의료기관 직원 채용시 주의해야 할 개인정보 처리 기준은?

최근 의료기관의 개인정보보호 및 정보보안이 화두로 떠오름에 따라 환자의 개인정보뿐만 아니라 의료기관에서 근무하는 직원의 개인정보 처리 방법에 대해서도 각별한 주의 및 인지가 요구되고 있다. 이에 본지에서는 최근 보건복지부에서 발표한 '의료기관 개인정보보호 가이드라인‘에 나타난 의료기관 내부직원 개인정보 단계별 처리 기준에 대해 소개하고자 한다.



① 채용 준비단계

의료기관에서 근무하게될 인재선발을 위해 필요한 개인정보는 정보주체의 동의 없이 수집·이용이 가능한데, 의료기관은 지원자의 요구가 있는 경우 개인정보의 수입 출처·개인정보 처리 목적·개인정보 처리 정지 요구권을 고지해야 한다.

또한 ‘주민등록번호’ 수집의 경우 법령에서 구체적으로 허용한 경우에만 수집이 가능하다.

지원자 개인정보의 안전한 관리를 위해서 의료기관에서는 채용전형단계별 개인정보취급자를 최소한 지정해야하며, 만약 채용대행업체에 위탁할 경우 위탁계약을 문서로 작성 보관해야 하며, 안전한 관리 및 감독이 뒤따라야 한다.



② 채용 결정단계

근로계약서, 임금대장 등을 위한 개인정보 수집은 정보주체의 동의가 없이도 가능하다. 이 경우에는 근로기준법 시행령 제27조에 따라 주민등록번호 역시 동의 없이 수집이 가능하다. 단, 민감정보 수집은 별도의 동의를 받아야 하며, 업무상 반드시 필요한 개인정보 제3자 제공 및 공개는 정보주체의 동의를 확보해야만 한다.

만약 소득세법에 따른 연말정산 등 법령상 의무준수를 위한 주민등록번호 수집 및 이용이 필요할 경우에는 정보주체의 동의없이 처리가 가능하며, 근로자 가족의 복리후생을 위한 업무 처리 시 가족의 동의 없이도 개인정보를 수집·이용할 수 있다.



③ 고용 유지단계

근로계약 이행에 필요한 개인정보는 근로자의 동의 없이 활용이 가능하다. 예를 들어 인력배치 및 전보, 파견, 휴직 등이 이에 해당한다. 하지만 징계처분과 해고 등 불이익 처분을 공개하고자 하는 경우에는 근로자의 동의를 우선적으로 받아야 한다.

근로자의 객관적인 성과 실적 등 인사평가정보는 정보주체에게 공개할 수 있으며, 급여 등을 노동조합이나 공공기관 등 제3자에게 제공할 때는 반드시 정보주체의 동의를 받아야 한다.

또한 외부기관에 교육을 위탁하기 위해 개인정보를 제공하는 경우, 문서로 시행해야 한다.



④ 고용 종료단계

의료기관에서 근무하던 의료인력의 퇴직 시에는 해당자의 개인정보를 지체없이 파기해야 한다. 그러나 근로기준법 제39조 및 시행령 제19조에는 의료인력의 경력 증명 등에 관한 정보는 퇴직후 3년간 별도로 보관하도록 하고 있다. 만약 3년 이상 퇴직 근로자의 경력증명 정보를 보관하고자 한다면, 퇴직 시점에 미리 퇴직 근로자의 동의를 받아서 보관해 두어야 한다.

퇴직 근로자의 개인정보를 제3자에게 제공하고자 한다면, 정보주체의 동의가 선행되어야 하는데, 순수 친목단체 퇴직 근로자 모임은 동의 없이 개인정보가 수집이 가능한 반면 의료기관이 제공하고자 할 경우에는 퇴직 근로자의 동의를 얻어야 한다.