독감 시즌이 시작되면 사내에서 접종 여부를 확인하라는 요청이 자주 들어옵니다. 재택 근무 전환이나 출장, 행사 참여 전에 "접종 완료 증명서를 제출해 주세요"라는 공지가 올라오고, 담당자는 메일로 받은 파일을 엑셀에 옮겨 취합합니다. 이 과정에서 접종 기록은 단순한 업무 메모가 아니라 건강과 관련된 개인정보로 바뀝니다.
이 글에서는 예방접종·건강 관련 정보가 개인정보보호법상 민감정보에 해당할 수 있다는 전제에서, 수집 근거, 별도 동의, 접근 권한, 보관 기간을 어떻게 나눠 관리할지 실무 점검 항목으로 정리합니다. 법 적용 여부와 세부 기준은 사업 형태와 데이터 흐름에 따라 달라지므로, 마지막에 확인할 곳도 함께 안내합니다.
접종 기록이 민감정보가 되는 순간
개인정보보호법 제23조는 건강에 관한 정보를 민감정보로 정하고, 원칙적으로 처리를 제한합니다. 예방접종 여부 자체가 질병이나 건강 상태를 드러낼 수 있으므로, 접종 기록을 다루는 시스템은 일반 인사 정보보다 높은 기준으로 설계하는 편이 안전합니다. 다만 "접종 여부만 확인하는 것"과 "병명·진료 내역까지 받는 것"은 위험도가 다르므로 구분해서 판단해야 합니다.
실무에서는 목적에 필요한 최소한만 받는 것이 핵심입니다. 재택 전환 여부를 정하는 데 필요한 값은 대개 접종 완료 여부와 기준일 정도이며, 증명서 원본 전체나 진료 기록이 필요한 경우는 드뭅니다. 이 기준을 먼저 세우면 뒤에 나올 동의·권한·보관 문제가 훨씬 단순해집니다.
사례: 한 팀에서 "접종 증명서를 메일로 보내 주세요"라는 공지를 올렸습니다. 담당자는 받은 파일을 공유 드라이브 한 폴더에 모아 두었고, 폴더 권한이 "회사 전체 보기"로 설정되어 있었습니다. 필요한 값은 접종 여부 한 줄이었는데, 증명서 원본 수십 건이 여섯 달 넘게 남아 있었습니다.
이 사례의 문제는 수집 목적과 실제 보관 방식이 맞지 않았다는 점입니다. 접종 여부 확인이 목적이었다면 원본 파일을 받을 이유가 없었고, 확인 후에는 파일을 즉시 삭제하고 결과 값만 남겼어야 합니다.
수집 근거와 별도 동의를 나누는 법
민감정보는 정보주체의 별도 동의를 받거나 법령에서 처리를 허용하는 경우에만 다룰 수 있습니다. 여기서 "별도 동의"는 일반 개인정보 수집 동의에 묶어 넣는 방식이 아니라, 민감정보 항목을 따로 표시하고 따로 체크받는 것을 뜻합니다. 회사가 근거로 삼을 법령이 있는지, 없다면 동의를 받을 것인지를 먼저 정해야 합니다.
동의서를 만들 때는 항목, 목적, 보유 기간, 동의를 거부할 때 생기는 불이익을 함께 적습니다. 접종 기록 제출을 거부해도 불이익이 없도록 대체 수단(예: 마스크 착용, 원격 근무 조건)을 제시하는지도 확인하세요. 동의를 사실상 강제하면 자발적 동의로 보기 어려울 수 있습니다.
접근 권한을 역할별로 나누기
접종 기록은 "누가 값을 보는가"보다 "누가 원본을 볼 수 있는가"를 기준으로 나누는 것이 실용적입니다. 보통 원본 증명서는 담당 부서의 소수 인원만 보고, 현업 관리자에게는 "완료/미완료"만 보여 주는 구조가 적절합니다. 개발자나 운영자가 DB를 조회할 때도 접종 값이 평문으로 노출되지 않도록 해야 합니다.
권한 설계가 끝나면 실제로 열어 볼 수 있는 계정을 점검해야 합니다. 퇴사자 계정, 프로젝트 종료 후 남은 공유 링크, 로그에 남은 접종 값이 자주 누락됩니다. 이 부분은 ISMS-P의 인증 및 권한 관리 항목에서 다루는 계정 관리와 접근 권한 검토 흐름에 맞춰 점검하면 됩니다.
보관 기간과 파기 기준
보관 기간은 "필요할 때까지"가 아니라 수집 목적이 끝난 시점을 기준으로 정합니다. 재택 전환 판단이 끝났다면 접종 여부 값은 해당 시즌 운영 목적에 맞춰 짧게 두고, 원본 파일은 확인 직후 파기하는 방식이 일반적입니다. 법령상 별도로 보관해야 하는 기록이 있는지는 해당 법령과 담당 부서의 확인이 필요합니다.
파기는 삭제 버튼을 누르는 것으로 끝나지 않습니다. 공유 드라이브 휴지통, 백업본, 메일 첨부 사본, 엑셀 취합 파일까지 같은 기준으로 지워야 합니다. 파기 일자와 대상, 담당자를 대장에 남기면 나중에 점검할 때 근거로 쓸 수 있습니다.
개발·인프라에서 챙길 것
서비스를 만드는 입장에서는 접종 값이 어디로 흘러 들어가는지부터 확인해야 합니다. 요청 본문이 웹 서버 액세스 로그에 남지 않는지, 에러 리포트 도구에 값이 실리지 않는지, 캐시나 검색 인덱스에 들어가지 않는지 점검합니다. 특히 폼 검증 과정에서 입력값을 그대로 로깅하는 코드가 흔한 누락 지점입니다.
저장 구조에서는 접종 값을 일반 테이블과 분리하고, 컬럼 단위 암호화나 접근 로그 적용을 검토합니다. 백업과 개발 환경 복제에도 실데이터가 들어가지 않도록 마스킹 규칙을 두세요. 운영 DB를 개발 환경으로 복사할 때 이 테이블이 제외되는지 확인하는 것만으로도 사고 가능성이 크게 줄어듭니다.
바로 해 볼 순서
- 접종 기록을 어떤 목적으로 받는지 한 문장으로 적고, 필요한 최소 항목을 정합니다.
- 민감정보 동의 항목을 일반 동의와 분리하고, 거부 시 대체 수단을 준비합니다.
- 현재 원본 파일과 취합 파일이 있는 위치(메일, 드라이브, 엑셀, 메신저)를 모두 목록으로 만듭니다.
- 접근 권한을 원본 열람자와 완료 여부 열람자로 나누고, 퇴사자와 종료된 프로젝트의 계정을 정리합니다.
- 보관 기간과 파기 일자를 정하고, 파기 대장에 기록한 뒤 기존 원본을 삭제합니다.
자주 묻는 질문
접종 완료 여부만 받아도 민감정보로 봐야 하나요?
예방접종 여부는 건강과 관련된 정보를 드러낼 수 있으므로, 실무에서는 민감정보에 준하는 기준으로 다루는 것이 안전합니다. 다만 최종 판단은 수집 목적과 실제 데이터 항목을 기준으로 개인정보 담당 부서나 법률 자문을 거쳐 정하세요. 조문은 개인정보보호위원회 홈페이지와 법제처 국가법령정보센터에서 직접 확인할 수 있습니다.
증명서 사본을 받지 않으면 확인이 불가능한데 어떻게 하나요?
증명서 원본 대신 확인 결과만 기록하는 방식을 먼저 검토합니다. 확인자가 본 날짜와 결과(완료/미완료)만 남기고 원본은 즉시 파기하면 목적은 달성하면서 보관 부담을 줄일 수 있습니다. 불가피하게 원본을 받아야 한다면 보관 기간을 짧게 정하고, 열람자를 최소 인원으로 제한하세요.
이미 취합한 파일이 여러 곳에 있으면 어떻게 정리하나요?
먼저 위치 목록을 만들고, 목적이 끝난 파일부터 삭제합니다. 메일 첨부, 공유 드라이브, 개인 PC의 다운로드 폴더, 메신저 대화 첨부까지 빠짐없이 확인해야 합니다. 정리 후에는 같은 기준의 파기 기록을 남겨 두면 다음 시즌에도 같은 방식으로 반복할 수 있습니다.
정리
- 접종 기록은 건강 관련 정보로 보고, 목적에 필요한 최소 항목만 받습니다.
- 수집 근거와 별도 동의를 나누고, 원본 열람 권한은 소수 역할로 제한합니다.
- 보관 기간을 목적 종료 시점에 맞추고, 메일·드라이브·로그·백업까지 파기 범위에 포함합니다.
오늘 할 일: 사내 접종 증명서가 저장된 위치를 한 곳씩 찾아 목록으로 만들어 보세요.
댓글