전자의무기록의 관리·보존에 필요한 시설과 장비에 관한 기준

제1장 총칙

이 기준은 「의료법」 제23조제2항, 같은 조 제4항 및 같은 법 시행규칙 제16조에 따라 전자의무기록을 안전하게 관리ㆍ보존하기 위한 시설과 장비에 관한 기준의 구체적인 내용을 정하는 것을 목적으로 한다.

이 기준에서 사용하는 용어의 뜻은 다음과 같다.

1. "전자의무기록" 이라 함은 진료기록부 등 의료인이 작성하는 의무기록을 전자서명이 기재된 전자문서로 입력ㆍ관리ㆍ저장하는 기록을 말한다.

2. "전자의무기록 시스템"이라 함은 전자의무기록의 관리ㆍ보존과 관련되는 서버, 소프트웨어 및 데이터베이스 등이 전자적으로 조직화된 체계를 말한다.

3. "전자의무기록 관리자"라 함은 전자의무기록 시스템을 관리하는 의료인이나 의료기관 개설자를 말한다. 이 경우 「개인정보보호법」제26조에 따라 의료인이나 의료기관 개설자로부터 개인정보의 처리업무를 위탁받아 전자의무기록 시스템을 관리하는 자를 포함한다.

4. "로그정보"라 함은 서버나 컴퓨터 등에서 처리한 내용이나 이용 상황을 시간의 흐름에 따라 전자적으로 기록한 정보를 말한다.

제2장 전자의무기록 관리ㆍ보존 시설과 장비기준

전자의무기록 관리자는 전자의무기록의 안전성과 신뢰성 확보를 위하여 전자의무기록의 생성ㆍ저장과 전자서명을 검증할 수 있는 장비를 갖추어야 한다.

전자의무기록 관리자는 전자서명이 있은 후 전자의무기록의 추가 기재ㆍ수정 사항과 변경 여부를 확인 할 수 있게 하는 등 전자의무기록의 이력관리를 위하여 필요한 장비를 갖추어야 한다.

전자의무기록 관리자는 전자의무기록의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등의 사고를 대비할 수 있도록 다음 각 호의 구분에 따른 장비와 장소를 확보하여야 한다.

1. 전자의무기록을 주기적으로 안전하게 백업할 수 있는 기능을 갖춘 백업 저장장비

2. 백업 저장장비에 대한 잠금장치가 구비된 보관장소

전자의무기록 관리자는 불법적인 접근 및 침해사고를 방지하기 위하여 「의료법 시행규칙」(이하 "규칙"이라 한다) 제16조제1항제4호부터 제6호까지의 시설과 장비에 대하여 「개인정보보호법」제29조에 따른 안전성 확보 조치를 하여야 한다. 이 경우 시설과 장비별 구체적인 조치는 다음 각 호의 구분에 따른다.

1. 규칙 제16조제1항제4호ㆍ제5호에 따른 시설 및 장비 : 「개인정보보호법 시행령」 제30조제1항제2호부터 제5호까지에 따른 안전성 확보 조치

2. 규칙 제16조제1항제6호에 따른 시설 및 장비 : 「개인정보보호법 시행령」 제30조제1항제6호에 따른 안전성 확보 조치

① 전자의무기록 관리자가 의료기관 외의 장소에서 전자의무기록을 관리ㆍ보존하는 경우에는 규칙 제16조제1항제3호부터 제7호까지에 따른 시설과 장비에 대하여 별표 1에 따른 추가적인 조치를 하여야 한다.

② 제1항에도 불구하고 다음 각 호의 어느 하나를 충족하는 클라우드컴퓨팅서비스를 이용하여 전자의무기록을 관리하는 자가 별표 2에 따른 조치를 하면 별표 1에 따른 조치를 한 것으로 간주한다.

1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조에 따른 정보보호 관리체계 인증과 국제표준화기구 및 국제전기기술위원회(ISO/IEC)의 클라우드 서비스 정보보호 관리체계 인증을 받은 서비스

2. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제23조제2항에 따른 클라우드컴퓨팅서비스의 정보보호에 관한 기준을 충족하는 서비스

제3장 보 칙

보건복지부장관은 「행정규제기본법」 제8조에 따라 이 고시에 대하여 2016년 7월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 법령이나 현실 여건의 변화 등을 검토하여 개선 등의 조치를 하여야 한다.

보건복지부장관은 이 고시에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 202○년 ○월 ○일을 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.