순천평화병원

개인정보처리방침

제1장 총칭

제 1 조(목적)

순천평화병원(이하 “본원”)에서 수집·관리되는 환자의 개인정보를 안전하게 보호하고 이용·관리하고 환자의 권리를 보호함을 목적으로 한다.
제2조(적용범위)
- 본 계획은 홈페이지 등의 온라인을 통하여 수집, 이용, 제공 또는 관리되는 개인정보뿐만 아니라 오프라인(서면, 전화, 팩스 등)을 통해 수집, 이용, 제공 또는 관리되는 개인정보에 대해서도 적용되며, 이러한 개인정보를 취급하는 내부 임직원 및 외부업체 직원에 대해 적용된다.
제3조(용어 정의)
- 1. “개인정보”라 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함한다)를 말한다.
- 2. “처리”란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.
- 3. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.
- 4. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.
- 5. “개인정보 보호책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 법 제31조에 따른 지위에 해당하는 자를 말한다.
- 6. “개인정보 보호담당자”란 개인정보책임자가 업무를 수행함에 있어 보조적인 역할을 하는 자를 말하며 개인정보보호 책임자가 일정 요건의 자격을 갖춘 이를 지정한다.
- 7. “개인정보취급자”란 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 자를 말한다.
- 8. “개인정보처리시스템”이라 함은 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템을 말한다.
- 9. “영상정보처리기기”란 폐쇄회로텔레비전(CCTV), 네트워크카메라 등 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유․무선망을 통하여 전송하는 일체의 장치를 말한다.
- 10. “개인영상정보”라 함은 영상정보처리기기에 의하여 촬영․처리되는 영상정보 중 개인의 초상, 행동 등 사생활과 관련된 영상으로서 해당 개인의 동일성 여부를 식별할 수 있는 정보를 말한다.
- 11. “영상정보처리기기 운영자”라 함은 개인정보 보호법 제25조제1항 각호에 따라 영상정보처리기기를 설치․운영하는 자를 말한다.
- 12. “영상정보 보호책임자”라 함은 개인영상정보의 처리에 관한 업무를 총괄해서 책임지는 자로서, 표준지침 제41조에 따라 영상정보처리기기 운영자가 지정한 자를 말한다.
제2장(내부관리계획의 수립 및 시행)

제4조(내부관리계획의 수립 및 승인)
- ① 개인정보 보호책임자는 순천평화병원의 개인정보보호를 위한 전반적인 사항을 포함하여 내부관리계획을 수립하여야 한다.
- ② 개인정보 보호책임자는 개인정보보호를 위한 내부관리계획의 수립 시 개인정보보호와 관련한 법령 및 관련 규정을 준수하도록 내부관리계획을 수립하여야 한다.
- ③ 개인정보 보호책임자는 개인정보 보호담당자가 수립한 내부관리계획의 타당성을 검토하여 개인정보보호를 위한 내부관리계획을 승인하여야 한다.
- ④ 개인정보 보호담당자는 개인정보보호 관련 법령의 제․개정 사항 등을 반영하기 위하여 매년 11월말까지 내부관리계획의 타당성과 개정 필요성을 검토하여야 한다.
- ⑤ 개인정보 보호담당자는 모든 항목의 타당성을 검토한 후 개정할 필요가 있다고 판단되는 경우 12월말까지 내부관리계획의 개정안을 작성하여 개인정보 보호책임자에게 보고하고 개인정보 보호책임자의 승인을 받아야 한다.
제5조(내부관리계획의 공표)
- ① 개인정보보호책임자는 전조에 따라 승인한 내부관리계획을 매년 1월말까지 순천평화병원 전 임직원에게 공표한다.
- ② 내부관리계획은 임직원이 언제든지 열람할 수 있는 방법으로 비치하여야 하며, 변경사항이 있는 경우에는 이를 공지하여야 한다.
제3장 개인정보보호책임자의 의무와 책임

제6조(개인정보보호책임자의 지정)
- 개인정보보호 및 보안 업무를 총괄 관리하고 시행하는 개인정보보호책임자를 본원의 대표자로 한다. 단, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제27조에 따른 개인정보관리책임자를 지정한 경우에는 개인정보 보호책임자를 별도로 두지 않을 수 있다.
제7조(개인정보보호책임자의 의무와 책임)
- ① 개인정보보호책임자는 정보주체의 개인정보 보호를 위하여 다음 각 호의 업무를 수행한다.
- 1. 개인정보 보호 계획의 수립 및 시행
- 2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
- 3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제
- 4. 개인정보 유출 및 오용‧남용 방지를 위한 내부통제시스템의 구축
- 5. 개인정보 보호 교육 계획의 수립 및 시행
- 6. 개인정보파일의 보호 및 관리 감독
- 7. 법 제30조에 따른 개인정보 처리방침의 수립‧변경 및 시행
- 8. 개인정보 보호 관련 자료의 관리
- 9. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기
- ② 개인정보보호책임자는 업무를 수행함에 있어서 필요한 경우 개인정보 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.
- ③ 개인정보보호책임자는 개인정보 보호와 관련하여 이법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다.
제8조(개인정보취급자의 범위 및 의무와 책임)
- ① 개인정보취급자의 범위는 다음과 같다.
- 1. 순천평화병원 내에서 정보주체의 개인정보를 처리하는 업무를 수행하는 자를 말하며, 정규직 이외에 임시직, 파견근로자, 시간제근로자 등 포함될 수 있다.
- ② 개인정보취급자의 의무와 책임
- 1. 내부관리계획의 준수 및 이행
- 2. 개인정보의 기술적‧관리적 보호조치 기준 이행
- 3. 업무상 알게 된 개인정보를 제3자에게 제공하지 않음
제4장 개인정보의 기술적․관리적 보호조치

제9조(개인정보취급자 접근권한 관리 및 인증)
- ① 개인정보처리자는 개인정보처리시스템에 대한 접근권한을 업무수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여하여야 한다.
- ② 개인정보처리자는 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소하여야 하며, 또한 비밀유지의무 등에 대한 서약서를 받아야 한다.
- ③ 개인정보처리자는 제1항, 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.
- ④ 개인정보처리자는 개인정보처리시스템에 접속할 수 있는 사용자 게정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.
- ⑤ 개인정보처리자는 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우에는 가상사설망 또는 전용선 등 안전한 접속수단을 적용하여야 한다.
- 제10조(비밀번호 관리)
  - ① 개인정보처리자는 개인정보취급자 또는 정보주체가 생일, 주민등록번호, 전화번호 등 추측하기 쉬운 숫자나 개인관련 정보를 패스워드로 이용하지 않도록 비밀번호 작성규칙을 수립하고, 이를 적용 및 운용하여야 한다.
  - ② 개인정보처리자는 비밀번호에 적정한 기간의 유효기간(반기별 1회 이상)을 설정하여야 한다.
- 제11조(접근통제)
  - ① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 시스템을 설치‧운영하여야 한다.
  - 1. 개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가받지 않은 접근을 제한
  - 2. 개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지
  - ② 개인정보처리자는 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 컴퓨터에 조치를 취하여야 한다.
- 제12조(개인정보의 암호화)
  - ① 개인정보처리자는 주민등록번호, 비밀번호, 바이오정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다. 단, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.
  - ② 개인정보처리자는 정보주체의 개인정보를 정보통신망을 통하여 송‧수신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화하여야 한다.
  - ③ 개인정보처리자는 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 고유식별정보를 저장하는 경우에는 이를 암호화하여야 한다.
  - ④ 개인정보처리자 또는 개인정보취급자는 정보주체의 개인정보를 업무용 컴퓨터(PC)에 저장할 때에는 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화 저장하여야 한다.
- 제13조(접속기록의 위‧변조 방지)
  - ① 개인정보처리자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소 6개월 이상 보관하여야 한다.
  - ② 개인정보처리자는 개인정보취급자의 접속기록이 위‧변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하여야 한다.
- 제14조(보안프로그램 설치 및 운영)
  - ① 개인정보처리자는 개인정보처리시스템 또는 업무용 컴퓨터에 악성 프로그램 등을 방지‧치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치‧운영하여야 한다.
  - ② 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일 1회 이상 업데이트를 적용하여야 한다.
  - ③ 악성 프로그램관련 경보가 발령된 경우 또는 사용 중인 응용프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 적용하여야 한다.
- 제15조(물리적 접근제한)
  - ① 개인정보처리자는 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립․운영하여야 한다.
  - ② 개인정보처리자는 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 한다.
  - ③ 개인정보처리자는 물리적 접근방지를 위한 별도의 보호시설에 출입하거나 개인정보를 열람하는 경우, 그 출입자에 대한 출입사실 및 열람 내용에 관한 관리대장을 작성하도록 하여야 한다.
- 제5장 개인정보보호 교육
  
  제16조(개인정보보호 교육 계획의 수립)
  - ① 개인정보보호책임자는 다음 각 호의 사항을 포함하는 연간 개인정보보호 교육계획을 매년 12월말까지 수립한다.
    1. 교육목적 및 대상
    2. 교육내용
    3. 교육 일정 및 방법
  - ② 개인정보보호책임자는 수립한 개인정보보호 교육 계획을 실시한 이후에 교육의 성과와 개선 필요성을 검토하여 차년도 교육계획 수립에 반영하여야 한다.
- 제17조(개인정보보호 교육의 실시)
  - ① 정보 보호 및 보안 교육과 훈련 대상은 개인정보와 의료서비스에 관련된 모든 임직원 및 수탁자를 대상으로 한다.
  - ② 정보 보호 및 보안 교육과 훈련은 1년에 한 번 정기적으로 실시하며, 정보보호정책이나 절차 및 역할의 변경이 있는 경우에는 수시로 실시한다.
- 제6장 개인정보 침해대응 및 피해구제
  
  제18조(권익침해 구제방법)
  - ① 개인정보주체는 개인정보침해로 인한 구제를 받기 위하여 개인정보분쟁조정위원회, 한국인터넷진흥원 개인정보침해신고센터 등에 분쟁해결이나 상담 등을 신청한다. 이 밖에 기타 개인정보침해의 신고 및 상담에 대하여는 아래의 기관에 문의한다.
    1. 개인분쟁조정위원회 : (국번없이)118
    2. 정보보호마크인증위원회 : 02-580-0533~4
    3. 대검찰청 사이버범죄수사단 : 02-3480-3571
    4. 경찰청 사이버테러대응센터 : 02-1566-0112
  - 1) 환자정보관리 – 행정원장 박화진
    · 환자자료 요구 – 본인 -> 신분증 확인 – 사본 -가족 -> 가족관계증명서, 신분증사본 -대리인 -> 위임장, 인감증명, 신분증사본
    · 관공서 자료요구 – 경찰, 보험회사 등 – 내부결재(공문으로)후 자료 제출
    · 환자정보 자료파기 – 폐기문서의 경우 파쇄기로 파기함
    · 접수시 환자 정보수진 동의를 자필로 확인서명날인
    · 각종 개인문서 보관함 관리 철저
  - 2) 병동 전산관리 – 간호부장 서미경
    · 각 병동 수간호사가 직원(공인인증)외에 전산 조작 금지 관리
    · 실습학생 전산조작금지
  - 3) 직원 인사관리 – 법인관리과 박경건
    · 채용서류 관리 – 채용서류 및 개인정보 활용 동의서 관리
    - 미채용자 서류 즉시 파기
    · 직원 인사기록 전산 관리
  - 4) 의뢰검사 – 진단검사실 정은진
    · 의뢰검사 후 자료관리 철저
  - 5) 의뢰검사 – 영상의학과 김도영
    · 영상 촬영 후 자료관리 철저
  - 6) 원내 CCTV 관리, 직원교육 - 전산실 강은지
    · 녹화자료는 7~30일까지 보관 이후는 자동 삭제됨
    - CCTV 자료 저장 제출은 대장에 기록하여 결재 후 관리
    - CCTV 관리 책임자 지정 안내문 부착
    · 녹화자료 제출 요구는 내부 관리대장에 기재 후 결재
    · 전 직원 교육 – 1년 1회 이상 실시
    · 신규직원 교육 시 개인정보교육 실시
    · 개인정보 관리
  - 7) 재활센터 전산관리 – 재활센터수석 과장 노현준
    · 각 재활센터 직원(공인인증)외에 전산 조작 금지 관리
    · 실습학생 전산조작금지