실제 이전 형태에 따른 처리 근거
외국인 환자 정보를 국외로 이전하기 전에는 제공·조회·처리위탁·보관의 실제 형태에 맞는 국외 이전 근거를 확인해야 합니다. 별도 동의와 계약 이행에 필요한 처리위탁·보관의 공개·알림 조건을 구분해 대조하되, 처리방침에 기재했다는 이유만으로 모든 이전이 가능하다고 판단해서는 안 됩니다.
개인정보보호위원회의 개인정보 처리방침 작성지침은 국외 이전에 제공뿐 아니라 조회, 처리위탁, 보관도 포함해 설명합니다. 병원 담당자는 파일을 해외로 발송하는 업무 외에도 국외에서 병원 시스템에 접속하거나 해외 서버에 자료를 저장하는 업무를 조사 대상에 포함해야 합니다. 환자의 국적만으로 이전 여부를 정하지 말고, 정보가 이동하고 처리되는 위치와 상대방의 업무를 기록합니다.
| 실제 이전 업무 | 제공·조회·처리위탁·보관 구분 | 확인할 국외 이전 근거 |
|---|---|---|
| 국외 상대방에게 환자 자료 전달 | 제공 해당 여부 판단 | 해당 제공에 적용할 근거와 조건 |
| 국외 담당자가 병원 자료에 접속 | 조회가 포함된 제공 여부 판단 | 조회 업무에 적용할 근거와 조건 |
| 국외 업체가 병원 업무를 대신 처리 | 처리위탁 해당 여부 판단 | 별도 동의 또는 계약 이행 관련 조건 등 |
| 해외 서버에 환자 자료나 백업 저장 | 보관 해당 여부 판단 | 별도 동의 또는 계약 이행 관련 조건 등 |
표의 업무명만으로 개별 이전의 적법성을 확정할 수는 없습니다. 같은 업체가 자료를 보관하면서 별도 목적으로 이용할 수도 있으므로, 계약서의 서비스 명칭과 실제 처리 내용이 일치하는지 대조해야 합니다. 병원 운영 담당자는 상대방에게 누가 어떤 목적으로 자료를 사용하는지 설명하도록 요청합니다.
별도 동의와 계약 이행 조건의 차이
개인정보보호위원회의 생성형 인공지능 개발·활용을 위한 개인정보 처리 안내서는 국외 이전에 관한 별도 동의를 이전 근거로 제시합니다. 또한 정보주체와의 계약 체결 및 이행에 처리위탁·보관이 필요한 경우에는 정해진 사항을 처리방침에 공개하거나 정해진 방법으로 알리는 조건을 제시합니다. 병원은 적용하려는 근거를 먼저 선택하고, 그 근거가 요구하는 자료를 준비해야 합니다.
계약 이행 관련 조건을 적용하려면 누구와 맺는 어떤 계약을 위해 처리위탁·보관이 필요한지 설명할 수 있어야 합니다. 해외 업체와 이용 계약을 체결했다는 사실만으로 환자와의 계약 이행에 필요한 처리라고 판단해서는 안 됩니다. 제공이나 조회 업무에 처리위탁·보관의 조건을 그대로 적용하려는 경우에도 판단을 보류하고 실제 관계부터 정리합니다.
이전 형태부터 공개 자료까지의 확인 순서
병원은 이전 업무의 실체를 정리한 뒤 근거와 조건을 대조하고, 마지막으로 처리방침과 공개·알림 자료를 연결하는 순서로 진행합니다. 문서부터 수정하면 실제 업무와 다른 근거를 기재할 수 있으므로, 운영 담당자와 전산 담당자가 먼저 정보의 이동 경로를 정리합니다.
- 운영 담당자는 이전 목적, 환자정보 항목, 받는 상대방과 상대방의 업무를 기재합니다. 전산 담당자는 접속 위치와 저장 위치를 조사하고 국외에서 자료를 조회하는 경로도 기록합니다.
- 개인정보 담당자는 앞에서 정한 기준에 따라 적용할 근거와 미충족 조건을 표시합니다. 계약 이행 관련 조건을 검토한다면 필요한 업무와 해당 처리위탁·보관의 관계를 설명하는 자료를 요청합니다.
- 개인정보 담당자는 처리방침의 기재 내용과 실제 동의·공개·알림 자료를 대조합니다. 근거가 불명확하거나 필요한 자료가 없는 업무는 승인 대상에서 제외하고 추가 판단을 요청합니다.
| 검토하는 근거 | 공식 안내에 제시된 조건 | 병원이 대조할 자료 |
|---|---|---|
| 국외 이전에 관한 별도 동의 | 정보주체에게 국외 이전에 관한 동의를 별도로 받음 | 동의 문안과 환자의 동의 기록 |
| 계약 이행에 필요한 처리위탁·보관과 공개 | 계약 체결·이행에 필요하며 정해진 사항을 처리방침에 공개 | 계약상 업무 설명, 필요성 판단 자료, 공개된 처리방침 |
| 계약 이행에 필요한 처리위탁·보관과 알림 | 계약 체결·이행에 필요하며 정해진 사항을 정해진 방법으로 알림 | 계약상 업무 설명, 알림 문안, 방법과 전달 기록 |
처리방침과 증빙 자료의 대응
개인정보 처리방침 작성지침은 국외 이전 근거, 이전 항목, 국가, 시기와 방법, 이전받는 자의 명칭과 연락처를 구체적으로 기재하도록 안내합니다. 이전받는 자의 이용 목적과 보유·이용 기간, 이전 거부의 방법·절차·효과도 기재 대상입니다. 담당자는 이 항목들을 문서의 빈칸으로만 취급하지 말고, 각 내용을 뒷받침하는 계약 자료나 업체 답변과 연결합니다.
여러 국가로 이전되는 경우 작성지침은 해당 국가를 모두 기재하도록 안내합니다. 병원 전산 담당자는 업체의 대표 주소만 전달받지 말고 실제 처리 국가를 요청해야 합니다. 국외로 이전된 정보가 다시 이전되는 구조라면 그 내용까지 자료에 반영하고, 업체 설명이 불명확한 항목은 미확정으로 표시합니다.
내부 대응표에는 업무명, 적용하려는 근거, 관련 문서의 보관 위치와 판단 담당자를 함께 기재합니다. 처리방침을 수정한 기록과 환자에게 동의를 받거나 알린 기록은 각각 연결해 관리합니다. 문서가 존재하는지와 해당 이전 업무에 적용되는지는 별도로 판단합니다.
작성 예시를 병원 근거로 옮기는 오류
처리방침 작성 예시에 특정 근거가 기재되어 있어도 병원이 같은 근거를 사용할 수 있다는 뜻은 아닙니다. 작성지침의 일반형 예시는 국가 간 백업 보관 업무를 설명하는 문안입니다. 담당자는 예시의 근거와 거부 효과를 복사하기 전에 병원의 실제 서비스와 환자에게 발생하는 결과를 따로 정리해야 합니다.
특히 예시에 서비스 이용 제한이나 탈퇴 절차가 있다는 이유로 병원 문안에도 같은 내용을 넣어서는 안 됩니다. 병원은 국외 이전을 거부할 때 어떤 업무가 진행되지 않는지, 국내에서 처리할 대안이 있는지 운영 부서에 묻습니다. 실제로 결정하지 않은 제한을 처리방침 문구만으로 먼저 확정하지 않습니다.
외부 업체가 계약서에 처리위탁이라고 기재한 경우에도 그 명칭만으로 판단을 마치지 않습니다. 업체가 병원의 지시에 따라 수행하는 업무와 업체 자체 목적의 이용이 있는지를 계약 내용 및 운영 설명과 대조합니다. 설명이 서로 다르면 문구를 통일하는 데 그치지 말고 실제 처리 관계에 관한 답변을 받아야 합니다.
이전 승인에 남길 미확정 사항
판단 기록에는 채택한 근거뿐 아니라 아직 해결되지 않은 질문도 남겨야 합니다. 처리 국가를 답변받지 못했거나 계약 이행에 필요한 이유가 설명되지 않았다면, 해당 항목과 자료를 요청한 상대방을 기재합니다. 책임자는 자료가 없는 상태에서 승인할 업무와 보류할 업무를 한꺼번에 처리하지 않습니다.
동의서와 처리방침의 내용이 다르면 어느 문서를 기준으로 환자에게 설명했는지부터 조사합니다. 담당자는 수정한 문서의 적용 시점과 실제 이전 시점을 연결해 기록해야 합니다. 나중에 문구를 고쳤다는 사실만으로 이전 당시의 조건이 충족되었다고 정리하지 않습니다.
국외 직접 수집과 후속 이전의 관계
해외에서 처음 수집된 정보라는 이유로 이후의 이전을 기록에서 제외해서는 안 됩니다. 개인정보 처리방침 작성지침은 국외에서 직접 수집한 정보를 다시 국외로 제공하거나 처리위탁·보관하는 경우에도 해당 이전 사항을 함께 기재하도록 안내합니다. 처음 수집한 국가로 다시 이전하는 경우도 포함합니다.
해외 예약 경로를 이용하는 병원은 환자가 입력한 단계와 병원이 이후 자료를 보내는 단계를 별개 업무로 기록하는 편이 적절합니다. 어느 주체가 직접 수집하고 처리하는지 불명확하다면 화면의 언어나 업체의 소재지만으로 결론을 내리지 않습니다. 업체에 계약상 역할과 정보 흐름에 관한 설명을 요청한 뒤 병원의 후속 이전 업무를 특정합니다.
자주 묻는 질문
외국어 동의 문안은 누가 번역 내용을 승인해야 합니까?
병원은 번역 담당자와 개인정보 담당자의 책임을 내부적으로 정하는 편이 적절합니다. 번역 담당자는 환자가 읽는 표현을 정비하고, 개인정보 담당자는 원래 문안의 목적·대상·조건이 달라지지 않았는지 대조합니다. 번역만 완료됐다는 이유로 사용 승인을 처리하지 않습니다.
업체가 처리 국가를 영업비밀이라며 알리지 않으면 어떻게 합니까?
병원은 필요한 내용을 기재할 수 있는 수준의 답변을 공식적으로 요청해야 합니다. 비공개 답변 자료를 받을 수 있는지 협의하되, 환자에게 공개해야 할 정보까지 생략할 수 있다고 판단하지 않습니다. 필요한 내용을 확보하지 못하면 해당 서비스를 통한 이전은 보류하는 운영안이 적절합니다.
시험 운영에 쓰는 환자 자료도 같은 절차로 처리합니까?
시험 운영이라는 명칭만으로 실제 환자정보를 보내는 절차를 생략하지 않습니다. 기능 시험에는 실제 환자와 연결되지 않는 시험용 자료를 우선 사용합니다. 실제 정보가 꼭 필요하다는 요청이 나오면 운영 부서가 그 이유를 설명하고 별도 승인을 요청하도록 정합니다.
해외 업체의 상담 직원에게 화면을 전달해도 됩니까?
상담에 필요하다는 이유만으로 환자정보가 포함된 화면 전체를 전달하지 않습니다. 오류 설명에 환자 식별 내용이 필요한지 먼저 판단하고, 필요하지 않은 내용은 가린 자료로 상담을 요청합니다. 원본 화면이 필요하다는 답변을 받으면 전달 전에 담당 부서가 별도로 판단하도록 합니다.
국외 이전 문서에는 환자의 진료기록도 첨부해야 합니까?
처리 근거를 판단하는 내부 문서에 실제 진료기록을 관행적으로 첨부할 필요는 없습니다. 이전 항목의 명칭과 처리 목적을 설명하는 자료로 판단할 수 있는지 먼저 정합니다. 환자별 증빙이 필요한 업무는 일반 운영 문서와 접근 권한을 따로 관리하는 편이 적절합니다.