PHI란?
보호대상 건강정보(PHI)는 개인 건강 정보라고도 하며, 개인의 과거, 현재, 미래의 신체적 또는 정신적 건강 상태나 질환, 유전 정보와 관련된 데이터를 가리킵니다. 또한 보호대상 건강정보에는 의료 서비스 제공자, 건강 보험 플랜, 고용주 또는 의료 서비스 정보 처리 기관(즉, 적용 대상 기관)이 생성하거나 수령한 의료 서비스의 프로비저닝 또는 비용의 지불과 관련된 정보도 포함됩니다.
| 보호대상 건강정보에 관한 주요 용어 |
|---|
| 적용 대상 기관: 건강 보험 플랜, 의료 서비스 정보 처리 기관 또는 의료 서비스 공급자 |
| 비즈니스 협력자: 적용 대상 기관을 대신하여 서비스를 제공하는 주체(예: 조직 또는 개인) |
| 데이터 주체: 보호대상 건강정보를 통해 직접적 또는 간접적으로 식별될 수 있는 모든 사람(즉, 환자) |
1996년에 제정된 건강보험 정보 이전 및 그 책임에 관한 법률 (HIPAA)은 보호대상 건강정보의 모든 사용, 액세스 및 공개를 포함하여, 해당 정보의 취급 지침을 제시하고 보호 조치를 집행하는 주요 법률입니다. HIPAA 규정은 적용 대상 기관 또는 그 비즈니스 협력자가 어떤 형태나 매체(즉, 전자적, 구두 또는 서면)로든 수집, 전송, 유지 또는 저장하는 모든 PHI에 적용됩니다.
보호대상 건강정보에 대한 HIPAA 규정에 따르면, 환자는 접수 시 개인정보 처리방침 고지(NPP)를 제공받아야 합니다. NPP는 환자가 PHI와 관련된 자신의 권리를 쉽게 이해할 수 있도록 명확하게 작성되어야 합니다. NPP에서는 적용 대상 기관이 보호대상 건강정보로 할 수 있는 일과 할 수 없는 일을 설명합니다.
PHI와 관련된 환자 권리는 다음과 같습니다.
- 의료 기록에 대한 액세스 요청
환자는 승인 양식을 사용하여 자신의 의료 기록을 요청할 권리가 있습니다. - 의료 기록에 대한 수정 요청
환자는 자신의 기록에 오류가 있다고 판단될 경우 PHI의 수정을 요청할 권리가 있습니다. - PHI의 특수 개인정보 보호 요청
환자는 PHI의 공개를 제한할 권리가 있습니다. - Parental access to a minor’s medical records
In most cases, a parent or legal guardian can access a minor’s medical records. Situations in which parents cannot access a minor’s PHI include:- 미성년자가 부모의 동의가 필요하지 않은 치료에 동의하는 경우
- 법원에서 미성년자가 치료를 받아야 한다고 결정한 경우
- 부모가 미성년자와 적용 대상 기관 간에 기밀 관계가 형성되는 것에 동의한 경우
HIPAA는 또한 보호대상 건강정보가 연구 목적으로 어떻게 활용될 수 있는지도 구체적으로 다룹니다. HIPAA에 따르면, PHI는 다음과 같은 방식으로 연구에 사용될 수 있습니다.
- 연구 준비 목적
- 사망자 데이터에 대한 연구
- 데이터가 완전히 비식별화된 경우
- 참여자 또는 그 법적 대리인이 서명한 HIPAA 승인서가 있는 경우
- 제한된 데이터 세트와 데이터 사용 계약을 갖춘 경우
- 기관생명윤리위원회 (IRB), 즉 인간을 연구 대상자로 포함하는 연구를 검토하도록 기관에서 공식적으로 지정한 위원회, 위원단 또는 기타 그룹의 승인 면제가 있는 경우
단, 이 데이터가 가족교육권 및 사생활보호법 (FERPA)의 적용을 받는 교육 기록이나 고용주로서의 적용 대상 기관이 보유한 고용 기록에 포함된 데이터에는 HIPAA 규정이 적용되지 않습니다.
지정된 기록 세트와 HIPAA 식별자란?
HIPAA에 따르면, 지정된 기록 세트는 적용 대상 기관에 의해 또는 그를 위해 유지되는 기록의 집합으로, 법적 건강 기록보다 더 광범위합니다. 지정된 기록 세트는 환자 치료와 관련되지 않은 모든 보호대상 건강정보와 비즈니스 정보를 포함하기 때문에 법적 건강 기록보다 더 광범위합니다.
지정된 기록 세트에 포함되는 보호대상 건강정보의 예는 다음과 같습니다.
- 청구 및 지불 기록
- 임상 사례 노트
- 임상 실험실 검사 결과
- 환자에 대한 결정 사항
- 등록, 지불, 청구 판결, 사례 또는 의료 관리 기록 시스템
- 치료 관련 의사결정에 전체 또는 부분적으로 사용된 정보
- 보험 정보
- 의료 영상(예: MRI 및 X-ray)
- 의료 기록
- 건강 및 질병 관리 프로그램 파일
- 건강 및 질병 관리 프로그램 정보
지정된 기록 세트에 있는 보호대상 건강정보와 관련된 환자의 액세스 권리에는 지정된 기록 세트에 포함된 PHI를 액세스, 수정 또는 열람할 권리와, 서면 또는 전자 형식으로 지정된 기록 세트의 사본을 받을 권리가 포함됩니다.
지정된 기록 세트에 포함된 보호대상 건강정보와 관련된 추가적인 액세스 권리 및 제한 사항은 다음과 같습니다.
- 적용 대상 기관은 개인이 액세스를 요청한 PHI에 대해서만 액세스 권한을 제공할 의무가 있습니다.
- 환자는 정신 건강 전문가가 개인의 의료 기록과 별도로 관리하는 심리 치료 노트에 대해서는 액세스할 권리가 없습니다.
- 환자는 개인에 대한 의사결정에 사용되지 않는 적용 대상 기관의 정보(예: 품질 평가 또는 개선 기록, 환자 안전 활동 기록 또는 비즈니스 기획, 개발 및 관리 기록)에 액세스할 권리가 없습니다.
- 개인은 법적 절차를 합리적으로 예상하여 또는 법적 절차에 사용하기 위해 수집된 정보에 액세스할 권리는 없지만, 그 기초가 되는 PHI에는 액세스할 권리가 있습니다.
- 환자가 액세스할 권리가 있는 처방약 정보에는 환자에게 처방된 처방약의 명칭 및 해당 약물에 대한 비용 지불과 관련된 청구 기록이 포함됩니다.
- 환자는 처방약 또는 약물 치료 요법의 개발 과정에서 근거로 사용되었거나 그 형성에 도움이 된 정보에 액세스할 수 있습니다.
- PHI 요청에 대응할 때, 적용 대상 기관은 지정된 기록 세트에 이미 존재하지 않는 설명 자료나 분석 결과와 같은 새로운 정보를 생성할 의무가 없습니다.
보호대상 건강정보에 포함되는 항목
HIPAA는 보호대상 건강정보를 구성하는 18가지 식별자를 다음과 같이 규정하고 있습니다.
- 환자 이름
환자의 정신적 또는 신체적 건강 치료나 진단과 같은 정보와 함께 사용될 경우, 환자 이름은 PHI에 해당하므로 전송 및 저장 시 보호되어야 합니다. - 지리적 요소
주 단위보다 더 세부적인 지리 정보는 PHI에 해당합니다. 여기에는 도로명 주소, 도시, 카운티, 선거구, 우편번호 및 그에 상응하는 지리 좌표가 포함됩니다. - 개인의 건강 또는 신원과 관련된 날짜
PHI에는 환자와 직접적으로 관련된 모든 날짜 요소(연도 제외)가 포함되며, 여기에는 생년월일, 입원일, 퇴원일, 사망일이 포함됩니다. - 전화번호
- 팩스 번호
- 이메일 주소
- 사회 보장 번호
- 의료 기록 번호
- 건강보험증 번호
- 계좌 번호
은행 계좌 번호나 신용카드와 같이 의료비 지불에 사용되는 모든 계좌 번호는 PHI에 해당합니다. - 증명서/면허 번호
개인의 전문 자격, 자격 증명 또는 법적 권한을 확인하는 데 사용되는 증명서 또는 면허 번호는 PHI에 해당합니다. - 차량 식별자
차량 정보는 PHI에 해당합니다. 여기에는 차량 식별 번호(VIN), 번호판 번호, 제조사 및 모델, 색상이 포함됩니다. - 기기 속성 또는 일련 번호
기기 속성 또는 일련 번호는 스마트폰, 태블릿, 의료 기기와 같은 전자 기기에 연결된 식별자입니다. 의료 서비스 제공 과정에서 의료 서비스 공급자가 자주 사용하는 기기가 이에 포함됩니다. - 일부 URL을 포함한 디지털 식별자
진료 예약이나 의료 기록과 같이 환자 진료에 사용되는 URL은 PHI에 해당합니다. - 인터넷 프로토콜(IP) 주소
환자와 연결된 모든 IP 주소 정보는 PHI입니다. - 지문, 망막, 음성 인식을 포함한 생체 인식 요소
환자를 통해 기록된 생체 인식 정보 데이터는 PHI입니다. - 환자 얼굴 사진
개인의 얼굴 특징을 식별할 수 있는 모든 이미지는 PHI입니다. - 기타 식별 번호 또는 코드
HIPAA에 따르면 개인을 식별하는 데 사용할 수 있는 모든 식별 번호 또는 코드는 PHI입니다.
보호대상 건강정보 FAQ
보호대상 건강정보와 관련하여 자주 묻는 질문은 다음과 같습니다.
HIPAA 개인정보 보호 규칙이란 무엇인가요?
HIPAA 개인정보 보호 규칙에서는 적용 대상 기관과 그 비즈니스 협력자가 보호대상 건강정보를 사용 및 공유할 수 있는 방식을 상세히 규정합니다. HIPAA 개인정보 보호 규칙은 어떤 형태로든 PHI를 전송하는 건강 보험 플랜, 의료 정보 처리 기관, 의료 서비스 공급자에게 적용됩니다. 미국 보건복지부(HHS)와 민권 담당국(OCR)은 컴플라이언스 활동 및 민사상 벌금과 관련하여 HIPAA 개인정보 보호 규칙의 집행을 담당하고 있습니다.
PHI로 간주되지 않는 정보는 어떤 것이 있나요?
PHI로 간주되지 않는 정보의 예시는 다음과 같습니다.
- 집계된 비개인 데이터(예: 지리적 영역별, 연도별, 서비스 기관별 또는 기타 방식으로 평균값을 낸 개인정보)
- HIPAA 개인정보 보호 규칙의 적용을 받지 않는 기관이 생성, 수신, 유지 또는 전송한 건강 데이터(예: 학생과 관련된 건강 정보는 가족교육권 및 사생활보호법(FERPA)의 적용을 받음)
- 직원의 고용 기록의 일부인 건강 정보
- 18가지 식별자가 없는 건강 정보(예: 활력 징후만으로 구성된 데이터 세트)
- PHI 식별자 없이 수행된 검사 결과(예: 잠재적 유전 표지자, 프로모터 조절 요소를 찾는 기본 유전 연구 및 기타 탐색적 유전 연구)
조직은 보호대상 건강정보와 관련하여 어떻게 컴플라이언스를 유지할 수 있나요?
PHI와 관련하여 컴플라이언스를 유지하는 가장 좋은 방법은 다음의 5가지 규칙을 이해하는 것입니다.
- 개인정보 보호 규칙
- 거래 및 코드 세트 규칙
- 보안 규칙
- 고유 식별자 규칙
- 집행 규칙
이러한 규칙에 명시된 보호대상 건강정보 요구 사항을 충족하기 위한 권장 모범 사례에는 다음이 포함됩니다.
다음과 같은 사이버 방어 시스템 도입:
- 멀웨어를 탐지하기 위한 안티바이러스 소프트웨어
- PHI의 액세스 및 사용을 모니터링하기 위한 감사 솔루션
- 소프트웨어를 최신 상태로 유지하고 취약성을 제거하기 위한 자동 패치 관리
- 노트북 및 모바일 기기의 분실 또는 도난 시 해당 기기에 저장된 데이터를 원격으로 삭제할 수 있는 기능
- 모든 워크스테이션, 모바일 기기 및 저장소에 대한 데이터 암호화
- 전송 중인 데이터를 보호하기 위한 암호화
- 네트워크 및 데이터에 대한 무단 액세스를 방지하기 위한 방화벽
- 의심스러운 네트워크 활동을 탐지 및 차단하기 위한 침입 탐지 시스템/침입 방지 시스템(IPS/IDS)
- 악성 이메일을 탐지 및 차단하기 위한 스팸 필터
- 직원이 악성 웹사이트를 방문하는 것을 차단하기 위한 웹 필터
- 사고 발생 시 PHI를 복구할 수 있도록 보장하는 백업
- 비즈니스 협력자의 보안 제어 및 위험 수준에 대한 감사
- 관리, 물리적, 기술적 보호 조치에 대한 정책
- 종이 문서를 적절히 폐기하기 위한 정책(예: PHI가 포함된 모든 문서는 파쇄 처리)
- 소셜 미디어에 PHI로 해석될 수 있는 어떠한 내용도 게시하지 않도록 방지하는 정책
- 최소 권한의 원칙에 따라 PHI 액세스 권한을 부여하기 위한 절차
- 비밀번호 관리 모범 사례
- 공공장소에서 보호대상 건강정보의 보안 유지(예: 환자 파일은 비공개 공간 외에서는 항상 닫아 두기)
- 정기적인 교육을 실시하여 직원이 계속해서 교육을 받고 최신 정보를 숙지하도록 유지
- PHI가 저장된 모바일 기기의 소지 상태 유지 관리
- 모든 시스템에 자동 로그아웃 기능을 적용
- 문서 관리를 활용하여 PHI 공유 제한
ePHI란 무엇인가요?
ePHI는 전자 보호대상 건강정보로, 핵심적으로 말해 디지털화된 보호대상 건강정보를 의미합니다. 적용 대상 기관과 그 비즈니스 협력자는 ePHI를 다음과 같은 전자 형식이나 매체로 생성, 처리, 저장, 전송 또는 수신할 때 HIPAA PHI 보호 규칙을 준수해야 합니다.
- 직장, 가정 또는 이동 중에 사용되는 내장 하드 드라이브가 장착된 컴퓨터 또는 노트북
- 이메일
- 외장 휴대용 하드 드라이브
- 파일 전송
- 플래시 드라이브
- 자기 테이프
- 스마트폰
- 문자 메시지
- USB 드라이브, CD, DVD, SD 카드 등을 포함한 이동식 저장 장치
보호대상 건강정보에 대한 18가지 식별자는 ePHI에도 적용되며, 추가로 HIPAA에서는 ePHI의 저장 및 전송에 대한 기준도 설정하고 있습니다.
적용 대상 기관과 비즈니스 협력자는 ePHI의 기밀성, 무결성 및 가용성(CIA 3원칙)에 대한 기준을 의무화하는 HIPAA 보안 규칙을 준수해야 합니다.
- 기밀성: 권한 없는 사용자가 ePHI에 액세스할 수 없도록 보장하기 위한 시스템을 마련해야 합니다.
- 무결성: 승인되지 않은 변경이 이루어지지 않도록 ePHI를 보호해야 하며, 모든 변경 사항을 기록해야 합니다.
- 가용성: 환자는 HIPAA에 명시된 규칙에 따라 자신의 ePHI에 액세스할 수 있어야 합니다.
보호대상 건강정보와 소비자 건강정보의 차이는 무엇인가요?
보호대상 건강정보는 HIPAA에 명시된 보호 조치를 엄격하게 적용받습니다. 반면 소비자 건강정보(CHI)는 PHI로서 HIPAA의 적용을 받을 수 있지만, CHI의 서비스 약관에 따라 데이터 주체가 이러한 권리를 양도할 수 있습니다. 일반적으로 CHI를 수집하는 조직(예: 웨어러블 기기 및 앱 공급자, 유전자 검사 회사)은 CHI를 사용, 공유 및 판매할 권리가 있음을 명시적으로 밝히는 서비스 약관을 보유하고 있습니다.
컴플라이어스와 평판을 강화하는 PHI 보호 조치
보호대상 건강정보를 적절히 보호하지 못할 경우 엄격한 제재가 따르기 때문에 대부분의 조직은 이를 우선적으로 고려할 수밖에 없습니다. 컴플라이언스 위험에 더해, PHI와 관련된 침해가 발생하면 실질적인 피해와 평판의 저하 또한 감수해야 합니다. 따라서 PHI 보호 조치를 우선시하는 것은 선택의 문제가 아니라 필수적인 의무입니다.
