흔히 “개인정보 점검은 큰 병원이나 대형 약국 얘기”라고 생각합니다. 우리 약국은 동네 단골 위주고 규모도 작으니 해당이 없다고요. 그런데 법은 규모가 아니라 다루는 정보의 성격을 봅니다. 약국은 환자가 어떤 약을 먹는지를 아는 곳이고, 건강 정보는 법이 따로 떼어 두텁게 보호하라고 정한 민감정보입니다. 작아서 빠지는 게 아니라, 작아도 똑같이 적용됩니다.
처방전이 카운터 옆에 며칠째 쌓여 있고, 직원 모두가 같은 비밀번호로 청구 프로그램에 들어갑니다. “이대로 괜찮나” 한 번쯤 걸렸다면, 그 감각이 맞습니다. 이 글은 무엇이 점검 대상인지, 어떤 기준으로 내 약국에 적용하는지, 미루면 어디서 손해가 나는지, 그리고 사고가 났을 때 무엇을 해야 하는지를 순서대로 정리합니다. 겁주려는 글이 아니라, 평소에 미리 줄여둘 수 있는 부담을 짚는 글입니다.
먼저 결론부터
- 약국은 건강 정보(민감정보)를 다루므로 규모와 무관하게 기본 점검 대상입니다. 출발점은 “우리가 무슨 정보를 다루는가”를 적어보는 것입니다.
- 보존 기간(처방전 약사법 2년, 건보·의료급여 3년, 조제기록부 5년)이 지난 정보는 분쇄 등 복원 불가 방식으로 파기하는 것이 원칙입니다.
- 유출을 알게 되면 정보주체 통지와 기관 신고가 원칙적으로 72시간 이내 요구되며, 약국은 민감정보를 다루는 특성상 소규모 유출도 신고 대상이 될 수 있습니다.
이 글의 순서
우리 약국이 다루는 정보부터 적어본다
점검은 거창한 보안 시스템을 들이는 일이 아니라, “우리 약국에 어떤 정보가 흐르는가”를 종이 한 장에 적어보는 데서 시작합니다. 막상 적어보면 생각보다 많습니다. 처방전에 담긴 환자 이름·주민등록번호 일부·진단명, 복약지도를 하며 알게 되는 건강 상태, 단골 연락처, 배송 주소, 카드·계좌 결제 정보, 그리고 청구 프로그램에 남는 모든 기록까지.
이 가운데 건강에 관한 정보는 개인정보보호법이 정한 민감정보로, 일반 개인정보보다 한 단계 더 두텁게 보호해야 합니다. 무엇이 민감정보이고 무엇이 고유식별정보(주민등록번호 등)인지를 먼저 구분하는 것이 점검의 첫 단추입니다. 이 구분이 중요한 이유는, 뒤에서 볼 유출 신고 의무가 바로 이 “민감정보·고유식별정보를 다루는가”에 따라 달라지기 때문입니다. 약국은 그 정의에 정면으로 들어갑니다.
자율점검, 무엇을 어떤 기준으로 보나
자율점검은 외부의 지적이나 단속을 기다리지 않고, 사업장이 스스로 관리 상태를 확인하는 활동입니다. 대한약사회는 개인정보보호위원회로부터 개인정보 보호 자율규제단체로 지정돼, 매년 회원 약국을 대상으로 자율점검을 운영합니다. 점검은 자율점검 시스템(privacy.kpanet.or.kr)에서 약국 실정에 맞춘 항목으로 진행되며, 항목을 직접 만들기 어렵다면 이 자료를 그대로 따라가는 것이 가장 현실적입니다.
점검 항목은 매년 손질되지만, 약국이 스스로 들여다볼 판단 기준은 몇 가지로 압축됩니다.
- 최소 수집 — 꼭 필요한 정보만 받고 있는가. 안 받아도 되는 정보를 관행적으로 적고 있지는 않은가.
- 접근 제한 — 정보에 닿을 수 있는 사람이 적절히 제한돼 있는가. 비밀번호를 공유하거나 적어 붙여두지 않았는가.
- 기록 보존 — 누가 언제 어떤 정보를 다뤘는지 흔적이 남는가.
- 안전 보관 — 종이·전자 정보가 잠금·암호로 보호되는가.
- 제때 파기 — 보관 기간이 지난 정보를 미루지 않고 없애는가.
- 위탁 관리 — 청구·배송·마케팅을 외부 업체에 맡겼다면, 그 업체가 정보를 제대로 다루는지 확인하는가.
특히 마지막 위탁 부분은 놓치기 쉽습니다. 외부 업체에 일을 맡겼더라도 관리 책임 자체가 사라지는 것은 아닙니다. 위탁받은 업체에서 사고가 나면 약국도 책임에서 자유롭지 않으니, 위탁 계약서에 정보 보호 의무가 담겨 있는지 한 번은 확인해 두는 편이 안전합니다.
보존 기간과 파기 — 가장 흔한 구멍
실무에서 가장 자주 어긋나는 지점이 보존 기간입니다. 처방전은 한 가지 기간만 있는 게 아니라, 어느 법을 기준으로 보느냐에 따라 다릅니다. 헷갈리기 쉬워 표로 정리합니다.
| 문서 종류 | 보존 기간 | 근거 |
|---|---|---|
| 처방전(조제) | 2년 | 약사법 |
| 건강보험·의료급여 처방전 | 3년 | 국민건강보험법·의료급여법 |
| 비급여 처방전 | 2년 | 약사법 |
| 조제기록부 | 5년 | 약사법 제30조 |
같은 처방전이라도 건강보험·의료급여가 걸리면 3년, 그 밖에는 2년이 원칙입니다. 기준이 갈릴 때는 더 긴 쪽에 맞춰두면 적어도 보존 의무를 놓치지는 않습니다. 핵심은 그다음입니다. 정해진 기간이 지나면 지체 없이 파기하는 것이 법의 원칙입니다. “언젠가 쓸지 모른다”며 오래 쌓아둘수록, 정작 유출 사고가 났을 때 피해 범위만 그만큼 넓어집니다.
파기 방식도 정해진 결이 있습니다. 종이 처방전은 그냥 버리는 게 아니라 분쇄처럼 복원이 어려운 방식으로 처리해야 하고, 전자 정보는 복구 불가능하게 삭제해야 합니다. 보관이 필요한 처방전은 잠기는 곳에 두고, 보관 기간이 끝난 묶음은 분기마다 한 번씩 정리하는 식으로 루틴을 만들면, 카운터에 며칠씩 처방전이 쌓이는 상황 자체가 줄어듭니다.
유출 사고가 났을 때의 72시간
점검을 미룰 때 비용이 가장 크게 드러나는 순간이 유출 사고입니다. 개인정보가 유출된 사실을 알게 되면, 원칙적으로 72시간 이내에 두 가지를 해야 합니다. 하나는 정보주체(고객)에게 유출 사실·항목·시점·대응 방법을 알리는 통지, 다른 하나는 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 하는 신고입니다.
여기서 약국이 특히 유의할 점이 있습니다. 신고 의무는 보통 “1천 명 이상 유출”을 떠올리지만, 법은 그 외에 민감정보 또는 고유식별정보가 유출된 경우와 외부의 불법 접근으로 유출된 경우도 신고 대상으로 정합니다. 약국이 다루는 처방·건강 정보는 민감정보, 주민등록번호는 고유식별정보입니다. 즉 한 명분이라도 이런 정보가 새면 신고 대상이 될 수 있다는 뜻입니다. “몇 명 안 되니 괜찮겠지”가 통하지 않는 영역입니다.
신고·통지 의무를 어기면 개인정보보호법상 과태료 부과 대상이 됩니다. 더 현실적인 문제는, 평소 점검과 기록이 없으면 사고가 터진 그 72시간 안에 “우리가 무엇을 어떻게 조치했는지”를 입증할 근거조차 없다는 점입니다. 반대로 평소 점검 기록·접근 권한·파기 이력이 남아 있으면, 같은 사고라도 대응 속도와 입증 부담이 완전히 달라집니다.
다만 모든 경우에 무조건 신고해야 하는 것은 아닙니다. 유출 경로가 확인돼 정보를 회수·삭제하는 등 권익 침해 가능성이 현저히 낮아진 경우처럼 예외도 있으므로, 실제 사고 시에는 임의 판단보다 기관 안내를 받아 움직이는 것이 안전합니다.
혼자 판단하기 애매할 때
유출 통지·신고의 구체적 적용, 고유식별정보를 일정 규모 이상 다루는 약국에 추가로 붙는 안전조치 의무 같은 부분은 상황마다 갈립니다. 이런 영역은 혼자 결론을 내리기보다 개인정보보호위원회 안내, 대한약사회 자율점검 시스템, 또는 전문가의 확인을 거치는 편이 안전합니다. 자율점검을 성실히 마쳐 우수 결과를 받으면 일정 기간 사전점검이 면제되는 등 실익도 있으니, 매년 운영되는 약사회 점검 일정을 챙겨두는 것을 권합니다.
저희는 약국 운영 전반의 리스크를 함께 봐드립니다. 다만 영업이 목적이 아니라, 지금 상태로 두는 편이 낫다면 솔직히 그렇게 말씀드립니다. 개인정보 점검은 위에 정리한 공개 자료(개인정보 포털·대한약사회 자율점검 시스템)만으로도 대부분 시작할 수 있고, 별도 보험이나 비용이 반드시 필요한 영역도 아닙니다. 점검을 돌려보다 배상책임·운영 리스크까지 한 번에 정리하고 싶을 때, 그때 부담 없이 문의하시면 함께 봐드립니다.
자주 묻는 질문
Q. 동네 작은 약국도 개인정보 점검이 필요한가요?
A. 필요합니다. 법은 약국 규모가 아니라 다루는 정보의 성격을 봅니다. 건강 정보 같은 민감정보를 다루므로 작은 약국도 기본 점검 대상이며, 대한약사회 자율점검 항목 중 해당되는 부분만 짚어봐도 충분히 시작할 수 있습니다.
Q. 처방전은 얼마나 보관하고 어떻게 파기하나요?
A. 약사법상 처방전은 2년, 건강보험·의료급여 관련 처방전은 3년, 조제기록부는 5년 보존이 원칙입니다. 기간이 지나면 지체 없이, 분쇄 등 복원이 어려운 방식으로 파기해야 합니다.
Q. 직원들이 같은 비밀번호를 써도 되나요?
A. 권장하지 않습니다. 사람별로 접근 권한을 구분하고, 누가 언제 정보를 다뤘는지 기록이 남도록 해두는 것이 안전합니다. 비밀번호를 적어 붙여두는 습관부터 없애는 것만으로도 위험이 크게 줄어듭니다.
Q. 몇 명 안 되는 정보가 새도 신고해야 하나요?
A. 그럴 수 있습니다. 신고 의무는 1천 명 이상 유출뿐 아니라 민감정보·고유식별정보가 유출된 경우에도 적용됩니다. 약국은 건강 정보와 주민등록번호를 다루므로 소규모 유출도 신고 대상이 될 수 있어, 사고 시 기관 안내를 받아 대응하는 것이 안전합니다.
Q. 점검 항목과 자료는 어디서 보나요?
A. 개인정보 포털(privacy.go.kr)과 대한약사회 자율점검 시스템(privacy.kpanet.or.kr)에서 약국에 맞춘 점검 항목과 가이드를 제공합니다. 약사회 자율점검은 매년 일정에 맞춰 운영됩니다.
출처: 개인정보보호법(제23조 민감정보·제24조 고유식별정보·제34조 유출 통지·신고·제75조 과태료) 및 시행령 제40조, 약사법(처방전 2년·조제기록부 5년 보존)·국민건강보험법·의료급여법(처방전 3년), 개인정보보호위원회·개인정보 포털(privacy.go.kr), 한국인터넷진흥원(KISA), 대한약사회 약국 개인정보 보호 자율점검(privacy.kpanet.or.kr) — 2024~2025년 발표 기준
※ 개인정보 보호와 처방전 보존 기준·절차는 변경될 수 있으니 개인정보보호위원회·대한약사회의 최신 안내를 확인하세요. 개인정보 침해 신고·상담은 118번을 이용하실 수 있습니다.