환자 대신 진료기록을 받아 주는 서비스를 설계한다면 — 의료법 제21조 대리 발급 서류와 14세 미만 환자

의료법 제21조 제2항은 병원이 환자 아닌 사람에게 진료기록을 내주는 것을 금지하고, 환자가 지정한 대리인은 시행규칙 제13조의3 제2항의 서류를 갖춘 경우에만 기록을 받을 수 있습니다. 요청자 신분증 사본, 환자가 자필 서명한 동의서(별지 제9호의2서식)와 위임장(별지 제9호의3서식), 환자 신분증 사본이 그 서류이고, 14세 미만 환자라면 동의서와 위임장을 법정대리인이 작성하고 법정대리인임을 확인할 서류를 붙여야 합니다. 환자 대신 기록을 받는 서비스를 설계하는 회사가 서류 수집 단계와 받은 기록의 처리 단계에서 확인할 것, 그리고 개인정보 보호법 제35조의2 전송요구와의 관계를 정리했습니다.

대상회사의 데이터 자산, 실사에서 순서대로 묻는 세 질문

대상회사가 데이터 자산이라고 내미는 것은 세 층으로 갈라서 보아야 합니다. 첫째는 수집 경로입니다. 2026년 8월 20일 시행된 개인정보 보호법 시행령 제42조의6은 앞으로의 유입에는 사전협의(제3항 제1호 나목)를, 이미 쌓인 축적분에는 저장 금지(제5항)를 걸어 두었으므로 한 줄짜리 답으로 둘을 설명할 수 없습니다. 둘째는 학습데이터의 저작권입니다. 서울중앙지방법원 2026년 7월 24일 선고 2025나6032 판결은 권리처리 없는 전자책 말뭉치의 손해액을 '정가의 70% × 5부 × 지분율'로 산정했고, 8월 11일 시행된 저작권법 제125조 제4항은 고의 침해에 그 5배까지 허용합니다. 셋째는 개인정보의 적법근거입니다. AI 개발 특례(제28조의12)는 2026년 9월 8일 공포됐지만 시행일이 2027년 3월 9일이라 오늘의 근거가 되지 못하고, 시행 뒤에도 승인은 다섯 사유로 처리 전부가 제한될 수 있는 상태입니다. 세 질문은 경로, 권리, 근거의 순서로 묻고, 답은 각각 따로 받습니다.

마이데이터 사업을 하려면 전문기관 지정을 받아야 하나요

데이터를 받는 쪽에는 두 갈래가 있습니다. 지정을 받아야 하는 개인정보관리 전문기관과, 지정 없이 시설·기술 기준만 충족하면 되는 일반수신자입니다. 갈림점은 규모가 아니라 목적입니다. 받은 정보로 통합조회·맞춤형 서비스를 하려면 지정 대상이고, 고유 업무에서 수집한 정보의 진위를 확인하는 정도면 일반수신자입니다. 경계를 넘으면 지정 없이 전문기관 업무를 하는 것이 되고, 그 지정 의무는 법 제35조의3 제1항이 정합니다.

본인전송요구가 들어왔습니다: 며칠 안에 보내야 하고, 거절할 수 있나

개인정보 보호법 시행령은 전송 기한을 며칠이라고 정하지 않고 '지체 없이'라고만 씁니다. 대신 거절할 수 있는 사유를 제42조의8 제1항에 열한 가지로 열거해 두었습니다. 거절하더라도 사유를 통지해야 하고, 거절 내역과 사유는 3년간 보관해야 합니다. 요구가 들어온 뒤의 절차를 조문 단위로 정리했습니다.

본인전송요구권 8월 20일 시행 — 우리 회사에 실제로 걸리는 날은 언제인가

매출 1,800억원 초과 민간 기업이 전송 요구를 받는 것은 2027년 2월 20일부터입니다. 개정 시행령(대통령령 제36121호)이 2026년 8월 20일 시행됐지만 그렇습니다. 반면 스크래핑으로 데이터를 받아가는 대리인 측에는 8월 20일부터 사전협의 의무와 저장 금지가 걸립니다. 정보를 보내는 쪽과 받는 쪽에 각각 걸리는 날짜와 의무를 조문 단위로 정리했습니다.