개인정보보호법 적용
의원도 개인정보 처리자 — 환자 정보 수집·이용·제공·보관·파기 모두 동의·고지 의무.
수집 시
- 동의서 (환자 또는 보호자) 필수
- 수집 항목·이용 목적·보관 기간 고지
- 민감정보 (질병 정보) — 별도 동의
보관·파기
- 의료법 §22 보관 기간 (10년/5년/2년) 종료 후 즉시 파기
- 보관 중에도 안전 조치 (잠금장치·접근권한·암호화)
유출 시
- 5일 이내 한국인터넷진흥원·금융보안원 신고
- 환자 통지 의무
- 과징금: 매출의 3% 이하
- 형사 처벌: 5년 이하 징역 또는 5천만원 이하 벌금 (위법 수집·제공)
의료법과 중첩
- 두 법 모두 위반 시 — 각각 처분
- 의료법 §21 + 개인정보보호법 동시 적용
- TaxWise 같은 SaaS 는 환자 식별정보 수집 안하는 baseline 권장