위탁업무에 따른 개인정보보호 서약서

1. 위탁업무 수행 목적 외 개인정보의 처리금지에 관한 사항

- 수탁사업자는 위탁업무에 정해진 목적 외 개인정보를 활용하여서는 아니 된다.

2. 개인정보의 기술적, 관리적 보호조치에 관한 사항

- 수탁사업자는 수탁업무를 수행하기 위하여 필요한 개인정보를 보호하기 위하여 개인정보에 대한 접근권한, 누설금지, 취급자에 대한 서약서 관리, 취급자에 대한 개인정보보호 교육, 개인정보에 대한 출력관리, 파기조치 방법, 개인정보 접근 및 출력에 대한 모니터링 과 같은 관리적 보호 조치를 취하여야 한다.

- 수탁사업자는 개인정보의 기술적 보호를 위하여 정보시스템에 대한 보안관리, 계정 및 비밀번호 통제, 정보시스템 접근 통제, 데이터베이스 접근통제, 네트워크 접근 통제, 악성소프트웨어 통제, 백업 및 로그 관리 등에 대한 기술적 보호조치를 마련하여야 한다.

3. 위탁업무의 목적 및 범위

-

각호의 업무 예시 : 직원 온라인 교육, 외부검사 위탁, 의료정보시스템 위탁 등 위탁업무 명 기재

4. 재위탁 제한에 관한 사항

- 수탁자는 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다. 만약 재 위탁을 위하여 제3자에게 개인정보를 제공할 경우 제3자 제공에 대한 사항을 병원에 신고하여야 하고, 제3자 제공에 대한 관리 책임은 수탁업체에게 있으며, 정보 누출 시 그 책임은 수탁업체에게 있다.

5. 개인정보에 대한 접근제한 등 안전성 확보 조치에 관한 사항

- 수탁사업자는 개인정보보호를 위한 다음과 같은 안전성 화보 조치를 하여야 한다.

① 개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행

② 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치

③ 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

④ 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조·변조 방지를 위한 조치

⑤ 개인정보에 대한 보안프로그램의 설치 및 갱신(백신, 개인정보암호화, DB암호화 등)

⑥ 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치

- 별도로 정의되지 않은 사항은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시에 따라 조치하여야 한다.

6. 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

- 병원에서는 위탁업무와 관련하여 보유하고 있는 개인정보의 관리현황을 수탁업체에게 요청▪감독 할 수 있으며 정보주체의 개인정보가 훼손되지 않도록 교육 시행 및 그 내용을 확인하기 위하여 필요한 사항을 증빙 자료로 요청할 수 있다.

7. 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등에 관한 사항

- 사업자는 제주대학교병원(이하‘병원’)의 보안정책을 위반하였을 경우 병원의 위규처리 기준에 따라 위규자 및 관리자를 행정조치하고 병원에서 제시한 위약금을 병원에 납부한다.

8. 위탁업무 과정에서 취득한 자료와 정보에 관하여 외부에 유출해서는 아니 되며, 위탁업무 계약기간 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 위탁자에 반납하여야 하며 즉시 통보하여야 한다.

수탁사업자 명    :

서   약   일   자 :           년       월      일

수탁사업자 대표  :                      (인)

제 주 대 학 교 병 원 장