누가 개인정보처리자인지로 갈립니다. 에이전시가 자기 고객으로 환자에게 동의를 받아 병원에 정보를 넘겼다면 에이전시와 병원이 각자 개인정보처리자입니다(개인정보 보호법 제17조). 병원이 상담·예약 업무를 에이전시에 맡겼다면 병원이 위탁자이고 에이전시는 수탁자라서 위탁받은 범위를 넘어 연락처를 쓸 수 없습니다(제26조). 어느 쪽인지는 환자가 동의한 문서와 병원·에이전시 사이의 위탁 문서로 확인합니다.
원장님 병원 숫자로 매달 나가는 수수료를 계산해 보세요.
수수료 계산하기연락처의 주인은 누가 개인정보처리자인지로 정해집니다
개인정보 보호법은 업무를 목적으로 개인정보파일을 운용하려고 직접 또는 다른 사람에게 맡겨 개인정보를 처리하는 자를 개인정보처리자로 정합니다(제2조 제5호). 에이전시를 거친 환자의 연락처가 누구에게 남는지는 이 개인정보처리자가 누구인지에서 갈립니다. 에이전시 계약은 아래 두 구조로 나눠 볼 수 있고, 둘이 섞인 계약도 있습니다.
| 구분 | 에이전시가 모아 병원에 제공 | 병원이 에이전시에 업무 위탁 |
|---|---|---|
| 누구의 일인가 | 에이전시 자기 영업 | 병원의 상담·예약 업무 |
| 근거 | 에이전시가 환자 동의를 받아 병원에 제공(제17조) | 병원이 위탁 문서를 쓰고 수탁자를 공개(제26조) |
| 에이전시의 연락처 사용 | 자기가 받은 동의 범위 안에서 계속 처리 | 위탁받은 업무 범위 밖 이용·제공 금지(제26조 제5항) |
| 계약이 끝나면 | 에이전시가 정한 보유 기간을 따름 | 수탁자에게도 파기 의무 준용(제26조 제8항, 제21조) |
첫째 구조에서는 에이전시와 병원이 각자 개인정보처리자입니다. 병원은 받은 정보를 제공받은 목적 안에서 쓰고, 에이전시는 자기 고객 정보를 계속 가집니다. 둘째 구조에서는 연락처의 주인이 병원이고 에이전시는 병원 일을 대신 처리하는 수탁자입니다.
동의서와 계약서에서 확인할 문구
첫째 구조라면 환자가 서명한 제3자 제공 동의서를 봅니다. 동의를 받을 때는 제공받는 자, 그 자의 이용 목적, 제공하는 항목, 제공받는 자의 보유·이용 기간, 동의를 거부할 권리와 거부에 따른 불이익을 알려야 합니다(제17조 제2항). 제3자 제공 동의는 다른 동의와 구분해 따로 받아야 합니다(제22조 제1항 제2호). 제공받는 자 칸에 원장님 병원이 적혀 있는지, 병원 이름 없이 "제휴 의료기관"처럼 뭉뚱그려 있는지 확인하세요.
둘째 구조라면 위탁 문서가 있어야 합니다. 위탁업무의 목적과 범위, 목적 외 처리 금지, 기술적·관리적 보호조치, 재위탁 제한, 관리 현황 점검 같은 감독, 수탁자가 의무를 어겼을 때의 손해배상 책임이 들어갑니다(제26조 제1항, 시행령 제28조 제1항). 에이전시가 이 일을 다른 업체에 다시 맡기려면 병원 동의를 받아야 하고(제26조 제6항), 병원은 위탁 업무와 수탁자를 홈페이지 등에 공개합니다(제26조 제2항, 시행령 제28조 제2항).
어느 구조든 계약서에 아래 세 가지를 문장으로 적어 두면 나중에 다툼이 줄어듭니다.
- 에이전시가 병원에 넘기는 환자 정보의 항목과 그 동의 근거
- 병원 업무로 처리한 정보를 위탁 목적 밖에 쓰지 않고 계약이 끝나면 파기해 확인서를 준다는 약속
- 환자가 병원에 직접 다시 연락했을 때 수수료를 주는지, 준다면 언제까지인지
환자가 병원에 직접 다시 연락하면
환자가 귀국 뒤 병원 메신저나 사이트로 직접 연락하면 병원은 그 환자에게 직접 정보를 받게 됩니다. 병원은 환자의 동의를 받거나 환자와 맺은 진료 계약을 이행하는 데 필요한 범위 같은 근거 안에서 그 정보를 수집하고 씁니다(제15조 제1항). 이때 수수료를 줄지는 개인정보와 별개로 에이전시 계약의 문제입니다. 계약이 끝난 뒤 다시 오는 환자의 수수료 조항은 유치업체 계약을 끝내기 전 확인할 것에 정리했습니다.
환자는 개인정보처리자에게 자기 정보의 열람, 정정·삭제, 처리정지를 요구할 수 있습니다(제35조·제36조·제37조). 환자가 에이전시에 남은 정보를 지우고 싶어 하면 첫째 구조에서는 환자가 에이전시에 직접 요구하고, 둘째 구조에서는 병원이 수탁자에게 처리를 지시합니다. 수탁자에게도 열람·삭제·처리정지 조항이 준용되니(제26조 제8항) 둘째 구조에서도 환자가 에이전시에 직접 요구할 수 있습니다.
다시 오라는 안내 메시지는 따로 조심합니다. 영리목적의 광고성 정보를 전자적으로 보내려면 받는 사람의 명시적인 사전 동의가 필요하고, 오후 9시부터 다음 날 오전 8시 사이에 보내려면 전자우편을 빼고는 별도 동의가 더 필요합니다(정보통신망법 제50조 제1항·제3항, 시행령 제61조 제2항). 거래관계로 연락처를 직접 받은 사업자가 거래가 끝난 날부터 6개월 안에 거래한 것과 같은 종류의 서비스 광고를 보내는 경우는 예외입니다(같은 조 제1항 제1호, 시행령 제61조 제1항). 에이전시에게서 넘겨받은 연락처라면 병원 이름으로 수신 동의를 따로 받아 두세요.
병원 쪽에 연락처가 남게 하려면
환자가 처음부터 병원 창구로 연락하면 연락처는 병원이 직접 받은 정보가 됩니다. 병원 이름의 외국어 페이지와 메신저 계정을 두고, 상담 전에 받는 개인정보 동의를 병원 이름으로 받습니다. 피부 사진처럼 건강에 관한 정보를 받을 때 따로 동의받는 방법은 사전 문진과 개인정보에 있습니다.
메디비서는 환자를 소개하지 않고, 환자는 원장님 병원의 LINE·WhatsApp·인스타 DM·사이트 상담 창으로 직접 연락합니다. 지금 에이전시에 내는 수수료가 한 달에 얼마인지는 요금 화면 계산기에 매출과 수수료율을 넣으면 나옵니다.