며칠 전 상담하러 오신 요양원 운영자분이 이런 말씀을 하셨어요.
"갑자기 보건소에서 개인정보처리방침 관련해서 점검이 나온다고 하는데, 뭘 준비해야 하는지 도통 모르겠어요."
실제로 요즘 요양기관 현장에서는 '개인정보 보호'와 '개인정보처리방침'에 대한 이슈가 크게 부각되고 있는데요. 이게 단순히 형식적인 문서 하나 만들고 끝나는 게 아니라 실제로 제대로 갖추지 않으면 과태료나 형사처벌까지 이어질 수 있는 심각한 문제라는 걸 아시는 분들이 많지 않더라고요.
요양기관이 개인정보 보호에서 민감한 이유
요양병원이나 요양원은 환자 혹은 입소자의 건강정보, 진료기록, 가족관계, 심지어 종교나 금융정보까지 매우 민감한 개인정보를 취급하고 있습니다. 개인정보 보호법상 이러한 정보는 '민감정보'로 분류되며 일반 정보보다 훨씬 높은 수준의 보호조치가 요구됩니다.
요양기관에서는 입소 계약서, 진료기록, 보호자 동의서 등 다양한 문서에서 개인정보가 수집되고 활용되는데요. 문제는 이런 자료가 종이로만 보관되는 경우가 많고, 디지털 시스템을 이용한다고 해도 별다른 접근통제 없이 방치되는 사례가 상당히 많다는 점입니다. 만일 개인정보가 유출되어 보호자가 신고를 하면, 개인정보보호위원회나 보건복지부 산하 기관에서 조사에 들어가고 과태료, 시정명령, 심하면 형사 고발까지 이어질 수 있습니다.
개인정보처리방침 작성과 공개는 의무입니다
요양기관은 개인정보처리방침을 반드시 작성하고 이를 홈페이지 또는 출입이 가능한 장소에 공개해야 하는데요. 이 방침은 단순한 형식문서가 아니라 어떤 개인정보를 어떻게 수집하고, 어떤 목적에 사용하며, 누구에게 제공하는지를 명확하게 설명해야 합니다.
2025년 4월부터 개정된 개인정보처리방침 작성지침에서는 '수집항목', '보유기간', '수탁업체 명시', '정보주체 권리'에 대한 항목을 구체적으로 기재하도록 권고하고 있습니다. 따라서 기존에 복사해 붙인 처리방침이 있다면 지금이라도 최신 지침에 맞게 개정하는 것이 중요합니다.
실무 대응법, 이렇게 준비하세요
첫째, 개인정보 보호책임자를 지정해야 합니다. 요양기관 규모에 따라 대표자 또는 행정실장 등이 맡을 수 있으며 개인정보보호 교육도 병행되어야 합니다.
둘째, 개인정보처리업무 흐름을 점검해야 합니다. 예를 들어 입소 시 수집되는 정보는 어떤 경로로 보관되고, 누가 접근 가능한지, 외부 위탁업체(청소, 영양, 전산 등)와는 어떤 계약을 맺고 있는지 확인해야 하죠.
셋째, CCTV 설치 시에는 촬영 목적, 보관 기간, 관리자 정보를 안내문 형태로 게시해야 하고, 관련 내용을 개인정보처리방침에도 반영해야 합니다.
넷째, 개인정보 유출 사고에 대비한 내부 규정 및 신고체계를 마련해야 합니다. 유출 시 5일 내로 관계 기관에 신고하고, 당사자에게 통지해야 하므로 사전 프로세스가 마련되어야 해요.
마지막으로, 개인정보 보관기한이 경과한 문서는 반드시 파쇄하거나 복구 불가능한 방식으로 폐기해야 합니다. 버려진 서류에서 정보가 유출되면 법적 책임을 피할 수 없습니다.
과태료 및 행정처분, 실제로 이렇게 나옵니다
개인정보 보호 의무를 위반했을 경우, 개인정보보호위원회나 보건복지부는 다음과 같은 제재를 가할 수 있습니다.
▶ 과태료 부과 대표적으로는 개인정보처리방침 미게시 시 1천만 원 이하, 정보주체 통지의무 위반 시 3천만 원 이하의 과태료가 부과될 수 있습니다. 반복 위반 시 금액은 더 늘어나기도 하죠.
▶ 시정명령 및 행정지도 조사 결과 위반 사항이 발견되면 시정명령이나 개선 권고가 내려집니다. 이를 따르지 않을 경우에는 다시 과태료나 업무정지로 이어질 수 있습니다.
▶ 형사처벌 고의적이거나 중대한 개인정보 유출, 제3자 제공 등이 확인될 경우에는 형사 고발 대상이 됩니다. 이 경우 최대 5년 이하 징역 또는 5천만 원 이하 벌금형에 처해질 수 있어요.
▶ 명단 공개 및 행정처분 일정 기준을 초과한 위반에 대해서는 기관명과 위반내용이 공표되며, 의료기관으로서의 신뢰도에도 치명적인 영향을 줄 수 있습니다.
이러한 제재들은 단순한 벌금 이상의 행정 리스크로 이어지므로 제도적 준비뿐 아니라 실제 이행 여부를 점검하는 내부 점검 시스템도 함께 운영해야 합니다.
법적 문제 발생 시 이렇게 대응하세요
만약 개인정보가 유출되거나 보호자나 입소자로부터 민원이 들어왔을 경우에는 즉시 사실관계를 파악하고 유출 경로, 관련자, 조치 내역 등을 정리한 후 법률 전문가와 함께 대응 방향을 결정해야 합니다.
과태료나 행정처분은 일정 요건을 충족하면 다툼의 여지가 있으므로 단순히 사과문을 내는 것이 아니라 법률적 책임의 범위를 명확히 하고 대응해야 합니다. 특히 공단이나 복지부로부터 조사를 받게 될 경우에는 초기 진술서 작성 단계에서부터 전문가의 조력이 필요합니다.
Q. 개인정보처리방침은 꼭 홈페이지에 올려야 하나요?
A. 네, 홈페이지가 있다면 반드시 게시해야 합니다. 홈페이지가 없다면 입소대기자나 방문객이 볼 수 있는 출입구 게시판 등에 비치해야 하며 열람을 요청하는 보호자에게 별도 제공할 수 있어야 해요.
Q. 요양보호사나 간병인도 개인정보 책임이 있나요?
A. 있습니다. 이들도 업무 중 입소자의 건강정보나 가족사 등을 알게 되는 만큼 기관 차원에서 교육을 실시하고 서면 동의서를 받아두는 것이 좋습니다.
Q. 개인정보 유출 시 무조건 벌금이 나오나요?
A. 유출 사실이 있고, 보호조치 미비나 고의·중과실이 인정되면 과태료나 형사처벌까지 가능합니다. 하지만 사전에 체계적인 관리체계가 있고 즉시 대응했음을 입증하면 처벌 수위를 낮출 수 있어요.
요양병원과 요양원처럼 민감정보를 다루는 기관은 그 특성상 개인정보 보호에 더 철저해야 합니다. 개인정보처리방침은 단지 행정서류가 아니라 입소자의 신뢰를 얻는 첫걸음이자 법적 방어 수단이기도 합니다. 이 글을 계기로 각 요양기관에서 개인정보 보호 시스템을 점검해보시기를 권합니다.
법무법인 정음 천안사무소 법률상담문의
법무법인 정음 천안사무소 변호사와 법률상담문의.. : 네이버블로그