외국인 환자 광고의 국적·방문일 결합 식별 위험 점검

국적과 방문일의 결합 식별 판단

분야별 개인정보 보호 안내서는 정보 하나로 사람을 알아보기 어렵더라도 다른 정보와 쉽게 결합해 알아볼 수 있는 경우를 개인정보의 범위에 포함합니다. 쉽게 결합할 수 있는지는 다른 정보의 입수 가능성과 식별에 필요한 시간·비용·기술 등을 합리적으로 고려하도록 설명합니다. 병원에서는 이 기준을 광고 문구와 광고 밖 정보 사이의 연결을 평가하는 데 적용할 수 있습니다.

검토 대상은 국적과 방문일이 적힌 문장에 한정하지 않습니다. 같은 광고의 사진 설명이나 첨부 이미지에 해당 정보가 남아 있는지도 함께 기재합니다. 날짜가 실제 방문일인지, 게시일이나 행사일인지 불분명하면 담당 부서에서 의미를 먼저 정리합니다.

광고 정보와 외부 단서의 연결 근거

마케팅 담당자는 광고에서 읽을 수 있는 정보와 외부에서 얻을 수 있는 정보를 서로 다른 칸에 기재합니다. 아래 표는 환자 정보를 새로 수집하기 위한 목록이 아니라, 이미 발견한 연결 단서의 출처와 접근 조건을 기록하는 틀입니다.

표에 든 외부 단서가 실제로 존재한다고 전제하지 않습니다. 발견한 정보만 기록하고, 접근할 수 없거나 출처가 불분명한 항목은 그 상태를 표시합니다. 국적과 날짜가 같다는 사정 외에 동일한 방문임을 뒷받침하는 연결 근거가 있는지도 별도로 기재합니다.

외부 단서가 발견되지 않았다는 기록과 결합할 정보가 없다는 결론은 다릅니다. 담당자가 사용한 검색어와 열람 범위를 남겨야 어디까지 조사했는지 알 수 있습니다. 검색하지 않은 범위까지 안전하다고 확대해 기재하지 않습니다.

담당자별 준비 자료와 실행 순서

실장은 광고 원본을 정리할 사람과 외부 연결 근거를 조사할 사람을 정합니다. 마케팅 담당자는 게시 예정 화면, 이미지 속 문구, 번역본을 준비하고, 개인정보 업무 담당자는 조사 범위와 기록 항목을 정리합니다. 작업 중 수정한 광고와 최초 광고가 섞이지 않도록 파일의 상태도 표시합니다.

1. 광고에 남은 국적과 방문일을 추출합니다. 본문과 이미지에서 각각 어디에 표시되는지 기재하고, 날짜가 뜻하는 사건을 정리합니다.
2. 결합 가능한 외부 정보를 찾습니다. 출처와 접근 조건을 기록하고, 해당 정보가 광고 속 방문과 이어지는 이유를 설명합니다.
3. 각 연결 경로에 필요한 시간·비용·기술을 검토합니다. 직접 수행한 범위와 추정한 내용을 나누고, 판단하지 못한 조건을 남깁니다.

진료 부서는 광고 문구가 어떤 진료 내용을 뜻하는지 필요한 범위에서 설명합니다. 외부 정보를 조사하는 담당자에게 환자 기록 전체를 전달하는 방식은 피합니다. 조사에 필요한 자료와 진료 내용 해석에 필요한 자료를 따로 관리합니다.

시간·비용·기술의 경로별 기록

결합의 어려움은 각 자료를 열람하는 단계부터 사람을 특정하는 단계까지 이어서 평가합니다. 외부 게시물 하나를 찾았다는 이유로 식별이 완료됐다고 기재하지 않고, 그 뒤에 필요한 작업과 접근 조건도 기록합니다.

시간·비용·기술은 ‘쉽다’나 ‘어렵다’라는 표현만으로 끝내지 않습니다. 담당자는 실제 수행한 작업, 필요한 권한, 별도 도구나 전문 지식의 필요 여부를 설명합니다. 여러 단계를 거쳐야 한다면 일부 단계의 편의성만으로 전체 경로를 평가하지 않습니다.

접근 제한을 우회하거나 환자의 지인에게 연락해 신원을 알아내는 방식으로 시험하지 않습니다. 허용된 조사 범위에서 판단 근거가 부족하면 미확정 항목으로 남기고, 실장이 추가 검토의 범위와 담당자를 정합니다.

환자 식별과 건강정보 연결의 별도 판단

검토 결과에는 환자를 알아볼 가능성과 그 사람에게 연결되는 진료·건강정보를 별도 항목으로 기록합니다. 분야별 개인정보 보호 안내서는 건강에 관한 정보를 민감정보에 포함합니다. 광고에서 이름을 추정할 수 있는지에 대한 판단만으로 연결되는 정보의 성격까지 설명할 수는 없습니다.

개인정보 업무 담당자는 식별 경로가 성립한다고 판단한 경우, 광고가 그 사람의 어떤 사실을 드러내는지 정리합니다. 병원 방문 사실에서 특정 진료나 건강 상태까지 추론이 이어지는지, 그 추론을 뒷받침하는 문구가 무엇인지 기재합니다. 광고에 없는 진단이나 치료 내용을 담당자가 추측해 기록하지 않습니다.

관찰 사실과 미확정 사항의 기록

점검 기록은 관찰한 사실, 담당자의 판단, 아직 해결하지 못한 사항으로 나누어 작성합니다. 실제 접근한 외부 정보와 접근 가능하다고 추정한 정보가 섞이면 결론의 근거가 흐려집니다. 기록에는 각 판단을 뒷받침한 자료와 광고의 해당 부분을 함께 표시합니다.

외부 단서의 작성자가 본인이라고 주장하더라도 그 설명의 정확성을 곧바로 확정하지 않습니다. 동일한 방문으로 연결되는지 불분명하면 그 한계를 남깁니다. 이름이 비슷한 계정이나 같은 국적의 게시물을 발견한 사실만으로 환자를 특정했다고 기록하지 않습니다.

광고를 수정했다면 변경한 부분에 한해 새 화면과 남은 연결 경로를 대조합니다. 결론에는 식별 가능성에 관한 판단 범위만 적고, 이를 공개 허용이나 광고 동의의 효력에 대한 승인으로 확대하지 않습니다.

열람자별 접근 조건의 차이

담당자가 접근할 수 없었던 자료라도 다른 열람자에게는 접근 가능할 수 있습니다. 반대로 병원 직원이 업무상 아는 정보를 일반 열람자도 얻을 수 있다고 전제해서는 안 됩니다. 연결 경로를 기록할 때는 누가 어떤 조건에서 외부 정보를 입수하는지 명시합니다.

불특정 열람자와 특정 계정의 승인된 이용자는 접근할 수 있는 자료가 다를 수 있습니다. 모든 사람에게 가능하다는 가정이나 아무도 접근하지 못한다는 가정 대신, 실제 근거가 있는 열람 조건을 설명합니다. 특정 열람자의 접근 가능성을 뒷받침하지 못했다면 가능성만 제기한 상태로 표시하고, 그 가정을 확정 사실처럼 결론에 포함하지 않습니다.

자주 묻는 질문

방문일을 월 단위로 줄이면 점검을 끝내도 됩니까?

날짜의 범위를 넓혔다는 이유만으로 점검을 종료하지 않습니다. 변경한 표현에서도 다른 단서가 같은 방문으로 이어지는지 평가해야 하며, 날짜 축약 자체를 안전의 근거로 기록하지 않습니다.

외부 게시물이 삭제되면 기존 판단도 폐기해야 합니까?

삭제 사실은 접근 조건의 변경으로 기록하고 현재 상태를 다시 평가합니다. 기존 기록을 없애기보다 당시 판단과 현재 판단의 근거를 구별해 남겨야 변경 이유를 설명할 수 있습니다.

외국어 광고의 번역문만 읽고 판단해도 됩니까?

번역문만으로 날짜 표현이나 방문을 뜻하는 문구가 정확히 전달됐는지 확정하기 어렵습니다. 해당 언어를 이해하는 담당자가 원문에서 읽히는 의미를 설명하도록 하고, 번역 과정에서 생긴 해석 차이를 기록합니다.

점검 증빙에 외부 게시물 전체를 보관해야 합니까?

식별 위험을 설명한다는 이유로 관련 없는 개인정보까지 모두 모으는 방식은 피합니다. 판단에 필요한 부분과 출처를 중심으로 기록하고, 증빙에 다른 사람의 정보가 포함되면 보관 범위와 접근 담당자를 별도로 정합니다.

게시 후 새로운 연결 단서가 발견되면 어떻게 합니까?

발견 시점과 해당 광고를 특정해 개인정보 업무 담당자에게 전달합니다. 실장은 게시 유지 여부를 검토하는 동안 추가 배포를 보류할지 정하고, 새로운 단서를 반영한 판단과 후속 조치를 기록합니다.

이어서 읽을 주제

의료광고 위반 대응은 결합 식별 점검과 별도로 실제 광고에 관한 문제 제기나 시정 요청이 발생했을 때 필요한 절차를 정리하는 데 도움이 됩니다. 광고 원본과 변경 이력을 어떤 순서로 정리하고 담당 부서에 전달할지 이어서 준비할 수 있습니다.