개인정보처리방침

① 개인정보보호책임자는 개인정보취급자를 대상으로 연 1회 이상 개인정보보호 정기 교육을 실시하여야 한다.

② 신규 입사자 및 신규 지정된 개인정보취급자는 업무 배치 전 (또는 배치 후 1개월 이내) 별도 교육을 이수하여야 한다.

③ 교육의 내용에는 관련 법령, 내부관리계획, 유출사고 대응절차 등을 포함한다.

④ 교육 수료증(이수확인서) 원본은 별도 보관하며, 교육 실시 여부와 보관 문서번호는 「개인정보취급자 교육 실시 관리대장」 (별도 문서)에서 연계 관리한다.

① 개인정보처리시스템에 대한 접근권한은 업무 수행에 필요한 최소한의 범위로 차등 부여한다.

② 전보, 휴직, 퇴직 등 인사이동이 발생한 경우 지체 없이 (원칙적으로 인사발령일 당일 또는 1영업일 이내) 접근권한을 변경 또는 말소한다.

③ 인사부서는 인사이동 발생 시 개인정보보호책임자 (또는 시스템 관리부서)에게 즉시 통보하여야 하며, 처리 절차는 다음과 같다.

④ 접근권한 부여, 변경, 말소에 대한 내역은 관리대장에 기록하고 그 처리한 날로부터 최소 3년간 보관한다 (「개인정보의 안전성 확보조치 기준」 제5조제6항).

⑤ 정기적으로(분기 1회 이상) 재직자 명부와 시스템 접근권한 부여 현황을 대조하여 불일치 여부를 점검한다.

① 개인정보처리시스템에 대한 접근 계정은 개인정보취급자 개인별로 발급하며, 다른 사람과 공유하거나 공용계정을 사용하지 않는다. 부득이하게 공용계정을 사용하는 경우에는 사용 사유, 사용자 범위, 책임자를 명확히 하고 별도 승인을 받는다.

② 비밀번호는 영문·숫자·특수문자를 조합하여 8자리 이상 (또는 2종류 조합 시 10자리 이상)으로 설정하고, 반기 등 정해진 주기로 변경하며, 계정명과 동일한 문자열이나 연속된 숫자·키보드 배열 등은 사용을 금지한다. 세부 작성규칙은 사내 정보보안 지침에 따로 정한다.

③ 아이디(ID) 또는 비밀번호를 일정 횟수(통상 5회 이내) 이상 잘못 입력한 경우 계정 잠금 등 접근을 제한하는 조치를 적용한다. 잠금 해제는 본인 확인 절차를 거쳐 처리하고 해제 이력을 기록한다.

④ 위 사항의 적용 여부를 시스템별로 정기(반기 1회 이상) 점검하고, 미비 사항 발견 시 즉시 개선한다.

① 회사는 개인정보(의료정보 등 민감정보 포함)를 다음의 절차에 따라 수집·이용·제공·보관·파기하며, 각 단계에서 관련 조항에 따른 안전조치를 적용한다.

② 의료정보 등 민감정보를 처리하는 경우에는 다음과 같은 강화된 보호조치를 추가로 적용한다.

- 개인정보취급자를 업무상 필요 최소 인원으로 지정하고 취급 정보 범위를 명확히 한정한다.

- 접근권한을 최소화하고 인사이동 시 지체 없이 변경·말소한다.

- 저장 시 암호화를 필수로 적용하고 전송 구간은 보안서버(SSL/TLS)로 암호화한다.

- 접속기록을 상세히 기록하고 점검 주기를 일반 개인정보보다 강화하여 운영한다.

- 정보주체의 별도 동의 없이 마케팅·통계 등 다른 목적으로 이용하지 않는다.

③ 회사는 개인정보처리방침에 제1항의 처리 절차 (수집·이용·제공·보관·파기)와 안전조치 내용을 정보주체가 알기 쉽게 공개하여야 한다.

① 회사는 개인정보의 처리 목적이 달성되거나 보유기간이 경과한 경우 지체 없이 해당 개인정보를 파기하는 것을 원칙으로 하며, 법령에서 별도로 보존기간을 정한 경우에는 그 기간 동안 다른 개인정보와 분리하여 보관한다.

② 개인정보(의료정보 포함) 항목별 보유·이용기간은 다음과 같다.

③ 회사가 위탁받아 처리하는 진료·건강 관련 정보의 구체적 보유기간은 해당 의료기관(위탁자)의 내부 규정 및 위탁계약에서 정한 기간을 우선 적용하며, 위 표의 기간은 참고 기준으로 한다.

④ 앱 또는 특정 서비스가 이용자의 개인정보를 서버에 별도로 저장·보관하지 않는 경우, 회사는 개인정보처리방침 및 관련 안내에 "당사는 해당 서비스와 관련하여 이용자의 개인정보를 저장·보관하지 않으며, 처리 즉시 파기합니다"라는 취지를 명시적으로 고지한다.

⑤ 위 각 항의 보유기간이 경과하거나 처리 목적이 달성된 개인정보는 제19조(개인정보의 파기)에 따라 지체 없이 파기한다.

① 백신 소프트웨어 등 보안프로그램을 설치·운영하며, 프로그램의 자동 업데이트 기능을 사용하거나 일 1회 이상 업데이트를 실시한다.

② 발견된 악성프로그램에 대해서는 삭제 등 대응 조치를 하여야 한다.

- 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 장소는 별도의 잠금장치를 설치하여 통제한다.

- 개인정보가 포함된 서류, 보조저장매체 등은 잠금장치가 있는 안전한 장소에 보관한다.

- 개인정보가 포함된 보조저장매체는 외부 반출 시 책임자의 승인을 받는다.

① 화재, 홍수, 정전 등 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼을 마련하고 정기적으로 점검한다.

② 개인정보처리시스템의 백업 및 복구를 위한 사고 대응 절차를 마련한다.

① 정보주체(이용자·환자 등)는 회사에 대하여 언제든지 자신의 개인정보에 대한 열람, 정정·삭제, 처리정지, 동의 철회를 요청할 수 있다.

② 정보주체는 다음의 방법으로 삭제 등을 요청할 수 있으며, 회사는 이를 개인정보처리방침에 구체적으로 명시한다.

- 앱/서비스 내 [설정 > 개인정보 관리 > 회원탈퇴 또는 삭제요청] 메뉴를 통한 요청

- 고객센터 이메일([이메일 기재]) 또는 전화([전화번호 기재])를 통한 요청

- 서면(우편) 또는 개인정보보호책임자에게 직접 요청

③ 회사는 삭제 등 요청을 접수한 날부터 10일 이내에 필요한 조치를 하고 그 결과를 정보주체에게 통지한다. 정당한 사유로 기간 내 처리가 어려운 경우 그 사유와 처리 예정일을 정보주체에게 통지한다.

④ 요청인이 정보주체 본인인지 확인하기 위하여 회원정보 대조, 본인인증(휴대폰 인증 등) 등 합리적인 본인확인 절차를 거친 후 처리한다.

⑤ 다른 법령에 따라 보존 의무가 있는 개인정보 (예: 「의료법」에 따른 진료기록)에 대한 삭제 요청은 삭제 대신 다른 개인정보와 분리하여 별도 보관하고, 보존기간 경과 시 제19조에 따라 파기한다. 이 경우 그 사유를 정보주체에게 통지한다.

⑥ 미성년자 등 법정대리인이 요청하는 경우 정보주체와의 관계를 확인한 후 동일한 절차에 따라 처리한다.

⑦ 처리 내역은 아래 서식(별지 제11호와 동일)에 기록하여 관리한다.

⑧ 법령에 따라 보존이 필요한 경우 해당 개인정보를 다른 개인정보와 분리하여 저장·관리한다.

개인정보보호책임자는 개인정보 처리 현황에 대한 위험도를 연 1회 이상 분석하고, 그 결과에 따른 개선계획을 수립·시행하여야 한다.

① 개인정보 처리업무를 위탁하는 경우 위탁계약서에 위탁업무 수행 목적 외 개인정보의 이용·제공·누설 금지, 재위탁 제한(재위탁 시 사전승낙 의무 포함) 등 안전성 확보조치에 관한 사항을 명시한다.

② 수탁자에 대해 정기적으로 교육 및 감독을 실시하며, 목적 외 이용·제공·누설 여부와 재위탁 시 사전승낙 여부를 반기 1회 이상 점검하고 그 결과를 「수탁자 관리·감독 대장」(별도 문서)에 기록·관리한다.

① 개인정보의 분실·도난·유출 사실을 인지한 경우 지체 없이 개인정보보호책임자에게 보고하고, 지체 없이(법령에서 정한 기한 내) 정보주체 및 관계 기관에 통지·신고한다.

② 유출 원인 분석 및 재발 방지 대책을 수립·시행한다.

임직원 및 개인정보취급자가 이 계획을 위반한 경우 사내 인사규정 등 관련 규정에 따라 징계 등의 조치를 할 수 있다.

이 계획은 2026년 01월 01일부터 시행한다.