약국에서 개인정보를 다룰 때

약국과 약사회는 면허번호, 이름, 연락처, 근무처 같은 개인정보를 매일 다룹니다. 이 글은 개인정보 보호법의 주요 조문을 정리하고, 약사회 회원 정보를 다룰 때 어떻게 적용되는지 설명합니다. 여기서 다루는 조문 외의 사항은 전문가에게 확인하시기 바랍니다.

개인정보를 처리할 수 있는 근거

개인정보 보호법 제15조 제1항은 개인정보를 수집하고 이용할 수 있는 경우로 다음을 포함합니다.

• 정보주체의 동의를 받은 경우
• 법률에 특별한 규정이 있거나 법령상 의무를 지키기 위한 경우
• 정보주체와의 계약을 이행하기 위한 경우
• 개인정보처리자의 정당한 이익이 정보주체의 권리보다 명백히 우선하는 경우

동의를 받을 때에는 같은 조 제2항에 따라 수집 목적, 수집 항목, 보유 기간, 동의를 거부할 권리와 거부할 때의 불이익을 알려야 합니다. 제22조 제1항에 따라 동의가 필요한 사항은 각각 구분하여 제시해야 합니다.

민감정보

• 제23조 제1항: 건강 등 민감한 정보는 별도의 동의를 받거나 법령이 요구하거나 허용하는 경우에만 처리할 수 있습니다.
• 제23조 제2항: 민감정보를 처리할 때에는 안전조치를 해야 합니다.

주민등록번호와 면허번호

• 제24조의2 제1항: 주민등록번호는 법률 등이 구체적으로 요구하거나 허용하는 경우, 생명이나 재산을 위해 급박하게 필요한 경우 등에만 처리할 수 있습니다.
• 같은 조 제2항은 암호화하여 보관하도록 하고, 제3항은 주민등록번호 없이도 가입할 수 있는 방법을 제공하도록 합니다.
• 시행령 제19조는 고유식별정보로 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호를 정합니다. 약사 면허번호는 여기에 포함되지 않으며 일반 개인정보에 해당합니다.
• 고양시약사회의 영수증 발급은 사업자번호나 주민등록번호를 출력할 때만 입력하고 저장하지 않는 방식이라고 보도되었습니다.

파기

• 제21조 제1항: 보유 기간이 끝나거나 목적을 달성하면 지체 없이 파기해야 합니다. 다른 법령이 보존을 요구하는 경우는 예외입니다.
• 같은 조 제2항은 복구할 수 없도록 파기하게 하고, 제3항은 다른 법령에 따라 보존하는 정보를 분리하여 보관하게 합니다.
• 시행령 제16조: 전자 파일은 영구 삭제하고, 종이 문서는 분쇄하거나 소각합니다.

업무를 맡길 때

외부 업체에 개인정보 처리를 맡기는 것을 위탁이라고 합니다. 제26조는 다음을 정합니다.

• 제1항: 위탁은 문서로 해야 하며, 위탁 목적 외 처리 금지, 기술적·관리적 보호조치, 시행령 제28조 제1항이 정한 목적과 범위, 재위탁 제한, 안전조치를 담아야 합니다.
• 제2항: 위탁하는 쪽은 위탁 업무와 수탁자를 공개해야 하며, 시행령 제28조 제2항에 따라 홈페이지에 계속 게시하는 방식으로 합니다.
• 제4항: 위탁하는 쪽은 수탁자를 교육하고 감독해야 합니다.
• 제5항: 수탁자는 위탁받은 업무 범위를 넘어 정보를 이용할 수 없습니다.
• 제6항: 수탁자가 다시 위탁하려면 위탁한 쪽의 동의를 받아야 합니다.
• 제7항: 손해배상 책임에서 수탁자는 위탁한 쪽의 직원으로 봅니다.

접속기록 보관

개인정보의 안전성 확보조치 기준 제8조는 개인정보처리시스템 접속기록을 최소 1년, 5만 명 이상의 정보나 고유식별정보, 민감정보를 처리하는 경우 최소 2년 보관하도록 한다고 요약되어 있습니다. 이 내용은 요약 자료로만 확인되었으므로 원문을 확인하시기 바랍니다.

약사회 사례

서울시약사회 개인정보처리방침은 면허번호, 이름, 이메일, 근무처, 주소, 아이디와 비밀번호를 수집하고, 회원 정보는 약사 면허를 유지하는 동안, 접속기록은 3개월 보관한다고 밝힙니다.

회원 정보에 적용해 보면

• 분회가 회원 명부와 회비 자료를 외부 도구에 올려 처리를 맡기면, 분회는 개인정보처리자이고 그 도구의 운영자는 제26조의 수탁자가 됩니다. 이 경우 서면 계약, 처리방침에 수탁자 공개, 감독, 재위탁에 대한 동의가 필요합니다.
• 수탁자가 회원 정보를 자신의 다른 목적에 쓰면 더 이상 위탁이 아니라 제3자 제공이 되며, 보통 회원 본인의 동의 같은 별도의 근거가 필요합니다.
• 회비 면제 사유 중 건강, 임신, 장애를 드러내는 사유와 그 증빙서류는 제23조의 민감정보입니다. 연수교육 면제는 약사법 시행규칙 제5조의2가 요구하므로 법령상 근거가 있지만, 회비 면제는 약사회 규정에만 근거하므로 별도 동의를 받거나 건강 상태가 드러나지 않는 사유 분류를 쓰는 것이 필요합니다.

약사모에서의 활용

약사모는 분회 사무국을 돕는 보조 도구이며 대한약사회의 공식 시스템이 아닙니다. 분회가 회원 자료를 약사모에 올려 처리하는 경우 분회가 개인정보처리자, 약사모가 수탁자라는 위 원칙이 그대로 적용됩니다. 약사모는 주민등록번호를 저장하지 않습니다.

출처

• 개인정보 보호법 제15조: https://casenote.kr/법령/개인정보_보호법/제15조
• 개인정보 보호법 제21조: https://casenote.kr/법령/개인정보_보호법/제21조
• 개인정보 보호법 시행령 제16조, 한국법제연구원 영문 번역: https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=69668&type=part&key=4
• 개인정보 보호법 제22조, 한국법제연구원 영문 번역: https://elaw.klri.re.kr/eng_mobile/viewer.do?hseq=62389&type=part&key=4
• 개인정보 보호법 제23조: https://casenote.kr/법령/개인정보_보호법/제23조
• 개인정보 보호법 제24조의2와 시행령 제19조: https://casenote.kr/법령/개인정보_보호법/제24조의2
• 개인정보 보호법 제26조와 시행령 제28조: https://www.law.go.kr/LSW//lsLawLinkInfo.do?lsJoLnkSeq=900079061&lsId=011357&chrClsCd=010202&print=print
• 개인정보의 안전성 확보조치 기준 제8조: https://www.law.go.kr/admRulLsInfoP.do?chrClsCd=010202&admRulSeq=2100000229672
• 서울시약사회 개인정보처리방침: https://www.spa.or.kr/util/privacy.do
• 약사공론, 고양시약사회 영수증 발급: https://www.kpanews.co.kr/news/articleView.html?idxno=531384
• 약사법 시행규칙 제5조의2