동네 약국, 한의원, 치과, 안과, 피부과 등 의원급 소규모 의료기관은 대형 병원과 마찬가지로 개인정보보호법(PIPA) 의무를 집니다. 그러나 전담 법무·개인정보 담당자 없이 원장이 직접 모든 것을 처리하는 경우가 대부분입니다.
이 가이드는 병원 전문 IT 팀 없이 운영하는 소규모 의료기관 원장·원무 담당자를 위해 작성했습니다.
소규모 의료기관의 개인정보 특수성
의료기관이 처리하는 개인정보는 대부분 민감정보에 해당합니다.
| 처리 정보 | PIPA 분류 | |-----------|-----------| | 진단명, 처방 내역 | 건강정보 (민감정보) | | 치료 기록, 검사 결과 | 건강정보 (민감정보) | | 이름, 연락처, 주소 | 일반 개인정보 | | 주민등록번호 | 고유식별정보 | | 진료실 CCTV 영상 | 영상정보 |
민감정보는 별도 동의 없이는 처리 불가입니다. 단, 의료법에 따른 진료 목적 처리는 법령 근거로 별도 동의 없이 가능합니다.
진료 기록 관련 PIPA 의무
보관 기간
의료법이 PIPA보다 우선 적용됩니다.
| 기록 종류 | 의료법 보관 기간 | |-----------|----------------| | 환자 명부 | 5년 | | 진료 기록부 | 10년 | | 처방전 (약국 보관본) | 2년 | | 방사선 사진 (X-ray) | 5년 | | 수술 기록 | 10년 |
의료법상 의무 보관 기간이 끝난 후에는 즉시 파기가 원칙입니다.
환자의 진료 기록 열람 요청
환자(정보주체)는 자신의 진료 기록 열람을 요청할 수 있습니다.
열람 가능 범위:
- 자신의 진료 기록 전체
- 처방전 사본
열람 제한 가능 범위:
- 다른 환자의 정보가 포함된 경우
- 의료인이 작성한 순수 소견·판단 메모 (일부)
대리인 요청 시:
- 법정 대리인: 미성년 자녀의 진료 기록 열람 가능
- 위임 대리인: 위임장 + 환자·대리인 신분증 모두 확인
약국의 처방전 처리
처방전은 민감정보입니다
처방전에는 진단명이 명시되지 않더라도 약품명으로 건강 상태를 유추할 수 있습니다. 따라서 민감정보에 준하여 관리해야 합니다.
약국 처방전 PIPA 체크리스트:
- [ ] 처방전은 잠금 장치가 있는 곳에 보관 (디지털 또는 물리적)
- [ ] 2년 경과 후 파기 (의료법 기준)
- [ ] 파기 방법: 종이 처방전 — 파쇄기 사용 / 전자 파일 — 복구 불가능한 방식으로 삭제
- [ ] 처방전을 제약회사 영업사원에게 보여주거나 제공 금지
조제 이력 공유 금지
약사법상 허용된 경우 외에는 환자의 조제 이력을 타 기관, 보험사, 고용주에게 제공할 수 없습니다.
한의원·한약방의 민감정보 처리
한의원이 수집하는 체질 정보, 맥진 결과, 사상체질 분류 등은 건강정보에 해당하는 민감정보입니다.
건강 설문지 처리
초진 시 작성하는 건강 상태 설문지:
- 수집 목적: 진료 목적으로만 이용
- 보관: 진료 기록의 일부로 관리 (10년)
- 파기: 의료법 보관 기간 종료 후 즉시 파기
주의: 설문지를 마케팅 자료로 활용하거나, 제약 회사에 제공하는 것은 위반입니다.
진료실·대기실 CCTV
의료기관 CCTV는 일반 사업장과 동일한 규정이 적용되지만, 진료실·검사실에는 CCTV를 설치할 수 없습니다.
설치 가능 구역
- ✅ 대기실
- ✅ 복도, 계단
- ✅ 출입구 (도난 방지 목적)
- ❌ 진료실 (환자 신체 노출 가능)
- ❌ 탈의 공간
- ❌ 화장실
안내판 필수 게시
설치된 CCTV마다 안내판이 있어야 합니다.
[CCTV 설치 안내판 기재 사항]
- 설치 목적: 시설 안전 및 도난 방지
- 설치 위치: 대기실 천장 (예시)
- 촬영 시간: 08:00~20:00
- 보관 기간: 30일
- 관리 책임자: 원장 홍길동 / 000-0000-0000
마케팅 문자·카카오 메시지 동의
재진 예약 안내, 건강검진 권유, 시술 할인 안내 등을 문자로 발송하려면 별도 마케팅 수신 동의가 필요합니다.
동의 없이 발송 가능한 경우
- 예약 확인 및 변경 안내
- 처방전 준비 완료 안내 (환자가 요청한 경우)
동의 필요한 경우
- 건강검진 주기 안내 ("6개월 검진 시기입니다")
- 시술·상품 할인 프로모션 안내
- 신규 치료 서비스 소개
동의 취득 방법: 초진 동의서에 마케팅 수신 동의 항목을 분리하여 선택적으로 체크받는 것이 가장 일반적입니다.
개인정보처리방침 비치 의무
연간 5만 명 이상의 정보주체를 처리하는 의료기관이라면 처리방침을 홈페이지에 공개해야 합니다. 홈페이지가 없는 경우 원내 게시판에 비치하거나 환자에게 교부합니다.
처리방침 필수 포함 사항:
- 수집하는 개인정보 항목 및 수집 목적
- 보유 기간 (의료법 기준 명시)
- 제3자 제공 현황 (건강보험공단, 보험사 청구 등)
- 개인정보 보호책임자 (원장 정보로도 가능)
- 권리 행사 방법
직원 개인정보 처리
원무 직원, 간호조무사 등 직원의 개인정보도 관리해야 합니다.
근로계약서 보관: 퇴직 후 3년 (근로기준법)
CCTV 열람 제한: 직원이 촬영된 영상은 직원 본인도 열람 청구 가능
급여 정보 보안: 급여 명세서는 직원 본인 외 열람 금지
소규모 의료기관 최소 준수 체크리스트
규모가 작더라도 다음은 반드시 갖춰야 합니다.
- [ ] 개인정보처리방침 게시 (홈페이지 또는 원내 비치)
- [ ] 진료 기록 잠금 관리 (EMR 접근 권한 최소화)
- [ ] 처방전 파쇄 절차 수립
- [ ] CCTV 안내판 게시
- [ ] 마케팅 문자 발송 시 수신 동의 확인
- [ ] 직원 대상 연 1회 개인정보 교육 실시
PIPAGuard로 의원급 PIPA 준수 점검하기
개인정보처리방침 게시 여부, CCTV 안내판, 마케팅 동의 기재 현황을 자동으로 확인할 수 있습니다.