KIN 개인정보 처리방침
게시 준비 문안입니다. 확정 전으로 표시된 사업·운영 정보는 아직 확정되지 않았습니다. 해당 표시를 실제 운영 사실로 해석하지 마세요.
이 문서에서 「개인정보법」은 「개인정보 보호법」을 뜻합니다.
시행일: 확정 전: {{시행일}} 운영자: 확정 전: {{현재 운영자의 실제 성명 또는 명칭}} 설립·이전 후 운영자: 확정 전: {{회사명}} — 실제 변경일부터 반영
KIN 운영자 확정 전: {{현재 운영자}}는 병원이 맡긴 개인정보를 처리하는 수탁자입니다. 이 방침은 병원으로부터 맡은 PACS 관련 개인정보의 처리 내용을 설명합니다. KIN이 가입자 계정정보를 자신의 목적과 책임으로 처리하는 경우에는 아래 ‘B. KIN이 직접 처리하는 가입·계정정보’도 적용합니다.〔개인정보법 제2조5호·제26조⑧·제30조〕
A. 병원으로부터 맡은 개인정보와 공통 처리사항
가. 처리 목적 — 제30조①1호
KIN은 병원으로부터 맡은 개인정보를 확정 전: {{위탁계약에서 확정한 PACS 업무}}를 수행하기 위해 처리합니다. 구체적인 업무는 확정 전: {{실제 제공하는 저장·전송·열람·보고서 처리 등의 범위}}입니다.
병원으로부터 맡은 업무의 범위를 넘어 해당 정보를 이용하거나 제3자에게 제공하지 않습니다.〔추가 근거: 제26조⑤〕
나. 처리하는 항목 — 제30조①8호, 시행령 제31조①1호
| 구분 | 실제 처리하는 개인정보 |
|---|---|
| 환자 식별·연결 정보 | 확정 전: {{실제 환자 식별항목 및 병원 내 식별번호}} |
| 의료영상·건강정보 | 확정 전: {{실제 의료영상, 보고서, 검사 관련 정보 및 메타데이터 항목}} |
| 병원이 관리하는 사용자정보를 함께 위탁하는 경우 | 확정 전: {{해당 사용자 항목}} |
| 개인정보취급자(2026-10-31까지) 및 접속한 자(정보주체 제외, 2026-11-01부터)의 접속기록 | 확정 전: {{실제 접속기록 구성항목}} |
다. 처리·보유기간 — 제30조①2호
| 정보 | 보유기간과 기산점 |
|---|---|
| 병원 수탁 환자정보 | 확정 전: {{병원별로 확정한 기산점·기간·근거}} |
| 위탁 종료 후 반환·이관을 위한 처리 | 확정 전: {{반환·이관 범위와 완료기한}} |
| 백업에 남는 수탁정보 | 확정 전: {{백업 보유기간·삭제 또는 만료 방식}} |
| 민감정보 처리시스템의 개인정보취급자(2026-10-31까지) 및 접속한 자(정보주체 제외, 2026-11-01부터) 접속기록 | 2년 이상, 실제 보관기간 확정 전: {{기간}} |
접속기록의 2년 이상 보관 기준은 개인정보취급자(2026-10-31까지) 및 접속한 자(정보주체 제외, 2026-11-01부터)의 접속기록에 관한 것입니다. 환자영상 자체의 보유기간은 위 표에서 별도로 정합니다.〔안전성 확보조치 기준 제8조①2호, 고시 제2026-9호. 제8조①②: 2026-10-31까지 종전 문언, 2026-11-01부터 개정 문언 적용〕
라. 제3자 제공 — 제30조①3호〔해당 시〕
병원 수탁정보의 제공 관계는 다음과 같습니다.
| 제공받는 자 | 제공 목적 | 제공 항목 | 보유·이용기간 | 제공 근거와 책임 주체 |
|---|---|---|---|---|
| 확정 전: {{실제 제공받는 자}} | 확정 전: {{목적}} | 확정 전: {{항목}} | 확정 전: {{기간}} | 확정 전: {{법적 근거·병원/KIN 역할}} |
이 항목은 업무위탁·재위탁과 구분하여 작성합니다. 동의에 근거한 제공이라면 해당 정보주체에게 별도의 법정 사항을 알리고 동의를 받는 절차를 마련합니다.〔제17조①②·제26조⑤⑧〕
마. 파기 절차·방법 — 제30조①3의2호
개인정보를 보유할 필요가 없어지면 확정 전: {{대상 확인·승인·실행 절차}}에 따라 파기합니다.
- 전자파일: 복원 불가능한 영구 삭제가 원칙이며, 기술적으로 현저히 곤란한 경우에는 시행령 제16조①1호 단서를 적용합니다. 실제 방법: 확정 전: {{실제 복구 방지 삭제방법}}
- 종이 등 기록물이 있는 경우: 파쇄 또는 소각합니다(시행령 제16조). 실제 방법: 확정 전: {{실제 파기방법}}
- 백업: 확정 전: {{백업에서의 파기·만료 절차와 시점}}
- 위탁 종료 시: 확정 전: {{병원 반환·이관·파기 지시 확인 절차와 완료 확인방법}}
다른 법령에 따라 계속 보존하는 정보가 있다면 아래와 같습니다.
| 보존 근거 조문 | 보존 항목 | 보존기간 | 보관·접근 방식 |
|---|---|---|---|
| 의료법 시행규칙 제15조①2호 | 진료기록부 | 10년 | 확정 전: {{방식}} |
| 의료법 시행규칙 제15조①5호 | 검사내용 및 검사소견기록 | 5년 | 확정 전: {{방식}} |
| 의료법 시행규칙 제15조①6호 | 방사선 사진(영상물을 포함한다) 및 그 소견서 | 5년 | 확정 전: {{방식}} |
위 기간은 의료인·의료기관의 보존기준입니다. KIN의 실제 수탁기간·기산점에는 자동 대입하지 않습니다.
병원의 진료기록 보존기간을 KIN의 모든 데이터에 일괄 적용하지 않습니다. 의료기록별 법정 보존기간은 위 보존표에 의료법 시행규칙 제15조①의 원문대로 기입했고, KIN의 실제 수탁기간·기산점은 별도 사실입니다.
바. 민감정보 공개 가능성과 비공개 선택 — 제30조①3의3호〔해당 시〕
확정 전: {{해당 기능}}에서는 확정 전: {{민감정보 항목}}이 확정 전: {{공개 범위와 대상}}에게 공개될 수 있습니다. 공개를 원하지 않는 경우 확정 전: {{비공개 선택 경로}}에서 선택할 수 있으며, 그 효과는 확정 전: {{효과}}입니다.
공개 가능성이 있는 경우에는 해당 서비스를 제공하기 전에 이를 안내합니다.〔제23조③〕
사. 위탁·재위탁 — 제30조①4호〔해당 시〕
| 구분 | 업체의 실제 명칭 | 맡기는 업무 | 처리 대상 |
|---|---|---|---|
| 병원 수탁업무의 재위탁 | 확정 전: {{재수탁자}} | 확정 전: {{업무}} | 확정 전: {{항목·범위}} |
| KIN 자체 업무의 위탁〔B 적용 시〕 | 확정 전: {{수탁자}} | 확정 전: {{메일·계정·호스팅 등 실제 업무}} | 확정 전: {{항목·범위}} |
병원 수탁업무를 다시 위탁하는 경우 병원의 동의를 받습니다. 병원의 위탁 공개에 필요한 KIN 및 재수탁자의 실제 명칭과 업무 내용은 확정 전: {{병원에 전달하는 절차}}에 따라 제공합니다.〔제26조②⑥〕
아. 가명정보 처리 — 제30조①4의2호〔해당 시〕
가명정보를 처리하는 경우 그 내용은 다음과 같습니다.
확정 전: {{처리 목적 / 항목 / 처리기간 / 제공·결합 여부와 상대방 / 안전조치}}
수탁 환자정보에 관해서는 확정 전: {{병원이 맡긴 가명처리 범위}}를 함께 명시합니다. 이 항목의 기재를 KIN의 독자적인 연구·학습 등 추가 이용 허용 근거로 사용하지 않습니다.〔제26조⑤〕
자. 정보주체·법정대리인의 권리·의무와 행사방법 — 제30조①5호
정보주체 또는 법정대리인은 개인정보 열람, 정정·삭제, 처리정지 및 동의철회 등에 관한 요청을 확정 전: {{접수 이메일·전화·온라인 경로}}로 제출할 수 있습니다.
요청할 때에는 확정 전: {{본인 또는 정당한 대리인임을 확인하는 절차}}에 따라 확인에 필요한 정보를 제출합니다. KIN은 확정 전: {{접수·본인확인·검토·결과 통지 절차}}에 따라 처리합니다.
법정 기한: 열람은 원칙적으로 요구받은 날부터 10일 이내, 정정·삭제 및 처리정지 결과통지도 각 10일 이내입니다. 법 제35조③의 열람 연기 예외와 법 제36·37조의 지체 없는 조치 의무를 함께 기재합니다.〔시행령 제41조④⑤·제43조③·제44조②〕
병원이 맡긴 정보에 관한 요청은 KIN이 접수한 뒤 확정 전: {{해당 병원과의 협력 절차}}에 따라 처리하고, 진행 상황과 결과를 확정 전: {{통지방법}}으로 안내합니다. 법령상 보존 등으로 요청의 전부 또는 일부를 처리할 수 없는 경우에는 확정 전: {{해당 근거와 안내 절차}}에 따라 그 사유를 알립니다.
차. 개인정보 보호책임자 또는 담당부서 — 제30조①6호
- 개인정보 보호책임자 성명 또는 개인정보 보호·고충처리 부서명: 확정 전: {{성명 또는 부서명}}
- 전화: 확정 전: {{실제로 연결되는 전화번호}}
- 이메일: 확정 전: {{실제로 접수되는 이메일}}
- 권리행사 접수 경로: 확정 전: {{경로}}
카. 개인정보 자동수집 장치 — 제30조①7호〔해당 시〕
| 장치·쿠키 등 | 수집 정보·목적 | 유지기간 | 거부방법 | 거부 시 실제 영향 |
|---|---|---|---|---|
| 확정 전: {{실제 장치·쿠키}} | 확정 전: {{항목·목적}} | 확정 전: {{기간}} | 확정 전: {{브라우저·서비스 설정 경로}} | 확정 전: {{영향}} |
인증·세션 유지용 장치와 분석·추적용 장치를 실제 구성에 따라 구분합니다.
타. 안전성 확보조치 — 제30조①8호, 시행령 제31조①3호
KIN의 안전성 확보조치는 다음과 같습니다.
- 관리적 조치: 확정 전: {{실제 시행하는 내부 관리·교육·권한 관리}}
- 기술적 조치: 확정 전: {{실제 접근통제·암호화·접속기록 보관 및 점검}}
- 물리적 조치: 확정 전: {{실제 시설·장비 접근 제한}}
민감정보 처리시스템의 개인정보취급자(2026-10-31까지) 및 접속한 자(정보주체 제외, 2026-11-01부터) 접속기록은 2년 이상 보관하도록 운영합니다. 공개 전 실제 설정·운영 상태와 위 문안을 대조합니다.〔제29조, 시행령 제30조, 안전성 확보조치 기준 제8조①2호, 고시 제2026-9호. 제8조①②: 2026-10-31까지 종전 문언, 2026-11-01부터 개정 문언 적용〕
접속기록 점검은 2026-10-31까지 월 1회 이상, 다운로드 발견 시 내부 관리계획에 따른 사유 확인을 적용합니다. 2026-11-01부터는 내부 관리계획에서 정한 주기와 방법에 따라 점검하고 다운로드 사유 확인 등 필요한 조치를 합니다.
파. 개인정보 국외 이전 — 제30조①8호, 시행령 제31조①2호〔해당 시〕
| 사항 | 내용 |
|---|---|
| 국외 이전의 법적 근거 | 확정 전: {{제28조의8제1항의 해당 호와 충족 사실}} |
| 이전 항목 | 확정 전: {{항목}} |
| 이전 국가 | 확정 전: {{저장·백업·조회 국가}} |
| 이전 시기·방법 | 확정 전: {{시기·방법}} |
| 이전받는 자와 연락처 | 확정 전: {{실제 명칭·연락처}} |
| 이용 목적·보유기간 | 확정 전: {{목적·기간}} |
| 이전 거부 방법·절차·효과 | 확정 전: {{방법·절차·실제 효과}} |
해외에서 조회하는 경우도 확인 대상에 포함합니다.〔제28조의8①②〕
하. 국외에서 직접 수집·처리하는 국가 — 제30조①8호, 시행령 제31조①4호〔해당 시〕
국외에서 국내 정보주체의 개인정보를 직접 수집하여 처리하는 경우, 처리 국가는 확정 전: {{국가명}}입니다.
거. 방침의 공개·변경 — 제30조②, 시행령 제31조②
이 방침은 확정 전: {{공개 URL}}에서 계속 확인할 수 있습니다. 변경하는 경우 변경된 방침을 같은 경로에 공개합니다.
시행일: 확정 전: {{시행일}} 이전 방침 확인: 확정 전: {{이전 버전 경로 — 운영상 제공하는 경우}}
이 방침과 개인정보처리자·정보주체 사이의 계약 내용이 다른 경우에는 정보주체에게 유리한 내용을 적용합니다.〔제30조③〕
B. KIN이 직접 처리하는 가입·계정정보〔KIN이 해당 정보의 개인정보처리자인 경우에만 적용〕
가. 목적·항목·처리근거·보유기간
KIN 운영자 확정 전: {{현재 운영자}}는 가입 신청, 이메일 인증 및 관리자 승인 과정에서 다음 정보를 직접 처리합니다.〔제30조①1·2·8호, 시행령 제31조①1호〕
| 처리 업무 | 항목 | 처리근거 | 보유기간 |
|---|---|---|---|
| 가입 신청·이메일 인증 | 이메일, 확정 전: {{확인된 추가 필드}} | 확정 전: {{동의 또는 입증된 제15조제1항의 해당 근거}} | 확정 전: {{신청 시점부터 기간}} |
| 관리자 승인·계정 운영 | 확정 전: {{승인·기관·역할 등 실제 항목}} | 확정 전: {{항목별 근거}} | 확정 전: {{승인·이용 종료 등 기산점과 기간}} |
| 미인증·미승인·반려 신청 정리 | 확정 전: {{남기는 항목}} | 확정 전: {{근거}} | 확정 전: {{상태별 기간}} |
| 계정 종료 후 보존 | 확정 전: {{필요한 항목}} | 확정 전: {{확인된 근거}} | 확정 전: {{기간}} |
| 보안 운영 | 확정 전: {{실제 보안·접속기록 항목}} | 확정 전: {{근거}} | 확정 전: {{해당 시스템별 기간}} |
동의 없이 처리하는 항목과 근거는 동의 대상과 구분하여 알립니다.〔제22조③〕
나. 자체 처리 부문의 나머지 사항
다음 사항은 A의 수탁 환자정보와 섞지 않고 ‘가입·계정정보’로 별도 표시합니다.
| 법정 항목 | 자체 처리 부문의 문안 |
|---|---|
| 제3자 제공〔제30조①3호〕 | 확정 전: {{자체 계정정보 제공 여부 및 실제 수령자·목적·항목·기간·근거}} |
| 파기·법정 보존〔제30조①3의2호〕 | 확정 전: {{미인증·반려·탈퇴 등 상태별 파기 절차·방법, 별도 보존 근거·항목}} |
| 민감정보 공개〔제30조①3의3호〕 | 확정 전: {{해당 여부와 실제 내용}} |
| 위탁〔제30조①4호〕 | A ‘사’의 KIN 자체 업무 위탁 행에 실제 업체·업무 기재 |
| 가명정보〔제30조①4의2호〕 | 확정 전: {{자체 처리 여부와 실제 내용}} |
| 권리·의무와 행사방법〔제30조①5호〕 | A ‘자’의 창구로 접수하며, 자체 계정정보 요청은 KIN이 확정 전: {{처리 절차}}에 따라 직접 처리 |
| 책임자·연락처〔제30조①6호〕 | A ‘차’의 실제 담당 창구 적용 |
| 자동수집 장치〔제30조①7호〕 | 확정 전: {{가입·로그인·계정 화면에서 실제 사용하는 장치}}를 A ‘카’에서 구분 |
| 안전조치〔영 제31조①3호〕 | 확정 전: {{자체 계정정보에 실제 적용하는 조치}}를 A ‘타’에서 구분 |
| 국외 이전·국외 직접 수집〔영 제31조①2·4호〕 | 확정 전: {{인증메일·계정업체 등 실제 이전 및 처리 국가}}를 A ‘파·하’에서 구분 |
추가로 해당할 때에는 국내대리인 정보, 지속적인 추가 이용·제공의 판단기준, 완전히 자동화된 결정의 기준·절차·처리방식을 기재합니다. 현재의 관리자 승인 절차를 완전 자동화 결정으로 표시하지 않습니다.〔제31조의2④·제37조의2④, 시행령 제14조의2②〕