보건의료 마이데이터 지정기관 심사 절차와 준비 방법

보건의료 마이데이터 지정심사란?

보건의료 마이데이터는 건강보험 청구데이터, 진료기록, 처방전, 건강검진 결과 등 민감한 의료 정보를 정보주체의 전송요구권에 기반해 제3자 기관으로 전달하는 서비스입니다. 이를 합법적으로 운영하려면 보건복지부와 개인정보보호위원회(개보위) 공동 심사를 통해 개인정보관리 전문기관으로 지정받아야 합니다.

심사 절차 4단계

1단계: 지정 신청서 및 증빙서류 제출

지정 신청은 소관 부처(보건복지부 또는 개보위)에 신청서와 함께 다음 서류를 제출합니다.

필수 제출 서류:
- 개인정보관리 전문기관 지정 신청서
- 개인정보 처리방침 및 내부 관리계획
- 개인정보보호책임자(CPO) 지정 증빙
- 마이데이터 서비스 아키텍처 및 데이터 흐름도
- 기술적·관리적 보호조치 이행 현황
- 개인정보 영향평가(PIA) 결과서
- API 보안성 검토 결과

2단계: 서면심사 (2~4주)

심사위원단이 제출된 서류를 검토합니다. 주요 확인 사항은 다음과 같습니다.

• 지정 요건 항목별 충족 여부
• 관리체계 문서의 완결성
• PIA 결과의 적절성
• API 보안 아키텍처의 타당성

서면심사에서 미흡한 항목이 발견되면 보완 요구가 올 수 있으며, 보완 후 재심사를 진행합니다.

3단계: 현장심사 (1~2일)

심사위원단이 기관을 방문해 실제 운영 현황을 점검합니다.

현장심사 주요 점검 내용:
- 개인정보보호 조직 및 담당자 인터뷰
- 기술적 보호조치 시연 (암호화, 접근통제, 로그 관리)
- API 연동 실제 동작 확인
- 직원 개인정보 교육 이수 현황
- 침해사고 대응 절차 실제 운용 여부

4단계: 결과 통보 및 지정서 발급

현장심사 후 최종 결과를 통보합니다. 조건부 지정 시 시정 기간 내 보완 후 지정서를 발급합니다.

심사 준비 핵심 포인트

포인트 1: 심사위원이 가장 집중하는 항목

심사위원 경험에서 얻은 인사이트를 공유합니다. 현장심사에서 가장 집중적으로 점검하는 항목은 다음과 같습니다.

• API 보안: TLS 적용, 상호인증, 요청 로그 — 기술적으로 구현되어 있는지 직접 시연 요구
• CPO 역할: CPO가 실제로 업무를 수행하고 있는지, 형식적 지정인지 확인
• PIA 실효성: PIA 보고서가 실제 서비스 리스크를 반영했는지, 형식적 작성인지 확인
• 직원 교육 실적: 교육 이수 증빙 서류와 실제 직원 이해도

포인트 2: ISMS-P 보유 기관의 전략

ISMS-P 인증을 보유한 기관은 다음 항목에서 중복 인정이 가능합니다.

• 내부 관리계획 → ISMS-P 정책 문서 활용
• 접근통제·암호화 통제 → 기존 ISMS-P 통제 증적 활용
• 임직원 교육 → 기존 ISMS-P 교육 실적 연계

단, 마이데이터 특화 요건(전송요구권 처리, API 보안, PIA)은 별도로 준비해야 합니다.

포인트 3: 보건의료 데이터 특유의 주의사항

보건의료 데이터는 개인정보 중 가장 민감한 정보에 해당합니다. 다음 사항을 특별히 준비하세요.

• 민감정보(진단명, 처방기록) 별도 접근통제
• 데이터 보존 기간 및 파기 절차 명확화
• 제3자 제공 시 동의 절차 구체화
• 의료법·생명윤리법과의 충돌 여부 사전 검토

컨설팅 없이 독자 준비가 어려운 이유

마이데이터 지정심사는 요건이 복잡하고 심사 기준이 명확히 공개되어 있지 않아, 심사위원의 관점을 알지 못하면 서류는 갖춰도 현장심사에서 미흡 판정을 받는 경우가 발생합니다. 특히 API 보안성 시연과 PIA 실효성 검증은 사전 준비 없이 대응하기 어렵습니다.

테크파이는 마이데이터 지정심사위원 4인을 보유하고 8개 기관의 심사를 직접 수행한 경험으로, 심사에서 무엇을 보는지 정확히 알고 있습니다. 문의는 techfi.kr/mydata 또는 contact@techfi.kr로 주세요.