의료기관 개인정보보호 현황은?

최근 개최됐던 2014 의료기관 개인정보보호 및 정보보안 컨퍼런스에서 한국정보화진흥원 김두현 부장은 지난해 안전행정부와 개인정보보호위원회가 발표한 개인정보보호 실태조사 중 의료기관 현황에 대해 발표했다.



지난 2012년부터 2013년 6월까지 총 34개 의료기관을 대상으로 수집이용, 위탁관리, 안전조치 등을 중점 점검한 결과 전체 64.7%인 22개 기관에서 개인정보보호법을 위반한 것으로 조사됐으며, 이중 총 위반건수는 65건으로 위반 기관당 평균 3건에 달했다.



주요 위반 내용은 위탁시 분서에 포함할 사항을 누락했거나, 관리감독을 소홀히 한 것으로 집계됐다. 또한 접속기록 미보관, 저장시 암호화 미조치 등 안전성 확보조치 역시 부실한 것으로 나타났다.



지난해 발간된 보건복지포럼 11월호에 실린 ‘우리나라 의료기관의 개인정보 보호 인증제도 적용을 위한 정책과제’에 따르면 우리나라 의료기관의 개인정보 유‧노출 사건은 지난 2006년 부산 모 대학병원에서 사망자 주민번호 유출(대포폰 유통)을 시작으로 지속적으로 언론에 보도되고 있다.



2012년 8월엔 국립의료기관에서 환자 민감정보가 담긴 병력지를 이면지로 사용하는가 하면, 같은해 9월에는 600여 개 산부인과에서 의료기기 판매대행 업체에 환자 개인정보 23만건을 유출하기도 했다.



이처럼 의료기관에서 개인정보보호에 대한 인식 제고 및 환경 구축을 위해서는 개인정보보호 거버넌스 구축이 요구되고 있다.



개인정보보호 거버넌스는 기관(기업)의 업무에 있어 개인정보와 관련된 위험을 평가 및 관리하고, 환자(고객)의 개인정보 자기결정권을 보장하기위해 최고책임자의 역할과 책임을 명확히 하고 기관 내 개인정보보호 문화를 확산하기 위한 조직과 프로세스로 구성되는 것이 그 개념이다.



이날 김두현 부장은 의료기관 개인정보보호 거버넌스 실태에 대해서도 발표했는데, 의료보건분야는 48.2%가 개인정보보호 책임자를 지정하고 있어 민간 부문 평균 28.5%를 상회하였고, 개인정보보호 업무 담장자 역시 민간부문 평균 0.55명에 비해 평균 0.9명이 담당하고 있는 것으로 나타났다.



하지만 개인정보보호 예산은 민간부문 평균 353만원 지출에 비해 의료보건분야는 평균 326만원에 불과했다.



김 부장은 의료기관의 개인정보보호 거버넌스의 올바른 구현을 위한 5가지 절차를 소개했다.



제1단계는 ‘거버넌스 시작’으로 최고책임자의 도입 의지 표명 및 구현 결정을 통해 담당자의 역할 및 책임 정의하고, 중장기 비즈니스 목표에 대한 개인정보보호 거버넌스 하의 전략적 계획 및 목표 선정 등을 진행한다.



제2단계는 ‘분석’ 과정으로 개인정보보호 거버넌스 구현을 위한 조직을 구성, 위험분석 및 개인정보보호 성숙도 및 개인별 보호 수준 등을 진단하는 한편 구현하고자 하는 프로세스와의 차이 분석과 비즈니스 단계별 요구사항을 식별하는 단계다.



다음으로 제3단계 ‘구현’ 과정에서는 비즈니스 우선 순위에 따른 목표와 구현 대상 프로세스를 선정, 필요한 솔루션을 구축하고 개인정보보호 거버넌스 프로젝트 계획 수립한다.



제4단계 ‘수행’ 과정에서는 개인정보보호 거버넌스 프로세스와 솔루션을 개발하고 테스트·고도화·배치·운영 및 관리를 실시한다.



마지막 제5단계 ‘학습’ 과정에서는 운영죽인 개인정보보호 거버넌스 프로세스와 솔루션 분석 및 확인을 통해 핵심성과지표·핵심위험지표·핵심준수지표에 의한 성과 측정 및 성숙도를 평가하고 이에 따른 거버넌스 전략을 수정하는 것이다.