본문 바로가기

365일 24시 전담팀 대응

NEWS 성공사례
헬스케어 개인정보처리위탁계약서 검토 자문

헬스케어 개인정보처리위탁계약서 검토 자문

의뢰인 정보
기업 / 당사자

 
의뢰 내역

의뢰인은 외부 제조사와 맞춤형 의료기기 제작을 협업 중인 헬스케어 사업자였습니다.

협업 과정에서 환자의 신체 측정 데이터, 임상 기록, 3D 스캔 데이터 등 진료 관련 정보를 제조사에 전달해야 하는 상황이었고, 제조사 측에서 먼저 개인정보처리위탁계약서 초안을 제시하였습니다.

다만 해당 계약서가 실제 개인정보 처리 구조와 개인정보보호법상 의무를 충분히 반영하고 있는지 확인할 필요가 있어, 디센트 법률사무소에 계약서 검토 및 수정 자문을 의뢰하였습니다.

디센트 전략
계약서 초안을 검토한 결과, 두 가지 법적 쟁점이 확인됐습니다.

1. 민감정보 처리 근거 미비

개인정보보호법 제23조는 건강·의료 관련 정보를 민감정보로 분류하고, 처리 시 정보주체의 별도 동의 또는 법령상 근거를 요구합니다.

계약서 초안은 민감정보와 일반 개인정보를 동일 항목으로 묶어 처리하고 있어, 민감정보 처리에 필요한 법적 근거가 계약 구조 내에 반영되어 있지 않았습니다.


2. 수탁자 감독 의무 조항 불충분

개인정보보호법 제26조는 위탁자에게 수탁자의 개인정보 처리 현황에 대한 정기적 점검·감독 의무를 부과합니다.

계약서 초안의 감독 조항은 "감독할 수 있다"는 수준에 그쳐, 점검 주기·방법이 특정되지 않았고 침해사고 통지 의무도 수탁자의 인지 여부에 따라 발동되는 구조였습니다.

재위탁 발생 시 위탁자에 대한 사전 통지 절차 역시 규정되어 있지 않았습니다.


디센트는 위 쟁점을 바탕으로 다음과 같은 수정 의견을 제시했습니다.


• 민감정보와 일반 개인정보의 항목 분리 및 민감정보 처리 근거 조항 보완

• 정보주체 동의서에 민감정보 위탁 처리 고지 문구 추가 검토

• 수탁자 점검 주기·방법을 구체화하는 감독 조항 보완

• 침해사고 발생 시 통지 의무 요건 강화 및 재위탁 통제 절차 신설
결과
"개인정보처리위탁계약서 검토"

이번 자문은 계약서 존재 여부가 아니라, 해당 계약서가 실제 개인정보 처리 구조와 법적 의무를 반영하고 있는지를 점검한 사례입니다.

특히 헬스케어 분야에서는 진료 기록, 임상 사진, 신체 측정 데이터 등 민감정보가 함께 처리될 수 있으므로 일반 개인정보 위탁계약서와 동일한 방식으로 접근하기 어렵습니다.

디센트 법률사무소는 위탁 대상 데이터의 성격을 분류하고, 민감정보 처리 동의 구조와 위탁계약서 조항을 함께 검토하였습니다. 이를 통해 계약 체결 전 단계에서 개인정보보호법상 주요 리스크를 사전에 정리할 수 있었습니다.

또한 수탁자 관리·감독 조항, 침해사고 통지 조항, 재위탁 통제 조항을 구체화하여 향후 개인정보 침해사고 발생 시 위탁자의 관리·감독 책임이 문제될 수 있는 부분을 줄이는 방향으로 계약 구조를 보완하였습니다.
#헬스케어 개인정보 계약서 # 개인정보처리위탁계약서 # 진료 데이터 위탁 # 민감정보 처리 동의 # 의료기기 제조사 협업 자문

담당 변호사

목록