내원환자뿐만 아니라 의료기관 직원 관리 부분에도 개인정보 보호법이 적용이 된다. 이제는 의료정보뿐만이 아닌 노무정보도 많은 부분 전산화가 되어 있어 직원이 많은 의료기관에서는 직원의 개인정보 보호에도 관심을 가져야 한다.

입사를 위해 제출한 이력서는 미채용 시 본인에게 돌려줘야 하지만 추가 채용이 가능할 경우 간혹 보관이 필요하다. 면접전에 신규 채용 및 인사관리 동의서를 미리 받아 추후 발생할 수 있는 분란을 없애는 것이 현명하다. 또한 채용된 직원은 추후 발생할 수 있는 정보누출의 책임소재를 위해 정보보안각서를 받아 놓는 것을 추천한다.

인사관리카드는 진료차트와 같이 별도의 보관장소에 이중 잠금장치를 이용해 보관해야 하며 직원의 퇴사 시 노무관리를 위해 3년간 보관하다 파기해야 한다. 자세한 필요서류는 각 시도의사회 홈페이지에 게시돼 있다.

영상정보 처리에도 주의를 기울여야 한다. 범죄예방과 시설안전을 목적으로 공개된 장소에 CCTV의 설치는 가능하며 안내판을 통해 설치목적·장소·촬영범위·시간, 관리책임자와 연락처를 명시해야 한다. 또한 진료실에 설치할 경우 녹음기능이 없어야 하며 동의없이 환자의 얼굴이 직접 촬영되어서는 안된다.

여러 가지 안전조치를 취하였음에도 불구하고 개인정보가 유출되었음을 알게 되었을 때에는 5일 이내에 정보주체에게 유출항목, 유출시점 및 경위, 피해최소화 정보, 대응조치, 피해신고부서 및 연락처 등을 고지해야 한다. 홈페이지에 공시를 원칙으로 하며 홈페이지가 없는 경우 접수실에 출력해 고지하면 된다.

현재 의료기관 개인점검 자율점검 신청을 심평원 포털을 통해 온라인으로 받고 있다. 그동안 자율점검 사전교육 일정 문제로 많은 혼란이 있었으나 의료계의 노력으로 점차 안정화되어 가고 있다. 1차 신청기간은 10월말까지인데, 추후에도 지속적으로 신청이 가능하며 신청자는 내년 4월까지 보완계획서와 이행확인서를 발급받아 놓으면 된다.

▲ 의료기관 개인정보보호 자율점검 일정표

자율점검 신청을 하지 않고 자체점검을 한다고 해서 별다른 불이익은 없다. 모의고사를 미리 본다고 생각하면 편하다. 행정자치부는 심평원 자율점검과 무관하게 2011년부터 이미 홈페이지나 정보누출의 의심이 가는 의료기관에 대해 현장조사와 과태료처분을 하고 있었다.

이번 자율점검은 실사가 아닌 현장지원의 형태로 진행되며 심평원은 개인정보 보호법에 의한 처벌권한이 없으므로 의료기관 자구노력의 일환으로 준비하면 좋을 듯 하다.

▲ 병의원 CCTV 설치 안내문 예시

개인정보의 열람을 위해 보험회사직원이 환자의 신분증복사본과 위임장을 가져오면 개인정보보호법상 차트를 복사해 주어야한다.

이때 보험회사직원의 신분증도 복사해 놓는 것이 좋다. 사실 행정절차와 의무사항이 너무 복잡해서 의료기관의 행정부담이 많아졌다.

의료기관이 전산정보기관이 아니므로 국민 건강정보의 보안을 위한 투자를 위해서는 의료기관에'의료DB보안관리료'와 '의료전산관리료'의 신설이 반드시 필요하다고 생각한다. 

ⓒ 의협신문(http://www.doctorsnews.co.kr)