건강보험심사평가원(이하 심평원)에서 실시하는 `의료기관 개인정보보호 자율점검 서비스'(이하 자율점검)와 이에 대한 사전교육이 실시되면서 많은 혼란과 불만이 발생하고 있다. 서울특별시의사회는 회원들의 혼란을 막고 현재 상황에 대한 이해를 돕기 위해 이번 자율점검 시행 배경 설명과 많이 궁금해 하시는 내용에 대한 답변을 마련했다.
〈편집자 주〉

1. 자율점검 시행 배경

`개인정보보호법'은 10년 전부터 전문가 집단에 의해 준비되어 2011년에 정식 입법통과 되었습니다. 이 법안은 의료계를 포함한 모든 분야에 적용되고 있고 이미 대기업과 각 기업들은 개인정보 수집 최소화, 수집한 정보 폐기, 주민등록번호 대체 등 여러 방안을 만들고 실행하고 있습니다.

다른 분야와 달리 의료기관은 의료법에 따라 국민건강보험 적용과 청구, 건강검진을 위해 개인의 주민등록번호를 수집하고 보관해야 합니다. 게다가 진료 후 만들어지는 진료기록과 검사결과, 영상정보는 개인의 민감 정보로 분류되어 관리가 더욱 중요할 수밖에 없습니다.

최근 SK전자처방전, 약학정보원, 지누스, IMS헬스코리아 관련 진료정보 대량유출 사건 이후 행정자치부는 의료기관을 개인정보보호 취약 분야로 판단하여 실태조사를 하기로 하였습니다.

하지만 일선 의료기관의 대비가 미흡한 것으로 판단한 보건복지부의 요청으로 3년 유예기간을 두었으며 이를 돕기 위해 심평원에서 `의료기관 개인정보보호 자율점검 서비스'를 제공하게 되었습니다.

2. 자율점검에 대한 문의와 답변

Q1. 자율점검은 모든 의료기관이 받아야 하나요?
A. 자율점검은 의무사항이 아닙니다. 행정자치부에서 요구하는 수준의 개인정보보호에 대한 준비가 되어 있는 의료기관은 이번 심평원의 자율점검을 받을 필요가 없습니다.

Q2. 자율점검에 대한 사전교육은 꼭 받아야 하나요?
A. 사전교육은 개인정보보호법의 이해와 이번 자율점검을 어떻게 하는지에 대한 설명일 뿐입니다. 반드시 들어야 하는 의무는 없습니다.

Q3. 자율점검도 병원으로 확인하러 오나요?
A. 자율점검 항목에 대해 답변을 하여 심평원으로 보내면 개선사항을 알려주고 개선이 되었다고 판단되면 심평원 직원이 병원을 방문하여 미비사항을 직접 점검 합니다.

Q4. 자율점검을 하지 않으면 어떤 불이익이 있나요?
A. 개인정보보호 관리 주체는 행정자치부로 심평원과 보건복지부는 관리 의무나 처벌 권한이 없습니다. 일선 의료기관의 개인정보보호 미비사항을 점검하여 개선할 수 있도록 돕는 것입니다.

Q5. 자율점검을 받으면 행정자치부 실사를 면제받을 수 있나요?
A. 심평원에서 자율점검으로 행정자치부 실사를 대체할 수는 없습니다. 실전(행정자치부 실사)에 대비해 연습(심평원 자율점검)을 하는 것이라고 보면 됩니다.

Q6. 행정자치부 실사 면제도 안 되는데 자율점검을 왜 하나요?
A. 행정자치부에서 실사를 하더라도 모든 의료기관을 할 수는 없습니다. 실사의 우선순위를 정할 때 심평원 자율점검을 받은 의료기관과 받지 않은 의료기관이 있다면 당연히 받지 않은 의료기관에 실사가 나올 것으로 예상됩니다.

Q7. 소규모 의원인데 59개 항목에 모두 답변을 해야 하나요?
A. 이번 자율점검은 의사뿐만 아니라 치과의사, 한의사, 약사도 대상입니다. 대학병원, 중소병원, 의원 등 모든 의료기관을 대상으로 만든 점검표라 항목도 많고 어려워진 것입니다. 불필요한 항목은 `해당없음'에 표시하면 됩니다.

Q8. 항목이 너무 많고 어려운데 쉽게 할 수는 없나요?
A. 서울특별시의사회에서는 의료기관 유형에 따라 각기 다른 자율점검시스템 구축을 심평원에 요구할 예정입니다. 이에 대해 변동사항은 추후 공지 하겠습니다.

Q9. 다른 것은 다 실천하고 있는데 방화벽, 암호화, 보안프로그램은 어떻게 해야 하나요?
A. 방화벽과 보안프로그램은 컴퓨터 운영체제(윈도우 등)에 기본으로 설치되어 있고 OCS 제품(의사랑, 비트컴퓨터 등)을 사용하는 경우 모든 정보는 암호화 되어 저장됩니다. 청구프로그램이나 심평원 사이트를 이용할 경우에도 보안프로그램은 자동으로 설치됩니다. 방화벽과 암호화, 보안프로그램이 문제가 되는 것은 대부분 대형병원으로 소규모 의원은 크게 해당사항이 없습니다.

Q10. 자율점검은 언제까지 받아야 하나요?
A. 2015년 10월까지 자율점검에 대한 사전교육 기간이고 자율점검은 2016년 4월 말까지 신청할 수 있습니다.
다른 분야가 개인정보보호법에 대처하기 위해 발 빠르게 작업을 해 온 것에 비해 의료계는 너무나 준비가 없었습니다. 조금만 일찍 심각성을 인식하고 준비를 해 왔다면 이런 혼란은 없었을 것입니다. 당장은 힘들지만 이번 일을 계기로 개인정보 보호를 위해 의사들이 노력하고 있다는 사실을 알려 국민들의 신뢰를 회복하는 전화위복의 기회가 될 수도 있을 것입니다. 앞으로 철저히 준비하는 서울특별시의사회가 되도록 노력할 것이며 이번 자율점검으로 인해 한 명의 회원이라도 불이익을 받지 않도록 최선을 다하겠습니다.


<개인정보 보호를 위해 꼭 실천합니다>

1. 접수증, 처방전, 증명서는 파기합니다. : 환자가 직접 쓴 접수증은 입력 후 바로 파기해야 하고, 불필요하게 출력한 처방전, 챠트, 각종 증명서도 가급적 빨리 파기해야 합니다.

2. 종이는 쇄절기를 이용하여 파기합니다. : 개인정보가 있는 종이는 이면지로 재활용하거나 쓰레기통에 버리지 말고 쇄절기를 이용하여 확실하게 파기해야 합니다.

3. 종이차트 보관은 잠금장치를 합니다. : 종이차트를 보관하는 박스나 장소는 이중 잠금장치를 해야 하고 야간 감시를 위해 CCTV를 설치해야 합니다.개인정보 보호를 위해 꼭 실천합니다

4. 의무기록 보관 기한을 지킵니다. : 환자명부는 5년, 진료기록은 10년 동안 보관해야 하고 이후에 파기나 보관 연장을 결정해야 합니다. 연장할 경우 연장 사실을 홈페이지나 병원 내 게시합니다.

5. 개인정보 관리계획을 만듭니다. : 개인정보 관리책임자는 원장이 되고 직원들은 개인정보 취급자가 됩니다. 안전과 책임에 대해 연 1회 교육하고 교육사실과 직원 퇴직 시 교체 내용도 장부를 만들어 보관합니다.

6. 개인정보 처리방침을 공개합니다. : 개인정보 수집 목적, 보유기간, 3자 제공여부, 권리와 의무, 이용 내용, 파기, 안전조치를 만들어 홈페이지나 병원 내 게시합니다.

7. 개인정보 이용 동의서를 받습니다. : 진료만 할 경우 동의서를 받을 필요가 없지만 진료 안내 문자메시지, 전화, 홍보물 발송을 할 경우를 대비해서 반드시 동의서를 받아야 합니다.

8. 원외처방전 관리를 철저히 합니다. : 종이차트를 사용하는 경우 원외처방전 관리 현황조사표를 작성하고 담당 직원에 대한 보안서약도 받아야 합니다.

9. 연구 목적일 경우 개인정보는 삭제합니다. : 진료가 아닌 연구나 방송, 강연 목적으로 환자의 정보를 사용할 경우 개인정보는 반드시 삭제해야 합니다.

10. 진료용과 개인용 컴퓨터를 분리합니다. : 인터넷을 이용하는 개인용 컴퓨터와 진료용 컴퓨터를 분리해서 사용하고 불필요한 프로그램을 정기적으로 청소하면 외부 침입을 줄일 수 있습니다.

11. 비밀번호를 설정합니다. : 모든 컴퓨터는 비밀번호를 설정하고 복잡한 조합으로 비밀번호를 만들어야 하며 주기적으로 번호를 바꿔 불필요한 외부인의 접근을 차단합니다.

12. 백신프로그램을 설치합니다. : 모든 컴퓨터에는 백신프로그램을 설치하고 개인용 무료 프로그램이 아닌 기업용 프로그램을 구입해 설치하며 자동업데이트를 합니다.

13. USB와 CD는 책상 위에 놓지 않습니다. : 환자 정보는 USB나 외장하드에 담지 말고 환자 영상이 담긴 CD, DVD는 분실되지 않도록 책상 위에 놓지 말고 따로 관리합니다.

14. CCTV 설치 사실을 알립니다. : CCTV는 진료실, 입원실, 수술실에 설치할 수 없고 대기실, 접수대, 휴게실에 설치할 경우 녹음 기능이 없어야 하며 CCTV가 설치된 사실을 알리기 위해 안내판을 설치합니다.

15. 직원 관련 내용은 서류로 작성합니다. : 직원 봉급을 결정할 때 고용계약서를 작성하여 고용주와 직원이 1부씩 보관하고 퇴직 후 3년 간 보관합니다. 퇴직할 경우 이력서는 반환합니다.

16. 외부업체와의 계약 사실을 알립니다. : OCS, EMR, PACS, 보험청구 프로그램 업체와 계약하여 사용할 경우 홈페이지나 병원 내 계약 사실을 게시해야 합니다.


<개인정보 처리방침 안내(병원 게시문)>　

저희　　　　　　　　병(의)원은 의료법에 따라 환자의 개인정보를 관리하고 있고 개인정보보호법을 준수하기 위해 다음과 같은 개인정보 처리방침을 유지하고 있음을 알려드립니다.
　△개인정보 수집, 처리 목적 : 건강보험 조회 및 진료
　△개인정보 보유기간 : 의료법에 따라 진료기록은 10년 간 보관, 이후 연장 가능합니다.
　△개인정보 3자 제공
 : 외부 검사 의뢰, 보험심사평가원 청구 (필수)
 : 타 병원, 상급 병원 의뢰 (필수)
 : 전염병 발생 신고(보건소), 범죄 조사 요청(검찰, 경찰) (의무)
　△개인정보 위탁 : 개인정보의 수집과 관리를 타 기관에 위탁할 경우 별도 공지합니다.
　△권리와 의무
 : 환자는 필수 정보 이외의 개인정보는 제공하지 않아도 되고 삭제를 요청할 수 있습니다.
 : 환자는 보험공단 수진자 조회 등 진료에 필요한 필수 정보를 제공해야합니다.
　△개인정보 수집, 처리 범위
 : 이름, 나이, 주민등록번호, 성별, 주소, 전화번호 (필수)
 : 과거 병력, 가족력, 가족 관계, 결혼유무, 키, 몸무게 (선택)
　△개인정보 파기 : 환자가 10년간 내원하지 않을 경우 필수정보와 진료기록은 안전하게 파기합니다.
　△개인정보 보호책임자 : 원장
　△개인정보 처리방침 변경 : 개인정보 관리와 처리에 변동사항이 있을 경우 홈페이지와 원내에 게시합니다.
　△개인정보 안전성 확보 조치
 : 환자의 모든 개인 정보는 암호화 하여 서버에 저장합니다.
 : 정기적인 진료 정보를 백업합니다.
 : 외부 침입을 막기 위해 백신 프로그램 설치하고 있습니다.
 : 직원을 대상으로 정기적인 교육을 실시하고 있습니다.
 : CCTV 설치, 외부 경비업체로 도난 방지 시설이 되어 있습니다.
　저희 병원과 서울특별시의사회는 환자의 소중한 개인정보를 보호하기 위해 최선을 다하겠습니다.
감사합니다.
　
                             병원           서울특별시의사회

<CCTV 설치 안내　>

저희 병원은 안정적인 진료 환경과 안전한 의료정보 관리를 위해 CCTV를 다음과 같이 운영하고 있음을 알려드립니다.
　● 설치위치 :                                               
　                                                        
　● 촬영범위 : 접수대, 대기실, 휴게실, 차트보관실, 서버보관실(진료실, 수술실, 탈의실에는 설치하지 않습니다)
　● 촬영목적 : 병원 내 절도, 폭행 및 진료 기록 분실 예방
　● 촬영시간 : 24시간
　● 관리책임 : 원장                        (연락처                   )
　CCTV 설치는 원활한 진료를 위해 설치하는 것이며 개인의 사생활 침해가 없도록 영상기록은 일정 기간이 지나면 자동으로 지워집니다. 많은 이해 부탁드립니다.
감사합니다.

서울특별시의사회

의사신문  webmaster@doctorstimes.com

<저작권자 © 의사신문, 무단 전재 및 재배포 금지>