본문바로가기

보험조회 서비스 운영업체의 환자 개인정보 제3자 제공 동의 및 온라인 처리위탁계약 법률자문 제공

[자문 핵심 요약]

  • 환자 개인정보 제3자 제공 동의 검토: 의료기관이 환자의 휴대전화번호를 외부 서비스업체에 전달하기 위한 구두 동의 요건 및 고지사항 검토
  • 전자적 동의 절차 검토: 동의 사실의 입증 가능성을 고려한 태블릿·QR코드 방식 등 개인정보 수집 절차 검토
  • 온라인 개인정보 처리위탁계약 검토: 전자적 방식의 위탁계약 체결 가능성, 계약 문구 및 위탁자·수탁자의 법적 의무 검토

법무법인 민후(現 법무법인(유한) 원)는 보험조회 서비스를 운영하는 기업 고객사로부터 환자 개인정보의 제3자 제공 동의 절차와 온라인 개인정보 처리위탁계약에 관한 법률자문을 요청받았습니다.

고객사는 의료기관을 통해 환자에게 보험조회 서비스의 이용 동의 절차를 안내하는 방식을 검토하고 있었습니다. 기존의 종이 서식을 줄이기 위해 구두 동의와 전자적 동의 절차를 활용하고자 하였으며, 의료기관과 체결하는 개인정보 처리위탁 관련 계약도 온라인 방식으로 진행할 수 있는지 확인이 필요했습니다.

환자의 휴대전화번호 제공에 구두 동의가 가능한지 검토

개인정보 보호법상 개인정보 제공 동의를 반드시 종이 서면으로 받아야 하는 것은 아닙니다. 따라서 의료기관이 환자로부터 구두로 동의를 받는 방식 자체가 곧바로 위법하다고 볼 수는 없습니다.

다만 의료기관이 환자의 휴대전화번호를 외부 서비스업체에 전달하는 경우에는 개인정보의 제3자 제공에 해당하는지와 그에 따른 동의 요건을 확인해야 합니다.

법무법인 민후(現 법무법인(유한) 원)는 환자의 휴대전화번호 전달을 위한 구두 동의 방식이 개인정보 보호법 제17조 제2항의 요건을 충족할 수 있는지 검토하였습니다. 특히 제공받는 자, 제공 목적, 제공 항목, 보유·이용기간 및 동의 거부에 관한 고지사항을 중심으로 법률적 검토를 진행하였습니다.

개인정보 전달 이후의 전자적 동의가 갖는 의미 검토

보험조회 서비스에서는 의료기관이 환자의 휴대전화번호를 전달한 뒤, 서비스업체가 환자에게 동의 링크를 발송하는 절차를 고려할 수 있습니다.

그러나 개인정보가 이미 제3자에게 전달된 이후에 받는 동의와 전달 전에 필요한 동의는 법적으로 구분하여 검토해야 합니다. 사후에 전자적 동의를 받는 절차만으로 앞서 이루어진 개인정보 제공의 적법성이 확보된다고 단정할 수 없기 때문입니다.

법무법인 민후(現 법무법인(유한) 원)는 의료기관의 최초 동의 안내부터 휴대전화번호 전달, 서비스업체의 동의 링크 발송에 이르는 절차를 단계별로 검토하였습니다.

이를 통해 각 단계에서 필요한 동의의 목적과 법적 성격을 구분하고, 개인정보가 전달되는 시점을 기준으로 확인해야 할 사항을 안내하였습니다.

구두 동의의 입증 문제와 전자적 동의 방식 검토

개인정보 처리 과정에서는 동의를 받았는지뿐 아니라 해당 동의가 적법하게 이루어졌다는 사실을 확인할 수 있는지도 중요합니다.

구두 동의는 서면이나 전자적 동의와 달리 기록이 남지 않을 수 있으므로, 향후 분쟁이나 조사 과정에서 동의 사실과 고지내용을 입증하는 데 어려움이 발생할 수 있습니다.

법무법인 민후(現 법무법인(유한) 원)는 구두 동의 방식의 법적 요건과 입증상 위험을 검토하였습니다.

아울러 종이 서식을 사용하지 않으면서도 동의 절차를 확인할 수 있는 방안으로 의료기관의 태블릿을 이용한 동의 방식과 환자가 QR코드를 통해 직접 서비스 페이지에 접속하는 방식을 함께 검토하였습니다.

온라인 개인정보 처리위탁계약의 문서 요건 검토

개인정보 처리업무를 외부 사업자에게 위탁하는 경우에는 개인정보 보호법에 따른 위탁계약의 문서 요건과 계약내용을 확인해야 합니다.

개인정보 보호법 제26조 제1항은 개인정보 처리위탁에 관한 사항을 문서에 의하도록 규정하고 있으나, 문서의 형식을 반드시 종이 계약서로 한정하는 것은 아닙니다.

법무법인 민후(現 법무법인(유한) 원)는 의료기관과 서비스업체 사이의 개인정보 처리위탁계약을 온라인 방식으로 체결할 수 있는지 검토하였습니다.

또한 개인정보보호위원회의 개인정보 처리 위·수탁 안내서와 표준 개인정보처리위탁계약서를 참고하여 전자적 계약 방식과 계약에 반영할 사항을 살펴보았습니다.

온라인 계약 문구 및 위탁자·수탁자 의무 검토

온라인으로 계약을 체결하는 경우에는 이용자가 단순히 계약 내용을 확인하는 것인지, 실제 계약 체결에 동의하는 것인지 명확히 구분할 필요가 있습니다.

특히 계약서 전문을 확인했다는 표시만으로 계약 체결의 의사표시가 충분히 드러나는지 검토해야 하며, 전자적 방식으로 계약을 체결하더라도 개인정보 보호법상 위탁관계에 따른 의무는 유지됩니다.

법무법인 민후(現 법무법인(유한) 원)는 온라인 개인정보 처리위탁계약의 체결 의사를 명확히 나타내는 문구와 절차를 검토하였습니다.

아울러 개인정보 처리위탁 관계에서 요구되는 수탁자 교육·감독 등 위탁자의 법적 의무를 확인하고, 온라인 계약 도입 시 함께 고려해야 할 사항에 관한 검토의견을 제공하였습니다.

이번 자문은 보험조회 서비스의 개인정보 동의 절차를 전자화하는 과정에서 환자의 개인정보 제3자 제공, 동의 입증 및 온라인 처리위탁계약의 적법성을 검토한 사례입니다.

자주 묻는 질문(Q&A)

Q. 환자의 개인정보를 외부 업체에 제공할 때 구두 동의만 받아도 되나요?

A. 개인정보 제공 동의를 반드시 서면으로 받아야 하는 것은 아닙니다. 다만 개인정보 보호법에서 정한 고지사항을 충족해야 하며, 구두 동의의 경우 적법한 동의를 받았다는 사실을 입증하기 어려울 수 있으므로 동의 방식과 기록 관리에 유의해야 합니다.

Q. 개인정보를 먼저 전달하고 나중에 동의 링크를 보내도 되나요?

A. 개인정보가 이미 외부 업체에 제공된 이후에 받는 동의는 앞서 이루어진 제공행위에 대한 사전 동의를 대신하기 어렵습니다. 따라서 개인정보를 전달하기 전에 필요한 동의 요건을 충족하는지 먼저 확인해야 합니다.

Q. 개인정보 처리위탁계약을 온라인으로 체결해도 유효한가요?

A. 개인정보 보호법은 개인정보 처리위탁계약을 문서로 체결하도록 규정하지만, 종이 문서만을 요구하지는 않습니다. 온라인 방식에서도 계약 체결의 의사표시와 법정 기재사항을 명확히 하고, 위탁자와 수탁자의 법적 의무를 준수해야 합니다.

최근 유사 업무사례
더보기 +