자료 전달 전 보호 판단 기준
제작 업체에 자료를 넘길 때는 전달할 자료를 먼저 가려내고, 누가 열람하는지와 전송·보관 보호 방식, 작업 뒤 자료 처리 방법을 업체에 요구해야 합니다. 업체의 답변은 실제 설정과 처리 기록으로 확인해야 합니다. 병원 담당자는 제작에 필요한 내용과 개인정보가 섞인 부분을 나누고, 보호 조건에 답변이 없는 자료는 전송을 보류합니다.
업체가 보안을 관리한다고 말하는 것만으로 이번 작업의 보호 상태를 판단하기는 어렵습니다. 병원은 어떤 자료를 어떤 작업에 쓰는지 정리하고, 그 자료가 이동하고 보관되는 곳에 적용되는 조치를 질문해야 합니다. 업체의 일반 소개서와 이번 병원 작업에 적용된 설정은 따로 받아야 합니다.
개인정보보호위원회 작성지침은 안전성 확보조치를 설명할 때 실제 시행하는 관리적·기술적·물리적 조치를 기재하도록 안내합니다. 병원이 제작 자료를 전달할 때도 보호 항목의 이름만 받기보다 적용 대상과 수행 내용을 요청하는 판단 기준으로 활용할 수 있습니다. 이러한 자료 선별과 전달 절차는 병원의 실무 제안이며, 자료 전달이 법적으로 허용되는지를 확정하는 근거는 아닙니다.
제작 목적에 따른 전달 후보 선별
병원 실장은 전달 후보를 모으기 전에 업체가 필요한 내용을 작업 단위로 설명하도록 요청합니다. 화면 배치에 필요한 자료인지, 문구 작성에 필요한 자료인지에 따라 원본 전체를 보내지 않아도 작업할 수 있습니다. 병원 내부 자료를 그대로 복사하기보다 필요한 항목을 추출한 전달용 파일을 준비하는 방식을 제안합니다.
| 전달 후보 자료 | 제작에 필요한 내용 | 제외하거나 가릴 개인정보 | 병원 확인 담당 |
|---|---|---|---|
| 병원 소개 문서 | 진료 분야와 시설 설명 | 개인 연락처와 내부 인사 정보 | 병원 실장 |
| 시설 촬영 사진 | 공간과 설비의 모습 | 촬영된 사람과 게시물 속 개인 정보 | 사진 자료 담당자 |
| 운영 화면 캡처 | 필요한 화면 구조와 항목명 | 환자 이름과 연락처, 진료 내용 | 해당 업무 담당자 |
| 기존 홈페이지 자료 | 이전할 문구와 이미지 | 제작 목적과 관계없는 개인 정보 | 홈페이지 운영 담당자 |
표의 후보는 병원에서 전달 범위를 정할 때 사용할 수 있는 자료 유형이며, 모두 업체에 보내야 하는 목록은 아닙니다. 개인정보를 가린 뒤에도 제작 목적에 충분한지 해당 업무 담당자가 판단합니다. 가리는 작업으로 필요한 내용까지 사라졌다면 원본을 다시 보내기 전에 업체에 부족한 항목을 구체적으로 묻습니다.
공개된 자료라는 이유만으로 파일 전체를 전달 대상으로 정하지 않습니다. 공개 화면에서 내려받은 파일에도 제작과 관계없는 내용이 함께 있을 수 있으므로, 병원은 사용할 부분을 지정합니다. 진료 내용이 포함된 자료는 전달용 묶음에서 분리하고, 필요한 이유와 전달 가능 여부를 별도로 판단합니다.
수신 담당자와 전달 조건의 준비 순서
병원 담당자는 자료 선별을 마친 뒤 수신 담당자와 전송·보관 조건에 관한 답변을 받습니다. 설명을 받을 때는 업체 전체의 운영 방식보다 이번 자료를 받을 사람과 사용할 저장 공간을 지정해 질문합니다. 병원은 전달용 파일 목록을, 업체는 담당자와 보호 설정을 설명할 자료를 준비합니다.
- 병원 실장은 파일별 사용 목적과 제외한 내용을 전달 목록에 기재하고 내부 승인자를 정합니다.
- 업체에 수신 담당자, 업무상 열람이 필요한 사람, 담당 변경 시 권한 처리 방법을 요청합니다.
- 업체가 안내한 전송 경로와 저장 위치에 적용되는 보호 설정을 전달 전에 대조합니다.
- 병원 담당자는 발송한 파일과 수신 결과를 기록하고 작업 종료 시 받을 처리 자료를 미리 합의합니다.
병원은 업체가 제시한 설정 자료에 어떤 작업과 저장 공간이 포함되는지 질문합니다. 여러 프로젝트에 공통으로 사용하는 설명이라면 이번 자료에 적용된 부분을 표시하도록 요청합니다. 답변하지 못한 항목은 전달 목록과 별도로 관리하고, 해소 전까지 해당 자료의 발송을 보류합니다.
보호 항목별 설명과 설정 자료
「HTTPS가 중요한 이유」는 HTTPS가 브라우저와 웹사이트 사이의 통신을 엿듣거나 조작하는 일을 막는 역할을 설명합니다. 병원 담당자는 웹으로 파일을 올리는 실제 전송 화면에서 HTTPS 사용 여부를 확인합니다. 이 결과만으로 업로드 뒤의 열람 권한이나 저장 자료 보호까지 판단하지 않습니다.
| 보호 확인 항목 | 업체에 요구할 설명 | 설정·처리 확인 자료 | 미확인 사항 |
|---|---|---|---|
| 수신과 열람 권한 | 받을 사람과 열람 대상, 권한 변경 절차 | 대상 자료의 권한 설정 내역 | 담당 변경 시 권한 회수 여부 |
| 웹 전송 구간 | 실제 업로드 경로의 HTTPS 사용 | 전송 화면과 적용 상태 자료 | 별도 업로드 경로의 적용 여부 |
| 보관과 접속기록 | 저장 위치, 암호화, 접속기록 관리 방식 | 설정 내역과 관리 기록의 필요한 부분 | 작업용 복사본의 보호 범위 |
| 작업 뒤 자료 처리 | 반환·삭제 대상과 처리 담당자 | 대상 목록과 처리 결과 기록 | 남은 자료와 그 사유 |
개인정보보호위원회 작성지침은 기술적 조치의 예로 접근 권한 관리, 개인정보 암호화, 접속기록의 보관과 점검 등을 제시합니다. 병원은 해당 항목이 전달 자료에 어떻게 적용되는지 설명받고, 필요한 범위의 설정 자료와 연결합니다. 공개하면 보안 위협이 커질 수 있는 세부 정보는 요구 범위를 조정하되, 적용 여부를 판단할 설명까지 생략하지 않도록 요청합니다.
전달 목록과 종료 처리 기록의 연결
작업이 끝났다는 연락을 받으면 병원 담당자는 최초 전달 목록을 기준으로 자료별 처리 결과를 받습니다. 업체가 삭제했다고 일괄 답변하면 어떤 파일과 저장 위치를 처리했는지 추가 설명을 요청합니다. 제작 결과물과 제작을 위해 넘긴 원본은 처리 대상이 다를 수 있으므로 목록에서 각각 표시합니다.
전달 기록에는 파일명, 전달 목적, 발송일, 수신 담당자, 사용한 경로를 기재합니다. 수정 파일을 다시 전달했다면 이전 파일과의 관계도 표시해 종료 시 누락되는 자료를 줄입니다. 업체가 원본을 내려받아 별도 작업용 파일을 만들었다면 그 파일의 처리 결과도 요청 목록에 포함합니다.
반환이나 삭제 결과에는 처리 대상, 수행한 내용, 처리일, 담당자를 기재하도록 제안합니다. 업체가 일부 자료를 계속 보관한다고 답하면 자료명과 사유, 종료 조건을 서면으로 요청합니다. 병원 담당자는 사유가 해소되지 않은 항목을 완료로 처리하지 않고, 후속 답변을 받을 사람을 지정합니다.
전송 성공과 처리 완료의 차이
파일 발송이 성공했다는 기록은 업체의 보관 상태나 작업 뒤 삭제를 증명하지 않습니다. 병원 담당자는 발송 기록과 업체의 처리 결과를 서로 다른 자료로 관리해야 합니다. 전달 목록의 각 항목에 처리 결과를 연결하고, 답변이 빠진 항목만 다시 요청합니다.
자료 반환을 받았더라도 업체 측 복사본이 남아 있는지는 별도 질문이 필요합니다. 업체에는 반환한 대상과 보관이 끝난 대상을 각각 설명하도록 요청합니다. 삭제 화면이나 처리 보고서를 받았을 때도 표시된 범위에 작업용 저장 공간이 포함되는지 대조합니다.
작업 종료 후 처리를 요구하는 목적은 업체 답변을 보관하는 데 그치지 않습니다. 병원은 반환된 자료를 내부에서 사용할 필요가 있는지 결정하고, 남은 처리 항목의 후속 업무를 맡깁니다. 전달이 허용되는지에 관한 판단이 남아 있다면 처리 기록만으로 그 문제까지 해결됐다고 결론 내리지 않습니다.
첨부 파일 안의 숨은 개인정보
화면에서 개인정보가 가려졌더라도 전달용 파일 안에 원래 내용이 남을 수 있습니다. 병원 담당자는 문서의 메모와 변경 기록, 표 파일의 숨긴 시트, 사진의 촬영 정보처럼 겉으로 드러나지 않는 항목도 전달 전에 검사합니다. 원본의 일부를 가린 상태로 저장했다면 업체가 그 부분을 다시 열거나 복원할 수 있는지도 내부 기술 담당자에게 질문합니다.
전달용 파일을 새로 만들었으면 실제 발송할 파일을 다시 열어 필요한 내용만 포함됐는지 대조합니다. 파일명에도 환자 이름이나 연락처를 넣지 않도록 정리합니다. 내부 담당자가 잔여 정보를 판단하기 어렵다면 해당 파일의 발송을 미루고, 제작에 필요한 내용만 다른 문서로 옮기는 방식을 논의합니다.
자주 묻는 질문
개인정보가 포함된 파일을 잘못 보냈다면 어떻게 합니까?
병원 담당자는 추가 전송을 멈추고 어떤 파일이 누구에게 전달됐는지 기록합니다. 수신 업체에 열람과 복사 상태를 즉시 묻고 사용 중단 및 처리 조치를 요청합니다. 개인정보 업무 담당자에게도 경위를 알려 필요한 대응을 판단하도록 합니다.
업체에 병원 계정 비밀번호를 전달해야 합니까?
자료 전달 요청과 계정 접근 요청은 따로 판단해야 합니다. 업체가 접근해야 하는 업무와 권한 범위를 먼저 설명하도록 요청하고, 병원 내부 기술 담당자와 필요한 접근 방법을 정합니다. 자료를 보내기 위해 병원에서 사용하는 계정 정보를 관행적으로 공유하지 않습니다.
급한 일정 때문에 보호 자료를 나중에 받아도 됩니까?
답변이 늦어진다는 이유로 개인정보가 포함된 자료부터 발송하지 않습니다. 병원 실장은 우선 개인정보 없이 진행할 수 있는 작업을 업체와 정하고, 나머지 작업의 일정을 조정합니다. 전송을 기다리는 자료와 먼저 전달할 자료를 목록에서 표시합니다.
개인정보가 없는 자료도 같은 담당자에게 보내야 합니까?
병원은 자료 성격과 작업 담당에 따라 수신자를 달리 정할 수 있습니다. 개인정보가 없는 일반 제작 자료와 제한이 필요한 자료를 한 묶음으로 발송하지 않도록 관리합니다. 업체가 자료를 내부에서 전달할 때도 각 묶음의 사용 대상을 알 수 있게 안내합니다.
업체가 자료를 출력해서 작업하면 무엇을 요청합니까?
출력 필요성과 출력물을 사용할 사람, 보관 장소, 사용 뒤 처리 방법을 설명하도록 요청합니다. 개인정보보호위원회 작성지침은 물리적 조치의 예로 서류와 저장매체의 안전한 보관 및 접근통제를 제시합니다. 병원은 디지털 파일에 관한 답변과 별도로 출력물의 관리 내용을 받습니다.