업체가 맡을 개인정보 처리 업무
제작 업체가 개인정보 처리 업무를 맡는다면 계약서에는 맡길 업무, 목적 외 처리 금지, 보호조치, 재위탁 제한과 병원 동의, 관리·감독, 손해배상 등 책임을 구체화해야 합니다. 업체가 각 요구를 이행했다는 사실을 어떤 자료로 보여줄지도 함께 정해야 합니다.
계약 대상은 업체의 명칭이나 제작 비용보다 실제 수행할 업무를 기준으로 정합니다. 병원 담당자는 업체가 개인정보를 열람하거나 저장·수정·전달하는 작업이 있는지 업무별로 질문합니다. 공개된 소개 화면을 디자인하는 작업과 개인정보가 담긴 운영 자료를 처리하는 작업은 구분합니다. 작업 이름이 ‘유지보수’여도 실제 정보 접근 범위까지 기재해야 합니다.
개인정보보호위원회의 개인정보 처리방침 작성지침은 위탁계약 문서에 목적 외 처리 금지, 보호조치, 재위탁 제한, 관리·감독과 책임 사항을 명시하도록 안내합니다. 병원은 이 항목을 계약서의 제목으로만 나열하지 말고 업체가 해야 할 행동과 허용하지 않을 행동으로 작성할 필요가 있습니다. ‘개인정보 관련 사항을 준수한다’는 포괄 문구만 있으면 병원이 어떤 자료를 요구할지 결정하기 어렵습니다.
계약 조항별 요구와 책임
조항별 논의는 실제 맡길 업무를 정한 뒤 진행합니다. 아래 질문은 계약 의견을 정리하기 위한 기준이며, 그대로 서명할 수 있는 완성 계약 문안은 아닙니다.
| 계약 조항 | 업체와 정할 내용 | 병원이 확인할 질문 |
|---|---|---|
| 위탁 업무와 목적 외 처리 금지 | 처리할 정보, 허용 작업, 사용 목적과 금지 행위 | 계약 업무 외에 정보를 사용할 여지가 있습니까? |
| 기술적·관리적 보호조치 | 업무에 필요한 보호 요구와 유지 책임 | 누가 조치를 적용하고 이행 자료를 제출합니까? |
| 재위탁 제한과 동의 | 재위탁 대상 업무, 병원 동의 절차와 변경 통보 | 다른 업체가 정보를 처리하기 전에 동의를 요청합니까? |
| 관리·감독 | 자료 제출, 병원 질의에 대한 답변과 미흡 사항 시정 | 병원은 어떤 자료로 처리 상태를 판단합니까? |
| 손해배상 등 책임 | 문제 발생 통보, 대응 협조와 책임 협의 항목 | 책임 주체와 병원에 알릴 연락 경로가 명확합니까? |
표의 항목 가운데 합의가 필요한 내용은 계약 본문이나 계약에 연결된 문서에 기재합니다. 별도 문서를 사용한다면 문서 이름과 적용 범위를 계약 당사자가 같은 뜻으로 이해하도록 정합니다. 업체의 설명 자료와 실제 계약 내용이 다르면 병원 담당자는 차이를 기록해 수정 의견을 전달합니다.
감독과 책임의 협의 범위
관리·감독 조항에는 병원이 자료를 요구할 수 있는 범위와 업체의 응답 책임을 담습니다. 손해배상 등 책임 조항은 문제 발생 시 통보와 대응 협조를 정하는 내용과 연결해 논의합니다. 병원 담당자가 개별 계약의 적법성이나 배상 범위를 자체 판정하기 어려우면 쟁점과 업체 의견을 정리해 전문 검토를 요청합니다.
계약 협의를 위한 준비 순서
병원 실장은 업무 목록을 취합하고, 홈페이지 담당자는 정보가 처리되는 위치와 작업을 설명하도록 역할을 정할 수 있습니다. 업체에는 일반 소개서보다 해당 홈페이지에서 맡을 업무를 기준으로 답변하도록 요청합니다. 병원 내부에서도 계약 의견을 전달할 담당자와 기술 자료를 판단할 담당자를 따로 정합니다.
- 업체가 맡을 개인정보 처리 업무를 정리합니다. 처리 대상 정보, 작업 목적, 접근할 시스템, 실제 작업 주체를 업무 목록에 기재하고 미정인 내용은 업체 질문으로 남깁니다.
- 조항별 요구와 책임을 정리합니다. 병원 담당자는 앞에서 정한 기준에 따라 업체가 제시한 계약 내용과 업무 목록을 대조하고, 누락된 요구나 책임 주체가 불명확한 항목을 수정 의견으로 전달합니다.
- 이행 확인 자료를 합의합니다. 업체가 제출할 자료의 형태, 제출 조건, 병원 수신 담당자와 미흡 사항에 대한 회신 방법을 정해 계약 협의 기록에 반영합니다.
준비 자료에는 계약 초안, 업체의 업무 설명, 개인정보가 처리되는 기능 목록과 병원 내부 담당자 목록을 포함합니다. 현재 운영 상태를 설명할 자료가 필요하면 환자 정보가 드러나지 않는 화면이나 구조 설명을 사용합니다. 답변을 받지 못한 항목은 담당자가 임의로 완료 처리하지 않고 협의 중인 사유를 기재합니다.
보호조치별 자료와 수신 담당자
다음 표는 병원이 업체와 합의할 수 있는 자료 구성안입니다. 공식 지침이 아래 자료 이름이나 담당 직책을 일률적으로 요구한다는 뜻은 아니며, 병원의 업무와 기술 지원 체계에 맞게 조정합니다.
| 보호조치·감독 요구 | 업체에 요청할 확인 자료 | 확인 담당자 |
|---|---|---|
| 개인정보 접근 권한 관리 | 업무별 권한 목록과 권한 변경 기록 | 병원 개인정보 업무 담당자 |
| 홈페이지 통신 보호 | HTTPS 적용 범위와 시험 결과 | 병원 홈페이지 담당자 또는 기술 지원자 |
| 접속기록 관리와 취약점 보완 | 관리 방식 설명과 보완 결과 기록 | 병원 개인정보 업무 담당자와 기술 지원자 |
| 재위탁 동의 절차 | 재위탁 대상·업무 설명과 동의 요청 문서 | 병원 계약 협의 담당자 |
| 감독 요구와 시정 대응 | 요구 사항별 답변 및 조치 완료 자료 | 병원 실장 또는 지정 책임자 |
자료를 받는 담당자는 파일 수신과 내용 판단을 별도 상태로 기록합니다. 기술 내용을 판단할 사람이 병원에 없다면 외부 기술 지원자에게 평가를 요청할 범위를 업체와 협의합니다. 상세 설정 자료에 개인정보나 보안상 민감한 내용이 포함된다면 공유 대상을 제한하고, 필요한 부분만 전달하도록 요청합니다.
업체가 자료를 제출한 뒤에는 요구 항목, 제출 문서, 미해결 질문과 다음 회신 담당자를 연결해 기록합니다. 제출 자료가 해당 홈페이지의 상태를 설명하는지 판단하고, 업체의 공통 소개 자료만으로 개별 요구를 충족했다고 처리하지 않습니다.
통신 보호 요구의 구체화
홈페이지 통신 보호는 보호조치를 구체적인 요구로 만드는 데 사용할 수 있는 항목입니다. 구글은 HTTPS가 사이트와 이용자 사이의 통신을 가로채거나 변조하기 어렵게 하며, 민감한 정보를 직접 입력하지 않는 사이트에도 필요하다고 설명합니다. 병원은 이 설명을 바탕으로 ‘보안 적용’이라는 표현을 홈페이지의 HTTPS 적용 범위와 유지 업무로 구체화할 수 있습니다.
업체에는 대표 화면뿐 아니라 실제 운영할 페이지와 연결 리소스를 대상으로 통신 보호 상태를 설명하도록 요청합니다. 적용에서 제외된 대상이 있다면 제외 이유와 처리 계획을 제출하게 하고, 병원 홈페이지 담당자는 시험 대상과 결과를 함께 받습니다. 인증서 관리나 통신 오류 대응을 업체가 맡는 경우에는 해당 업무의 담당 주체와 병원에 알릴 조건도 협의합니다.
HTTPS 자료가 있어도 개인정보 접근 권한이나 저장된 정보의 처리 상태까지 입증되지는 않습니다. 개인정보보호위원회의 개인정보 처리방침 표준안은 접근권한 관리, 암호화, 접속기록 관리, 취약점 보완 등을 안전성 확보조치로 제시합니다. 병원 담당자는 통신 시험 결과를 전체 보호조치의 완료 자료로 사용하지 않고, 각 요구에 해당하는 자료를 따로 요청합니다.
재위탁과 일반 제작 협력의 차이
외부 협력사가 참여한다는 사실만으로 개인정보 처리 재위탁 여부를 판단하지 않습니다. 화면 디자인이나 공개 이미지 작업을 맡는 협력사와 개인정보 처리 업무를 이어 맡는 업체는 업무 내용이 다릅니다. 계약 협의 담당자는 업체가 설명한 협력 업무에 개인정보 접근·처리가 포함되는지 질문하고 그 답변을 기록합니다.
개인정보보호위원회의 작성지침은 개인정보 처리 업무를 재위탁할 때 병원의 동의를 받고, 재수탁자와 맡긴 업무를 처리방침에 공개하도록 안내합니다. 계약에는 동의 요청을 담당할 주체와 병원에 전달할 업무 설명을 정하고, 관련 변경 사항을 내부 처리방침 담당자에게 전달할 경로를 마련합니다. ‘협력사 활용 가능’이라는 일반 제작 조건으로 개인정보 처리 재위탁 동의까지 합의했다고 처리하지 않습니다.
자주 묻는 질문
해외에서 개인정보 처리 작업을 한다면 무엇을 준비해야 합니까?
업체에 실제 작업 장소, 정보를 전달하거나 접근하는 방식, 참여 업체를 설명하도록 요청합니다. 개인정보보호위원회의 작성지침은 국외 위탁에 관한 안내 항목을 별도로 제시하므로, 국내 작업을 전제로 협의한 내용만으로 판단하지 않습니다. 병원은 이 설명을 정리해 추가 검토가 필요한 범위를 전문가에게 묻습니다.
계약 종료 후에도 책임에 관한 기록을 보관해야 합니까?
업무가 끝났다는 이유만으로 계약 협의와 이행 자료를 즉시 폐기하는 방식은 피합니다. 종료 후 남은 질의나 분쟁 대응에 필요한 문서를 가리고, 병원의 문서 관리 기준에 따라 보관 책임과 열람 대상을 정합니다. 기록 안에 불필요한 개인정보가 포함되었는지도 함께 검토합니다.
업체가 손해배상 책임에 한도를 제안하면 어떻게 논의합니까?
금액만 협의하기보다 한도가 적용되는 사유와 예외, 다른 책임 조항과의 관계를 설명하도록 요청합니다. 병원은 업체의 제안 이유와 수용하기 어려운 상황을 정리해 전문 검토를 받습니다. 담당자가 통상적인 계약이라는 설명만으로 해당 조건의 적정성을 판단하지 않습니다.
계약 기간 중 개인정보 처리 업무가 늘어나면 어떻게 합니까?
추가 업무를 시작하기 전에 기존 합의가 그 작업을 포함하는지 계약 담당자가 판단합니다. 포함하지 않는다면 늘어난 업무와 필요한 요구를 문서로 협의하고 병원 내부 승인 절차를 진행합니다. 추가 비용 협의가 끝났다는 사실을 개인정보 처리 조건의 합의로 대신하지 않습니다.
업체가 보호조치 자료의 외부 제출을 거절하면 어떻게 합니까?
거절 사유가 영업상 비밀인지, 민감한 설정 정보 때문인지 먼저 설명을 요청합니다. 필요한 사실을 판단할 수 있도록 일부 내용을 가린 자료, 제한된 열람이나 요약 보고 방식으로 협의할 수 있습니다. 어느 방식으로도 판단에 필요한 내용을 받을 수 없다면 그 항목은 미해결 상태로 기록하고 계약 책임자에게 전달합니다.