환자가 본인 처방 내역과 약제비 명세서를 팩스로 보내달라고 하여 개인정보보호법상 안된다고 말했더니 다른 약국은 보내줬는데 여기는 왜 안 보내주냐며 많은 시간동안 실랑이를 벌였습니다.
이후에 환자가 다시 연락이 와서 약 이름만 구두로 알려달라고 해서 유선상으로 약 이름만 불러주었습니다. 그런데 환자가 이렇게 본인 확인없이 어떻게 약 이름을 알려줄 수 있냐며 이것도 개인정보보호법 위반 아니냐며 신고한다고 합니다.
제가 개인정보보호법을 위반한 건가요? 처분을 받는다면 어떤 방식으로 진행되는 걸까요?
약사님의 건승을 기원합니다.
안녕하십니까 법무법인 서교 서동주 변호사라고 합니다.
약사님 질의 요지는 별도의 본인 확인 절차 없이 유선으로 환자 본인에게 처방받은 약의 이름을 전달한 것이 개인정보보호법법 위반에 해당하는지 여부에 관한 것으로 보입니다.
개인정보보호법에서는 정보주체의 개인정보 열람권에 대하여 규정하면서(법 제35조제1항), 열람절차는 개인정보처리자가 마련한 방법과 절차에 따르도록 하되(시행령 제41조제1항, 제2항 참고), 공공기관 이외의 개인정보처리자에 대하여는 구체적인 본인 확인 방식에 대해 따로 규정하지 않고 있는바(시행령 제46조 참고), 이 사건에서 환자 본인(정보주체)이 약사님(개인정보처리자)에게 처방받은 약의 이름(개인정보)을 묻는 것은 위와 같은 개인정보 열람권의 행사로 평가할 수 있고, 본인 확인 방식은 합리적이고 객관적이라고 인정되는 수준이면 족할 것으로 보입니다(개인정보 보호 법령 및 지침, 고시 해설 2020. 12. 참고).
|
개인정보보호법 제35조(개인정보의 열람) ① 정보주체는 개인정보처리자가 처리하는 자신의 개인정보에 대한 열람을 해당 개인정보처리자에게 요구할 수 있다. 개인정보 보호법 시행령 제41조(개인정보의 열람절차 등) ① 정보주체는 법 제35조제1항에 따라 자신의 개인정보에 대한 열람을 요구하려면 다음 각 호의 사항 중 열람하려는 사항을 개인정보처리자가 마련한 방법과 절차에 따라 요구하여야 한다. 1. 개인정보의 항목 및 내용 2. 개인정보의 수집ㆍ이용의 목적 3. 개인정보 보유 및 이용 기간 4. 개인정보의 제3자 제공 현황 5. 개인정보 처리에 동의한 사실 및 내용 ② 개인정보처리자는 제1항에 따른 열람 요구 방법과 절차를 마련하는 경우 해당 개인정보의 수집 방법과 절차에 비하여 어렵지 아니하도록 다음 각 호의 사항을 준수하여야 한다. 1. 서면, 전화, 전자우편, 인터넷 등 정보주체가 쉽게 활용할 수 있는 방법으로 제공할 것 2. 개인정보를 수집한 창구의 지속적 운영이 곤란한 경우 등 정당한 사유가 있는 경우를 제외하고는 최소한 개인정보를 수집한 창구 또는 방법과 동일하게 개인정보의 열람을 요구할 수 있도록 할 것 3. 인터넷 홈페이지를 운영하는 개인정보처리자는 홈페이지에 열람 요구 방법과 절차를 공개할 것 제46조(정보주체 또는 대리인의 확인) ① 개인정보처리자는 제41조제1항에 따른 열람, 제43조제1항에 따른 정정ㆍ삭제, 제44조제1항에 따른 처리정지 또는 법 제39조의7제1항에 따른 동의 철회 등의 요구(이하 이 조, 제47조 및 제48조에서 “열람등요구”라 한다)를 받았을 때에는 열람등요구를 한 사람이 본인이거나 정당한 대리인인지를 확인하여야 한다. ② 공공기관인 개인정보처리자가 「전자정부법」 제36조제1항에 따른 행정정보의 공동이용을 통하여 제1항에 따른 확인을 할 수 있는 경우에는 행정정보의 공동이용을 통하여 확인하여야 한다. 다만, 해당 공공기관이 행정정보의 공동이용을 할 수 없거나 정보주체가 확인에 동의하지 아니하는 경우에는 그러하지 아니하다. |
이러한 점을 종합하여 볼 때 약사님께서 미리 본인으로부터 전화번호 등 개인정보를 제공받아 보관하고 있었고, 유선으로 걸려 온 전화번호가 위와 같이 본인으로부터 제공받은 전화번호와 동일하다는 등 처방약에 관한 정보제공을 요구한 자가 약을 처방받은 본인이라 믿을 만한 사정이 존재했다면 일응 본인확인이 객관적이고 합리적인 방식으로 이행된 것이라 평가할 여지가 있을 것으로 보이고, 그렇다면 개인정보보호법을 위반하지는 않은 것으로 보입니다.
ps. 참고로 2023. 3. 14. 개정된 개인정보보호법에서는 정보주체의 ‘개인정보 전송요구권’에 관한 내용을 신설하였으나(제35조의2) 아직 시행되지 않고 있고, 구체적인 절차에 관한 위임입법도 미비한 상태입니다.
|
개인정보보호법 제35조의2(개인정보의 전송 요구) ① 정보주체는 개인정보 처리 능력 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대하여 다음 각 호의 요건을 모두 충족하는 개인정보를 자신에게로 전송할 것을 요구할 수 있다. 1. 정보주체가 전송을 요구하는 개인정보가 정보주체 본인에 관한 개인정보로서 다음 각 목의 어느 하나에 해당하는 정보일 것 가. 제15조제1항제1호, 제23조제1항제1호 또는 제24조제1항제1호에 따른 동의를 받아 처리되는 개인정보 나. 제15조제1항제4호에 따라 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 처리되는 개인정보 다. 제15조제1항제2호ㆍ제3호, 제23조제1항제2호 또는 제24조제1항제2호에 따라 처리되는 개인정보 중 정보주체의 이익이나 공익적 목적을 위하여 관계 중앙행정기관의 장의 요청에 따라 보호위원회가 심의ㆍ의결하여 전송 요구의 대상으로 지정한 개인정보 2. 전송을 요구하는 개인정보가 개인정보처리자가 수집한 개인정보를 기초로 분석ㆍ가공하여 별도로 생성한 정보가 아닐 것 3. 전송을 요구하는 개인정보가 컴퓨터 등 정보처리장치로 처리되는 개인정보일 것 ② 정보주체는 매출액, 개인정보의 보유 규모, 개인정보 처리 능력, 산업별 특성 등을 고려하여 대통령령으로 정하는 기준에 해당하는 개인정보처리자에 대하여 제1항에 따른 전송 요구 대상인 개인정보를 기술적으로 허용되는 합리적인 범위에서 다음 각 호의 자에게 전송할 것을 요구할 수 있다. 1. 제35조의3제1항에 따른 개인정보관리 전문기관 2. 제29조에 따른 안전조치의무를 이행하고 대통령령으로 정하는 시설 및 기술 기준을 충족하는 자 ③ 개인정보처리자는 제1항 및 제2항에 따른 전송 요구를 받은 경우에는 시간, 비용, 기술적으로 허용되는 합리적인 범위에서 해당 정보를 컴퓨터 등 정보처리장치로 처리 가능한 형태로 전송하여야 한다. ④ 제1항 및 제2항에 따른 전송 요구를 받은 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 법률의 관련 규정에도 불구하고 정보주체에 관한 개인정보를 전송하여야 한다. 1. 「국세기본법」 제81조의13 2. 「지방세기본법」 제86조 3. 그 밖에 제1호 및 제2호와 유사한 규정으로서 대통령령으로 정하는 법률의 규정 ⑤ 정보주체는 제1항 및 제2항에 따른 전송 요구를 철회할 수 있다. ⑥ 개인정보처리자는 정보주체의 본인 여부가 확인되지 아니하는 경우 등 대통령령으로 정하는 경우에는 제1항 및 제2항에 따른 전송 요구를 거절하거나 전송을 중단할 수 있다. ⑦ 정보주체는 제1항 및 제2항에 따른 전송 요구로 인하여 타인의 권리나 정당한 이익을 침해하여서는 아니 된다. ⑧ 제1항부터 제7항까지에서 규정한 사항 외에 전송 요구의 대상이 되는 정보의 범위, 전송 요구의 방법, 전송의 기한 및 방법, 전송 요구 철회의 방법, 전송 요구의 거절 및 전송 중단의 방법 등 필요한 사항은 대통령령으로 정한다. [본조신설 2023. 3. 14.] [시행일 미지정] 제35조의2 |
