개인정보 자율점검 미참여 약국 현장점검 대상에

• 약사회 "심평원 개인정보 자율점검 반드시 참여해달라"

약국이 개인정보보호 자율점검에 참여하지 않거나 부실하게 하면 현장점검을 받을 수 있어 주의가 필요하다.

이는 개인정보범죄 정부합동수사단의 환자 진료·처방정보 불법 수집판매 기소 이후 진행되는 정부 차원의 후속조치다.

개인정보보호 자율점검 서비스 흐름도

정부는 8만4275개 요양기관(보건기관, 조산소 제외) 모두를 자율점검 대상으로 지목했다.

대한약사회(회장 조찬휘)는 최근 요양기관 개인정보보호 자율점검 시행에 따른 안내 공문을 시도지부에 발송했다.

자율점검은 심평원에 구축된 '자율점검지원시스템(이하 지원시스템)'을 통해 진행된다.

그러나 개인정보보호 자율점검이 간단하지는 않아 필요한 경우 교육을 받을 수 있다.

심평원은 자율점검 지원시스템 사용방법에 대한 순회교육 일정도 공개했다. 심평원 지원시스템 사용교육은 10일부터 14일까지 신청(요양기관업무포탈 http://biz.hira.or.kr)하는 경우 교육을 받을 수 있다.

다만 자율점검 교육은 필수사항이 아니며 필요한 약국만 참여하면 된다.

지역별 개인정보보호 자율점검 교육 일정 및 장소

또한 약사회는 약국에서의 자율점검 수행을 지원하기 위해 약국점검목록(해설 포함)을 홈페이지(www.kpanet.or.kr)에 안내하기로 했다.

한편 자율점검을 진행하지 않으면 향후 복지부와 행자부의 현장점검 대상으로 분류돼 별도 관리된다.

개인정보보호 자율점검 필수 체크리스트

◆개인정보의 수집·이용(법 제15조)

- 온·오프라인 회원 가입 시 동의는 받고 있는가?

- 각종 게시판, 기타 개인정보 수집 시 동의 받고 있는가?

◆개인정보의 수집제한(법 제16조)

- 목적에 필요한 최소한의 개인정보 수집하고 있는가?

◆개인정보의 제공(법 제17조. 제18조)

- 제3자에게 개인정보 제공 및 목적 외 이용 시 정보주체의 별도 동의는 받고 있는가?

◆개인정보의 이용·제공제한(법 제18조)

- 개인정보 제공 시 제공 목적범위 내 이용, 안전조치 실시, 목적 달성 후 파기 등을 요청하고 있는가?

◆개인정보의 파기(법 제21조)

- 보유기관 경과, 처리목적 (제공받은 경우 제공받은 목적) 달성 후 지체 없이 개인정보는 파기하고 관리대장을 작성하여 관리하고 있는가?

◆동의를 받는 방법(법 제22조)

- 만14세 미만 아동의 개인정보를 수집하는 경우 법정대리인의 동의를 받고 있는가?

- 홍보 권유에 활용하기 위한 정보와 그렇지 않은 정보를 구분하여 동의를 받고 있는가?

◆ 민감정보의 처리제한(법 제24조)

- 고유식별정보의 수집 및 제공 시 개인정보 수집 동의와 별도로 구분하여 동의 받는가?

◆영상정보처리기기의 설치운영제한(법 제25조)

- 영상정보처리기기 운영·관리방침을 수립하고 있는가?

- 영상정보처리기기를 설치한 장소에 정보주체가 인지 할 수 있도록 필수 기재사항을 포함한 안내판을 설치하였는가?

- 개인영상정보에 대한 이용·제공·열람·파기 내역을 기록관리 하는가?

◆업무위탁에 따른 개인정보의 처리제한(법 제26조)

- 위탁 계약 시 문서(계약서)에 의한 계약을 하였는가?

◆개인정보 취급자에 대한 감독(법 제28조)

- 개인정보취급자에 대한 보안 서약서는 징구하였는가?

- 개인정보취급자 및 일반직원에 대한 정기적인 교육은 실시하였는가?

◆안전조치 의무(법 제29조)

- 내부관리계획을 수립하고 필수사항을 포함하고 있는가?

- 안전한 비밀번호 작성규칙을 적용하고 있는가?

- 개인정보 암호화계획을 수립하여 시행하고 있는가?

- 취급자의 접속기록을 최소 6개월 이상 보관하여 관리하고 있는가?

- 개인정보처리시스템에 백신프로그램 등 최신의 보안 프로그램을 설치하여 관리하고 있는가?

- 보안프로그램을 정기적(일 1회이상)으로 업데이트 하는가?

- 전산실, 자요보관실 등 물리적 보관 장소에 대한 출입통제절차를 수립 운영하고 있는가?

◆개인정보처리 방침의 수립 및 공개(법 제30조)

- 개인정보 처리방침을 홈페이지 등에 공개하고 있는가?

◆개인정보보호책임자의 지정(법 제31조)

- 개인정보보호책임자가 지정되고, 그 역할이 정의되어 있는가?