핵심 요약: 병원 연계 데이터 사업자가 병원의 업무(예약 안내, 검사 결과 전달, 진료 후 관리 등)만 병원의 지시와 감독 아래 처리한다면, 그 사업자는 개인정보 보호법(이하 "법") 제26조의 수탁자로 볼 여지가 큽니다. 개인정보보호위원회의 「개인정보 처리 통합 안내서」(2025. 7.)도 그런 경우를 위탁으로 보고, 환자 동의 대신 병원이 수탁자를 공개하도록 안내합니다. 그러나 사업자가 같은 앱에서 자기 서비스나 자사 상품 홍보까지 하면서 병원 몫 정보를 그 용도로 쓰면 법 제26조 제5항의 목적 외 이용이 되고, 구조 전체가 제3자 제공으로 판단될 위험도 생깁니다. 따라서 사업자는 지위를 회사 단위가 아니라 데이터 흐름 단위로 나누어 두어야 합니다.

목차

한 회사가 여러 병원과 계약을 맺고 환자용 앱을 운영한다고 가정해 보겠습니다. 환자는 병원의 안내를 받고 앱에 가입해 예약을 확인하고, 진료가 끝나면 안내문과 검사 결과를 앱으로 받습니다. 회사는 같은 앱 안에서 건강관리 콘텐츠와 자사 유료 상품도 함께 제공합니다. 이때 회사 법무는 우리 회사가 병원의 수탁자인지 제3자인지, 자체 서비스를 붙이면 답이 달라지는지를 묻게 됩니다.

위탁과 제3자 제공을 가르는 일반 기준(대법원 2017. 4. 7. 선고 2016도13263 판결)은 SDK 처리방침 글에서 정리했습니다. 이 글은 의료기관과 연계하면서 독자 서비스를 겸하는 국면만 봅니다.

병원 업무만 처리하면 사업자는 어느 자리에 있나?

사업자는 병원의 수탁자로 볼 여지가 큽니다. 개인정보보호위원회는 「개인정보 처리 통합 안내서」(2025. 7.)의 질의응답에서, 의료법 등에 따른 전자처방전·전자의무기록 같은 정보의 처리를 의료정보 전달시스템 관리업체에 맡기는 것은 법 제26조의 위탁이므로 환자 동의가 필요하지 않다고 답합니다. 대신 위탁자인 병원이 위탁 업무의 내용과 수탁자를 홈페이지 등에 공개해야 한다고 덧붙입니다. 같은 안내서는 플랫폼 사업자가 분석 같은 처리를 하더라도 그 처리가 플랫폼을 이용하는 쪽의 지시·감독에 따른 것이면 위탁으로 볼 수 있다고 설명합니다.

건강에 관한 정보가 오간다는 사정이 위탁 자체를 막지는 않습니다. 안내서는 민감정보를 적법하게 처리할 수 있는 개인정보처리자라면 위탁 계약으로 그 처리를 맡길 수 있다고 봅니다. 따라서 사업자가 병원의 업무 범위 안에서만 정보를 처리하는 한, 개인정보 보호법상으로는 별도 동의 없이 수탁자로 일할 수 있습니다. 진료기록이 오가는 경우 의료법이 무엇을 더 묻는지는 아래에서 봅니다.

같은 앱에서 자기 서비스를 하면 지위가 바뀌나?

회사 전체의 지위가 한꺼번에 바뀌는 것은 아니지만, 흐름마다 지위가 갈리게 됩니다. 안내서에 따르면 수탁자가 대고객 서비스를 하지 않을 때는 위탁이라는 점이 비교적 분명합니다. 반면 수탁자도 정보주체와 법률관계를 맺어 양쪽의 이익이 섞이면 "자칫 제3자 제공으로 판단될 수 있"다고 적고, 위탁자가 이전한 정보가 수탁자의 고유한 이익에 쓰이지 않도록 통제해야 한다고 설명합니다. 같은 안내서는 처리의 성과가 주로 누구에게 귀속되는지를 중요한 기준으로 듭니다.

그래서 이 구조의 사업자는 정보를 세 갈래로 나누어 보아야 합니다. 첫째는 병원의 업무로 처리하는 정보이고, 사업자는 여기서 수탁자입니다. 둘째는 이용자가 사업자의 자체 서비스에 가입하며 사업자에게 직접 준 정보이고, 사업자는 여기서 스스로 개인정보처리자가 됩니다. 건강에 관한 정보라면 사업자는 다른 개인정보와 구분한 별도 동의를 받아야 합니다(법 제23조 제1항 제1호). 셋째는 첫째 몫의 정보를 둘째 용도에 쓰는 흐름이며, 문제가 생기는 곳은 대부분 여기입니다.

수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용하거나 제3자에게 제공할 수 없습니다(법 제26조 제5항). 안내서도 수탁자가 위탁 업무와 별개로 자신의 서비스 홍보 같은 자기 이익 목적에 정보를 쓸 수 없다고 예를 듭니다. 이를 위반하면 형사처벌 대상이 됩니다(법 제71조 제2호). 따라서 병원 몫 정보를 자체 서비스에 쓰려는 사업자는 병원이 법 제17조(수집 당시 목적과 다른 용도라면 제18조)·제23조의 요건을 갖추어 제공하는 경로로 가거나, 이용자에게서 직접 수집하는 경로로 가야 합니다. 다만 어느 쪽으로 정리되는지는 계약 문언과 실제 데이터 흐름에 따라 달라질 수 있습니다.

진료기록이 오가면 의료법은 무엇을 더 묻나?

의료법 제21조 제2항은 의료인·의료기관의 장·의료기관 종사자가 환자가 아닌 사람에게 환자에 관한 기록을 열람하게 하거나 사본을 내주는 것을 금지하고, 같은 조 제3항이 열거한 경우에만 이를 허용합니다. 법 제6조는 다른 법률의 특별한 규정을 앞세웁니다. 따라서 병원이 진료기록을 사업자의 자체 서비스용으로 넘기는 흐름이라면, 병원과 사업자는 개인정보 보호법상 동의만으로 충분한지를 의료법 제21조와 함께 따져야 합니다. 환자가 사업자를 대리인으로 지정해 기록을 받는 경로의 서류 요건은 환자 대신 진료기록을 받는 서비스를 다룬 글에서 다룹니다.

보건복지부가 위탁 구조와 의료법 제21조 제2항의 관계를 직접 밝힌 문서는 찾지 못했습니다(2026년 10월 17일 기준, 보건의료데이터 활용 가이드라인·의료기관 개설 운영 편람·통합 안내서를 확인한 범위). 간접 근거는 방향이 엇갈립니다. 보건복지부와 개인정보위가 낸 「보건의료데이터 활용 가이드라인」(2025. 12.)에는 가명처리에 관한 보건복지부 검토의견(2023. 3. 21.)이 실려 있습니다. 그 의견은 가명처리 권한을 받은 같은 기관 내 전산실 등의 종사자에게 기록을 보여 주는 것은 제21조가 금지하는 제3자 제공이 아니라고 보면서도, 가명처리하지 않은 기록을 타 기관 등에 제공하는 것은 제한된다고 적었습니다. 다만 이 검토의견은 병원 밖 업체에 처리를 맡기는 경우를 따로 다루지 않았습니다. 이와 달리 의료법 시행규칙 제16조 제1항 제7호는 의료기관 밖에 전자의무기록 저장장비를 두는 경우의 시설 기준을 정해 외부 보관을 전제하고, 앞의 통합 안내서 질의응답도 의료정보 전달시스템 관리업체에 대한 위탁을 인정합니다. 반대 방향으로 법제처는 제21조 제3항 제9호가 정한 열람을 사본 교부로 넓히는 것이 환자 정보를 엄격히 보호하려는 입법취지에 맞지 않는다고 해석했습니다(법제처 18-0433, 2018. 12. 3.). 따라서 사업자는 병원과 계약하는 단계에서 병원이 이 구조를 어떻게 보는지부터 확인해 두어야 합니다.

의료법은 사업자에게도 직접 적용되는 조항을 둡니다. 의료법 제23조 제3항은 "누구든지" 정당한 사유 없이 전자의무기록에 저장된 개인정보를 탐지하거나 누출·변조·훼손해서는 안 된다고 정하므로, 시스템을 운영하는 사업자의 직원도 수범자가 됩니다. 한편 의료기관 종사자가 제21조 제2항을 위반하면 형사처벌 대상이 되므로(의료법 제88조 제1호), 병원은 근거가 불분명한 기록 이전 요청을 거절할 가능성이 높습니다.

병원과 사업자는 각각 무엇을 갖춰야 하나?

병원(위탁자)은 먼저 법 제26조 제1항과 시행령 제28조 제1항이 정한 사항, 즉 위탁 업무의 목적·범위, 목적 외 처리 금지, 재위탁 제한, 안전성 확보 조치, 감독, 손해배상 책임을 위탁 문서에 담아야 합니다. 이어서 위탁 업무와 수탁자를 홈페이지에 지속적으로 게재하고(법 제26조 제2항), 수탁자를 교육하고 처리 현황을 점검해야 합니다(같은 조 제4항). 감독을 소홀히 하여 수탁자가 법을 위반하면 병원에 과징금이 부과될 수 있습니다(법 제64조의2 제1항 제5호). 병원 자신의 홍보 업무를 사업자에게 맡긴다면 정보주체에게 알리는 절차(법 제26조 제3항)가 추가되는데, 이것은 사업자가 자기 상품을 안내하는 것과는 다른 문제입니다.

사업자는 앞의 세 갈래(병원 몫, 자기 몫, 경계 흐름)를 항목별로 적은 데이터 흐름표를 먼저 만들어 두어야 합니다. 병원 몫 정보와 자기 몫 정보를 같은 회원 테이블에 합쳐 두면, 사업자가 병원 몫 정보를 위탁 범위 안에서만 쓴다는 사실을 나중에 보여 주기 어렵습니다. 자체 서비스용 동의는 병원 안내와 분리된 화면에서 받고, 클라우드나 발송 대행처럼 병원 몫 처리를 다시 맡길 때는 병원의 동의를 받아야 합니다(법 제26조 제6항).

사고와 조사에서 이 구분은 어떻게 쓰이나?

유출 사고가 나면 어느 흐름의 정보가 새었는지가 책임의 방향을 정합니다. 병원 몫 정보라면 병원의 교육·감독이 함께 심사되고, 사업자도 법 제26조 제8항의 준용에 따라 안전조치·유출 통지 의무를 자기 이름으로 집니다(수탁사 사고와 위탁사 책임). 자기 몫 정보라면 사업자가 단독 개인정보처리자로서 책임을 집니다. 조사 단계에서는 흐름표가 없다는 사실 자체가 불리하게 작용할 수 있습니다. 병원 몫 정보가 자체 서비스의 회원 정보와 섞여 있다면 사업자는 수탁자라는 주장을 뒷받침하기 어렵고, 목적 외 이용(법 제26조 제5항)이 쟁점으로 올라올 가능성이 있습니다. 투자 실사에서도 같은 질문이 계약서와 동의 화면의 대조로 확인되므로, 병원과의 계약을 늘려 가는 사업자라면 계약 단계에서 분리 구조를 먼저 갖추는 편이 안전하다고 판단됩니다.

자주 묻는 질문

Q. 병원과 위탁계약을 맺었으면, 같은 앱에서 운영하는 우리 회사 자체 서비스도 그 계약으로 처리할 수 있나요?

어렵습니다. 위탁계약이 덮는 것은 병원의 업무이고, 수탁자는 위탁받은 업무 범위를 넘어 개인정보를 이용할 수 없습니다(개인정보 보호법 제26조 제5항). 자체 서비스에 필요한 정보는 회사가 개인정보처리자로서 이용자에게서 직접 수집 근거를 갖추어야 하고, 건강에 관한 정보라면 다른 개인정보와 구분한 별도 동의(제23조 제1항 제1호)가 필요합니다.

Q. 병원은 환자에게 따로 동의를 받아야 하나요?

사업자가 병원의 업무만 처리하는 위탁이라면, 개인정보 보호법상으로는 환자 동의 대신 위탁 업무의 내용과 수탁자를 홈페이지 등에 공개하면 됩니다(제26조 제2항, 시행령 제28조 제2항). 병원의 홍보·판매 권유 업무를 맡기는 경우에는 정보주체에게 알려야 합니다(제26조 제3항). 반대로 병원이 진료 정보를 사업자의 자체 서비스용으로 넘긴다면 그것은 제3자 제공이어서 제17조·제18조·제23조의 요건을 따로 갖추어야 하고, 진료기록이라면 의료법 제21조도 함께 보아야 합니다.

Q. 수탁자가 병원에서 받은 환자 정보를 자사 상품 안내에 쓰면 어떻게 되나요?

제26조 제5항 위반입니다. 같은 조항을 위반하여 개인정보를 이용하거나 제3자에게 제공한 자는 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해질 수 있습니다(제71조 제2호). 개인정보보호위원회 안내서도 수탁자가 위탁 업무와 별개로 자신의 서비스 홍보 같은 자기 이익 목적으로 정보를 이용할 수 없다고 설명합니다.

병원과 사업자가 계약 단계마다 읽을 글은 위탁·수탁 개인정보 책임 지도에 순서대로 모아 두었습니다. 위탁인지 제공인지를 판별하는 글도 그 지도의 첫머리에 있습니다.

참고 자료

  • 개인정보 보호법 제6조, 제17조, 제23조, 제26조, 제64조의2 제1항 제5호, 제71조 제2호 (법률 제21445호, 2026. 9. 11. 시행 현행본)
  • 개인정보 보호법 시행령 제28조 (대통령령 제36671호, 2026. 9. 11. 시행)
  • 의료법 제21조 제2항·제3항, 제23조 제3항, 제88조 제1호 (법률 제21490호, 2026. 10. 2. 시행)
  • 의료법 시행규칙 제13조의3, 제16조 제1항 제7호 (보건복지부령 제1177호, 2026. 6. 12. 시행)
  • 개인정보보호위원회, 「개인정보 처리 통합 안내서」(2025. 7.) Ⅵ. 업무위탁에 따른 개인정보의 처리 제한(법 제26조) 중 위탁의 판단 기준, 수탁자의 목적 외 이용 금지, 질의응답
  • 보건복지부·개인정보보호위원회, 「보건의료데이터 활용 가이드라인」(5차 개정판, 2025. 12.) 부록 2 가명정보 처리 관련 의료법 유권해석(2023. 3. 21. 검토의견)
  • 보건복지부, 「2022년 의료기관 개설 및 의료법인 설립 운영 편람」 중 법제처 법령해석 18-0433(2018. 12. 3.)
  • 대법원 2017. 4. 7. 선고 2016도13263 판결(처리위탁과 제3자 제공의 구별 기준)

이 글은 일반적인 정보 제공을 목적으로 한 것으로 법률자문이 아닙니다. 수탁자인지 제3자인지는 계약 내용과 실제 데이터 흐름에 따라 달라지므로 구체적인 사안은 개별 검토가 필요합니다.

이 글은 2026년 10월 17일 현행 조문 기준입니다.