컨텐츠 내용을 수정할 수 있습니다
프라이버시는 자신에 관한 정보를 언제 누구에게 어느 범위까지 알릴지 스스로 결정할 수 있는 개인의 권리다.
기밀성은 제공받은 정보를 정해진 목적 외에 다른 사람에게 알리지 않을 정보 수령자의 의무다.
보안은 정보를 위협으로부터 지키기 위한 기술적·관리적·물리적 수단이다.
프라이버시가 정보주체의 권리라면, 기밀성은 그 정보를 받은 자의 의무이고, 보안은 이를 실현하는 수단이다.
프라이버시는 워런(Warren)과 브랜다이스(Brandeis)가 1890년에 제시한 "혼자 있을 권리"에서 출발하였다.
웨스틴(Westin)은 1967년 「Privacy and Freedom」에서 이를 자신에 관한 정보를 언제, 어떻게, 어느 범위까지 타인에게 전달할지 스스로 결정하는 권리로 확장하였다.
우리 헌법재판소가 인정한 개인정보자기결정권이 이에 대응하는 개념이다.
| 구분 | 성격 | 주체 |
|---|---|---|
| 프라이버시 | 자기 정보에 대한 결정권 | 정보주체(환자) |
| 기밀성 | 알게 된 정보를 지킬 의무 | 정보를 제공받은 자(의료인 등) |
| 보안 | 위협으로부터 지키는 수단 | 정보를 보유·처리하는 기관 |
앞의 (1)에서 말한 기밀성이 정보를 받은 사람이 지켜야 할 의무를 뜻한다면, 여기의 기밀성은 정보보호가 달성하여야 할 상태를 뜻한다.
기밀성(Confidentiality)은 권한이 있는 사람만 정보에 접근할 수 있도록 하는 성질이다.
무결성(Integrity)은 정보가 권한 없이 변경·훼손되지 않고 정확하고 완전한 상태로 유지되는 성질이다.
권한 없는 자의 위조뿐 아니라 권한 있는 자의 오류나 전송 중의 손상도 무결성의 문제에 해당한다.
가용성(Availability)은 권한이 있는 사람이 필요한 때에 정보를 이용할 수 있도록 하는 성질이다.
이 세 가지를 머리글자를 따 정보보호의 CIA 삼요소라 한다.
여기에 인증(Authentication)과 부인방지(Non-repudiation)를 더하여 설명하기도 하며, 전자서명과 접속기록이 부인방지의 대표적 수단이다.
진료기록이 권한 없는 사람에게 열람되면 기밀성이 깨진다.
검사 결과가 임의로 수정되면 무결성이 깨진다.
시스템 장애로 응급 상황에서 기록을 볼 수 없으면 가용성이 깨진다.
보건의료 영역에서는 기밀성과 가용성이 충돌할 수 있으므로 둘의 균형을 잡는 것이 과제로 제시된다.
| 요소 | 내용 | 깨졌을 때 |
|---|---|---|
| 기밀성 | 권한 있는 자만 접근 | 권한 없는 열람·유출 |
| 무결성 | 정확하고 완전한 상태의 유지 | 기록의 임의 수정·위조·손상 |
| 가용성 | 필요한 때에 이용 가능 | 장애로 인한 조회 불가 |
「개인정보 보호법」 제3조는 개인정보처리자가 지켜야 할 개인정보 보호 원칙을 여덟 개 항으로 정하고 있다.
제1항은 처리 목적을 명확하게 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다는 것이다.
제2항은 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며 그 목적 외의 용도로 활용하여서는 아니 된다는 것이다.
제3항은 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다는 것이다.
제4항은 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다는 것이다.
제5항은 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다는 것이다.
제6항은 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다는 것이다.
제7항은 익명 또는 가명으로 처리하여도 목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다는 것이다.
제8항은 이 법 및 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하여야 한다는 것이다.
경제협력개발기구(OECD)는 1980년 「프라이버시 보호와 개인데이터의 국제적 유통에 관한 가이드라인」에서 여덟 가지 원칙을 제시하였다.
수집 제한의 원칙, 데이터 품질의 원칙, 목적 명확화의 원칙, 이용 제한의 원칙, 안전성 확보의 원칙, 공개의 원칙, 개인 참가의 원칙, 책임의 원칙이 그것이다.
이 가이드라인은 2013년에 개정되었으나 여덟 가지 기본원칙은 그대로 유지되었다.
2013년 개정으로 새로 도입된 것은 국가 차원의 프라이버시 전략 수립, 프라이버시 관리 프로그램의 운영, 개인데이터 유출 통지 의무, 국가 간 상호운용성과 집행협력의 강화다.
「개인정보 보호법」의 보호 원칙은 이 여덟 가지 원칙을 바탕으로 하고 있다.
| OECD 원칙 | 내용 |
|---|---|
| 수집 제한 | 수집 자체에 한계를 두고, 적법·공정한 수단으로, 적절한 경우 정보주체가 알거나 동의한 상태에서 수집 |
| 데이터 품질 | 이용 목적에 맞고 정확·완전·최신일 것 |
| 목적 명확화 | 수집 시점보다 늦지 않게 목적을 명확히 하고, 이후 이용은 그 목적 또는 이와 양립하는 목적에 한정 |
| 이용 제한 | 명확화된 목적 외의 공개·이용은 금지하되, 정보주체의 동의 또는 법률의 권한이 있으면 예외 |
| 안전성 확보 | 합리적인 안전보호 조치로 보호 |
| 공개 | 정책·관행의 공개와 함께 데이터의 존재·성질, 주된 이용목적, 관리자의 신원과 소재를 확인할 수 있게 할 것 |
| 개인 참가 | 보유 여부의 확인과 통지, 거부 시 이유 청취, 이의제기, 삭제·정정·완성·수정 요구의 보장 |
| 책임 | 위 원칙의 준수에 대한 책임을 질 것 |
「개인정보 보호법」 제2조 제1호는 개인정보를 살아 있는 개인에 관한 정보로서 각 목의 어느 하나에 해당하는 정보로 정하고 있다.
가목은 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보다.
나목은 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보다.
나목 후단은 "이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다."라고 정하고 있다.
다목은 가목 또는 나목을 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용·결합 없이는 특정 개인을 알아볼 수 없는 정보, 곧 가명정보다.
살아 있는 개인에 관한 정보이므로 사망자의 정보는 개인정보에 해당하지 않는다.
「개인정보 보호법」 제23조 제1항은 개인정보처리자가 "사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보"를 처리하여서는 아니 된다고 정하고 있다.
다만 정보주체에게 따로 알리고 별도의 동의를 받은 경우와 법령에서 민감정보의 처리를 요구하거나 허용하는 경우에는 처리할 수 있다.
대통령령으로 정하는 민감정보는 유전자검사 등의 결과로 얻어진 유전정보, 범죄경력자료에 해당하는 정보, 개인을 알아볼 목적으로 기술적 수단을 통해 생성한 생체인식정보, 인종이나 민족에 관한 정보다.
건강에 관한 정보는 민감정보에 해당하므로 일반 개인정보보다 엄격한 요건이 적용된다.
고유식별정보는 법령에 따라 개인을 고유하게 구별하기 위하여 부여된 식별정보로서 대통령령으로 정하는 정보다.
주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호가 이에 해당한다.
주민등록번호는 법령에서 구체적으로 요구하거나 허용한 경우 등에만 처리할 수 있으며 정보주체의 동의만으로는 처리할 수 없다.
정보주체는 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람이다.
개인정보처리자는 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 자다.
처리는 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 등의 행위를 말한다.
의료기관은 환자의 개인정보를 다루므로 개인정보처리자에 해당한다.
| 구분 | 내용 | 처리의 요건 |
|---|---|---|
| 일반 개인정보 | 살아 있는 개인을 알아볼 수 있는 정보 | 동의 또는 법정 근거 |
| 민감정보 | 건강, 사상·신념, 성생활, 유전정보, 생체인식정보 등 | 별도의 동의 또는 법령의 요구·허용 |
| 고유식별정보 | 주민등록번호, 여권번호, 운전면허의 면허번호, 외국인등록번호 | 별도의 동의 또는 법령의 구체적 근거 |
| 가명정보 | 추가 정보 없이는 알아볼 수 없게 처리한 정보 | 통계·과학적 연구·공익적 기록보존 등은 동의 없이 가능 |
제15조 제1항은 정보주체의 동의를 받은 경우, 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우 등에 개인정보를 수집하고 그 목적 범위에서 이용할 수 있다고 정하고 있다.
같은 조 제2항은 동의를 받을 때 개인정보의 수집·이용 목적, 수집하려는 항목, 보유 및 이용 기간, 동의를 거부할 권리가 있다는 사실과 거부에 따른 불이익의 내용을 알려야 한다고 정하고 있다.
의료기관이 진료를 위하여 환자의 정보를 수집하는 것은 「의료법」이 진료기록의 작성을 의무로 정하고 있으므로 법령상 의무의 준수에 해당한다.
제17조 제1항은 정보주체의 동의를 받은 경우 등에 개인정보를 제3자에게 제공할 수 있다고 정하고 있다.
제18조 제1항은 개인정보처리자가 제15조 제1항에 따른 범위를 초과하여 이용하거나 제17조 제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다고 정하고 있다.
진료기록의 제공은 「의료법」 제21조가 별도로 정하고 있으므로 그 요건에 따른다.
제26조는 개인정보의 처리 업무를 위탁하는 경우 위탁하는 업무의 내용과 수탁자를 정보주체가 언제든지 쉽게 확인할 수 있도록 공개하여야 한다고 정하고 있다.
또한 위탁자는 수탁자를 교육하고 처리 현황의 점검 등의 방법으로 감독하여야 한다.
제3자 제공은 제공받는 자의 목적을 위한 이전이고, 위탁은 위탁자의 업무를 대신 처리하게 하는 것이라는 점에서 구분된다.
제4조는 정보주체가 자신의 개인정보 처리에 관하여 갖는 권리를 여섯 개 호로 정하고 있다.
개인정보의 처리에 관한 정보를 제공받을 권리가 있다.
개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리가 있다.
개인정보의 처리 여부를 확인하고 개인정보에 대한 열람(사본의 발급을 포함한다) 및 전송을 요구할 권리가 있다.
개인정보의 처리 정지, 정정·삭제 및 파기를 요구할 권리가 있다.
개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리가 있다.
완전히 자동화된 개인정보 처리에 따른 결정을 거부하거나 그에 대한 설명 등을 요구할 권리가 있다.
제35조는 열람 요구, 제36조는 정정·삭제 요구, 제37조는 처리정지 요구에 관하여 정하고 있다.
제36조 제1항 단서는 "다만, 다른 법령에서 그 개인정보가 수집 대상으로 명시되어 있는 경우에는 그 삭제를 요구할 수 없다."라고 정하고 있다.
진료기록은 「의료법」이 작성과 보존을 정하고 있으므로 환자가 삭제를 요구할 수 없다.
자동화된 결정을 거부하거나 설명을 요구할 권리는 제37조의2가 구체적으로 정하고 있다.
제29조는 "개인정보처리자는 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적·관리적 및 물리적 조치를 하여야 한다."라고 정하고 있다.
구체적인 내용은 「개인정보의 안전성 확보조치 기준」 고시에서 정하고 있다.
제34조 제1항은 개인정보가 분실·도난·유출되었음을 알게 되었을 때 정보주체에게 지체 없이 알려야 한다고 정하고 있다.
통지하여야 할 사항은 유출된 항목, 유출된 시점과 그 경위, 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보, 개인정보처리자의 대응조치 및 피해 구제절차, 피해를 신고·상담할 수 있는 부서와 연락처다.
통지는 유출 등을 알게 된 때부터 72시간 이내에 하여야 한다.
같은 조 제3항은 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보 또는 고유식별정보가 유출된 경우, 외부로부터의 불법적인 접근에 의하여 개인정보가 유출된 경우에는 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원에 신고하도록 정하고 있다.
건강에 관한 정보는 민감정보이므로 의료기관은 유출 인원수와 관계없이 신고 대상이 된다.
제31조는 개인정보처리자가 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다고 정하고 있다.
개인정보 보호책임자는 개인정보 보호 계획의 수립 및 시행, 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선, 개인정보 처리와 관련한 불만의 처리 및 피해 구제, 개인정보 유출 및 오용·남용 방지를 위한 내부통제시스템의 구축 등의 업무를 수행한다.
개인정보 영향평가는 개인정보파일을 구축·운용·변경하려 할 때 그로 인한 침해 위험을 미리 분석하고 개선방안을 마련하는 제도다.
공공기관은 일정 규모 이상의 개인정보파일에 대하여 영향평가가 의무이며, 시스템 구축 이후가 아니라 분석·설계 단계에서 수행하여야 실효성이 있다.
의무 대상은 5만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 파일, 연계 결과 50만 명 이상이 되는 파일, 100만 명 이상의 정보주체에 관한 파일이다.
건강정보는 민감정보이므로 공공 의료기관에서는 5만 명 기준이 먼저 문제된다.
「개인정보 보호법」 제2조 제1호의2는 "'가명처리'란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다."라고 정하고 있다.
가명정보는 여전히 개인정보에 해당하므로 이 법의 규율을 받는다.
익명정보는 다른 정보를 사용하여도 더 이상 개인을 알아볼 수 없는 정보이며, 제58조의2에 따라 이 법이 적용되지 아니한다.
제28조의2 제1항은 개인정보처리자가 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다고 정하고 있다.
같은 조 제2항은 가명정보를 제3자에게 제공하는 경우 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다고 정하고 있다.
제28조의4는 가명정보를 처리하는 경우 추가 정보를 별도로 분리하여 보관·관리하는 등 안전성 확보에 필요한 조치를 하여야 한다고 정하고 있다.
제28조의5 제1항은 누구든지 특정 개인을 알아보기 위한 목적으로 가명정보를 처리하여서는 아니 된다고 정하고 있다.
같은 조 제2항은 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우 즉시 그 처리를 중지하고 지체 없이 회수·파기하여야 한다고 정하고 있다.
| 구분 | 식별 가능성 | 법의 적용 | 이용 |
|---|---|---|---|
| 개인정보 | 개인을 알아볼 수 있음 | 전면 적용 | 동의 또는 법정 근거 |
| 가명정보 | 추가 정보가 있어야 알아볼 수 있음 | 적용(일부 특례) | 통계·연구·기록보존은 동의 불요 |
| 익명정보 | 더 이상 알아볼 수 없음 | 적용 제외 | 제한 없음 |
1단계 목적 설정 등 사전 준비에서는 처리 목적이 통계작성·과학적 연구·공익적 기록보존 등에 해당하는지 확인하고 필요한 항목과 처리 계획을 정한다.
2단계 처리 대상의 위험성 검토에서는 데이터 자체의 식별 위험과 처리 환경의 위험을 함께 검토한다.
3단계 가명처리에서는 항목별로 적절한 기법을 정하여 실제로 가명처리를 수행한다.
4단계 적정성 검토에서는 처리 결과가 목적 달성에 적합하고 재식별 위험이 충분히 낮은지를 검토하며, 부적정하다고 판단되면 3단계로 돌아가 다시 처리한다.
5단계 안전한 관리에서는 추가 정보의 분리 보관과 접근권한 통제 등 안전조치를 이행하고, 재식별 시도를 금지하며, 목적 달성 후에는 지체 없이 파기한다.
마지막 단계의 공식 명칭은 사후관리가 아니라 안전한 관리다.
식별자는 그 자체로 개인을 알아볼 수 있는 항목으로 성명, 주민등록번호, 연락처, 환자등록번호가 이에 해당한다.
준식별자는 그 자체로는 개인을 알아볼 수 없으나 다른 항목과 결합하면 알아볼 수 있는 항목으로 생년월일, 성별, 거주지역, 직업이 이에 해당한다.
민감속성은 그 자체로는 개인을 알아볼 수 없으나 드러나면 정보주체에게 불이익이 될 수 있는 항목으로 진단명, 검사 결과, 처방 내역이 이에 해당한다.
식별자는 원칙적으로 삭제하거나 대체하고, 준식별자는 범주화 등으로 재식별 위험을 낮추며, 민감속성은 분석에 필요하므로 원칙적으로 남기되 준식별자와의 조합으로 드러나지 않도록 관리한다.
현행 가이드라인은 위험성 검토 단계에서 항목을 식별정보, 식별가능정보, 특이정보, 재식별 시 영향도가 큰 정보로 나누어 검토한다.
특이정보는 희귀질환 진단명, 초고령, 극단적 검사값처럼 하나만으로도 재식별 위험이 큰 항목을 말한다.
| 구분 | 내용 | 예 | 처리 원칙 |
|---|---|---|---|
| 식별자 | 그 자체로 개인 식별 가능 | 성명, 주민등록번호, 환자등록번호 | 삭제 또는 대체 |
| 준식별자 | 다른 항목과 결합하면 식별 가능 | 생년월일, 성별, 거주지역, 직업 | 범주화 등으로 위험 저감 |
| 민감속성 | 드러나면 불이익이 되는 항목 | 진단명, 검사 결과, 처방 내역 | 원칙적으로 유지, 조합 노출 관리 |
삭제는 항목이나 값 자체를 제거하는 방법으로, 값의 일부만 가리는 마스킹도 여기에 포함된다.
대체는 값을 다른 값으로 바꾸는 방법으로, 환자등록번호를 일련번호로 바꾸는 것이 대표적이며 가명처리의 정의에 명시된 기본 기법이다.
통계처리는 개별 값을 총계나 평균 등의 통계값으로 바꾸는 방법이며 라운딩과 재배열도 여기에 속한다.
범주화(일반화)는 값을 구간이나 상위 범주로 바꾸는 방법으로, 나이를 5세 단위로 묶거나 일정 나이 이상을 하나로 묶는 상단 코딩이 그 예다.
암호화는 값을 알아볼 수 없는 형태로 바꾸는 방법으로, 복원이 필요한 경우에는 양방향 암호화를, 결합키 생성처럼 복원이 필요 없는 경우에는 일방향 암호화를 사용한다.
무작위화는 값에 잡음을 더하거나 임의의 값으로 바꾸는 방법이다.
2016년 「개인정보 비식별 조치 가이드라인」은 이를 가명처리, 총계처리, 데이터 삭제, 데이터 범주화, 데이터 마스킹의 다섯 가지로 제시하였다.
| 기법 | 내용 | 예 |
|---|---|---|
| 삭제(마스킹 포함) | 항목·값의 전부 또는 일부 제거 | 성명 항목 삭제, 홍○○, 010-****-1234 |
| 대체 | 값을 다른 값으로 치환 | 환자등록번호 → 일련번호 |
| 통계처리 | 개별 값을 통계값으로 대체 | 개인별 값 → 평균, 라운딩 |
| 범주화(일반화) | 구간·상위 범주로 변환 | 35세 → 30대, 90세 이상 → 90세 이상 |
| 암호화 | 알아볼 수 없는 형태로 변환 | 결합키의 일방향 암호화 |
| 무작위화 | 잡음 추가·임의 값 대체 | 검사값에 잡음 더하기 |
k-익명성은 준식별자의 조합이 같은 기록이 적어도 k개 이상 존재하도록 하는 기준이며, 사마라티(Samarati)와 스위니(Sweeney)가 1998년에 제안하였다.
같은 조합을 가진 기록이 k개 있으면 그중 특정인을 1/k를 넘는 확률로 지목할 수 없다.
다만 같은 집단의 민감속성값이 모두 같으면 그 값이 그대로 드러나는 동질성 공격과, 공격자가 이미 알고 있는 사실로 후보를 좁히는 배경지식 공격을 막지 못한다.
l-다양성은 준식별자 조합이 같은 기록의 집단 안에 민감속성값이 적어도 l개 이상 서로 다르게 존재하도록 하는 기준이며, 마차나바잘라(Machanavajjhala) 등이 2006년에 제안하였다.
k-익명성이 막지 못하는 동질성 공격과 배경지식 공격을 보완한다.
그러나 값이 서로 다르기만 하면 되므로, 전체 분포와 크게 다른 분포가 나타나는 쏠림 공격과 값이 형식상 다르지만 의미가 비슷한 유사성 공격은 막지 못한다.
t-근접성은 각 집단 안의 민감속성값 분포가 전체 자료의 분포와 t 이하의 차이만 나도록 하는 기준이며, 리(Li) 등이 2007년에 제안하였다.
l-다양성이 막지 못하는 쏠림 공격과 유사성 공격을 보완한다.
유사성 공격은 어떤 집단의 진단명이 위염, 위궤양, 위암으로 서로 달라 l-다양성은 만족하지만 세 값이 모두 위장질환이어서 결국 사실이 드러나는 경우를 말한다.
| 기준 | 내용 | 보완하는 공격 |
|---|---|---|
| k-익명성 | 같은 준식별자 조합이 k개 이상 존재 | 개인의 직접 지목(연결 공격) |
| l-다양성 | 집단 안 민감속성값이 l개 이상 서로 다름 | 동질성 공격, 배경지식 공격 |
| t-근접성 | 집단의 분포가 전체 분포와 t 이하로 차이 | 쏠림 공격, 유사성 공격 |
식별은 사용자가 누구인지 밝히는 절차이고, 인증은 그 사람이 맞는지 확인하는 절차이며, 인가는 확인된 사람에게 권한을 부여하는 절차다.
인증의 요소는 비밀번호처럼 아는 것에 근거한 지식 기반, 일회용 비밀번호나 인증서처럼 가진 것에 근거한 소유 기반, 지문이나 홍채처럼 본인의 특성에 근거한 생체 기반의 세 가지로 나뉜다.
서로 다른 종류의 요소를 둘 이상 결합하는 것을 다중요소인증이라 하며, 같은 종류를 두 번 쓰는 것은 다중요소인증이 아니다.
임의적 접근통제(DAC)는 정보의 소유자가 다른 사람에게 접근권한을 부여하는 방식으로, 유연하지만 권한이 임의로 확산될 수 있다.
강제적 접근통제(MAC)는 정보와 사용자에게 미리 부여된 보안등급을 비교하여 시스템이 접근 여부를 결정하는 방식이다.
역할기반 접근통제(RBAC)는 사용자 개인이 아니라 직무상의 역할에 권한을 부여하고 사용자를 역할에 배정하는 방식이다.
의료기관에서는 의사, 간호사, 보건의료정보관리자, 원무 직원 등 직종과 직무에 따라 열람 범위가 달라지므로 역할기반 접근통제가 널리 사용된다.
최소권한의 원칙은 업무 수행에 필요한 최소한의 권한만 부여하는 것이다.
알 필요의 원칙은 자신이 담당하는 환자의 기록만 볼 수 있도록 하는 것으로, 최소권한의 원칙이 진료 현장에서 구현된 형태다.
직무분리의 원칙은 한 사람이 신청·승인·실행을 모두 담당하지 않도록 업무를 나누는 것이다.
직무가 바뀌거나 퇴직한 사람의 권한은 지체 없이 변경하거나 말소하여야 한다.
계정은 개인별로 부여하고 공동으로 사용하지 않아야 한다.
접근권한의 부여·변경·말소에 관한 내역은 기록으로 남겨 보관한다.
접속기록은 개인정보취급자가 개인정보처리시스템에 접속하여 수행한 업무내역을 전자적으로 기록한 것이다.
접속기록에는 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무의 다섯 항목이 포함된다.
접속기록은 1년 이상 보관·관리하여야 한다.
다만 5만 명 이상의 정보주체에 관하여 개인정보를 처리하거나 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관·관리하여야 한다.
의료기관은 건강정보를 처리하므로 규모와 관계없이 2년 이상 보관하여야 한다.
접속기록은 정기적으로 점검하여 권한 없는 조회나 비정상적인 조회가 있는지 확인한다.
접속기록은 위조·변조·도난·분실되지 않도록 안전하게 보관하여야 한다.
고유식별정보, 비밀번호, 생체인식정보는 안전한 암호 알고리즘으로 암호화하여 저장한다.
정보통신망을 통하여 개인정보를 전송할 때에는 암호화하여 전송한다.
악성프로그램을 막기 위한 보안 프로그램을 설치하고 최신 상태로 유지한다.
중요한 자료는 정기적으로 백업하고 복구가 가능한지 점검한다.
개인정보의 안전한 처리를 위한 내부 관리계획을 수립하고 시행한다.
개인정보를 취급하는 사람의 범위를 최소한으로 정하고 명단을 관리한다.
개인정보 취급자에게 정기적으로 교육을 실시하고 취급에 관한 서약서를 받는다.
전산실과 자료보관실 등 물리적 보관 장소에는 출입통제 절차를 둔다.
개인정보가 포함된 서류와 저장매체는 잠금장치가 있는 안전한 장소에 보관한다.
개인정보가 포함된 서류는 파쇄하거나 소각하고, 전자적 파일은 복원이 불가능한 방법으로 삭제한다.
정보보호 관리체계는 위험관리를 기본 틀로 한다.
보호할 자산을 식별하고, 자산에 대한 위협과 취약점을 분석하며, 발생 가능성과 영향을 고려하여 위험을 평가한 뒤, 수용 가능한 수준을 넘는 위험에 대하여 대응한다.
대응 방식은 보호대책을 적용하는 위험 감소, 해당 업무를 중단하는 위험 회피, 보험 가입 등으로 옮기는 위험 전가, 그대로 감수하는 위험 수용의 네 가지다.
정보보호 관리체계의 국제표준으로 ISO/IEC 27001이 있고, 이를 보건의료 분야에 적용한 표준이 ISO 27799이며, 국내에는 정보보호와 개인정보보호를 함께 인증하는 ISMS-P 제도가 있다.
프라이버시 보호 설계(Privacy by Design)는 프라이버시 보호를 사고가 난 뒤의 대응이 아니라 시스템을 설계하는 단계에서부터 기본으로 내장하자는 접근이다.
「의료법」 제19조 제1항은 의료인이나 의료기관 종사자가 이 법이나 다른 법령에 특별히 규정된 경우 외에는 열거된 업무를 하면서 알게 된 다른 사람의 정보를 누설하거나 발표하지 못한다고 정하고 있다.
열거된 업무에는 의료·조산 또는 간호업무, 진단서·검안서·증명서 작성·교부 업무, 처방전 작성·교부 업무, 진료기록 열람·사본 교부 업무, 진료기록부등 보존 업무, 전자의무기록 작성·보관·관리 업무가 있다.
진료기록의 열람과 사본 교부, 전자의무기록의 작성·보관·관리는 보건의료정보관리자의 직무에 해당한다.
「형법」 제317조 제1항은 의사, 한의사, 치과의사, 약제사, 약종상, 조산사, 변호사 등이 그 직무처리 중 지득한 타인의 비밀을 누설한 때를 처벌하도록 정하고 있다.
이 조문은 조산사를 열거하고 있으나 간호사와 의료기사는 열거하고 있지 않으므로, 이들에 대해서는 「의료법」 제19조가 적용된다.
「의료법」 제23조 제3항은 "누구든지 정당한 사유 없이 전자의무기록에 저장된 개인정보를 탐지하거나 누출·변조 또는 훼손하여서는 아니 된다."라고 정하고 있다.
탐지가 금지 행위에 포함되어 있으므로, 유출하지 않고 열람만 하였더라도 정당한 사유가 없으면 금지 대상이 된다.
「의료법」 제23조의3은 의료인 또는 의료기관 개설자가 진료정보 침해사고가 발생한 때에 보건복지부장관에게 즉시 그 사실을 통지하도록 정하고 있다.
같은 법 제23조의4는 보건복지부장관이 진료정보 침해사고에 관한 정보의 수집·전파, 예보·경보, 긴급조치, 전자적 침해행위의 탐지·분석 업무를 수행하도록 정하고 있다.
「개인정보 보호법」의 유출 통지가 72시간 이내인 것과 달리 「의료법」의 침해사고 통지는 즉시 하여야 한다.
미국의 HIPAA(Health Insurance Portability and Accountability Act)는 1996년에 제정된 건강정보 보호에 관한 대표적 국제 기준이다.
보호 대상은 보호대상 건강정보(PHI)이며, 적용 대상은 의료기관·보험자·의료정보 청산소 등의 적용대상기관과 이들의 업무를 처리하는 업무제휴자다.
프라이버시 규칙은 종이·구두·전자를 가리지 않는 모든 형태의 보호대상 건강정보에 적용되며, 사용과 공개의 요건 및 환자의 권리를 정한다.
보안 규칙은 전자적 형태의 보호대상 건강정보에만 적용되며, 관리적·물리적·기술적 안전조치의 세 범주를 요구한다.
두 규칙의 적용 범위가 다르다는 점이 핵심이다.
최소필요의 원칙은 보호대상 건강정보를 사용·공개할 때 목적 달성에 필요한 최소한으로 제한하는 원칙이다.
다만 진료 목적의 의료인 간 공개, 환자 본인에 대한 공개, 환자가 동의한 공개 등에는 적용되지 않는다.
세이프 하버 방식은 이름, 주소, 날짜, 전화번호, 사회보장번호, 의무기록번호, 생체정보, 안면사진 등 18가지 식별자를 모두 제거하고, 남은 정보로 개인을 알아볼 수 있다는 실제 인식이 없을 것을 요구한다.
전문가 판정 방식은 통계·과학적 방법에 관한 지식과 경험을 갖춘 전문가가 재식별 위험이 매우 낮다고 판정하고 그 근거를 문서화하는 방식이다.
| 구분 | 세이프 하버 | 전문가 판정 |
|---|---|---|
| 방법 | 18가지 식별자를 모두 제거 | 전문가의 재식별 위험 평가 |
| 성격 | 정형화된 기준, 개별 판단 불요 | 개별 판단, 근거의 문서화 필요 |
| 장단점 | 적용이 쉬우나 정보의 손실이 큼 | 정보를 더 남길 수 있으나 전문가가 필요 |
탐지 단계에서는 이상 징후와 신고를 통해 사고의 발생을 인지한다.
초동 대응 단계에서는 피해의 확산을 막기 위하여 해당 시스템을 격리하고 접근을 차단한다.
분석 단계에서는 유출된 항목과 범위, 원인을 확인한다.
통지와 신고 단계에서는 법령이 정한 바에 따라 정보주체에게 알리고 관계 기관에 신고한다.
복구와 재발방지 단계에서는 시스템을 정상화하고 원인을 제거하며 절차를 보완한다.
진료기록의 열람과 제공이 정당한 근거에 따라 이루어졌는지 확인한다.
접근권한이 업무 범위에 맞게 부여되어 있는지 점검한다.
접속기록을 점검하여 비정상적인 조회를 확인한다.
사본 발급과 제공의 내역을 기록으로 관리한다.
직원 교육에서 기록의 보호에 관한 내용을 다룬다.
다음 이론을 계속 학습하려면 로그인하세요.
로그인하고 계속 학습필기노트, 하이라이터, 메모는 잘 쓰고 있어?
내보내줘운영진이 검토할게요!
마이페이지에서 차단한 회원을 관리할 수 있어요.