2017년도 개인정보 보호 자율점검표(의료기관)

	< 대한병원협회 >
정부에서는 개인정보 보호 강화를 위하여 민간이 스스로 자율적인 규제 활동을 통해 개인정보 유출을 방지하고 개인정보 보호 의식을 확산하고자 개인정보 보호 자율규제단체를 지정․운영하고 있습니다. 본 자율점검표는 대한병원협회가 「개인정보보호 자율규제단체 지정 등에 관한 규정」에 따라 자율규제단체로 지정됨으로써, 단체의 업무 중 하나인 개인정보 보호 자율규제를 위한 자율점검표입니다. 자율규제단체인 대한병원협회의 회원사는 개인정보 보호를 위해 운용하고 있는 개인정보 처리시스템, 개인정보 파일 등에 대하여 본 점검표에 따라 자율적으로, 그리고 성실하게 점검하여 주시기 바랍니다.

□ 기관현황

병원명	법인명 (사업등록증상)	병원코드	종별	개인정보 처리자 유형

- 병원명 / 법인명 : 병원명으로 기재 / 사업등록증상에 기재된 내용으로 기재

- 병원코드 : 병원협회에서 생성된 코드 기재 [*병원협회 홈페이지(www.kha.or.kr) 코드조회 이용]

- 종별 : 의료기관 개설허가증에 기재된 내용으로 기재

- 개인정보처리자 유형 : 병원이 보유한 전체 개인정보 보유건수 기준

개인정보처리자 유형 참고
유형1 (완화)	1만명 미만의 정보주체에 관한 개인정보를 보유한 소상공인, 단체, 개인
유형2 (표준)	100만명 미만의 정보주체에 관한 개인정보를 보유한 중소기업 10만명 미만의 정보주체에 관한 개인정보를 보유한 대기업, 중견기업, 공공기관 1만명 이상의 정보주체에 관한 개인정보를 보유한 소상공인, 단체, 개인
유형3 (강화)	10만명 이상의 정보주체에 관한 개인정보를 보유한 대기업, 중견기업, 공공기관

□ 개인정보 보호　책임자 및 담당자 현황

개인정보 보호 책임자			개임정보 보호 담당자(작성자)
부서 및 직책	성명	연락처	부서 및 직책	성명	연락처	이메일	팩스번호

- 개인정보 보호책임자 : 개인정보 보호책임자는 *자격요건을 갖춘 공식적으로 임명된 자

(개인정보처리방침에 기재된 자와 동일하여야 함)

* 개인정보 보호책임자 자격요건은『개인정보 보호법 시행령』제32조 제2항 참조

□ 개인정보시스템별 개인정보 처리 현황

개인정보 처리시스템 명	개인정보 파일	구분	목적	개인정보 보유량	처리하는 개인정보 항목
ex) 홈페이지 시스템	홈페이지 회원	온라인	홈페이지 회원관리	190,350 명	이름, 생년월일, 성별
xx 시스템	xxx 파일	오프라인	고객 문의 사항 응대	540 명	이름, 연락처, 이메일주소

- 개인정보 처리시스템 : 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템과 연결되어 업무에 이용되는 시스템을 말하며, 본 점검 대상에서는 내부 직원의 개인정보 만을 관리하는 시스템 및 파일은 제외

- 개인정보 파일 : 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합체

- 개인정보 보유량(명) : 개인정보처리시스템별 보유하고 있는 개인정보 보유량

※ 병원이 보유한 개인정보처리시스템을 개인정보 보유량이 많은 순으로 모두 작성(표가 부족한 경우, 행을 삽입하여 작성)

※ ‘처리하는 개인정보 항목’ 기재 시 “~등”으로 표기하지 않고 처리하는 모든 개인정보 항목을 기재

□ 고유식별정보 보유 현황

고유식별정보	보유현황
주민등록번호	유 / 무	( 건)
여권번호	유 / 무	( 건)
운전면허번호	유 / 무	( 건)
외국인등록번호	유 / 무	( 건)

- 고유식별정보 보유현황 : 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 유무 체크 후 보유건 작성

□ 개인정보 자율점검 이행 유의사항

◯ 자율점검표는 거짓없이 작성하는 것이 원칙

◯ 점검표 항목 중 개선필요 사항에 대하여 개선계획 성실 작성

- 개선기한* 등을 명확히 제시

※ 개선기한 수립은 최장 1년을 권장

<참고. 자율점검표 작성 예시>

• '17. 4월 ~ ‘17. 9월

• 온․오프라인 회원 가입 동의사항 미비한 부분 개선

순번	법조항	점검항목	양호	개선 필요	개선계획 (개선기한)	해당없음
1	제15조	1.1.1 진료목적 외로 서면가입(오프라인)·홈페이지(온라인) 등을 통한 회원 가입 시 동의는 받고 있는가?		O
2	제15조	1.1.2 각종 게시판, 기타 개인정보 수집 시 동의는 받고 있는가?

□ 참고자료

[참고 1] 『대한병원협회 개인정보보호 자율점검표 참고자료』대한병원협회 2017. 2.

(다운로드 위치 : 대한병원협회 홈페이지 > 협회업무 > 총무국

[참고 2] 『개인정보보호 법령 및 지침․고시 해설』행정자치부 2016. 12.

(다운로드 위치 : 개인정보종합포털 홈페이지 > 자료마당  > 지침자료

[참고 3] 『개인정보의 안전성 확보조치 기준 해설서』행정자치부, 한국인터넷진흥원 2017. 1.

(다운로드 위치 : 개인정보종합포털 홈페이지 > 자료마당  > 지침자료

[참고 4] 『개인정보 수집 최소화 가이드라인』행정자치부, 한국인터넷진흥원 2016. 11.

(다운로드 위치 : 개인정보종합포털 홈페이지 > 자료마당 > 지침자료

[참고 5] 『개인정보 암호화 조치 안내』행정자치부, 한국인터넷진흥원 2017. 11.

(다운로드 위치 : 개인정보종합포털 홈페이지 > 자료마당 > 참고자료

□ 개인정보 보호 현장점검 신청

현장점검 신청	Y / N

- 개인정보 보호 현장점검 : 회원병원의 원활한 자율점검을 위해 현장을 방문하여 점검 방법 등을 안내하고 점검 내역을 확인하는 절차

□ 개인정보보호 자율점검표 (55개 점검항목)

순번	법조항	점검항목	양호	개선 필요	개선계획 (개선기한)	해당없음
1	제15조	1.1.1 진료목적 외로 서면가입(오프라인)·홈페이지(온라인) 등을 통한 회원 가입 시 동의는 받고 있는가?
2	제15조	1.1.2 각종 게시판, 기타 개인정보 수집 시 동의는 받고 있는가?
3	제16조	1.2.1 목적에 필요한 최소한의 개인정보 수집하고 있는가?
4	제16조	1.2.2 최소한 정보 외의 개인정보 수집에 대한 미 동의를 이유로 재화 또는 서비스 제공 거부 하고 있지는 않는가?
5	제22조	1.2.3 만 14세 미만 아동의 개인정보를 처리 시, 법정대리인의 동의 여부
6	제17조 제18조	1.3.1 제3자에게 개인정보 제공 및 목적 외 이용 시 정보주체(환자)의 별도 동의는 받고 있는가?
7	제17조	1.3.2 정보주체(환자)에게 사전에 “제3자 개인정보 제공 및 목적 외” 이용 관련 사항을 동의 받고 있는가?
8	제18조	1.4.1 개인정보를 목적 외로 이용하거나 제3자에게 제공하는 경우, 해당 내용을 기록하고 관리하는가? (공공의료기관)
9	제21조	1.5.1 진료목적으로 수집한 진료정보 보유기간 경과, 처리목적(제공받는 경우 제공받는 목적) 달성 후 지체 없이 개인 정보를 파기하고 관리대장을 작성하여 관리하고 있는가?
10	제21조	1.5.2 개인정보 파기 시 복구 또는 재생되지 않도록 조치하고 있는가?
11	제21조	1.5.3 임시파일 및 출력자료 등은 목적달성 후 즉시 파기 하고 있는가?
12	제21조	1.5.4 타 법령에 따라 보존하는 경우 개인정보를 별도로 분리보관하고 있는가?
13	제23조	2.1.1 사상, 정치, 건강 등 민감정보의 동의에 의한 수집 및 제공 시 개인정보 수집 동의와 별도로 구분하여 동의 받고 있는가?
14	제24조	2.2.1 관련법령에 의거하여 고유식별정보를 수집하고 안전하게 처리하고 있는가?
15	제24조	2.2.2 주민등록번호 외 회원가입 방법 제공 여부
순번	법조항	점검항목	양호	개선 필요	개선계획 (개선기한)	해당없음
16	제24조의2	2.2.3 주민등록번호를 저장하는 경우 암호화 하였는가? (100만명 이상의 주민등록번호를 저장하는 경우에는 ‘17.12.31까지 암호화 예정인가?)
17	제25조	2.3.1 영상정보처리기기(CCTV) 운영·관리방침을 수립하고 있는가?
18	제25조	2.3.2 영상정보처리기기(CCTV)를 설치한 장소에 정보주체가 영상정보 처리기기(CCTV) 설치 사실을 인지할 수 있도록 필수기재 사항을 포함한 안내판을 설치하고 있는가?
19	제25조	2.3.3 영상정보처리기기(CCTV)에 대한 이용・제공・열람・파기 내역을 기록하고 관리 하는가?
20	제25조	2.3.4 영상정보처리기기(CCTV)가 분실·도난·유출·변조 또는 훼손되지 아니하도록 안전성 확보조치를 하고 있는가?
21	제26조	2.4.1 위탁 계약 시 문서(계약서)에 의한 계약을 하였는가?
22	제26조	2.4.2 수탁업체에 대한 교육 및 처리현황 점검 등 관리 감독을 실시하고 있는가?
23	제26조	2.4.3 위탁에 관한 사실을 인터넷 홈페이지 또는 사보, 접수실, 대기실 등에 공개 하고 있는가?
24	제28조	2.5.1 개인정보취급자에 대한 보안 서약서를 제출토록 하였는가?
25	제28조 제29조 제31조	2.5.2 개인정보취급자에 대한 정기적인 교육은 실시하고 있는가?
26	제29조	3.1.1 내부관리 계획을 수립하고 필수사항을 포함하고 있는가?
27	제29조	3.1.2 연간 개인정보보호 교육계획이 수립되어 있는가?
28	제29조	3.2.1 개인정보처리시스템(전자차트, 청구S/W 등)에 대한 접근 권한을 최소한의 범위로 업무담당자에 따라(1인 1계정) 차등 부여하였는가?
29	제29조	3.2.2 개인정보처리시스템(전자차트, 청구S/W 등) 접근 권한의 부여․변경․말소 내역의 기록 관리를 최소 3년간 보관하는 절차를 마련하고 이를 실행하고 있는가?
30	제29조	3.2.3 안전한 비밀번호 작성규칙을 적용하고 있는가?
순번	법조항	점검항목	양호	개선 필요	개선계획 (개선기한)	해당없음
31	제29조	3.2.4 개인정보처리시스템(전자차트, 청구S/W 등)에 대하여 불법적인 접근 및 침해사고를 방지하기 위한 접근통제시스템을 설치/운영하고 있는가?
32	제29조	3.2.5 외부에서 정보통신망을 통한 접속 시 가상 사설망, 전용선 등 안전한 접속수단을 제공하고 있는가?
33	제29조	3.2.6 P2P(peer to peer), 웹하드 등 비 인가프로그램의 접속을 차단하고 있는가?
34	제29조	3.2.7 인터넷 홈페이지의 개인정보 노출 방지를 위한 보안 조치를 실시하고 있는가?
35	제29조	3.2.8 업무용 모바일 기기에 비밀번호 설정 여부
36	제29조	3.3.1 비밀번호 및 바이오정보의 저장 시 암호화하고 있는가?
37	제29조	3.3.2 고유식별정보를 내부망에 저장 시 암호화 조치 또는 그에 상응하는 조치 적용 여부
38	제29조	3.3.3 고유식별정보, 비밀번호 및 바이오정보를 정보통신망을 통하여 송․수신하거나 보조저장매체를 통하여 전달 시 암호하고 있는가?
39	제29조	3.3.4 고유식별정보, 비밀번호 및 바이오정보를 암호화하여 저장 시 안전한 암호알고리즘 사용 여부 확인
40	제29조	3.3.5 고유식별정보의 인터넷과 내부망의 중간지점(DMZ) 저장시 암호화하고 있는가?
41	제29조	3.3.6 고유식병정보를 업무용 컴퓨터 또는 모바일 기기에 저장시 안전한 암호화 알고리즘 사용 여부 확인
42	제29조	3.4.1 개인정보취급자의 접속기록을 최소 6개월 이상 보관하여 관리하고 있는가?
43	제29조	3.4.2 접속기록의 위ㆍ변조 및 도난, 분실되지 않도록 접속 기록을 안전하게 보관하고 있는가?
44	제29조	3.5.1 개인정보처리시스템이 설치된 업무용 PC에 백신 프로그램 등의 최신 보안 프로그램을 설치하여 관리하고 있는가?
45	제29조	3.5.2 보안프로그램을 정기적(일 1회 이상)으로 업데이트 하는가?
순번	법조항	점검항목	양호	개선 필요	개선계획 (개선기한)	해당없음
46	제29조	3.6.1 전산실, 자료보관실 등 물리적 보관 장소에 대한 출입통제절차를 수립하여 운영하고 있는가?
47	제29조	3.6.2 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하고 있는가?
48	제30조	3.7.1 개인정보처리방침을 수립하고 있는가?
49	제30조	3.7.2 개인정보처리방침을 홈페이지 또는 보기 쉬운 장소(접수대, 대기실 등)에 공개하고 있는가?
50	제31조	3.8.1 개인정보보호책임자가 지정되고 그 역할이 정의되어 있는가?
51	제31조	3.8.2 개인정보보호 전담조직과 적정인력을 운영하고 있는가?
52	제31조	3.8.3 개인정보보호책임자는 교육 및 관리・감독 등 역할을 수행하고 있는가?
53	제31조	3.8.4 개인정보보호 활동을 수행하는데 필요한 예산을 반영하고 있는가?
54	제29조	3.9.1 개인정보 노출방지를 위한 모니터링 및 정기점검을 실시하고 있는가?
55	제34조	3.9.2 개인정보 유·노출 등 침해사고 발생에 대한 대응절차를 수립하였는가?