 제25조제1항 각 호에 따라 공개된 장소에 영상정보처리기기를 설치ㆍ운영하여 처리되는 개인정보에 대하여는 제15조, 제22조, 제27조제1항ㆍ제2항, 제34조 및 제37조를 적용하지 아니한다.

③ 개인정보처리자가 동창회, 동호회 등 친목 도모를 위한 단체를 운영하기 위하여 개인정보를 처리하는 경우에는 제15조, 제30조 및 제31조를 적용하지 아니한다.

④ 개인정보처리자는 제1항 각 호에 따라 개인정보를 처리하는 경우에도 그 목적을 위하여 필요한 범위에서 최소한의 기간에 최소한의 개인정보만을 처리하여야 하며, 개인정보의 안전한 관리를 위하여 필요한 기술적ㆍ관리적 및 물리적 보호조치, 개인정보의 처리에 관한 고충처리, 그 밖에 개인정보의 적절한 처리를 위하여 필요한 조치를 마련하여야 한다.

제59조(금지행위) 개인정보를 처리하거나 처리하였던 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 처리에 관한 동의를 받는 행위

2. 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위

3. 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출하는 행위

제60조(비밀유지 등) 다음 각 호의 업무에 종사하거나 종사하였던 자는 직무상 알게 된 비밀을 다른 사람에게 누설하거나 직무상 목적 외의 용도로 이용하여서는 아니 된다. 다만, 다른 법률에 특별한 규정이 있는 경우에는 그러하지 아니하다.

1. 제8조에 따른 보호위원회의 업무

2. 제33조에 따른 영향평가 업무

3. 제40조에 따른 분쟁조정위원회의 분쟁조정 업무

제61조(의견제시 및 개선권고) ① 행정안전부장관은 개인정보 보호에 영향을 미치는 내용이 포함된 법령이나 조례에 대하여 필요하다고 인정하면 보호위원회의 심의ㆍ의결을 거쳐 관계 기관에 의견을 제시할 수 있다.

② 행정안전부장관은 개인정보 보호를 위하여 필요하다고 인정하면 개인정보처리자에게 개인정보 처리 실태의 개선을 권고할 수 있다. 이 경우 권고를 받은 개인정보처리자는 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 행정안전부장관에게 알려야 한다.

③ 관계 중앙행정기관의 장은 개인정보 보호를 위하여 필요하다고 인정하면 소관 법률에 따라 개인정보처리자에게 개인정보 처리 실태의 개선을 권고할 수 있다. 이 경우 권고를 받은 개인정보처리자는 이를 이행하기 위하여 성실하게 노력하여야 하며, 그 조치 결과를 관계 중앙행정기관의 장에게 알려야 한다.

④ 중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 그 소속 기관 및 소관 공공기관에 대하여 개인정보 보호에 관한 의견을 제시하거나 지도ㆍ점검을 할 수 있다.

제62조(침해 사실의 신고 등) ① 개인정보처리자가 개인정보를 처리할 때 개인정보에 관한 권리 또는 이익을 침해받은 사람은 행정안전부장관에게 그 침해 사실을 신고할 수 있다.

② 행정안전부장관은 제1항에 따른 신고의 접수ㆍ처리 등에 관한 업무를 효율적으로 수행하기 위하여 대통령령으로 정하는 바에 따라 전문기관을 지정할 수 있다. 이 경우 전문기관은 개인정보침해 신고센터(이하 “신고센터”라 한다)를 설치ㆍ운영하여야 한다.

③ 신고센터는 다음 각 호의 업무를 수행한다.

1. 개인정보 처리와 관련한 신고의 접수ㆍ상담

2. 사실의 조사ㆍ확인 및 관계자의 의견 청취

3. 제1호 및 제2호에 따른 업무에 딸린 업무

④ 행정안전부장관은 제3항제2호의 사실 조사ㆍ확인 등의 업무를 효율적으로 하기 위하여 필요하면 「국가공무원법」 제32조의4에 따라 소속 공무원을 제2항에 따른 전문기관에 파견할 수 있다.

제63조(자료제출 요구 및 검사) ① 행정안전부장관은 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다.

1. 이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게 된 경우

2. 이 법 위반에 대한 신고를 받거나 민원이 접수된 경우

3. 그 밖에 정보주체의 개인정보 보호를 위하여 필요한 경우로서 대통령령으로 정하는 경우

② 행정안전부장관은 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.

③ 관계 중앙행정기관의 장은 소관 법률에 따라 개인정보처리자에게 제1항에 따른 자료제출을 요구하거나 제2항에 따른 검사를 할 수 있다.

④ 행정안전부장관과 관계 중앙행정기관의 장은 개인정보처리자로부터 제출받거나 수집한 서류ㆍ자료 등을 이 법에 따른 경우를 제외하고는 제3자에게 제공하거나 일반에게 공개하여서는 아니 된다.

⑤ 행정안전부장관과 관계 중앙행정기관의 장은 정보통신망을 통하여 자료의 제출 등을 받은 경우나 수집한 자료 등을 전자화한 경우에는 개인정보ㆍ영업비밀 등이 유출되지 아니하도록 제도적ㆍ기술적 보완조치를 하여야 한다.

제64조(시정조치 등) ① 행정안전부장관은 개인정보가 침해되었다고 판단할 상당한 근거가 있고 이를 방치할 경우 회복하기 어려운 피해가 발생할 우려가 있다고 인정되면 이 법을 위반한 자(중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 제외한다)에 대하여 다음 각 호에 해당하는 조치를 명할 수 있다.

1. 개인정보 침해행위의 중지

2. 개인정보 처리의 일시적인 정지

3. 그 밖에 개인정보의 보호 및 침해 방지를 위하여 필요한 조치

② 관계 중앙행정기관의 장은 개인정보가 침해되었다고 판단할 상당한 근거가 있고 이를 방치할 경우 회복하기 어려운 피해가 발생할 우려가 있다고 인정되면 소관 법률에 따라 개인정보처리자에 대하여 제1항 각 호에 해당하는 조치를 명할 수 있다.

③ 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회는 그 소속 기관 및 소관 공공기관이 이 법을 위반하였을 때에는 제1항 각 호에 해당하는 조치를 명할 수 있다.

④ 보호위원회는 중앙행정기관, 지방자치단체, 국회, 법원, 헌법재판소, 중앙선거관리위원회가 이 법을 위반하였을 때에는 해당 기관의 장에게 제1항 각 호에 해당하는 조치를 하도록 권고할 수 있다. 이 경우 권고를 받은 기관은 특별한 사유가 없으면 이를 존중하여야 한다.

제65조(고발 및 징계권고) ① 행정안전부장관은 개인정보처리자에게 이 법 등 개인정보 보호와 관련된 법규의 위반에 따른 범죄혐의가 있다고 인정될 만한 상당한 이유가 있을 때에는 관할 수사기관에 그 내용을 고발할 수 있다.

② 행정안전부장관은 이 법 등 개인정보 보호와 관련된 법규의 위반행위가 있다고 인정될 만한 상당한 이유가 있을 때에는 책임이 있는 자를 징계할 것을 그 소속 기관ㆍ단체 등의 장에게 권고할 수 있다. 이 경우 권고를 받은 사람은 이를 존중하여야 하며 그 결과를 행정안전부장관에게 통보하여야 한다.

③ 관계 중앙행정기관의 장은 소관 법률에 따라 개인정보처리자에 대하여 제1항에 따른 고발을 하거나 소속 기관ㆍ단체 등의 장에게 제2항에 따른 징계권고를 할 수 있다. 이 경우 제2항에 따른 권고를 받은 사람은 이를 존중하여야 하며 그 결과를 관계 중앙행정기관의 장에게 통보하여야 한다.

제66조(결과의 공표) ① 행정안전부장관은 제61조에 따른 개선권고, 제64조에 따른 시정조치 명령, 제65조에 따른 고발 또는 징계권고 및 제75조에 따른 과태료 부과의 내용 및 결과에 대하여 보호위원회의 심의ㆍ의결을 거쳐 공표할 수 있다.

② 관계 중앙행정기관의 장은 소관 법률에 따라 제1항에 따른 공표를 할 수 있다.

③ 제1항 및 제2항에 따른 공표의 방법, 기준 및 절차 등은 대통령령으로 정한다.

제67조(연차보고) ① 보호위원회는 관계 기관 등으로부터 필요한 자료를 제출받아 매년 개인정보 보호시책의 수립 및 시행에 관한 보고서를 작성하여 정기국회 개회 전까지 국회에 제출(정보통신망에 의한 제출을 포함한다)하여야 한다.

② 제1항에 따른 보고서에는 다음 각 호의 내용이 포함되어야 한다.

1. 정보주체의 권리침해 및 그 구제현황

2. 개인정보 처리에 관한 실태조사 등의 결과

3. 개인정보 보호시책의 추진현황 및 실적

4. 개인정보 관련 해외의 입법 및 정책 동향

5. 그 밖에 개인정보 보호시책에 관하여 공개 또는 보고하여야 할 사항

제68조(권한의 위임ㆍ위탁) ① 이 법에 따른 행정안전부장관 또는 관계 중앙행정기관의 장의 권한은 그 일부를 대통령령으로 정하는 바에 따라 특별시장, 광역시장, 도지사, 특별자치도지사 또는 대통령령으로 정하는 전문기관에 위임하거나 위탁할 수 있다.

② 제1항에 따라 행정안전부장관 또는 관계 중앙행정기관의 장의 권한을 위임 또는 위탁받은 기관은 위임 또는 위탁받은 업무의 처리 결과를 행정안전부장관 또는 관계 중앙행정기관의 장에게 통보하여야 한다.

③ 행정안전부장관은 제1항에 따른 전문기관에 권한의 일부를 위임하거나 위탁하는 경우 해당 전문기관의 업무 수행을 위하여 필요한 경비를 출연할 수 있다

제69조(벌칙 적용 시의 공무원 의제) 행정안전부장관 또는 관계 중앙행정기관의 장의 권한을 위탁한 업무에 종사하는 관계 기관의 임직원은 「형법」 제129조부터 제132조까지의 규정을 적용할 때에는 공무원으로 본다.

제9장 벌칙

제70조(벌칙) 공공기관의 개인정보 처리업무를 방해할 목적으로 공공기관에서 처리하고 있는 개인정보를 변경하거나 말소하여 공공기관의 업무 수행의 중단ㆍ마비 등 심각한 지장을 초래한 자는 10년 이하의 징역 또는 1억원 이하의 벌금에 처한다.

제71조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처한다.

1. 제17조제1항제2호에 해당하지 아니함에도 같은 항 제1호를 위반하여 정보주체의 동의를 받지 아니하고 개인정보를 제3자에게 제공한 자 및 그 사정을 알고 개인정보를 제공받은 자

2. 제18조제1항ㆍ제2항, 제19조, 제26조제5항 또는 제27조제3항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

3. 제23조를 위반하여 민감정보를 처리한 자

4. 제24조제1항을 위반하여 고유식별정보를 처리한 자

5. 제59조제2호를 위반하여 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

6. 제59조제3호를 위반하여 다른 사람의 개인정보를 훼손, 멸실, 변경, 위조 또는 유출한 자

제72조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 3년 이하의 징역 또는 3천만원 이하의 벌금에 처한다.

1. 제25조제5항을 위반하여 영상정보처리기기의 설치 목적과 다른 목적으로 영상정보처리기기를 임의로 조작하거나 다른 곳을 비추는 자 또는 녹음기능을 사용한 자

2. 제59조제1호를 위반하여 거짓이나 그 밖의 부정한 수단이나 방법으로 개인정보를 취득하거나 개인정보 처리에 관한 동의를 받는 행위를 한 자 및 그 사정을 알면서도 영리 또는 부정한 목적으로 개인정보를 제공받은 자

3. 제60조를 위반하여 직무상 알게 된 비밀을 누설하거나 직무상 목적 외에 이용한 자

제73조(벌칙) 다음 각 호의 어느 하나에 해당하는 자는 2년 이하의 징역 또는 1천만원 이하의 벌금에 처한다.

1. 제24조제3항, 제25조제6항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니하여 개인정보를 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손당한 자

2. 제36조제2항을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니하고 개인정보를 계속 이용하거나 이를 제3자에게 제공한 자

3. 제37조제2항을 위반하여 개인정보의 처리를 정지하지 아니하고 계속 이용하거나 제3자에게 제공한 자

제74조(양벌규정) ① 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제70조에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인을 7천만원 이하의 벌금에 처한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.

② 법인의 대표자나 법인 또는 개인의 대리인, 사용인, 그 밖의 종업원이 그 법인 또는 개인의 업무에 관하여 제71조부터 제73조까지의 어느 하나에 해당하는 위반행위를 하면 그 행위자를 벌하는 외에 그 법인 또는 개인에게도 해당 조문의 벌금형을 과(科)한다. 다만, 법인 또는 개인이 그 위반행위를 방지하기 위하여 해당 업무에 관하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니하다.

제75조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자에게는 5천만원 이하의 과태료를 부과한다.

1. 제15조제1항을 위반하여 개인정보를 수집한 자

2. 제22조제5항을 위반하여 법정대리인의 동의를 받지 아니한 자

3. 제25조제2항을 위반하여 영상정보처리기기를 설치ㆍ운영한 자

② 다음 각 호의 어느 하나에 해당하는 자에게는 3천만원 이하의 과태료를 부과한다.

1. 제15조제2항, 제17조제2항, 제18조제3항 또는 제26조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자

2. 제16조제2항 또는 제22조제4항을 위반하여 재화 또는 서비스의 제공을 거부한 자

3. 제20조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자

4. 제21조제1항을 위반하여 개인정보를 파기하지 아니한 자

5. 제24조제2항을 위반하여 정보주체가 주민등록번호를 사용하지 아니할 수 있는 방법을 제공하지 아니한 자

6. 제24조제3항, 제25조제6항 또는 제29조를 위반하여 안전성 확보에 필요한 조치를 하지 아니한 자

7. 제25조제1항을 위반하여 영상정보처리기기를 설치ㆍ운영한 자

8. 제34조제1항을 위반하여 정보주체에게 같은 항 각 호의 사실을 알리지 아니한 자

9. 제34조제3항을 위반하여 조치 결과를 신고하지 아니한 자

10. 제35조제3항을 위반하여 열람을 제한하거나 거절한 자

11. 제36조제2항을 위반하여 정정ㆍ삭제 등 필요한 조치를 하지 아니한 자

12. 제37조제4항을 위반하여 처리가 정지된 개인정보에 대하여 파기 등 필요한 조치를 하지 아니한 자

13. 제64조제1항에 따른 시정명령에 따르지 아니한 자

③ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다.

1. 제21조제3항을 위반하여 개인정보를 분리하여 저장ㆍ관리하지 아니한 자

2. 제22조제1항부터 제3항까지의 규정을 위반하여 동의를 받은 자

3. 제25조제4항을 위반하여 안내판 설치 등 필요한 조치를 하지 아니한 자

4. 제26조제1항을 위반하여 업무 위탁 시 같은 항 각 호의 내용이 포함된 문서에 의하지 아니한 자

5. 제26조제2항을 위반하여 위탁하는 업무의 내용과 수탁자를 공개하지 아니한 자

6. 제27조제1항 또는 제2항을 위반하여 정보주체에게 개인정보의 이전 사실을 알리지 아니한 자

7. 제30조제1항 또는 제2항을 위반하여 개인정보 처리방침을 정하지 아니하거나 이를 공개하지 아니한 자

8. 제31조제1항을 위반하여 개인정보 보호책임자를 지정하지 아니한 자

9. 제35조제3항ㆍ제4항, 제36조제2항ㆍ제4항 또는 제37조제3항을 위반하여 정보주체에게 알려야 할 사항을 알리지 아니한 자

10. 제63조제1항에 따른 관계 물품ㆍ서류 등 자료를 제출하지 아니하거나 거짓으로 제출한 자

11. 제63조제2항에 따른 출입ㆍ검사를 거부ㆍ방해 또는 기피한 자

④ 제1항부터 제3항까지의 규정에 따른 과태료는 대통령령으로 정하는 바에 따라 행정안전부장관과 관계 중앙행정기관의 장이 부과ㆍ징수한다. 이 경우 관계 중앙행정기관의 장은 소관 분야의 개인정보처리자에게 과태료를 부과ㆍ징수한다.

참고 3		의료분야 관련 법령

1		의료법

제17조(진단서 등)

①의료업에 종사하고 직접 진찰하거나 검안(檢案)한 의사[이하 이 항에서는 검안서에 한하여 검시(檢屍)업무를 담당하는 국가기관에 종사하는 의사를 포함한다], 치과의사, 한의사가 아니면 진단서·검안서·증명서 또는 처방전[의사나 치과의사가 「전자서명법」에 따른 전자서명이 기재된 전자문서 형태로 작성한 처방전(이하 "전자처방전"이라 한다)을 포함한다. 이하 같다]을 작성하여 환자(환자가 사망한 경우에는 배우자, 직계존비속 또는 배우자의 직계존속을 말한다) 또는 「형사소송법」 제222조제1항에 따라 검시(檢屍)를 하는 지방검찰청검사(검안서에 한한다)에게 교부하거나 발송(전자처방전에 한한다)하지 못한다. 다만, 진료 중이던 환자가 최종 진료 시부터 48시간 이내에 사망한 경우에는 다시 진료하지 아니하더라도 진단서나 증명서를 내줄 수 있으며, 환자 또는 사망자를 직접 진찰하거나 검안한 의사·치과의사 또는 한의사가 부득이한 사유로 진단서·검안서 또는 증명서를 내줄 수 없으면 같은 의료기관에 종사하는 다른 의사·치과의사 또는 한의사가 환자의 진료기록부 등에 따라 내줄 수 있다.

②의료업에 종사하고 직접 조산한 의사·한의사 또는 조산사가 아니면 출생·사망 또는 사산 증명서를 내주지 못한다. 다만, 직접 조산한 의사·한의사 또는 조산사가 부득이한 사유로 증명서를 내줄 수 없으면 같은 의료기관에 종사하는 다른 의사·한의사 또는 조산사가 진료기록부 등에 따라 증명서를 내줄 수 있다.

③의사·치과의사 또는 한의사는 자신이 진찰하거나 검안한 자에 대한 진단서·검안서 또는 증명서 교부를 요구받은 때에는 정당한 사유 없이 거부하지 못한다.

④의사·한의사 또는 조산사는 자신이 조산(助産)한 것에 대한 출생·사망 또는 사산 증명서 교부를 요구받은 때에는 정당한 사유 없이 거부하지 못한다.

⑤제1항부터 제4항까지의 규정에 따른 진단서, 증명서의 서식·기재사항, 그 밖에 필요한 사항은 보건복지부령으로 정한다.

제19조(비밀 누설 금지)

의료인은 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료·조산 또는 간호를 하면서 알게 된 다른 사람의 비밀을 누설하거나 발표하지 못한다.

제21조(기록 열람 등)

①의료인이나 의료기관 종사자는 환자가 아닌 다른 사람에게 환자에 관한 기록을 열람하게 하거나 그 사본을 내주는 등 내용을 확인할 수 있게 하여서는 아니 된다.

②제1항에도 불구하고 의료인이나 의료기관 종사자는 다음 각 호의 어느 하나에 해당하면 그 기록을 열람하게 하거나 그 사본을 교부하는 등 그 내용을 확인할 수 있게 하여야 한다. 다만, 의사·치과의사 또는 한의사가 환자의 진료를 위하여 불가피하다고 인정한 경우에는 그러하지 아니하다.

1. 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 환자 본인의 동의서와 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

2. 환자가 지정하는 대리인이 환자 본인의 동의서와 대리권이 있음을 증명하는 서류를 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

3. 환자가 사망하거나 의식이 없는 등 환자의 동의를 받을 수 없어 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속이 친족관계임을 나타내는 증명서 등을 첨부하는 등 보건복지부령으로 정하는 요건을 갖추어 요청한 경우

4. 「국민건강보험법」 제13조, 제43조, 제43조의2 및 제56조에 따라 급여비용 심사·지급·대상여부 확인·사후관리 및 요양급여의 적정성 평가·가감지급 등을 위하여 국민건강보험공단 또는 건강보험심사평가원에 제공하는 경우

5. 「의료급여법」 제5조, 제11조, 제11조의3 및 제33조에 따라 의료급여 수급권자 확인, 급여비용의 심사·지급, 사후관리 등 의료급여 업무를 위하여 보장기관(시·군·구), 국민건강보험공단, 건강보험심사평가원에 제공하는 경우

6. 「형사소송법」 제106조, 제215조 또는 제218조에 따른 경우

7. 「민사소송법」 제347조에 따라 문서제출을 명한 경우

8. 「산업재해보상보험법」 제118조에 따라 근로복지공단이 보험급여를 받는 근로자를 진료한 산재보험 의료기관(의사를 포함한다)에 대하여 그 근로자의 진료에 관한 보고 또는 서류 등 제출을 요구하거나 조사하는 경우

9. 「자동차손해배상 보장법」 제12조제2항 및 제14조에 따라 의료기관으로부터 자동차보험진료수가를 청구받은 보험회사등이 그 의료기관에 대하여 관계 진료기록의 열람을 청구한 경우

10. 「병역법」 제11조의2에 따라 지방병무청장이 징병검사와 관련하여 질병 또는 심신장애의 확인을 위하여 필요하다고 인정하여 의료기관의 장에게 징병검사대상자의 진료기록·치료 관련 기록의 제출을 요구한 경우

11. 「학교안전사고 예방 및 보상에 관한 법률」 제42조에 따라 공제회가 공제급여의 지급 여부를 결정하기 위하여 필요하다고 인정하여 「국민건강보험법」 제40조에 따른 요양기관에 대하여 관계 진료기록의 열람 또는 필요한 자료의 제출을 요청하는 경우

12. 「고엽제후유의증 환자지원 등에 관한 법률」 제7조제3항에 따라 의료기관의 장이 진료기록 및 임상소견서를 보훈병원장에게 보내는 경우

13. 「의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률」 제28조제3항에 따른 경우

14. 「국민연금법」 제123조에 따라 국민연금공단이 부양가족연금, 장애연금 및 유족연금 급여의 지급심사와 관련하여 가입자 또는 가입자였던 사람을 진료한 의료기관에 해당 진료에 관한 사항의 열람 또는 사본 교부를 요청하는 경우

③의료인은 다른 의료인으로부터 제22조 또는 제23조에 따른 진료기록의 내용 확인이나 환자의 진료경과에 대한 소견 등을 송부할 것을 요청받은 경우에는 해당 환자나 환자 보호자의 동의를 받아 송부하여야 한다. 다만, 해당 환자의 의식이 없거나 응급환자인 경우 또는 환자의 보호자가 없어 동의를 받을 수 없는 경우에는 환자나 환자 보호자의 동의 없이 송부할 수 있다.

④진료기록을 보관하고 있는 의료기관이나 진료기록이 이관된 보건소에 근무하는 의사·치과의사 또는 한의사는 자신이 직접 진료하지 아니한 환자의 과거 진료 내용의 확인 요청을 받은 경우에는 진료기록을 근거로 하여 사실을 확인하여 줄 수 있다.  <신설 2009.1.30>

⑤의료인은 응급환자를 다른 의료기관에 이송하는 경우에는 지체 없이 내원 당시 작성된 진료기록의 사본 등을 이송하여야 한다.

제22조(진료기록부 등)

①의료인은 각각 진료기록부, 조산기록부, 간호기록부, 그 밖의 진료에 관한 기록(이하 "진료기록부등"이라 한다)을 갖추어 두고 그 의료행위에 관한 사항과 의견을 상세히 기록하고 서명하여야 한다.

②의료인이나 의료기관 개설자는 진료기록부등[제23조제1항에 따른 전자의무기록(電子醫務記錄)을 포함한다. 이하 제40조제2항에서 같다]을 보건복지부령으로 정하는 바에 따라 보존하여야 한다.

③의료인은 진료기록부등을 거짓으로 작성하거나 고의로 사실과 다르게 추가기재·수정하여서는 아니 된다

제28조(의료기관 개설허가 사항의 변경허가)

①법 제33조제5항에 따라 의료기관의 개설허가를 받은 자가 그 개설 장소를 이전하거나 다음 각 호의 어느 하나에 해당하는 개설허가 사항의 변경허가를 받으려면 의료기관 개설허가증과 변경 사항을 확인할 수 있는 서류를 첨부하여 별지 제16호서식의 허가사항 변경신청서를 시·도지사에게 제출하여야 한다.

1. 의료기관 개설자의 변경 사항

2. 법 제3조제2항에 따른 의료기관의 종류 변경 또는 진료과목의 변동 사항

3. 진료과목 증감이나 입원실 등 주요시설 변경에 따른 시설 변동 내용

4. 의료기관의 명칭 변경 사항

5. 의료기관의 의료인 수

②시·도지사는 제1항에 따라 변경허가를 한 때에 의료기관 개설허가증을 고쳐쓸 필요가 있으면 이를 개서하여 주거나 재발급하여야 한다.

제33조(개설 등)

①의료인은 이 법에 따른 의료기관을 개설하지 아니하고는 의료업을 할 수 없으며, 다음 각 호의 어느 하나에 해당하는 경우 외에는 그 의료기관 내에서 의료업을 하여야 한다.

1. 「응급의료에 관한 법률」 제2조제1호에 따른 응급환자를 진료하는 경우

2. 환자나 환자 보호자의 요청에 따라 진료하는 경우

3. 국가나 지방자치단체의 장이 공익상 필요하다고 인정하여 요청하는 경우

4. 보건복지부령으로 정하는 바에 따라 가정간호를 하는 경우

5. 그 밖에 이 법 또는 다른 법령으로 특별히 정한 경우나 환자가 있는 현장에서 진료를 하여야 하는 부득이한 사유가 있는 경우

②다음 각 호의 어느 하나에 해당하는 자가 아니면 의료기관을 개설할 수 없다. 이 경우 의사는 종합병원·병원·요양병원 또는 의원을, 치과의사는 치과병원 또는 치과의원을, 한의사는 한방병원·요양병원 또는 한의원을, 조산사는 조산원만을 개설할 수 있다.

1. 의사, 치과의사, 한의사 또는 조산사

2. 국가나 지방자치단체

3. 의료업을 목적으로 설립된 법인(이하 "의료법인"이라 한다)

4. 「민법」이나 특별법에 따라 설립된 비영리법인

5. 「공공기관의 운영에 관한 법률」에 따른 준정부기관, 「지방의료원의 설립 및 운영에 관한 법률」에 따른 지방의료원, 「한국보훈복지의료공단법」에 따른 한국보훈복지의료공단

③제2항에 따라 의원·치과의원·한의원 또는 조산원을 개설하려는 자는 보건복지부령으로 정하는 바에 따라 시장·군수·구청장에게 신고하여야 한다.

④제2항에 따라 종합병원·병원·치과병원·한방병원 또는 요양병원을 개설하려면 보건복지부령으로 정하는 바에 따라 시·도지사의 허가를 받아야 한다. 이 경우 시·도지사는 개설하려는 의료기관이 제36조에 따른 시설기준에 맞지 아니하는 경우에는 개설허가를 할 수 없다.

⑤제3항과 제4항에 따라 개설된 의료기관이 개설 장소를 이전하거나 개설에 관한 신고 또는 허가사항 중 보건복지부령으로 정하는 중요사항을 변경하려는 때에도 제3항 또는 제4항과 같다.

⑥조산원을 개설하는 자는 반드시 지도의사(指導醫師)를 정하여야 한다.

⑦다음 각 호의 어느 하나에 해당하는 경우에는 의료기관을 개설할 수 없다.

1. 약국 시설 안이나 구내인 경우

2. 약국의 시설이나 부지 일부를 분할·변경 또는 개수하여 의료기관을 개설하는 경우

3. 약국과 전용 복도·계단·승강기 또는 구름다리 등의 통로가 설치되어 있거나 이런 것들을 설치하여 의료기관을 개설하는 경우

⑧제2항제1호의 의료인은 어떠한 명목으로도 둘 이상의 의료기관을 개설·운영할 수 없다. 다만, 2 이상의 의료인 면허를 소지한 자가 의원급 의료기관을 개설하려는 경우에는 하나의 장소에 한하여 면허 종별에 따른 의료기관을 함께 개설할 수 있다.

제40조(폐업·휴업 신고와 진료기록부등의 이관)

①의료기관 개설자는 의료업을 폐업하거나 1개월 이상 휴업하려면 보건복지부령으로 정하는 바에 따라 관할 시장·군수·구청장에게 신고하여야 한다.

②의료기관 개설자는 제1항에 따라 폐업 또는 휴업 신고를 할 때 제22조나 제23조에 따라 기록·보존하고 있는 진료기록부등을 관할 보건소장에게 넘겨야 한다. 다만, 의료기관 개설자가 보건복지부령으로 정하는 바에 따라 진료기록부등의 보관계획서를 제출하여 관할 보건소장의 허가를 받은 경우에는 직접 보관할 수 있다.

2		의료법 시행규칙

제13조의2(기록 열람 등의 요건)

①법 제21조제2항제1호에 따라 환자의 배우자, 직계 존속·비속 또는 배우자의 직계 존속(이하 이 조에서 "친족"이라 한다)이 환자에 관한 기록의 열람이나 그 사본의 발급을 요청할 경우에는 다음 각 호의 서류를 갖추어 의료기관 개설자에게 제출하여야 한다.

1. 기록 열람이나 사본 발급을 요청하는 자의 신분증(주민등록증, 여권, 운전면허증 그 밖에 공공기관에서 발행한 본인임을 확인할 수 있는 신분증을 말한다. 이하 이 조에서 같다) 사본

2. 가족관계증명서, 주민등록표 등본 등 친족관계임을 확인할 수 있는 서류

3. 환자가 자필서명한 별지 제9호의2서식의 동의서. 다만, 환자가 만 14세 미만의 미성년자인 경우에는 제외한다.

4. 환자의 신분증 사본. 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 경우에는 제외한다.

②법 제21조제2항제2호에 따라 환자가 지정하는 대리인이 환자에 관한 기록의 열람이나 그 사본의 발급을 요청할 경우에는 다음 각 호의 서류를 갖추어 의료기관 개설자에게 제출하여야 한다.

1. 기록열람이나 사본발급을 요청하는 자의 신분증 사본

2. 환자가 자필 서명한 별지 제9호의2서식의 동의서 및 별지 제9호의3서식의 위임장. 이 경우 환자가 만 14세 미만의 미성년자인 경우에는 환자의 법정대리인이 작성하여야 하며, 가족관계증명서 등 법정대리인임을 확인할 수 있는 서류를 첨부하여야 한다.

3. 환자의 신분증 사본. 다만, 환자가 만 17세 미만으로 「주민등록법」 제24조제1항에 따른 주민등록증이 발급되지 아니한 자는 제외한다.

③법 제21조제2항제3호에 따라 환자의 동의를 받을 수 없는 상황에서 환자의 친족이 환자에 관한 기록의 열람이나 그 사본 발급을 요청할 경우에는 별표 2의2에서 정하는 바에 따라 서류를 갖추어 의료기관 개설자에게 제출하여야 한다.

④환자가 본인에 관한 진료기록 등을 열람하거나 그 사본의 발급을 원하는 경우에는 본인임을 확인할 수 있는 신분증을 의료기관 개설자에게 제시하여야 한다.

제14조(진료기록부 등의 기재 사항)

법 제22조에 따른 진료기록부·조산기록부와 간호기록부(이하 "진료기록부등"이라 한다)에는 다음 각 호의 구분에 따라 해당 사항을 한글과 한자로 적어야 한다. 다만, 질환명, 검사명, 약제명 등 의학용어는 외국어로 적을 수 있다.

1. 진료기록부

가. 진료를 받은 자의 주소·성명·주민등록번호·병력(病歷) 및 가족력(家族歷)

나. 주된 증상, 진단 결과, 진료경과 및 예견

다. 치료 내용(주사·투약·처치 등)

라. 진료 일시분(日時分)

2. 조산기록부

가. 조산을 받은 자의 주소·성명·주민등록번호

나. 생·사산별(生·死産別) 분만 횟수

다. 임신 후의 경과와 그에 대한 소견 및 보건지도 요령

라. 임신 중 의사에 의한 건강진단의 유무(결핵·성병에 관한 검사를 포함한다)

마. 분만 장소 및 분만 연월일시분(年月日時分)

바. 분만의 경과 및 그 처치

사. 산아(産兒) 수와 그 성별 및 생·사의 구별

아. 산아와 태아부속물에 대한 소견

자. 임부(姙婦)·해산부(解産婦)·산욕부(産褥婦) 또는 신생아에 대한 지도 요령

차. 산후의 의사의 건강진단의 필요성 유무

3. 간호기록부

가. 체온·맥박·호흡·혈압에 관한 사항

나. 투약에 관한 사항

다. 섭취 및 배설물에 관한 사항

라. 처치와 간호에 관한 사항

제15조(진료에 관한 기록의 보존)

①의료기관의 개설자 또는 관리자는 진료에 관한 기록을 다음 각 호에 정하는 기간 동안 보존하여야 한다.

1. 환자 명부 : 5년

2. 진료기록부 : 10년

3. 처방전 : 2년

4. 수술기록 : 10년

5. 검사소견기록 : 5년

6. 방사선사진 및 그 소견서 : 5년

7. 간호기록부 : 5년

8. 조산기록부: 5년

9. 진단서 등의 부본(진단서·사망진단서 및 시체검안서 등을 따로 구분하여 보존할 것) : 3년

②제1항의 진료에 관한 기록은 마이크로필름이나 광디스크 등(이하 이 조에서 "필름"이라 한다)에 원본대로 수록하여 보존할 수 있다.

③제2항에 따른 방법으로 진료에 관한 기록을 보존하는 경우에는 필름촬영책임자가 필름의 표지에 촬영 일시와 본인의 성명을 적고, 서명 또는 날인하여야 한다.

제28조(의료기관 개설허가 사항의 변경허가)

①법 제33조제5항에 따라 의료기관의 개설허가를 받은 자가 그 개설 장소를 이전하거나 다음 각 호의 어느 하나에 해당하는 개설허가 사항의 변경허가를 받으려면 의료기관 개설허가증과 변경 사항을 확인할 수 있는 서류를 첨부하여 별지 제16호서식의 허가사항 변경신청서를 시·도지사에게 제출하여야 한다.

1. 의료기관 개설자의 변경 사항

2. 법 제3조제2항에 따른 의료기관의 종류 변경 또는 진료과목의 변동 사항

3. 진료과목 증감이나 입원실 등 주요시설 변경에 따른 시설 변동 내용

4. 의료기관의 명칭 변경 사항

5. 의료기관의 의료인 수

②시·도지사는 제1항에 따라 변경허가를 한 때에 의료기관 개설허가증을 고쳐쓸 필요가 있으면 이를 개서하여 주거나 재발급하여야 한다

제30조(폐업ㆍ휴업의 신고)

①법 제40조에 따라 의료기관의 개설자가 의료업을 폐업하거나 휴업하려면 별지 제18호서식의 신고서를 관할 시장·군수·구청장에게 제출하여야 한다.

②시장·군수·구청장은 매월의 의료기관 폐업신고의 수리 상황을 그 다음달 15일까지 보건복지부장관에게 보고하여야 한다.

③법 제33조제2항 및 제8항에 따라 의원·치과의원·한의원 또는 조산원을 개설한 의료인이 부득이한 사유로 3개월을 초과하여 그 의료기관을 관리할 수 없는 경우 그 개설자는 폐업 또는 휴업 신고를 하여야 한다.

④법 제40조제2항 단서에 따라 폐업 또는 휴업의 신고를 하는 의료기관 개설자가 진료기록부등을 직접 보관하려면 별지 제19호서식의 진료기록 보관계획서에 다음 각 호의 서류를 첨부하여 폐업 또는 휴업 예정일 전까지 관할 보건소장의 허가를 받아야 한다.

1. 진료기록부등의 종류별 수량 및 목록

2. 진료기록부등에 대한 체계적이고 안전한 보관계획에 관한 서류

3		국민건강보험법

제43조(요양급여비용의 청구와 지급 등)

①요양기관은 요양급여비용의 지급을 공단에 청구할 수 있다. 이 경우 제2항의 규정에 의한 심사청구는 이를 공단에 대한 요양급여비용의 청구로 본다.

②제1항의 규정에 의한 요양급여비용의 청구를 하고자 하는 요양기관은 제55조의 규정에 의한 건강보험심사평가원에 요양급여비용의 심사청구를 하여야 하며, 심사청구를 받은 건강보험심사평가원은 이를 심사한 후 지체없이 그 내용을 공단 및 요양기관에 통보하여야 한다.

③제2항의 규정에 의하여 심사의 내용을 통보받은 공단은 지체없이 그 내용에 따라 요양급여비용을 요양기관에게 지급한다. 이 경우 이미 납부한 본인일부부담금이 제2항의 규정에 의하여 통보된 금액보다 과다한 경우에는 요양기관에 지급할 금액에서 그 과다하게 납부된 금액을 공제하여 당해 가입자에게 지급하여야 한다.

④공단은 제3항의 규정에 의하여 가입자에게 지급하여야 하는 금액을 당해 가입자가 납부하여야 하는 보험료 기타 이 법에 의한 징수금(이하 "보험료등"이라 한다)과 상계처리할 수 있다.

⑤공단은 요양급여비용을 지급함에 있어 제2항의 규정에 의한 건강보험심사평가원이 제56조의 규정에 의한 요양급여의 적정성을 평가하여 공단에 통보한 경우에는 그 평가결과에 따라 요양급여비용을 가산 또는 감액 조정하여 지급한다. 이 경우 평가결과에 따른 요양급여비용의 가감지급의 기준에 관하여는 보건복지부령으로 정한다.

⑥요양기관은 제2항의 규정에 따른 심사청구를 다음 각 호의 단체로 하여금 대행하게 할 수 있다.

1. 「의료법」 제28조제1항에 따른 의사회·치과의사회·한의사회·조산사회 또는 같은 조 제6항에 따라 신고한 각각의 지부 및 분회

2. 「의료법」 제52조에 따른 의료기관단체

3. 「약사법」 제11조의 규정에 따른 약사회 또는 동법 제12조의2의 규정에 따라 신고한 지부 및 분회

⑦의약품제조업자·의약품도매상 기타 보건복지부령이 정하는 자는 의약품유통체계를 개선하고 요양기관에 대한 의약품의 보관·배송 기타 물류사업을 수행하기 위하여 의약품물류협동조합을 설립할 수 있다. 이 경우 의약품물류협동조합의 구성·운영 및 동 조합에 대한 지도·감독에 관하여는 「중소기업협동조합법」의 협동조합 또는 사업협동조합에 관한 규정을 준용하여 대통령령으로 정한다.

⑧제1항 내지 제6항의 규정에 의한 요양급여비용의 청구·심사·지급 등의 방법 및 절차에 관하여 필요한 사항은 보건복지부령으로 정한다.

제43조의2(요양급여의 대상여부의 확인 등)

①가입자 또는 피부양자는 본인일부부담금외에 부담한 비용이 제39조제3항의 규정에 의하여 요양급여의 대상에서 제외되는 것인지에 대하여 제55조의 규정에 의한 건강보험심사평가원에 확인을 요청할 수 있다.

②제1항의 규정에 의한 확인요청을 받은 건강보험심사평가원은 그 결과를 확인요청한 자에게 통보하여야 한다. 이 경우 확인요청한 비용이 요양급여의 대상에 대한 비용에 해당하는 것으로 확인된 때에는 그 내용을 공단 및 관련 요양기관에 통보하여야 한다.

③제2항후단의 규정에 의하여 통보받은 요양기관은 과다하게 징수한 금액(이하 "과다본인부담금"이라 한다)을 지체없이 확인요청한 자에게 지급하여야 한다. 다만, 공단은 당해 요양기관이 과다본인부담금을 지급하지 아니한 경우에는 당해 요양기관에 지급할 요양급여비용에서 그 과다본인부담금을 공제하여 이를 확인요청한 자에게 지급할 수 있다.

4		국민건강보험법 시행규칙

제12조(요양급여비용의 청구 등)

①법 제43조제8항에 따라 요양기관 또는 대행청구단체가 요양급여비용의 청구를 하고자 하는 때에는 요양급여비용심사청구서에 급여를 받은자에 대한 요양급여비용명세서를 첨부하여 건강보험심사평가원(이하 "심사평가원"이라 한다)에 제출하여야 한다.

②요양기관 또는 대행청구단체는 제1항의 규정에 의한 요양급여비용명세서에 다음 각호의 사항을 기재하여야 한다.

1. 가입자(지역가입자의 경우에는 세대주를 말한다)의 성명 및 건강보험증번호

2. 요양급여를 받은 자의 성명 및 주민등록번호

3. 질병 또는 부상명

4. 요양개시 연월일 및 요양일수

5. 요양급여비용의 내용

6. 본인부담금 및 비용청구액

7. 처방전 내용 등

③요양기관은 요양급여비용을 최초로 청구하는 때에는 요양기관의 인력·시설현황을 기재한 별지 제10호서식(약국 및 한국희귀의약품센터는 별지 제10호의3서식)의 요양기관현황통보서 및 요양기관의 장비현황을 기재한 별지 제11호의2서식의 요양기관장비현황통보서(전자문서로 된 통보서를 포함한다)에 다음 각 호의 구분에 따른 서류(전자문서를 포함한다)를 첨부하여 심사평가원에 제출하여야 한다. 다만, 법 제40조제1항제4호 및 제5호의 규정에 의한 보건소·보건의료원·보건지소 및 보건진료소는 다음 각 호의 구분에 따른 서류를 첨부하지 아니한다.

1. 요양기관현황통보서의 경우에는 다음 각 목의 서류

가. 의료기관개설신고필증·의료기관개설허가증·약국개설등록증 또는 한국희귀의약품센터설립허가증 사본 1부

나. 사업자등록증 사본 1부

다. 요양기관의 인력에 관한 면허나 자격을 확인할 수 있는 서류

라. 통장 사본 1부

2. 의료장비현황통보서의 경우에는 다음 각 목의 서류

가. 장비의 허가·신고·등록을 확인할 수 있는 서류

나. 장비의 검사나 검사면제에 관한 사항을 확인할 수 있는 서류

④요양기관은 제3항에 따라 통보한 요양기관의 인력·시설·장비 등의 내용에 변경사항이 있는 때에는 변경한 날부터 15일 이내에 별지 제11호서식의 요양기관현황변경통보서 및 별지 제11호의2서식의 의료장비현황변경통보서(전자문서로 된 통보서를 포함한다)에 그 변경을 증명하는 서류(전자문서를 포함한다)를 첨부하여 심사평가원에 제출하여야 한다. 다만, 계좌변경의 경우에는 개설자 또는 대표자의인감증명서(법인인 경우에는 법인인감증명서를 말한다)를 첨부하여야 하며, 요양기관현황변경통보서에 그 등록된 인감을 날인하여야 한다.

⑤심사평가원은 제3항 및 제4항의 규정에 의하여 통보받은 사항중 요양급여비용의 지급을 위하여 필요한 다음 각호의 사항을 공단에 통보하여야 한다.

1. 요양기관의 명칭, 기호 및 소재지

2. 대표자의 성명 및 주민등록번호

3. 개설신고(허가·등록)일자, 폐업일자

4. 사업자등록번호

5. 금융기관의 계좌내역 등

⑥요양급여비용의 청구방법, 요양급여비용심사청구서 및 요양급여비용명세서의 서식·작성요령, 요양기관이 제3항 및 제4항에 따라 심사평가원에 통보하여야 하는 장비 등 요양기관의 현황관리 기타 요양급여비용청구에 필요한 사항은 보건복지부장관이 정하여 고시한다.

5		의료급여법

제11조(급여비용의 청구와 지급)

①의료급여기관은 제10조의 규정에 따라 의료급여기금에서 부담하는 급여비용의 지급을 시장·군수·구청장에게 청구할 수 있다. 이 경우 제2항의 규정에 의한 심사청구는 이를 시장·군수·구청장에 대한 급여비용의 청구로 본다.

②제1항의 규정에 의한 급여비용의 청구를 하고자 하는 의료급여기관은 급여비용심사기관에 급여비용의 심사청구를 하여야 하며, 심사청구를 받은 급여비용심사기관은 이를 심사한 후 지체없이 그 내용을 시장·군수·구청장 및 의료급여기관에 알려야 한다.

③제2항의 규정에 따라 심사의 내용을 통보받은 시장·군수·구청장은 지체없이 그 내용에 따라 급여비용을 의료급여기관에 지급하여야 한다. 이 경우 수급권자가 이미 납부한 본인부담금(제10조의 규정에 따라 수급권자가 부담하여야 하는 급여비용을 말한다. 이하 같다)이 과다한 경우에는 의료급여기관에 지급할 금액에서 그 과다하게 납부된 금액을 공제하여 이를 수급권자에게 반환하여야 한다. 다만, 그 반환하여야 할 금액이 1천원 미만인 경우에는 그러하지 아니하다.

④시장·군수·구청장은 급여비용을 지급함에 있어 제2항의 규정에 의한 급여비용심사기관이 의료급여의 적정 여부를 평가하여 시장·군수·구청장에게 알린 경우에는 그 평가결과에 따라 급여비용을 가산 또는 감액 조정하여 지급한다. 이 경우 평가결과에 따른 급여비용의 가감지급의 기준은 보건복지부령으로 정한다.

⑤제1항 내지 제4항의 규정에 의한 급여비용의 청구·심사·지급 등의 방법 및 절차에 관하여 필요한 사항은 보건복지부령으로 정한다.

⑧시장·군수·구청장은 「산업재해보상보험법」 제10조에 따른 근로복지공단이 이 법에 따라 의료급여를 받을 수 있는 자에게 「산업재해보상보험법」 제40조에 따른 요양급여를 지급한 후 그 지급결정이 취소된 경우로서 그 요양급여의 비용을 청구하는 경우에는 그 요양급여가 이 법에 따라 실시할 수 있는 의료급여에 상당한 것으로 인정되면 그 의료급여에 해당하는 금액을 지급할 수 있다.