헬스케어 개인정보처리위탁계약, 민감정보·수탁자 감독 조항 검토
핵심 요약
사건 개요
의뢰인은 외부 제조사와 맞춤형 의료기기 제작을 협업하고 있는 헬스케어 사업자였습니다.
협업 과정에서 환자의 신체 측정 데이터, 임상 기록, 3D 스캔 데이터 등 진료 관련 정보를 제조사에 전달해야 했으며, 제조사 측에서 먼저 개인정보처리위탁계약서 초안을 제시했습니다.
다만 해당 계약서가 실제 전달되는 개인정보의 성격과 처리방식, 개인정보보호법상 위탁자·수탁자의 의무를 충분히 반영하고 있는지 확인할 필요가 있었습니다.
이에 의뢰인은 계약 체결 전 개인정보 처리 구조를 점검하고 필요한 조항을 보완하기 위해 디센트 법률사무소에 개인정보처리위탁계약서 검토 및 수정 자문을 의뢰했습니다.
주요 쟁점
1. 건강·의료 관련 민감정보의 처리 근거와 계약 반영
맞춤형 의료기기 제작 과정에서는 일반 개인정보뿐 아니라 임상 기록 등 건강과 관련된 정보가 처리될 수 있었습니다.
따라서 일반 개인정보와 민감정보를 동일하게 규정하기보다 실제 위탁되는 데이터의 성격을 구분하고, 민감정보 처리에 필요한 동의 또는 법적 근거가 적절하게 마련되어 있는지 확인할 필요가 있었습니다.
2. 수탁자에 대한 관리·감독 기준의 구체성
기존 계약서에는 위탁자가 수탁자를 감독할 수 있다는 내용이 포함되어 있었지만, 실제 개인정보 처리 현황을 어떤 방식으로 확인하고 관리할 것인지가 구체적이지 않았습니다.
수탁자가 개인정보를 안전하게 처리하는지 확인할 수 있도록 점검·감독 기준을 보다 명확하게 정하고, 개인정보 침해사고가 발생한 경우 신속하게 대응할 수 있는 통지 구조도 함께 검토할 필요가 있었습니다.
3. 침해사고 통지와 재위탁 통제 절차
수탁자가 개인정보 처리 업무의 일부를 다시 제3자에게 맡기거나 개인정보 침해사고가 발생하는 경우, 위탁자가 이를 적시에 파악하지 못하면 개인정보 관리·감독에 공백이 발생할 수 있었습니다.
이에 재위탁에 대한 사전 통제 절차와 침해사고 발생 시 통지 의무를 계약서에 어떻게 구체화할 것인지가 주요 검토 대상이었습니다.
디센트 전략
1. 민감정보와 일반 개인정보의 처리 구조 구분
디센트 법률사무소는 제조사에 전달되는 정보의 종류를 확인하고, 일반 개인정보와 건강·의료 관련 민감정보가 동일한 구조로 처리되고 있는 부분을 검토했습니다.
특히 임상 기록 등 건강에 관한 정보의 경우 일반 개인정보와 달리 민감정보 처리에 필요한 별도의 동의 또는 법령상 처리 근거가 존재하는지 확인할 필요가 있다는 점을 반영했습니다.
이를 토대로 민감정보와 일반 개인정보의 항목을 구분하고, 정보주체에게 제공되는 동의 내용에도 실제 처리되는 민감정보의 항목과 목적이 적절히 반영될 수 있도록 수정 방향을 제시했습니다.
2. 수탁자 관리·감독 조항 구체화
기존 계약서의 수탁자 감독 조항은 위탁자가 수탁자를 감독할 수 있다는 수준으로 규정되어 있어, 실제 관리·감독 방법이 충분히 구체화되어 있지 않았습니다.
디센트 법률사무소는 수탁자의 개인정보 처리 현황을 확인하고 개인정보 보호조치 이행 여부를 점검할 수 있도록 관리·감독 조항을 보완했습니다.
이를 통해 계약서상 감독 권한만 두는 것이 아니라 실제 개인정보 처리 과정에서 위탁자가 수탁자의 관리 상태를 확인할 수 있는 구조를 마련하도록 자문했습니다.
3. 침해사고 통지 및 재위탁 절차 보완
개인정보 침해사고가 발생한 경우 위탁자가 신속하게 상황을 파악하고 필요한 조치를 검토할 수 있도록 수탁자의 통지 의무를 보다 명확하게 정하는 방향으로 조항을 검토했습니다.
또한 수탁자가 위탁받은 개인정보 처리 업무를 다시 제3자에게 맡기는 경우 위탁자의 동의 없이 재위탁이 이루어지지 않도록 통제 절차를 계약서에 반영했습니다.
이를 통해 최초 수탁자뿐 아니라 재수탁자가 관여하는 경우에도 개인정보 처리 구조를 위탁자가 확인할 수 있도록 계약상 기준을 보완했습니다.
결과 및 의의
개인정보처리위탁계약서 검토
디센트 법률사무소는 실제 위탁되는 데이터의 성격과 처리방식을 기준으로 민감정보 처리 근거, 수탁자 관리·감독, 침해사고 통지 및 재위탁 관련 조항을 검토하고 개인정보처리위탁계약서 수정 의견을 제공했습니다.
1. 헬스케어 데이터의 특성을 반영한 민감정보 처리 구조 보완
일반 개인정보와 건강·의료 관련 정보를 구분해 검토하고, 민감정보 처리에 필요한 동의 또는 법적 근거가 실제 개인정보 처리 구조에 맞게 반영되는지 확인했습니다.
이를 통해 제조사에 전달되는 정보의 종류와 처리 목적을 기준으로 계약서와 동의 구조를 함께 점검할 수 있도록 했습니다.
2. 수탁자 관리·감독 및 재위탁 통제 기준 구체화
수탁자의 개인정보 처리 현황을 확인할 수 있도록 관리·감독 조항을 보완하고, 침해사고 통지와 재위탁 절차도 함께 구체화했습니다.
의뢰인은 이를 바탕으로 개인정보 처리업무를 외부 제조사에 맡긴 이후에도 위탁자로서 필요한 관리·감독을 수행할 수 있도록 계약 구조를 정비할 수 있었습니다.
자주 묻는 질문 (FAQ)
Q1. 헬스케어 기업이 외부 제조사에 환자 정보를 전달하면 모두 개인정보 처리위탁에 해당하나요?
외부 업체에 정보를 전달한다는 사실만으로 일률적으로 개인정보 처리위탁이라고 판단할 수는 없으며, 상대방이 누구의 목적과 지시에 따라 개인정보를 처리하는지를 확인해야 합니다.
위탁자의 업무를 수행하기 위해 수탁자가 개인정보를 처리하는 구조인지, 상대방이 자신의 독자적인 목적을 위해 정보를 이용하는지 등에 따라 개인정보 처리위탁 또는 제3자 제공 등 적용되는 법적 구조가 달라질 수 있습니다.
이번 사례에서는 맞춤형 의료기기 제작을 위한 실제 개인정보 처리 구조를 기준으로 개인정보처리위탁계약서를 검토했습니다.
Q2. 건강정보가 포함된 경우 일반 개인정보와 같은 방식으로 처리해도 되나요?
건강에 관한 정보는 개인정보보호법상 민감정보에 해당할 수 있으므로 일반 개인정보와 구분하여 처리 근거를 확인해야 합니다.
민감정보는 정보주체에게 필요한 사항을 알리고 다른 개인정보 처리에 대한 동의와 별도로 동의를 받거나, 법령에서 처리를 요구·허용하는 경우 등 법에서 정한 근거가 있어야 합니다.
이번 사례에서도 임상 기록 등 건강 관련 정보와 일반 개인정보를 구분하고, 실제 동의 및 처리 구조가 이에 맞게 구성되어 있는지 검토했습니다.
Q3. 개인정보를 외부 업체에 위탁하면 계약서만 작성하면 되나요?
위탁계약서를 작성하는 것만으로 위탁자의 의무가 모두 끝나는 것은 아닙니다.
개인정보보호법은 위탁계약에 목적 외 처리 금지, 안전한 관리에 필요한 사항 등을 문서로 정하도록 하고 있으며, 위탁자는 수탁자를 교육하고 개인정보 처리 현황 점검 등을 통해 안전하게 처리하는지도 감독해야 합니다.
이번 사례에서는 이러한 관리·감독이 실제로 가능하도록 수탁자 점검과 침해사고 통지, 재위탁 관련 조항까지 함께 검토했습니다.
법률상담 안내
모든 상담은 담당 변호사의 사건 검토를 거쳐 진행됩니다.
사건의 주요 내용을 미리 남겨주시면 보다 구체적인 상담을 받으실 수 있습니다.
담당 변호사
대한변호사협회 등록 변호사가
직접 수행 · 검토한 실제 업무사례입니다.
