개인정보보호 자율점검 신청 및 작성 가이드

2015년10월 7일

	대한치과의사협회 정보통신위원회

		목 차

I	개인정보보호 자율점검 서비스 신청방법 --------- 3~5 page

II	개인정보보호 자율점검표 입력(작성) 방법 -------- 6~8 page

III	개인정보보호 자율점검표 세부 작성 가이드 ----- 9~54 page

IV	표준 서식 --------------------------------------- 55~79 page

I		개인정보보호 자율점검 서비스 신청 방법

➀ 건강보험심사평가원에서 제공하는 “요양기관 업무포털서비스”에 접속하여, 요양기관 인증서를 통해 로그인을 합니다.
- 접속URL : http://biz.hira.or.kr

➁ 상단 메뉴 중 “신청 및 자료제출” 클릭

➂ 이동된 화면 좌측의 메뉴 리스트에서 “요양기관 정보화지원” 클릭

➃ 요양기관 정보화지원 클릭 시 나타나는 하위 메뉴 중 “개인정보보호 자율점검 서비스” 클릭

➄ 개인정보보호 자율점검 서비스를 클릭하면 나타나는 하위 메뉴 중 “자율점검 신청 및 점검내역 등록” 클릭

➅ 자율점검 신청 및 점검내역 등록 화면 상단 우측의 “자율점검신청서 작성” 버튼을 클릭

➆ 아래와 같이 자율점검 신청 화면이 나오면 작성 후 하단의 “제출” 버튼을 클릭하면 신청이 완료됩니다.
‣ 신청항목에 대한 자세한 설명은 이미지 하단의 내용을 참고하시기 바랍니다.

※ 신청서 각 항목 상세 설명(신청화면 상단 설명과 중복되는 항목 있음)

‣ 담당자 전화번호	해당 기관의 유선 연락처를 입력합니다.
‣ SMS 수신동의	자율점검 진행 경과에 따른 알림을 문자로 받을 수 있으므로, 가급적 체크하여 담당자의 핸드폰 번호를 입력합니다.
‣ 담당자	개인정보보호 자율점검을 진행할 담당자를 지정하여 성명을 입력합니다.
‣ 개인정보 취급자 수	전체 직원수를 입력합니다.
‣ 개인정보 처리 시스템 수	개인정보처리 시스템 수는 수집된 개인정보를 전자형태로 관리하는 프로그램을 의미하며, 아래와 같은 프로그램입니다. 사용 중인 프로그램 수를 입력합니다. ex) 처방전전달시스템, 전자의무기록, PACS, 홈페이지(회원가입제도가 있는 경우) 등
‣ 위탁기관 수	위탁기관 수란 해당 치과의료기관에서 계약한 업체의 수를 의미하며, 계약으로 진행되는 업무 중 개인정보가 업체와 공유되거나 업체가 접근할 수 있는 권한이 있으면 개인정보 위탁기관으로 판단하여야 합니다. ex) 전자차트, 청구프로그램 구입 회사, 컴퓨터 A/S 또는 유지보수 업체, 청구대행 업체 또는 개인, 홈페이지 관리업체(회원가입제도 또는 개인정보를 수집하여 게시물을 작성하는 경우)
‣ 영역	기본 값 유지
‣ 검사 점검의 구분	대부분의 치과의료기관이 최초점검이므로 기본 값을 유지합니다.
‣ 개인정보보호 사전점검 확인 범위	작성하지 않아도 됩니다.
‣ 주요사업 및 업무내용	치과병·의원 이므로, 아래와 같이 간단히 입력합니다. - 치과진료가 필요한 환자 진료 업무 -
‣ 개인정보보호 체계 구축 운영기간	자율점검 이전에 이미 개인정보와 관련하여 내부적인 관리체계를 수립하였으면 그 기간을 입력하면 되나, 그렇지 않은 경우 기재하지 않아도 무방합니다.
‣ 주요 개인정보처리시스템 현황	치과의료기관의 특성상 아래와 같이 입력하며, 해당 프로그램을 쓰지 않거나 운영하지 않는 경우 기재하지 않습니다. 전자차트 프로그램 청구프로그램
‣ 첨부파일	등록하지 않아도 됩니다.

II		개인정보보호 자율점검표 입력(작성) 방법

■ 개인정보보호 자율점검을 신청하고 승인되면 아래와 같이 작성화면에 접근하여 작성을 시작할 수 있습니다.

■ 작성은 각 항목에 대해 점검결과를 입력하고 첨부파일을 첨부하는 방식이며, 진행과정이 자동으로 저장되는 바, 한꺼번에 입력해야 하는 부담은 없습니다.

■ 기본적인 입력방법에 대해 안내하오니 숙지하신 후 자세한 각 항목에 대한 작성방법은 뒤편의 “ III 개인정보보호 자율점검표 작성방법” 자료를 참고하여 주시기 바랍니다.

< 개인정보보호 자율점검표  입력창 >

➀ 전체 화면 상단을 보면 아래와 같이 자율점검 항목을 리스트로 확인하고 클릭하여 입력할 자율점검 항목을 선택할 수 있습니다. 총 46개 항목입니다.

< 개인정보 자율점검 작성화면 상단 >

‣ 엑셀저장 기능 : 점검표를 엑셀로 내려 받아 사전에 관련 내용을 작성할 수 있습니다.

‣ 임시저장 기능 : 작성 과정이 자동 저장되므로 참고하시기 바랍니다.

‣ 최종제출 : 46개 항목을 모두 입력한 후 최종제출을 눌러야 제출이 완료됩니다.

➁ 화면 중간에서는 해당 항목에 대한 관련 가이드 내용이 배치되어 있는 바, 작성에 참고하면 됩니다.

< 개인정보 자율점검 작성화면 중단 >

‣ 벌금 및 과태료 내역 : 점검사항 위반에 따른 벌칙 내용
‣ 세부내용 : 해당 항목에 대한 상세 안내
‣ 관련실적 : 해당 항목에 대한 증빙자료를 첨부해야 하는 시점 안내
‣ 증빙자료 : 해당 항목이 최종 양호로 판정되기 위한 증빙자료 안내

➃ 화면 하단에는 실제 각 항목에 대한 자율점검 결과를 입력하는 내용이 배치되어 있는 바, 작성하신 점검 결과를 토대로 직접 입력하면 됩니다.

< 개인정보 자율점검 작성화면 하단 >

‣ 이행 여부 : ‘양호/개선필요/취약/해당 없음’ 중 점검결과에 맞는 항목을 선택합니다.

‣ 담당자 : 담당자 이름은 자율점검 작성 시 입력한 담당자 이름이 자동으로 입력됩니다.

‣ 운영현황 : 운영현황 항목에는 해당 점검사항에 대해 ‘양호/개선필요/해당 없음’을 선택한 사유를 입력하면 됩니다.

‣ 관련문서제목 또는  URL : 해당항목을 양호로 체크하였을 때 증빙하기 위해 첨부한 문서의 제목이나 홈페이지 주소를 입력합니다.

‣ 첨부파일 : 해당항목에 양호를 체크하였을 때 증빙할 수 있는 파일을 첨부합니다. 단, 중단의 증빙자료에 요구파일이 있는 경우에 한함.

※ 운영현황 작성 예시

1.1.1 항목에 대한 운영현황을 입력한다고 하면 아래와 같은 방식으로 입력하면 됩니다.

1) 양호를 선택했을 때 : 운영 중인 홈페이지 또는 오프라인 회원가입 양식에 4가지 주요 동의 문구가 삽입되어 있다.

2) 개선필요를 선택했을 때 : 운영 중인 홈페이지 or 오프라인 회원가입 양식에 4가지 중 OO가지가 빠져있어 개선이 필요하다.

3) 해당사항 없음을 선택했을 때 : 작성하지 않아도 됩니다.

III		개인정보보호 자율점검표 세부 작성 가이드

1
분 야		1. 개인정보처리
점검영역		1.1 개인정보의 수집·이용
자율점검내용		1.1.1 온·오프라인 회원 가입 시 동의는 받고 있는가?
선택사항		[양호] 홈페이지를 운영하며 회원가입 제도가 있는 경우 필수항목(4개)을 고지하고 동의를 받는 경우 [해당없음] 홈페이지를 운영하지 않거나 홈페이지는 있으나 회원가입 제도가 없는 경우(치과의료기관에서 오프라인 회원가입은 존재하지 않는 바, 고려하지 않음) [개선필요] 필수항목(4개)을 누락하여 회원가입을 받는 경우
설 명		홈페이지를 통해 회원가입을 받는 경우 반드시 아래 4개 사항을 고지하고 동의를 받아야 함. ➀ 개인정보의 수집/이용 목적 ➁ 수집하려는 개인정보의 항목 ➂ 개인정보의 보유 및 이용기간 ➃ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용 ■ 회원 관리가 잘 안될 경우에는 회원 가입 메뉴를 없애는 것도 방법이 될 수 있음.
참고서식		[붙임] 1. 개인정보 수집・이용 동의서(예시)

2
분 야		1. 개인정보처리
점검영역		1.1 개인정보의 수집·이용
자율점검내용		1.1.2 각종 게시판 기타 개인정보 수집 시 동의는 받고 있는가?
선택사항		[양호] 정보주체에게 필수항목(4개)을 고지하고 동의를 받는 경우 [해당없음] 홈페이지를 운영하지 않는 경우 회원가입 제도가 있어 회원가입 시 이미 동의를 받은 경우 게시판 글 작성 시 별도의 개인정보를 수집하지 않는 경우 [개선필요] 정보주체에게 필수항목(4개)을 누락하여 동의를 받는 경우 및 동의를 받지 않는 경우
설 명		1.1.1〈온·오프라인 회원 가입 시 동의는 받고 있는가〉는 전반적인 내용에 대한 동의이며, 현재 항목은 홈페이지에 국한된 내용임. 모든 개인정보를 수집하는 서식에 개인정보 수집·이용에 관한 ‘동의’ 표시(체크)가 있어야 하며, 체크된 부분을 확인 하여야 함.
참고서식		[붙임1] 개인정보 수집・이용 동의서(예시)

3
분 야		1.개인정보처리
점검영역		1.2 개인정보의 수집 제한
자율점검내용		1.2.1 목적에 필요한 최소한의 개인정보를 수집하고 있는가?
선택사항		[양호] 온･오프라인 상에서 최소한의 개인정보를 수집하는 경우 [해당없음] 진료목적 외에 개인정보를 수집하지 않는 경우 [개선필요] 최소한의 개인정보 수집의 범위를 벗어나며, 개인정보 수집에는 동의하지 않을 수 있다는 사실을 구체적으로 알리지 않는 경우
설 명		개인정보보호법이 향후에도 강화될 가능성이 크기 때문에 최소한도의 개인정보를 수집하는 것이 합리적임.
참고서식

4
분 야		1.개인정보처리
점검영역		1.2 개인정보의 수집 제한
자율점검내용		1.2.2 최소한 정보 외의 개인정보 수집에 대한 미 동의를 이유로 재화 또는 서비스 제공을 거부하고 있지는 않는가?
선택사항		[양호] 동의 여부와 상관없이 다음 단계로 진행되는 경우 [해당없음] 최소한의 필수정보 외에 추가 정보를 수집하지 않는 경우 [개선필요] 동의를 받지 않은 상태에서 다음 단계로 넘어가지 않는 경우
설 명		최소한의 정보(필수정보) 외의 개인정보 수집에 동의하지 않아도 회원 가입 또는 기본적인 서비스 제공이 가능하도록 하는 것이 합리적임.
참고서식

5
분 야		1.개인정보처리
점검영역		1.3 개인정보의 제공
자율점검내용		1.3.1 제3자에게 개인정보 제공 및 목적 외 이용 시 정보주체의 별도 동의는 받고 있는가?
선택사항		[양호] 정보주체에게 필수항목(5개)을 고지하고, 동의를 받는 경우 [해당없음] 제3자 제공 사실이 없는 경우 [개선필요] 정보주체에게 필수항목을 누락하여 동의를 받는 경우 및 동의를 받지 않는 경우
설 명		개인정보를 수집 목적을 넘어 이용하거나 제공하는 경우, 다른 개인정보의 처리에 대한 동의와 분리해서 목적 외 이용․제공에 대한 별도의 동의를 받아야 한다. 필수 고지항목(5개) ➀ 개인정보를 제공받는 자 ➁ 개인정보를 제공받는 자의 개인정보 이용 목적 ➂ 제공하는 개인정보의 항목 ➃ 개인정보를 제공받는 자의 개인정보 보유 및 이용기간 ⑤ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용
참고서식

6
분 야		1.개인정보처리
점검영역		1.3 개인정보의 제공
자율점검내용		1.3.2 정보주체에게 동의를 받은 경우라도 제3자에게 개인정보 제공 및 목적 외 이용 시 정보주체에게 사실을 통보하고 있는가?
선택사항		[양호] 정보주체에게 정보제공 사실을 모두 고지한 경우 [해당없음] 제3자 제공 사실이 없는 경우 [개선필요] 정보주체에게 정보제공 사실을 누락하는 경우 및 정보제공 사실을 고지하지 않는 경우
설 명		1.3.1〈제3자에게 개인정보 제공 및 목적 외 이용 시 정보주체의 별도 동의는 받고 있는가〉와 다른 부분은 목적의 범위를 벗어나서 이용할 경우에 해당되는 부분임.
참고서식		[붙임2] 개인정보 제3자 제공 동의서(예시)

7
분 야		1.개인정보처리
점검영역		1.4 개인정보 이용・제공 제한
자율점검내용		1.4.1 개인정보를 목적 외로 이용하거나 제3자에게 제공하는 경우, 해당 내용을 기록하고 관리하는가?
선택사항		[양호] 필수사항이 기재된 문서(개인정보의 목적 외 이용 및 제3자 제공 대장)에 보관하는 경우 [해당없음] 제3자 제공 사실이 없는 경우 [개선필요] 필수사항이 누락되었거나, 대장은 비치되었으나 관련 문서가 없는 경우
설 명		필수 기재사항 8가지 항목 ① 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭 ② 이용기관 또는 제공받는 기관의 명칭 ③ 이용 목적 또는 제공받는 목적 ④ 이용 또는 제공의 법적 근거 ⑤ 이용하거나 제공하는 개인정보의 항목 ⑥ 이용 또는 제공의 날짜, 주기 또는 기간 ⑦ 이용하거나 제공하는 형태 ⑧ 법률에 따라 목적 등을 제한하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용(문서) ■ 현실적으로 행정을 맡고 있는 직원이 없는, 규모가 작은 의원급에서 서류를 만드는 것은 쉽지 않은 현실이지만, 자율점검에서는 서류(대장)를 갖추도록 요구하고 있기 때문에 서류를 준비하여야 함.
참고서식

8
분 야		1.개인정보처리
점검영역		1.4 개인정보 이용・제공 제한
자율점검내용		1.4.2 개인정보 제공 시 제공 목적범위 내 이용, 안전조치 실시, 목적달성 후 파기 등을 요청하고 있는가?
선택사항		[양호] 문서 등에 목적 범위 내 이용 및 목적 달성 후 파기 요청에 대한 내용이 있는 경우 [해당없음] 개인정보를 제공하지 않는 경우에는 해당 사항이 없음. [개선필요] 해당 문서가 없는 경우
설 명		외부업체 등에 제공된 개인정보가 있을 경우에는 파기한 자료를 제출토록 요청하여 받은 내용을 정리하면 됨.
참고서식

9
분 야		1.개인정보처리
점검영역		1.5 개인정보 파기
자율점검내용		1.5.1 보유기간 경과, 처리목적(제공받는 경우 제공받는 목적) 달성 후 지체 없이 개인정보를 파기하고 관리대장을 작성하여 관리하고 있는가?
선택사항		[양호] 개인정보의 보유기간이 경과된 경우에는 파기하고 있으며, 파기 관리대장에 기록하고 있음. [개선필요] 개인정보의 보유기간이 경과된 경우에도 파기하지 않으며, 관리대장도 없는 경우
설 명		보유기간이 경과한 개인정보는『개인정보 파기 관리대장』에 기록 후 파기하여야 함. ■ 치과병·의원에서 보유기간이 경과한 진료기록 등에 대해서는 연장이 가능하며 구체적인 방법은 참고서식의 방법 참고
참고서식		[붙임8] 진료기록부 등 진료기록 연장 방법

10
분 야		1.개인정보처리
점검영역		1.5 개인정보 파기
자율점검내용		1.5.2 개인정보 파기 시 복구 또는 재생되지 않도록 조치하고 있는가?
선택사항		[양호] 파기 관련 문서 및 증빙자료가 있는 경우 [개선필요] 파기 관련 문서 및 증빙자료가 없는 경우
설 명		접수된 개인정보는 DB로 옮겨져 내부방침 및 기타 관련 법령에 의한 정보보호 사유에 따라 일정기간 저장된 후 파기하여야 하며, DB에 저장된 개인정보는 법률에 의한 경우가 아니고서는 다른 목적으로는 사용할 수 없음. DB로 저장된 개인정보는 기록을 재생할 수 없도록 삭제하여야 하며, 종이에 기록된 개인정보는 분쇄기로 분쇄하거나 소각하여야 함.
참고서식

11
분 야		1.개인정보처리
점검영역		1.5 개인정보 파기
자율점검내용		1.5.3 임시파일 및 출력자료 등은 목적달성 후 즉시 파기 하고 있는가?
선택사항		[양호] 파기 절차가 수립되어 있거나, 개인정보 파기 보고문서가 있는 경우 [해당없음] 임시파일 또는 출력물을 사용하는 경우가 없음 [개선필요] 파기 절차 및 개인정보 파기 보고 문서가 없는 경우
설 명		청구프로그램 업체의 유지보수 이용 시 생성되는 임시파일은 업체에 즉시 파기를 요청하여야 하며, 출력자료는 분쇄기를 이용하여 파기하여야 함.
참고서식

12
분 야		1.개인정보처리
점검영역		1.5 개인정보 파기
자율점검내용		1.5.4 법령에 따라 보존할 경우 별도로 분리 보관하고 있는가?
선택사항		[양호] 개인정보 관리대장에 분리 보관 하는 경우 [개선필요] 개인정보 관리대장에 분리보관 하지 않는 경우
설 명		개인정보의 수집목적이 달성된 경우에도 타 법령에 근거, 개인정보를 전부 또는 일부 보유할 경우에는 정보주체에게 공개하고 별도의 DB 등에 분리하여 보관하여야 함.
참고서식

13
분 야		1.개인정보처리
점검영역		1.6 동의를 얻는 방법
자율점검내용		1.6.1 최소 개인정보(필수정보)와 그 외의 개인정보(선택정보)를 구분하여 동의를 받고 있는가?
선택사항		[양호] 고유식별정보, 민감정보, 목적 외 이용 및 제3자 제공 및 마케팅 목적 활용에 대한 별도 동의 절차에 관한 문서가 있는 경우 [해당없음] 진료목적 외 추가 정보를 수집하지 않는 경우 [개선필요] 별도 동의 절차에 관한 문서가 없는 경우
설 명		■ 관련 법령 개인정보보호법 제18조(개인정보의 목적 외 이용ㆍ제공 제한) ② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지의 경우는 공공기관의 경우로 한정한다. 1. 정보주체로부터 별도의 동의를 받은 경우 2. 다른 법률에 특별한 규정이 있는 경우 3. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우 4. 통계작성 및 학술연구 등의 목적을 위하여 필요한 경우로서 특정 개인을 알아볼 수 없 는 형태로 개인정보를 제공하는 경우 5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률 에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우 6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필 요한 경우 7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우 8. 법원의 재판업무 수행을 위하여 필요한 경우 9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
참고서식

14
분 야		1.개인정보처리
점검영역		1.6 동의를 얻는 방법
자율점검내용		1.6.2 만 14세 미만 아동의 개인정보를 수집하는 경우 법정대리인의 동의를 받고 있는가?
선택사항		[양호] 개인정보 수집 시 만 14세 미만 아동 법정대리인의 동의를 취득한 경우 [해당없음] 진료목적 외 만 14세 미만 아동의 추가 정보를 수집하지 않는 경우 [개선필요] 법정대리인의 동의를 미취득한 경우
설 명		법정대리인은 법률 규정에 의하여 대리권의 효력이 발생하는 자(친권자, 후견인)를 지칭하는 법률용어임.
참고서식		[붙임7] 위임장(예시)

15
분 야		1.개인정보처리
점검영역		1.6 동의를 얻는 방법
자율점검내용		1.6.3 홍보 권유에 활용하기 위한 정보와 그렇지 않은 정보를 구분하여 동의를 받고 있는가?
선택사항		[양호] 정보주체에게 필수항목과 선택항목을 구분하여 고지하고 동의를 받는 경우 [해당없음] 진료목적 외에는 개인정보를 수집하지 않는 경우 [개선필요] 필수항목과 선택항목을 구분하지 않고 동의를 받는 경우
설 명		환자에게 진료목적 외 추가로 홍보 등에 필요한 개인정보를 수집하기 위해서는 별도의 동의를 구하여야 함. 홈페이지를 운영하는 치과의료기관에서는 홈페이지 가입 시 필수항목과 선택항목을 구분하여야 하며, 선택항목을 동의하지 않아도 회원가입 등이 가능하도록 해야 함.
참고서식

16
분 야		2. 개인정보의 처리 제한
점검영역		2.1 민감 정보의 처리제한
자율점검내용		2.1.1 사상, 정치, 건강 등 민감정보의 동의에 의한 수집 및 제공 시 개인정보 수집 동의와 별도로 구분하여 동의 받고 있는가?
선택사항		[양호] 민감정보에 대한 별도 동의를 받는 경우 [해당없음] 진료목적 외 민감정보를 추가로 수집하지 않는 경우 건강 정보 등은 의료법에 의해 문진 등을 통해 수집하는 것이기 때문에 해당 없음 [개선필요] 별도 동의를 구하지 않는 경우
설 명		민감 정보란? - 사상ㆍ신념 - 노동조합ㆍ정당의 가입ㆍ탈퇴 - 정치적 견해 - 건강, 성생활 등에 관한 정보 - 유전자검사 등의 결과로 얻어진 유전정보 - 「형의 실효 등에 관한 법률」제2조제5호에 따른 범죄경력 자료에 해당하는 정보, - 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보
참고서식		[붙임6] 민감정보 처리 동의서(예시)

17
분 야		2. 개인정보의 처리 제한
점검영역		2.2 고유식별정보의 처리제한
자율점검내용		2.2.1 고유식별 정보의 수집 및 제공 시 개인정보 수집 동의와 별도로 구분하여 동의 받고 있는가?
선택사항		[양호] 고유식별정보에 대해 별도 동의를 받는 경우 [해당없음] 진료 목적 외에 고유식별 정보를 추가로 수집하지 않으면 해당 없음으로 체크 [개선필요] 별도 동의를 구하지 않는 경우
설 명		개인정보보호법 제24조에 의하면 고유식별 정보(주민번호, 여권번호, 운전면허번호, 외국인 등록번호)는 법령에 의하거나 별도 동의를 받은 경우 등에 한하여 수집, 처리하도록 제한하고 있음.
참고서식

18
분 야		2. 개인정보의 처리 제한
점검영역		2.2 고유식별정보의 처리제한
자율점검내용		2.2.2 주민등록번호를 제외(대체수단 제공)한 회원가입 방법을 제공하고 있는가?
선택사항		[양호] 대체 가입수단 중 하나라도 도입 및 제공하는 경우 [해당없음] 홈페이지를 운영하지 않는 경우 회원가입 제도가 없는 홈페이지인 경우 [개선필요] 대체 가입수단을 제공하지 않는 경우
설 명		4가지 대체가입수단 ① I-PIN 인증방식의 도입 및 제공 ② 신용카드 인증 방식의 도입 및 제공 ③ 공인인증 방식의 도입 및 제공 ④ 휴대폰/유선전화 인증 방식의 도입 및 제공(유선전화는 녹취가 되어야 인정) ■ 상기 대체가입 수단을 준비토록 하여야 하며, 현실적으로 어려울 경우에는 주민등록번호 수집을 하지 않는 방향으로 진행하여야 함.
참고서식

19
분 야		2. 개인정보의 처리 제한
점검영역		2.3 영상정보처리기기 설치운영 제한
자율점검내용		2.3.1 영상정보처리기기 운영·관리방침을 수립하고 있는가?
선택사항		[양호] 영상정보처리기기(CCTV 등)에 대한 운영･관리방침 수립･공개한 경우 [해당없음] 영상정보처리기기(CCTV 등)가 없는 경우 [개선필요] 영상정보처리기기(CCTV 등)에 대한 운영･관리방침을 수립하였으나 미공개한 경우 및 운영･관리방침을 미수립한 경우
설 명		CCTV가 있을 경우 영상정보처리기기 운영관리 방침 수립 및 공개 1. 영상정보처리기기의 설치 근거 및 설치 목적 2. 영상정보처리기기의 설치 대수, 설치 위치 및 촬영 범위 3. 관리책임자, 담당 부서 및 영상정보에 대한 접근 권한이 있는 사람 4. 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법 5. 영상정보처리기기 운영자의 영상정보 확인 방법 및 장소 6. 정보주체의 영상정보 열람 등 요구에 대한 조치 7. 영상정보 보호를 위한 기술적, 관리적 및 물리적 조치 8. 그 밖에 영상정보처리기기의 설치운영 및 관리에 필요한 사항
참고서식		[붙임9] 영상정보처리기기 운영·관리 방침

20
분 야		2. 개인정보의 처리 제한
점검영역		2.3 영상정보처리기기 설치운영 제한
자율점검내용		2.3.2 영상정보처리기기를 설치한 장소에 정보주체가 영상정보 처리기기 설치 사실을 인지할 수 있도록 안내판을 설치하고 있는가?
선택사항		[양호] 안내판을 설치한 경우 [해당없음] 영상정보처리기기(CCTV 등)를 운영하지 않는 경우 [개선필요] 안내판을 설치하지 않은 경우
설 명		CCTV(영상처리기기) 설치되어 있는 아래 부분에 밑에 예를 든 내용이 포함된 안내판을 설치하는 하여야 함. - 설치장소 및 대수 - 촬영 범위 - 촬영 시간 - 관리 책임자
참고서식		[붙임4] 영상정보처리기기 설치 안내판(예시)

21
분 야		2. 개인정보의 처리 제한
점검영역		2.3 영상정보처리기기 설치운영 제한
자율점검내용		2.3.3 개인영상정보에 대한 이용・제공・열람・파기 내역을 기록하고 관리 하는가?
선택사항		[양호] 모든 영상정보에 대한 관리대장을 운영할 경우 [해당없음] 영상정보처리기기(CCTV 등)를 운영하지 않는 경우 [개선필요] 영상정보에 대한 관리대장이 없는 경우
설 명		영상정보처리기기 운영자는 개인영상정보를, ① 수집 목적 이외로 이용하거나 제3자에게 제공하는 경우 ② 파기하는 경우 ③ 열람 요청이 있는 경우에는 관리대장에 아래 사항을 기록하고 관리하여야 함. - 이용 또는 제공하는 경우 개인영상정보 파일의 명칭, 이용 하거나 제공받은 자(공공기관 또는 개인)의 명칭, 이용 또는 제공의 목적, 법령상 이용 또는 제공 근거가 있는 경우 그 근거, 이용 또는 제공의 기간이 정하여져 있는 경우에는 그 기간, 이용 또는 제공의 형태 - 파기하는 경우 파기하는 개인영상정보 파일의 명칭, 개인영상 정보 파기일시(사전에 파기 시기 등을 정한 자동삭제의 경우에는 파기 주기 및 자동삭제 여부에 대한 확인 시기 기록), 개인영상정보 파기 담당자 - 열람하는 경우 개인영상정보 열람을 요구한 정보주체의 성명 및 연락처, 열람을 요구한 개인영상정보 파일 명칭 및 내용, 열람의 목적, 열람을 거부한 경우 거부의 구체적 사유, 사본을 제공한 경우 해당 영상정보의 내용과 제공한 사유
참고서식		[붙임10] 개인영상정보 관리 대장

22
분 야		2. 개인정보의 처리 제한
점검영역		2.3 영상정보처리기기 설치운영 제한
자율점검내용		2.3.4 개인영상정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 안전성 확보조치를 하고 있는가?
선택사항		[양호] 안전성 확보 조치가 되어 있는 경우(5개 항목) [해당없음] 영상정보처리기기(CCTV 등)를 운영하지 않는 경우 [개선필요] 안전성 확보 조치가 되어 있지 않는 경우
설 명		시행령 제25조, 개인정보보호 지침 Ⅴ. 영상정보처리기기 설치・운영, 표준개인정보보호지침 제51조 1. 개인영상정보의 안전한 처리를 위한 내부 관리계획의 수립・시행 2. 개인영상정보에 대한 접근통제 및 접근 권한의 제한 조치 - 관리자 계정 비밀번호 설정 여부 확인 3. 개인영상정보를 안전하게 저장・전송할 수 있는 기술의 적용 - 네트워크 카메라의 경우 안전한 전송을 위한 암호화 조치, 개 인영상정보파일 저장 시 비밀번호 설정 등 4. 처리기록의 보관 및 위･변조 방지를 위한 조치 - 개인영상정보의 생성일시 및 열람할 경우에 열람 목적・열람자・ 열람일시 등 기록・관리 조치 등 5. 개인영상정보의 안전한 물리적 보관을 위한 보관시설 마련 및 잠 금장치 설치
참고서식

23
분 야		2. 개인정보의 처리 제한
점검영역		2.4 업무위탁에 따른 개인정보의 처리제한
자율점검내용		2.4.1 위탁 계약 시 문서(계약서)에 의한 계약을 하였는가?
선택사항		[양호] 필수항목이 포함된 위탁업무 계약서를 작성한 경우 [해당없음] 외부 업체와 위탁업무 계약이 없는 경우 [개선필요] 필수항목이 일부 누락된 위탁업무 계약서를 작성한 경우 및 위탁업무 계약서를 작성하지 않는 경우
설 명		위탁 계약 시 필수항목 1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 2. 개인정보의 기술적･관리적 보호조치에 관한 사항 3. 위탁하는 업무의 목적 및 범위 4. 재 위탁 제한에 관한 사항 5. 접근제한 등 안전조치 6. 개인정보의 관리 현황 점검 등 감독에 관한 사항 7. 수탁자가 준수해야 할 의무를 위반한 경우의 손해배상 등에 관한 사항
참고서식		[붙임3] 개인정보 처리 위탁 계약서(예시)

24
분 야		2. 개인정보의 처리 제한
점검영역		2.4 업무위탁에 따른 개인정보의 처리제한
자율점검내용		2.4.2 수탁업체에 대한 교육 및 처리현황 점검 등 관리 감독을 실시하고 있는가?
선택사항		[양호] 정기점검 등 수탁업체를 대상으로 관리･감독 수행 및 교육을 실시한 경우 [해당없음] 외부 업체와 위탁업무 계약이 없는 경우 [개선필요] 수탁업체 대상 관리･감독 및 교육계획은 수립 되었으나 결과가 없거나 일부 누락 되었으며, 관리･감독 및 교육계획이 없는 경우
설 명		일반적으로 치과병･의원에서 혼선을 빚는 부분이 수탁업체(해당 병･의원에서 개인정보 관련 업무를 맡긴 업체) 교육을 해당 치과병･의원에서 교육을 시키는 부분임. - 교육은 원칙적으로 해당 치과병･의원에서 시키는 것이 원칙임. - 규모가 작은 기관은 계약서 등에 수탁업체 관리·감독 및 교육계획 등을 포함시켜 진행토록하고, 교육결과를 보고하도록 하여야 함. - 향후에는 심평원 등 관계 기관과 교육에 대한 부분을 논의하여 합리적인 방안을 도출할 필요성이 있음.
참고서식

25
분 야		2. 개인정보의 처리 제한
점검영역		2.4 업무위탁에 따른 개인정보의 처리제한
자율점검내용		2.4.3 위탁에 관한 사실을 인터넷 홈페이지, 사보 등에 공개 하고 있는가?
선택사항		[양호] 필수항목이 포함된 모든 위탁업무를 공개한 경우 [해당없음] 위탁업무가 없을 경우 [개선필요] 필수항목이 일부 누락된 위탁업무를 공개한 경우 및 위탁업무를 공개하지 않는 경우
설 명		개인정보처리자는 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인 할 수 있도록 공개해야 한다. (시행령 제28조) ① 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항 ② 개인정보의 기술적·관리적 보호조치에 관한 사항 ③ 위탁하는 업무의 목적 및 범위, 재 위탁 제한에 관한 사항 ④ 개인정보의 관리 현황 점검 등 감독에 관한 사항 ⑤ 수탁자가 준수해야 할 의무를 위반한 경우의 손해배상 등에 관 한 사항 ■ 홈페이지를 운용할 경우에는 홈페이지에 게재하고, 없는 경우에는 안내데스크 등에 게시한다.
참고서식

26
분 야		2. 개인정보의 처리 제한
점검영역		2.5 개인정보 취급자에 대한 감독
자율점검내용		2.5.1 개인정보 취급자에 대한 관리 감독 (접근권한관리, 통제 등 포함)은 잘 처리하고 있는가?
선택사항		[양호] 개인정보 취급자에 대한 관리･감독이 수행되는 경우 [개선필요] 관리･감독이 수행되지 않는 경우
설 명		개인정보 취급을 하는 직원들에 대해 각각의 아이디를 부여하고, 접근권한을 업무에 따라 차등 부여하여 통제해야 함.
참고서식

27
분 야		2. 개인정보의 처리 제한
점검영역		2.5 개인정보 취급자에 대한 감독
자율점검내용		2.5.2 개인정보취급자에 대한 보안 서약서는 징구 하였는가?
선택사항		[양호] 개인정보취급자 전체 보안서약서 징구한 경우 [개선필요] 개인정보취급자 보안서약서 징구가 일부 누락된 경우 및 보안서약서를 작성하지 않는 경우
설 명		개인정보처리자란? - 개인정보처리자의 지휘․감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖의 업무상 필요에 의하여 개인정보에 접근하여 처리하는 모든 자 ■ 개인정보취급자(원장 포함 내부 직원 및 해당 병･의원에서 개인정보 관련 업무를 맡긴 업체)
참고서식

28
분 야		2. 개인정보의 처리 제한
점검영역		2.5 개인정보 취급자에 대한 감독
자율점검내용		2.5.3 개인정보취급자 및 일반직원에 대한 정기적인 교육은 실시하고 있는가?
선택사항		[양호] 개인정보보호 담당자, 취급자를 대상으로 매년 최소 1회 이상 개인정보보호 교육을 실시하는 경우 [개선필요] 개인정보보호 교육을 실시하지 않는 경우
설 명		■ 개인정보보호 교육 방법 자체교육 자체교육을 시행하면, 교육을 시행하는 내부결재 문서가 있어야 하고, 교육당일 현장 사진 및 교육 참석자 날인부를 내부결재 문서에 붙임으로 하여 보관해야 함. 2. 외부 교육 참석 외부 기관에서 실시하는 교육에 참석하고 교육참석자 개개인별 수료증을 취합하여 문서로 보관해야 함. 3. 온라인 교육 개인정보보호 종합지원포털(http://privacy.go.kr)에서 제공하는 온라인 교육을 각 직원에게 이수토록하고 이수내역을 출력하여 제출하게 하면 됨.
참고서식

29
분 야		3. 개인정보의 안전한 관리
점검영역		3.1 내부관리 계획수립 시행
자율점검내용		3.1.1 내부관리 계획을 수립하고 필수사항을 포함하고 있는가?
선택사항		[양호] 내부관리 계획을 수립･운영하고 있는 경우 [해당없음] 5인 미만에 해당되는 치과･병의원은 내부 관리계획을 수립하지 않아도 됨. [개선필요] 5인 이상이지만, 내부관리 계획을 수립하지 않은 경우
설 명		5인 미만 의료기관을 제외한 그 외 의료기관은 내부관리 계획을 수립하여야 하며, 내부관리 계획 수립 시 필수 반영사항은, 1. 개인정보 보호책임자의 지정에 관한 사항 2. 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항 3. 개인정보의 안전성 확보에 필요한 조치에 관한 사항 4. 개인정보취급자에 대한 교육에 관한 사항
참고서식		[붙임5] 개인정보 내부관리 계획 가이드

30
분 야		3. 개인정보의 안전한 관리
점검영역		3.2 접근권한 관리 및 접근통제
자율점검내용		3.2.1 시스템에 대한 접근권한을 필요 최소한의 범위로 업무담당자에 따라(1인 1계정) 차등 부여하였는가?
선택사항		[양호] 시스템에 대한 접근 권한을 업무 담당자에 따라 차등 부과한 경우 [개선필요] 시스템에 대한 접근 권한을 업무 담당자에 따라 차등 부과하지 않은 경우
설 명		개인정보처리시스템 : 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다. 다만 소상공인 또는 중소사업자가 내부 직원의 개인정보만을 보유한 시스템은 제외하며, 개인정보 관련 업무를 외부 업체에 맡겼을 경우에는 개인정보처리시스템에 대한 부분을 문의, 업체에서 해당 업무를 처리하고 있는지 여부를 확인할 필요가 있음.
참고서식

31
분 야		3. 개인정보의 안전한 관리
점검영역		3.2 접근권한 관리 및 접근통제
자율점검내용		3.2.3 안전한 비밀번호 작성규칙을 적용하고 있는가?
선택사항		[양호] 안전한 비밀번호 작성규칙을 적용한 경우 [개선필요] 안전한 비밀번호 작성규칙을 미적용한 경우
설 명		특수문자, 영문대･소문자, 숫자를 포함하여 8자리 이상으로 비밀번호를 작성하여야 하며, 2가지 조합으로만 작성할 경우 10자리 이상으로 작성하는 것이 원칙임.
참고서식

32
분 야		3. 개인정보의 안전한 관리
점검영역		3.2 접근권한 관리 및 접근통제
자율점검내용		3.2.6 P2P, 웹하드 등 비 인가프로그램의 접속을 차단하고 있는가?
선택사항		[양호] 공유설정이 안되어 있고 침입차단시스템이 운영되고 있는 경우 [개선필요] 침입차단시스템이 운영되지 않는 경우
설 명		개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정, 공개된 무선망 이용 등을 통하여 열람권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 업무용 컴퓨터 및 모바일 기기 등에 조치를 하여야 함. - 윈도우즈의 경우 시작-제어판-성능 및 유지관리-관리도구-컴퓨 터관리의 공유폴더가 있는지 확인 - 공개된 무선망 : 불특정 다수가 무선접속장치(AP)를 통하여 인터넷을 이용할 수 있는 망을 말한다. 치과의원 내 네트워크에 대해 공유기 등을 이용하는 경우 암호를 입력해야 접속할 수 있는지 확인하면 됨.
참고서식

33
분 야		3. 개인정보의 안전한 관리
점검영역		3.2 접근권한 관리 및 접근통제
자율점검내용		3.2.7 인터넷 홈페이지의 개인정보 노출 방지를 위한 보안조치를 실시하고 있는가?
선택사항		[양호] 홈페이지 개인정보 노출진단 년1회 이상 수행 및 점검에 따른 후속조치가 이행되는 경우 [해당없음] 홈페이지를 운영하지 않는 경우 [개선필요] 홈페이지 개인정보 노출진단만 시행한 경우 및 개인정보 노출진단을 미시행한 경우
설 명		심평원 홈페이지 요양기관 정보화지원 ‘홈페이지 개인정보 노출진단 서비스’를 이용하여 진행하는 것이 효율적임.
참고서식

34
분 야		3. 개인정보의 안전한 관리
점검영역		3.3 개인정보 암호화
자율점검내용		3.3.1 개인정보 암호화계획을 수립하고 있는가?
선택사항		[양호] 개인정보처리 시스템에 암호화가 적용되어 있는 경우 [개선필요] 개인정보처리 시스템에 암호화가 적용되지 않은 경우
설 명		개인정보처리 시스템을 구입한 업체에 암호화에 대한 증빙자료를 요청하면 됨. 치과병·의원 자체 개발 개인정보처리 시스템을 사용하는 경우에는 개발사와 협의하여 증빙자료를 구성해야 함.
참고서식

35
분 야		3. 개인정보의 안전한 관리
점검영역		3.3 개인정보 암호화
자율점검내용		3.3.2 컴퓨터(PC)에 저장된 개인정보는 별도로 암호화하고 있는가?
선택사항		[양호] 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후에 저장한 경우 [개선필요] 암호화 하지 않은 상태에서 저장한 경우
설 명		[설명] 개인정보처리자는 업무용 컴퓨터 또는 모바일 기기에 고유식별정보를 저장하여 관리하는 경우 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후에 저장하여야 함.
참고서식

36
분 야		3. 개인정보의 안전한 관리
점검영역		3.5 보안프로그램 설치운영
자율점검내용		3.5.1 개인정보처리시스템에 백신 프로그램 등의 최신의 보안 프로그램을 설치하여 관리하고 있는가?
선택사항		[양호] 개인정보처리시스템에 보안프로그램이 설치되어 있는 경우 [개선필요] 개인정보처리시스템에 보안프로그램이 설치되어 있지 않는 경우
설 명		정품 백신 프로그램을 구입하여 제반 세금계산서, 영수증 등을 정리하여 보관하여야 증빙자료로 활용할 수 있음. - 보안 프로그램 계약서가 있을 경우에는 함께 보관토록 함.
참고서식

37
분 야		3. 개인정보의 안전한 관리
점검영역		3.5 보안프로그램 설치운영
자율점검내용		3.5.2 보안 프로그램을 정기적(일 1회 이상)으로 업데이트 하는가?
선택사항		[양호] 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일1회 이상 업데이트를 실시하여 최신의 상태로 유지한 경우 [개선필요] 정기적으로 업데이트 하지 않는 경우
설 명		보안 프로그램을 구입하여 자동 업데이트 기능을 사용하는 것이 치과 업무에 지장을 주지 않는 효율적인 방안임.
참고서식

38
분 야		3. 개인정보의 안전한 관리
점검영역		3.6 물리적 접근방지
자율점검내용		3.6.1 전산실, 자료보관실 등 물리적 보관 장소에 대한 출입통제절차를 수립하여 운영하고 있는가?
선택사항		[양호] 개인정보를 보관하고 있는 전산실, 자료보관실에 대한 출입통제 절차를 수립하고, 관리대장으로 관리하고 있는 경우 [개선필요] 출입통제 절차 및 관리대장이 없는 경우
설 명		출입관리 대장을 비치하고 출입 시 기록하도록 하여야 함.
참고서식		[붙임11] 출입관리 대장

39
분 야		3. 개인정보의 안전한 관리
점검영역		3.6 물리적 접근방지
자율점검내용		3.6.2 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하고 있는가?
선택사항		[양호] 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 장소에 보관하는 경우 [개선필요] 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 장소에 보관하지 않는 경우
설 명		개인정보가 포함된 서류(진료 차트)는 외부에서 손쉽게 접근하는 것을 차단하는 것이 필수적이기 때문에 시건장치(자물쇠 등)를 마련하여야 함. - 진료 차트가 보관되어 있는 곳에 유리문, 자바라 칸막이 등을 이용하여 외부 접근을 차단하여야 함.
참고서식

40
분 야		3. 개인정보의 안전한 관리
점검영역		3.7 개인정보 처리방침의 수립 및 공개
자율점검내용		3.7.1 개인정보처리방침을 수립하고 있는가?
선택사항		[양호] 개인정보처리방침 수립 확인이 이행된 경우 [개선필요] 개인정보처리방침을 수립하였으나 필수항목이 누락된 경우 및 개인정보처리방침이 없는 경우
설 명		다음 각 호의 사항이 포함된 개인정보처리방침을 정하여야 한다. (필수 8항목) ① 개인정보의 처리목적 ② 개인정보의 처리 및 보유기간 ③ 개인정보의 제3자 제공에 관한사항(해당 시) ④ 개인정보처리의 위탁에 관한사항(해당 시) ⑤ 정보주체의 권리・의무 및 그 행사방법에 관한사항 ⑥ 처리하는 개인정보의 항목 ⑦ 개인정보의 파기에 관한사항 ⑧ 개인정보 안전성 확보조치에 관한 사항 ⑨ 개인정보보호 책임자 지정 ⑩ 개인정보 처리방침의 변경이력
참고서식		[붙임12] 개인정보처리방침

41
분 야		3. 개인정보의 안전한 관리
점검영역		3.7 개인정보 처리방침의 수립 및 공개
자율점검내용		3.7.2 개인정보처리방침을 홈페이지 등에 공개하고 있는가?
선택사항		[양호] 개인정보처리방침을 홈페이지 등에 공개하는 경우 [개선필요] 개인정보처리방침을 홈페이지 등에 공개하지 않는 경우
설 명		심평원 홈페이지 요양기관 정보화지원 개인정보 처리업무 참고서식 자료실 ‘22. 개인정보 보호 관리’ 참조 ■ 개인정보처리방침은 홈페이지가 있는 경우 홈페이지에 공개하고, 홈페이지가 없는 경우 원내 접수대 등 내원 환자가 잘 볼 수 있는 곳에 공개하면 됨.
참고서식

42
분 야		3. 개인정보의 안전한 관리
점검영역		3.8 개인정보보호책임자의 지정
자율점검내용		3.8.1 개인정보보호책임자가 지정되고 그 역할이 정의되어 있는 가?
선택사항		[양호] 개인정보 보호책임자 지정 및 역할이 정의되어 있는 경우 [개선필요] 개인정보 보호책임자 지정요건이 맞지 않는 경우 및 개인정보 보호책임자가 지정되어 있지 않는 경우
설 명		규모가 크지 않은 병･의원은 개설자로 되어 있는 원장이 개인정보보호책임자로 되는 것이 일반적이나, 스탭 중에서 개인정보보호에 대해 책임질 수 있는 권한과 위치에 있는 직원에게 위임할 수 있음.
참고서식

43
분 야		3. 개인정보의 안전한 관리
점검영역		3.8 개인정보보호책임자의 지정
자율점검내용		3.8.2 개인정보보호 전담조직과 적정인력을 운영하고 있는가?
선택사항		[양호] 개인정보보호 전담조직 구성 및 전담인력이 확보된 경우 [개선필요] 전담조직과 전담인력이 확보되지 않은 경우
설 명		전담인력이 없을 경우에는 현재 근무하고 있는 스탭 등을 활용하여 업무 분장표를 작성토록 함. 종합병원급은 전담인력을 2명 이상, 병원급 이하는 전담인력을 1명 이상으로 구분
참고서식

44
분 야		3. 개인정보의 안전한 관리
점검영역		3.8 개인정보보호책임자의 지정
자율점검내용		3.8.3 개인정보 보호책임자는 교육 및 관리・감독 등 역할을 수행하고 있는가?
선택사항		[양호] 개인정보보호책임자가 교육 및 관리･감독 활동을 하는 경우 [개선필요] 개인정보보호책임자가 교육 및 관리･감독 활동을 하지 않는 경우
설 명		개인정보 보호책임자 역할 개인정보보호 책임자는 기관(사업자)의 개인정보보호 총괄 업무를 수행할 수 있도록 분야별 전문기술 교육뿐만 아니라 개인정보보호 관련 법률 및 제도, 사내 규정 등을 알고 있어야 한다.
참고서식

45
분 야		3. 개인정보의 안전한 관리
점검영역		3.8 개인정보보호책임자의 지정
자율점검내용		3.8.4 개인정보보호 활동을 수행하는데 필요한 예산을 반영하고 있는가?
선택사항		[양호] 개인정보보호 업무를 추진할 수 있는 예산을 반영한 경우 [개선필요] 관련 예산이 미반영 된 경우
설 명		규모가 적은 기관은 관련 예산을 사전에 산정하기가 어려운 경우가 있을 수 있으므로, - 업무용 PC, 서버 등에 관련 제품을 구입하여 설치･운영하는 경우에는 백신S/W 구입 비용 등을 포함, 세금계산서 등을 정리하여 준비토록 함.
참고서식

46
분 야		3. 개인정보의 안전한 관리
점검영역		3.9 개인정보 유출방지 등
자율점검내용		3.9.1 개인정보 노출방지를 위한 모니터링 및 정기점검을 실시하고 있는가?
선택사항		[양호] 모니터링 및 정기점검을 실시하는 경우 [개선필요] 모니터링 및 정기점검을 실시하지 않는 경우
설 명		■ 일시를 정하여 정기적인 점검을 진행하며, 점검 일시를 문서화 하여 컴퓨터 등에 보관하여야 하며, 점검 대상은 업무용 PC와 홈페이지 등이 해당됨. 발견된 취약점은 보완해야 함. ■ PC점검 방법은 백신 등에 개인정보 관련 기능을 활용하거나 개인정보 노출진단 프로그램을 통해서 점검해야 함. ■ 홈페이지 점검방법 - 심평원 홈페이지 요양기관 정보화지원 ‘홈페이지 개인정보 노출진단 서비스’를 이용하여 진행하는 것이 효율적임.
참고서식

참고1		표준 서식

[붙임1] 개인정보 수집・이용 동의서(예시)

[붙임2] 개인정보 제3자 제공 동의서(예시)

[붙임3] 개인정보 처리 위탁 계약서(예시)

[붙임4] 영상정보처리기기 설치 안내판(예시)

[붙임5] 개인정보 내부관리 계획 가이드

[붙임6] 민감정보 처리 동의서(예시)

[붙임7] 위임장(예시)

[붙임8] 진료기록부 등 진료기록 연장 방법

[붙임9] 영상정보처리기기 운영·관리 방침(예시)

[붙임10] 개인영상정보 관리 대장

[붙임11] 출입관리 대장

[붙임12] 개인정보처리방침(예시)

[붙임1] 개인정보 수집・이용 동의서(예시)

개인정보 수집․이용 동의서(예시)

[의료기관명]은(는) 개인정보보호법 등 관련 법령상의 개인정보 보호 규정을 준수하며 [정보주체](예: 환자)의 개인정보 보호에 최선을 다하고 있습니다.   [의료기관명] 은(는)  개인정보보호법 제15조 및 같은 법 제22조에 근거하여, 다음과 같이 [수집․이용 목적 (예: 홈페이지 회원관리)]을(를) 위하여 개인정보를 수집․이용하는데 동의를 받고자 합니다.

1. 개인정보의 수집․이용 목적 : [예 : 홈페이지, 회원관리]

- 의료기관홈페이지 : www.○○○○.co.kr

2. 수집하는 개인정보의 항목 : [예 : ‣ 필수정보-ID, 비밀번호, 성명 ‣선택(부수)정보- 생년월일, 전화번호, 이메일주소, 관심정보 등]

* 필요한 최소한의 항목으로 작성

3. 개인정보의 보유 및 이용 기간 : [예 : 수집일(‘00.00.00.)로부터 3개월]

* 필요한 최소한의 기간으로 작성

4. 동의거부권 및 동의 거부에 따른 불이익 안내

: 본인은 위와 같이 개인정보를 수집․이용하는 데 대한 동의를 거부할 권리가 있습니다. 그러나 동의를 거부할 경우   [의료기관명] 에서 제공하는 [재화 또는 서비스의 명칭]을(를) 받을 수 없음을 참고하시기 바랍니다.

* 동의 거부에 따른 불이익이 없을 경우, 작성 하지 않아도 됨.

개인정보의 수집 및 이용에 동의하십니까?    □ 동의함    □ 동의하지 않음

그 밖에 개인정보 취급에 관한 자세한 사항은 홈페이지(http://www.○○○.○○.kr)에 공개하고 있는 “개인정보 처리방침”을 참고하시기 바랍니다.

년     월     일    성명 :        (인 또는 서명)

[의료기관명]  귀중

[붙임2] 개인정보 제3자 제공 동의서(예시)

개인정보 제3자 제공 동의서

[의료기관명]은(는) 개인정보보호법 등 관련 법령상의 개인정보 보호 규정을 준수하며 이용자의 개인정보 보호에 최선을 다하고 있습니다. [의료기관명]은(는)  개인정보보호법 제17조제1항제1호에 근거하여, 다음과 같이 [제공 목적 ]을(를) 위하여 개인정보를 제3자에게 제공하는데 동의를 받고자 합니다.

1. 개인정보를 제공받는 자 : [자연인은 성명, 법인 또는 단체는 그 명칭]

2. 개인정보를 제공받는 자의 개인정보 이용 목적 : (예: 처방 시 고려사항)

3. 제공하는 개인정보의 항목 :

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용기간 : [예 : 수집일(‘00.00.00.)로부터 3개월]

5. 동의거부권 및 동의 거부에 따른 불이익 안내

: [환자 성명]은(는) 위와 같이 개인정보를 제공하는 데 대한 동의를 거부할 권리가 있습니다. 그러나 동의를 거부할 경우  [제공받는 기관]에서 제공하는 [재화 또는 서비스의 명칭]을(를) 받을 수 없음을 참고하시기 바랍니다.     * 동의 거부에 따른 불이익이 없을 경우, 작성 하지 않아도 됨.

개인정보의 제3자 제공에 동의하십니까?    □ 동의함    □ 동의하지 않음

그 밖에 개인정보 취급에 관한 자세한 사항은 홈페이지(http://www.○○○.○○.kr)에 공개하고 있는 “개인정보 처리방침”을 참고하시기 바랍니다.

년     월     일    성명 :        (인 또는 서명)

[의료기관명] 귀중

본 표준 개인정보처리위탁 계약서는 「개인정보보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

개인정보처리위탁 계약서

OOO(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정자치부 예규 제25호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (          ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

1.

2.

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정자치부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․물리적･기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체 없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)	을 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)

[붙임3] 개인정보 처리 위탁 계약서(예시)

[붙임4] 영상정보처리기기 설치 안내판(예시)

○○ 병원은

범죄예방과 시설안전을 위해

영상정보처리기기를 운영하고 있습니다.

◎ 설치장소 및 대수 : 출입구 X대, 복도 X대

◎ 촬영범위 : 건물내부 출입구 근처 및 복도

◎ 촬영시간 : 24시간

◎ 관리책임자 : OO병원 OO처장 OOO

(전화 XX-XXX-XXXX)

[붙임5] 개인정보 내부관리 계획 가이드

개인정보 내부관리 계획 가이드

- 내부관리 계획은 일반적으로 아래와 같은 내용을 포함하여야 한다.

목 차

제1장 총칙

제1조(목적)

제2조(적용범위)

제3조(용어 정의)

제2장 내부관리계획의 수립 및 시행

제4조(내부관리계획의 수립 및 승인)

제5조(내부관리계획의 공표)

제3장 개인정보 보호책임자의 의무와 책임

제6조(개인정보 보호책임자의 지정)

제7조(개인정보 보호책임자의 의무와 책임)

제8조(개인정보취급자의 범위 및 의무와 책임)

제4장 개인정보의 기술적·관리적 안전조치

제9조(개인정보취급자 접근 권한 관리 및 인증)

제10조(비밀번호 관리)

제11조(접근통제)

제12조(개인정보의 암호화)

제13조(접근기록의 위‧변조 방지)

제14조(보안프로그램의 설치 및 운영)

제15조(물리적 접근제한)

제5장 개인정보 보호 교육

제16조(개인정보 보호 교육 계획의 수립)

제17조(개인정보 보호 교육의 실시)

제6장 개인정보 침해대응 및 피해구제

제18조(권익침해 구제방법)

제1장 총칙

제1조(목적)

개인정보 보호 내부관리계획은 개인정보보호법 제29조(안전조치의무) 내부관리계획의 수립 및 시행 의무에 따라 제정된 것으로 OOO 가(이) 취급하는 개인정보를 체계적으로 관리하여 개인정보가 분실, 도난, 누출, 변조, 훼손, 오․남용 등이 되지 아니하도록 함을 목적으로 한다.

제2조(적용범위)

본 계획은 홈페이지 등의 온라인을 통하여 수집, 이용, 제공 또는 관리되는 개인정보뿐만 아니라 오프라인(서면, 전화, 팩스 등)을 통해 수집, 이용, 제공 또는 관리되는 개인정보에 대해서도 적용되며, 이러한 개인정보를 취급하는 내부 임직원 및 외부업체 직원에 대해 적용된다.

제3조(용어 정의)

1. “개인정보”라 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.

2. “처리”란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

3. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

4. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

5. “개인정보 보호책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 법 제31조에 따른 지위에 해당하는 자를 말한다.

6. “개인정보 보호담당자”란 개인정보책임자가 업무를 수행함에 있어 보조적인 역할을 하는 자를 말하며 개인정보 보호 책임자가 일정 요건의 자격을 갖춘 이를 지정한다.

7. “개인정보취급자”란 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 자를 말한다.

8. “개인정보처리시스템”이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다.

9. “영상정보처리기기”란 폐쇄회로텔레비전(CCTV), 네트워크카메라 등 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유․무선망을 통하여 전송하는 일체의 장치를 말한다.

10. “개인영상정보”라 함은 영상정보처리기기에 의하여 촬영․처리되는 영상정보 중 개인의 초상, 행동 등 사생활과 관련된 영상으로서 해당 개인의 동일성 여부를 식별할 수 있는 정보를 말한다.

11. “영상정보처리기기 운영자”라 함은 개인정보보호법 제25조제1항 각호에 따라 영상정보처리기기를 설치․운영하는 자를 말한다.

12. “영상정보 보호책임자”라 함은 개인영상정보의 처리에 관한 업무를 총괄해서 책임지는 자로서, 표준지침 제41조에 따라 영상정보처리기기 운영자가 지정한 자를 말한다.

제2장(내부관리계획의 수립 및 시행)

제4조(내부관리계획의 수립 및 승인)

① 개인정보 보호책임자는 OOO의 개인정보 보호를 위한 전반적인 사항을 포함하여 내부관리계획을 수립한다.

② 개인정보 보호책임자는 개인정보 보호를 위한 내부관리계획의 수립 시 개인정보 보호와 관련한 법령 및 관련 규정을 준수하도록 내부관리계획을 수립한다.

③ 개인정보 보호책임자는 개인정보 보호담당자가 수립한 내부관리계획의 타당성을 검토하여 개인정보 보호를 위한 내부관리계획을 승인한다.

④ 개인정보 보호담당자는 개인정보 보호 관련 법령의 제․개정 사항 등을 반영하기 위하여 매년 11월말까지 내부관리계획의 타당성과 개정 필요성을 검토한다.

⑤ 개인정보 보호담당자는 모든 항목의 타당성을 검토한 후 개정할 필요가 있다고 판단되는 경우 12월말까지 내부관리계획의 개정안을 작성하여 개인정보 보호책임자에게 보고하고 개인정보 보호책임자의 승인을 받아야 한다.

제5조(내부관리계획의 공표)

① 개인정보 보호책임자는 전조에 따라 승인한 내부관리계획을 매년 1월말까지 OOO 전 임직원에게 공표한다.

② 내부관리계획은 임직원이 언제든지 열람할 수 있는 방법으로 비치하여야 하며, 변경사항이 있는 경우에는 이를 공지한다.

제3장 개인정보 보호책임자의 의무와 책임

제6조(개인정보 보호책임자의 지정)

① OOO 는(은) 개인정보보호법 시행령 제32조제2항1호에 따라 해당하는 지위에 있는 자를 개인정보 보호책임자로 임명한다.

1. 해당 기관의 행정사무를 총괄하는 사람

2. 개인정보와 관련하여 고객의 고충처리를 담당하는 부서의 장

제7조(개인정보 보호책임자의 의무와 책임)

① 개인정보 보호책임자는 정보주체의 개인정보 보호를 위하여 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용‧남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리 감독

7. 법 제30조에 따른 개인정보 처리방침의 수립‧변경 및 시행

8. 개인정보 보호 관련 자료의 관리

9. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

② 개인정보 보호책임자는 업무를 수행함에 있어서 필요한 경우 개인정보 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

③ 개인정보 보호책임자는 개인정보 보호와 관련하여 이법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고한다.

제8조(개인정보취급자의 범위 및 의무와 책임)

① 개인정보취급자의 범위는 다음과 같다.

1. OOO 내에서 정보주체의 개인정보를 처리하는 업무를 수행하는 자를 말하며, 정규직 이외에 임시직, 파견근로자, 시간제근로자 등 포함될 수 있다.

② 개인정보취급자의 의무와 책임

1. 내부관리계획의 준수 및 이행

2. 개인정보의 기술적‧관리적 보호조치 기준 이행

3. 업무상 알게 된 개인정보를 제3자에게 제공하지 않음

제4장 개인정보의 기술적․관리적 보호조치

제9조(개인정보취급자 접근권한 관리 및 인증)

① 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여한다.

② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 하며, 또한 비밀유지의무 등에 대한 서약서를 받는다.

③ 개인정보처리자는 제1항, 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.

④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 한다.

⑤ 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망 또는 전용선 등 안전한 접속수단을 적용한다.

제10조(비밀번호 관리)

① 개인정보처리자는 개인정보취급자 또는 정보주체가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자나 개인관련 정보를 패스워드로 이용하지 않도록 비밀번호 작성규칙을 수립하고, 이를 적용 및 운용한다.

② 개인정보처리자는 비밀번호에 적정한 기간의 유효기간(반기별 1회 이상)을 설정한다.

제11조(접근통제)

① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 시스템을 설치‧운영한다.

1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가받지 않은 접근을 제한

2. 개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지

② 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 컴퓨터에 조치를 취하여야 한다.

제12조(개인정보의 암호화)

① 개인정보처리자는 주민등록번호, 비밀번호, 바이오정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다. 단, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장한다.

② 개인정보처리자는 정보주체의 개인정보를 정보통신망을 통하여 송‧수신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화 한다.

③ 개인정보처리자는 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 고유식별정보를 저장하는 경우에는 이를 암호화 한다.

④ 개인정보처리자 또는 개인정보취급자는 정보주체의 개인정보를 업무용 컴퓨터(PC)에 저장할 때에는 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화 저장한다.

제13조(접속기록의 위‧변조 방지)

① 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 6개월 이상 보관한다.

② 개인정보처리자는 개인정보취급자의 접속기록이 위‧변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관한다.

제14조(보안프로그램 설치 및 운영)

① 개인정보처리자는 개인정보처리시스템 또는 업무용 컴퓨터에 악성 프로그램 등을 방지‧치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치‧운영한다.

② 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일 1회 이상 업데이트를 적용 한다.

③ 악성 프로그램관련 경보가 발령된 경우 또는 사용 중인 응용프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 적용한다.

제15조(물리적 접근제한)

① 개인정보처리자는 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립․운영한다.

② 개인정보처리자는 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관한다.

③ 개인정보처리자는 물리적 접근방지를 위한 별도의 보호시설에 출입하거나 개인정보를 열람하는 경우, 그 출입자에 대한 출입사실 및 열람 내용에 관한 관리대장을 작성한다.

제5장 개인정보 보호 교육

제16조(개인정보 보호 교육 계획의 수립)

① 개인정보 보호책임자는 다음 각 호의 사항을 포함하는 연간 개인정보 보호 교육계획을 매년 12월말까지 수립한다.

1. 교육목적 및 대상

2. 교육내용

3. 교육 일정 및 방법

② 개인정보 보호책임자는 수립한 개인정보 보호 교육 계획을 실시한 이후에 교육의 성과와 개선 필요성을 검토하여 차년도 교육계획 수립에 반영한다.

제17조(개인정보 보호 교육의 실시)

① 개인정보 보호책임자는 정보주체 정보보호에 대한 직원들의 인식제고를 위해 노력해야 하며,  개인정보의 오․남용 또는 유출 등을 적극 예방하기 위해 임․직원을 대상으로 매년 정기적으로 연2회 이상의 개인정보 보호 교육을 실시한다.

② 연2회의 정기 교육은 상반기에 1회, 하반기에 1회 실시한다.

③ 교육 방법은 집체 교육뿐만 아니라, 인터넷 교육, 그룹웨어 교육 등 다양한 방법을 활용하여 실시하고, 필요한 경우 외부 전문기관이나 전문요원에 위탁하여 교육을 실시한다.

④ 개인정보 보호에 대한 중요한 전파 사례가 있거나 개인정보 보호 업무와 관련하여 변경된 사항이 있는 경우, 개인정보 보호책임자는 부서 회의 등을 통해 수시 교육을 실시할 수 있다.

제6장 개인정보 침해대응 및 피해구제

제18조 (개인정보 유출 등의 통지)

① 〇〇〇은 개인정보가 유출되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사실을 알려야 한다.

1. 유출된 개인정보의 항목

2. 유출된 시점과 그 경위

3. 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 〇〇〇의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

② 〇〇〇은 개인정보가 유출된 경우 그 피해를 최소화하기 위하여 침해사고 대응팀을 구성하고 필요한 조치를 한다.

제19조 (개인정보 유출 등의 신고)

① 〇〇〇은 1만명 이상의 개인정보가 유출된 경우에는 본 계획 제18조에 따른 통지 및 조치 결과를 지체 없이 행정자치부장관 또는 대통령령으로 정하는 전문기관(한국정보화진흥원, 한국인터넷진흥원)에 신고하여야 한다. 이 경우 행정자치부장관 또는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.

② 개인정보 유출에 따른 통지의 시기, 방법 및 절차 등에 관하여 필요한 사항은 아래와 같다.

1. 〇〇〇은 개인정보가 유출되었음을 알게 되었을 때에는 서면 등의 방법으로 지체 없이 제18조 각 호의 사항을 정보주체에게 알려야 한다. 다만, 유출된 개인정보의 확산 및 추가 유출을 방지하기 위하여 접속경로의 차단, 취약점 점검·보완, 유출된 개인정보의 삭제 등 긴급한 조치가 필요한 경우에는 그 조치를 한 후 지체 없이 정보주체에게 알릴 수 있다.

2. 〇〇〇은 구체적인 유출 내용(시점 및 경위)을 확인하지 못한 경우에는 먼저 개인정보가 유출된 사실과 유출이 확인된 사항만을 서면 등의 방법으로 먼저 알리고 나중에 확인되는 사항을 추가로 알릴 수 있다.

3. 1만명 이상의 정보주체에 관한 개인정보가 유출된 경우에는 서면 등의 방법과 함께 인터넷 홈페이지에 정보주체가 알아보기 쉽도록 정보를(①유출된 개인정보의 항목, ②유출된 시점과 그 경위, ③유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, ④〇〇〇의 대응조치 및 피해 구제절차, ⑤정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처) 7일 이상 게재하여야 한다.

[붙임6] 민감정보 처리 동의서(예시)

민감정보 처리 동의서

[의료기관명] 은(는) 개인정보보호법 등 관련 법령상의 개인정보 보호 규정을 준수하며 회원의 개인정보 보호에 최선을 다하고 있습니다.   [의료기관명] 은(는)  개인정보보호법 제23조제1호에 근거하여, 다음과 같이 민감정보를 수집․이용하는데 동의를 받고자 합니다.

1. 민감정보의 수집․이용목적 :

2. 수집하려는 민감정보의 항목 : [예 : 질병, 병력, 유전정보 등 ]

3. 민감정보의 보유 및 이용기간 :

5. 동의거부권 및 동의 거부에 따른 불이익 안내

: [환자 성명]은(는) 위와 같이 민감정보를 수집․이용하는 데 대한 동의를 거부할 권리가 있습니다. 그러나 동의를 거부할 경우  [의료기관명] 에서 제공하는 [재화 또는 서비스의 명칭]을(를) 받을 수 없음을 참고하시기 바랍니다.     * 동의 거부에 따른 불이익이 없을 경우, 작성 하지 않아도 됨.

민감정보의 수집․이용에 동의하십니까?  □ 동의함   □ 동의하지 않음

그 밖에 개인정보 취급에 관한 자세한 사항은 홈페이지(http://www.○○○.○○.kr)에 공개하고 있는 “개인정보 처리방침”을 참고하시기 바랍니다.

년     월     일    성명 :        (인 또는 서명)

[의료기관명] 귀중

[붙임7] 위임장(예시)

위 임 장
위임받는 자	성명			전 화 번 호
	생년월일			정보주체와의 관계
	주소
위임자	성명			전화번호
	생년월일
	주소
「개인정보 보호법」 제38조제1항에 따라 위와 같이 개인정보의 (□열람, □정정․삭제, □처리정지)의 요구를 위의 자에게 위임합니다.
년 월 일
위임자			(서명 또는 인)
○○○○○○○장		귀하
210mm× 297mm[인쇄용지(특급) 34g/㎡]

[붙임8] 진료기록부 등 진료기록 연장 방법

의료기관에서는 진료정보에 대해 의료법에 명시된 보존기간이 경과한 이후에도 계속 보관이 필요한 경우 매년 1회 이상 보존기간 연장여부 혹은 파기 여부를 결정할 수 있습니다.

단, 공공의료기관에 준하는 절차로 예를 들면, 의무기록심의회와 같은 내부 심의를 거쳐야합니다.(소규모 의료기관의 경우에는 보존기간 연장에 관한 내부 결재 과정을 거쳐야 합니다.) 또한, 전체 진료정보가 아닌 개별 진료정보(진료기록부, 처방전 등)별로 연장기간, 연장사유 등을 심의하여야 합니다.

연장기간은 진료정보가 과도한 기간 동안 보존되지 않도록 연장사유에 부합하는 최소한의 기간 동안 연장하여야 하며, 연장을 결정한 경우 연장 보존에 관한 사항을 의료기관 홈페이지나 의료기관 내부에 게시하는 것을 권고하고 있습니다.

또한 의료법에 명시된 보존기간이 경과한 진료정보에 대해 환자(정보주체)가 개인정보의 삭제를 요청하면 개인정보보호법에 따라 필요한 조치를 취한 후 그 결과를 정보주체에게 알려야 합니다.

종 류	보존기간
환자명부	5년
진료기록부	10년
처방전	2년
수술기록	10년
검사소견기록	5년
방사선사진 및 그 소견서	5년
간호기록부	5년
조산기록부	5년
진단서 등의 부본	3년

[붙임9] 영상정보처리기기 운영·관리 방침

【 영상정보처리기기 운영․관리 방침 】

본             (이하 본 기관이라 함)는 영상정보처리기기 운영․관리 방침을 통해 본 기관에서 처리하는 영상정보가 어떠한 용도와 방식으로 이용 관리되고 있는지 알려드립니다.

1. 영상정보처리기기의 설치 근거 및 설치 목적

본 기관은「개인정보 보호법」제25조 제1항에 따라 다음과 같은 목적으로 영상정보처리기기를 설치․운영 합니다.

- 시설안전 및 화재 예방

- 고객의 안전을 위한 범죄 예방

(주차장에 설치하는 경우)

- 차량도난 및 파손방지

※ 주차대수 30대를 초과하는 규모의 경우 「주차장법 시행규칙」제6조제1항을 근거로 설치․운영 가능

2. 설치 대수, 설치 위치 및 촬영범위

설치 대수	설치 위치 및 촬영 범위
00대	건물로비, 주차장 입구

3. 관리책임자 및 접근권한자

귀하의 영상정보를 보호하고 개인영상정보와 관련한 불만을 처리하기 위하여 아래와 같이 개인영상정보 보호책임자를 두고 있습니다.

	이름	직위	소속	연락처
관리책임자	홍길동		0000과	00-0000-0000
접근권한자

4. 영상정보의 촬영시간, 보관기간, 보관장소 및 처리방법

촬영시간	보관기간	보관장소
24시간	촬영일로부터 30일	000실 (보관시설 명)

- 처리방법 : 개인영상정보의 목적 외 이용, 제3자 제공, 파기, 열람 등 요구에 관한 사항을 기록․관리하고, 보관기간 만료 시 복원이 불가능한 방법으로 영구 삭제(출력물의 경우 파쇄 또는 소각)합니다.

5. 영상정보처리기기 설치 및 관리 등의 위탁에 관한 사항 (해당하는 경우만)

본 기관은 아래와 같이 영상정보처리기기 설치 및 관리 등을 위탁하고 있으며, 관계 법령에 따라 위탁계약 시 개인정보가 안전하게 관리될 수 있도록 필요한 사항을 규정하고 있습니다.

수탁업체	담당자	연락처
OO시스템	홍길동	02) 000-0000

6. 개인영상정보의 확인 방법 및 장소에 관한 사항

- 확인 방법 : 영상정보 관리책임자에게 미리 연락하고 본 기관을 방문하시면 확인 가능합니다.

- 확인 장소 : OO부서 OO팀

7. 정보주체의 영상정보 열람 등 요구에 대한 조치

귀하는 개인영상정보에 관하여 열람 또는 존재확인․삭제를 원하는 경우 언제든지 영상정보처리기기 운영자에게 요구하실 수 있습니다. 단, 귀하가 촬영된 개인영상정보 및 명백히 정보주체의 급박한 생명, 신체, 재산의 이익을 위하여 필요한 개인영상정보에 한정됩니다.

본 기관은 개인영상정보에 관하여 열람 또는 존재확인․삭제를 요구한 경우 지체 없이 필요한 조치를 하겠습니다.

8. 영상정보의 안전성 확보조치

본 기관에서 처리하는 영상정보는 암호화 조치 등을 통하여 안전하게 관리되고 있습니다. 또한 본 기관은 개인영상정보보호를 위한 관리적 대책으로서 개인정보에 대한 접근 권한을 차등부여하고 있고, 개인영상정보의 위․변조 방지를 위하여 개인영상정보의 생성 일시, 열람 시 열람 목적․열람자․열람 일시 등을 기록하여 관리하고 있습니다. 이 외에도 개인영상정보의 안전한 물리적 보관을 위하여 잠금장치를 설치하고 있습니다.

9. 개인정보 처리방침 변경에 관한 사항

이 영상정보처리기기 운영․관리방침은 2012년 O월 OO일에 제정되었으며 법령ㆍ정책 또는 보안기술의 변경에 따라 내용의 추가ㆍ삭제 및 수정이 있을 시에는 시행하기 최소 7일전에 본 기관 홈페이지를 통해 변경사유 및 내용 등을 공지하도록 하겠습니다.

- 공고일자 : 2015년 O월 OO일 / 시행일자 : 2012년 O월 OO일

[붙임10] 개인영상정보 관리 대장

개인영상정보 관리 대장

■        치과의원

연번	일시	요청자	요청내용	처리자	서명
1	ex) 2015. 9.18	홍길동	[열람] 본 치과의원 내에서 대기 중 지갑을 분실한 바, 해당 시간에 대한 CCTV 열람을 요청함.	김영희 (담당직원 이름 기재)	(처리자 서명)
2
3
4
5
6
7
8
9
10
11
12
13

[붙임11] 출입관리 대장

통제구역 출입관리대장

■        치과의원

연번	소속	직급	성명	용무	출입일시
1	ex) 총무국	대리	홍길동	OOO 환자 진료차트 열람	2015. 9.19
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

[붙임12] 개인정보처리방침

개인정보 처리방침(예시)

<치과의료기관명>(은)는 개인정보 보호법 제30조에 따라 정보주체(환자)의 개인정보를 보호하고 이와 관련한 고충을 신속하고 원활하게 처리할 수 있도록 하기 위하여 다음과 같이 개인정보 처리지침을 수립․공개합니다.

1. 개인정보의 처리목적 <치과의료기관명>은(는) 다음의 목적을 위하여 개인정보를 처리하고 있으며, 다음의 목적 이외의 용도로는 이용하지 않습니다.

- 환자의 치료와 보험청구 등의 업무 등

2. 개인정보의 처리 및 보유기간 ① <치과의료기관명>은(는) 정보주체로부터 개인정보를 수집할 때 동의받은 개인정보 보유․이용기간 또는 법령에 따른 개인정보 보유․이용기간 내에서 개인정보를 처리․보유합니다.

② 구체적인 개인정보 처리 및 보유 기간은 다음과 같습니다.

- 진료기록부 등 : 의료법에 명시된 기간까지

3. 개인정보의 제3자 제공 <치과의료기관명>은(는) 정보주체의 별도 동의, 법률의 특별한 규정 등 개인정보 보호법 제17조에 해당하는 경우 외에는 개인정보를 제3자에게 제공하지 않습니다.

4. 개인정보처리의 위탁 ① <치과의료기관명>은(는) 원활한 개인정보 업무처리를 위하여 다음과 같이 개인정보 처리업무를 외부에 위탁하고 있습니다.

- 개인정보처리 시스템 업체명

․위탁받는 자 (수탁자) : OO

․위탁하는 업무의 내용 : 환자의 정보 처리

② <치과의료기관명>은(는) 위탁계약 체결시 개인정보 보호법 제25조에 따라 위탁업무 수행목적 외 개인정보 처리금지, 재위탁 제한, 수탁자에 대한 관리․감독, 책임에 관한 사항을 문서에 명시하고, 수탁자가 개인정보를 안전하게 처리하는지를 감독하고 있습니다.

5. 정보주체의 권리․의무 및 행사방법 정보주체는 <치과의료기관명>에 대해 언제든지 다음 각 호의 개인정보 보호 관련 권리를 행사할 수 있습니다.

1. 개인정보 열람요구

2. 개인정보에 오류 등이 있을 경우 정정 요구

3. 삭제요구

4. 처리정지 요구

6. 처리하는 개인정보 항목 <치과의료기관명>은(는) 다음의 개인정보 항목을 처리하고 있습니다.

- 성명, 생년월일, 주소, 전화번호, 휴대전화번호, 성별 등 환자진료에 필요한 정보

7. 개인정보의 파기 ① <치과의료기관명>은(는) 개인정보 보유기간의 경과, 처리목적 달성 등 개인정보가 불필요하게 되었을 때에는 지체없이 해당 개인정보를 파기합니다.

② <치과의료기관명>은(는) 다음의 방법으로 개인정보를 파기합니다.

- 전자적 파일 : 파일 삭제 및 디스크 등 저장매체 포맷

- 수기(手記) 문서 : 분쇄하거나 소각

8. 개인정보의 안전성 확보조치 <치과의료기관명>은(는) 개인정보의 안전성 확보를 위해 다음과 같은 조치를 취하고 있습니다.

- 관리적 조치 : 내부관리계획 수립․시행, 직원․종업원 등에 대한 정기적 교육

- 기술적 조치 : 개인정보처리시스템(또는 개인정보가 저장된 컴퓨터)의 비밀번호 설정 등 접근권한 관리, 백신소프트웨어 등 보안프로그램 설치, 개인정보가 저장된 파일의 암호화

- 물리적 조치 : 개인정보가 저장․보관된 장소의 시건, 출입통제 등

9. 개인정보 보호책임자 <치과의료기관명>은(는) 개인정보 처리에 관한 업무를 총괄해서 책임지고, 개인정보 처리와 관련한 정보주체의 불만처리 및 피해구제를 처리하기 위하여 아래와 같이 개인정보 보호책임자를 지정하고 있습니다.

▶ 개인정보 보호책임자 (사업주 또는 대표자)

성명 : OOO          직책 : OOO

연락처 : <전화번호>, <이메일>, <팩스번호>

10. 개인정보 처리방침 변경 이 개인정보 처리방침은 2011. 9. 30.부터 적용됩니다.