AI 도구를 정할 때 확인할 개인정보 처리 항목

공급자에게 요청할 처리 내용

AI 도구를 선택할 때는 처리하는 개인정보의 항목·목적·보유 기간, 제공·위탁·국외 이전 여부, 파기 방법과 보호조치를 공급자에게 확인해야 합니다. 요약 안내만으로 판단하지 말고 세부 처리 내용을 근거로 확인된 항목과 미확인 항목을 구분해야 합니다. 병원 담당자는 공급자의 문서에서 답을 찾고, 빠진 내용은 질문으로 정리해 공급자에게 전달합니다.

개인정보보호위원회의 「개인정보 처리방침 작성지침」은 생성형 AI가 처리하는 정보 항목을 수집 경로·처리 단계·활용 목적에 따라 나누어 기재하도록 안내합니다. 직접 입력한 자료뿐 아니라 수집·저장하는 결과물과 서비스 이용 중 생성·수집하는 정보도 안내 대상에 포함합니다. 병원은 대화창에 입력하는 내용만 선정 질문에 넣지 말고, 도구 이용 과정에서 처리되는 정보의 범위를 먼저 정리합니다.

표의 문서명은 공급자에게 요청할 자료의 범위를 정리한 것입니다. 실제 문서의 제목이나 구성은 공급자마다 다를 수 있으므로, 제목이 일치하는지보다 질문에 답하는 내용이 있는지를 판단합니다. 문서에 항목이 기재되어 있다는 사실만으로 해당 도구의 안전성이나 적법성을 판정하지 않습니다.

처리 목적과 정보 항목의 연결

처리 목적은 정보 항목과 연결해 읽어야 합니다. 개인정보보호위원회의 AI 작성 예시는 요청에 맞는 결과 제공, 명령 인식과 응답 개선, 입력 자료와 이용 이력을 활용한 모델 재학습 등을 서로 다른 목적으로 제시합니다. 이는 작성 예시이므로 모든 AI 도구가 같은 처리를 한다는 뜻으로 해석하지 않습니다.

공급자가 목적을 ‘서비스 개선’처럼 넓게 설명했다면 어떤 정보가 어떤 처리에 쓰이는지 추가로 묻습니다. 보유 기간도 ‘필요한 동안’이라는 표현만으로 답을 마무리하지 말고, 보관을 시작하는 시점과 끝내는 기준을 요청합니다. 동의를 받아 처리하는 항목과 그렇지 않은 항목은 공급자가 설명한 내용대로 기록하되, 그 설명만으로 병원에 필요한 법적 판단을 대신하지 않습니다.

선정 질문을 보내는 순서

병원 실장이나 마케팅 담당자는 사용할 기능의 범위를 정리한 뒤 질문서를 만듭니다. 개인정보 담당자는 공급자의 답변이 질문과 연결되는지 검토하고, 원장에게는 답변이 확보된 내용과 남은 질문을 함께 전달합니다. 자료 요청에는 실제 환자 정보를 넣지 않고 기능명과 처리 항목에 관한 질문만 기재합니다.

1. 처리 항목과 목적부터 정리합니다. 입력·결과 생성·이용기록 수집 등 공급자가 설명한 처리 단계마다 어떤 정보가 필요한지 묻고, 병원이 사용할 기능에 해당하는 답변인지 표시합니다.
2. 보관·전달·파기·보호조치를 이어서 요청합니다. 보유 기간의 시작과 종료 기준, 제공·위탁·국외 이전 여부, 파기 절차와 방법, 안전성 확보조치에 관한 문서 위치를 답변에 포함해 달라고 요청합니다.
3. 공급자 답변과 미확인 사항을 정리합니다. 각 답변 옆에 문서 제목·해당 절·문서 개정일 또는 답변일을 기재하고, 답이 없는 질문은 선정 자료에 그대로 남깁니다.

담당자가 준비할 자료는 사용할 기능 목록, 개인정보 처리방침 전문, 연결된 세부 설명, 공급자와 주고받은 답변입니다. 여러 문서를 받았다면 같은 질문에 해당하는 내용을 함께 모아 원장이 문서를 반복해서 찾지 않도록 정리합니다. 기능 설명 자료는 질문 범위를 정하는 데 활용하고, 개인정보 처리 사실의 근거는 해당 처리 내용을 설명하는 문서에서 찾습니다.

답변과 미확인 사항의 기록표

선정 기록표에는 공급자의 답변을 병원의 추정과 섞지 않습니다. 문서에 명시된 내용과 공급자가 서면으로 보충한 내용을 각각 출처와 연결하고, 답변이 없는 경우에는 빈칸 대신 추가 질문을 기재합니다. 아래 표는 병원이 채워 사용할 기록 틀이며 특정 도구의 처리 사실을 뜻하지 않습니다.

‘해당 없음’도 공급자의 근거가 있어야 기록할 수 있습니다. 문서에서 관련 절을 찾지 못했다는 이유로 전달이나 위탁이 없다고 기재하지 않습니다. 원장에게 제출할 때는 전체 항목의 완료 여부만 표시하지 말고, 미확인 내용 때문에 어떤 선정 판단이 남아 있는지 짧게 추가합니다.

요약 표시에서 빠진 내용의 처리

요약 표시의 항목 수를 세어 개인정보 처리가 충분히 설명되었다고 판단하는 경우가 있습니다. 개인정보보호위원회 작성지침은 주요 개인정보 처리 표시가 중요 사항을 요약한 것이며, 항목이 많거나 보유 기간이 서로 다르면 대표적인 내용만 표시할 수 있다고 설명합니다. 병원 담당자는 요약 표시를 문서 탐색에 활용하고, 선정 기록에는 세부 문서에서 얻은 답변을 기재합니다.

요약에는 보유 기간이 하나만 있고 본문에는 자료별 기간이 있다면, 병원이 사용할 기능의 자료가 어느 설명에 해당하는지 가려야 합니다. 해당 관계가 명확하지 않으면 공급자에게 자료 종류와 보유 기간의 연결을 요청합니다. 짧은 안내와 긴 문서의 표현이 다르다는 이유만으로 오류라고 단정하지 않고, 적용 범위가 다른지부터 질문합니다.

세부 문서에 제공·위탁·국외 이전 관련 설명이 있더라도 병원이 사용할 기능과 연결되지 않으면 답변을 완료 처리하지 않습니다. 다른 기능에 관한 설명을 선정 대상 기능에도 적용할 수 있는지 공급자가 답하도록 요청합니다. 파기나 보호조치에 관한 설명도 같은 방식으로 적용 대상을 명확히 기록합니다.

답변 부족과 비해당의 차이

미확인 항목은 공급자의 처리 방식이 나쁘다는 판정이 아니라 선정 근거가 아직 부족하다는 기록입니다. ‘문서에 없음’, ‘질문했으나 답변 없음’, ‘답변은 있으나 적용 대상 불명확’을 따로 기재하면 다음 요청이 구체적이 됩니다. 공급자가 질문 일부에만 답했다면 답변 전체를 미확인으로 처리하지 말고 해결되지 않은 부분을 남깁니다.

개인정보 담당 창구도 이름이나 연락처를 확보하는 데서 끝내지 않습니다. 처리 내용의 추가 질문을 받을 부서인지, 별도 부서로 전달해야 하는지 공급자에게 묻습니다. 담당자는 후속 질문과 회신 자료를 같은 선정 기록에 연결하고, 답변이 확보될 때까지 판단을 유보할 항목을 원장에게 전달합니다.

전달받은 설명의 적용 대상

공급자가 보낸 개인정보 문서가 선정하려는 도구를 설명하는지 먼저 가려야 합니다. 같은 회사의 문서라도 다른 서비스나 일부 기능만 대상으로 할 수 있으므로, 문서의 서비스명과 적용 대상 설명을 선정 대상과 대조합니다. 여러 서비스를 함께 설명한 문서라면 병원이 사용할 기능에 적용되는 절을 공급자가 지정하도록 요청합니다.

문서에서 처리 주체를 명확히 알 수 없다면 브랜드 이름만으로 추정하지 않습니다. 개인정보를 처리하는 사업자와 답변을 전달한 사업자의 관계를 질문하고, 회신에서 설명한 주체를 기록합니다. 질문을 보낸 날짜만 남기지 말고 어떤 서비스에 관한 답변인지도 함께 기재합니다.

자주 묻는 질문

공급자가 구두로만 설명하면 어떻게 기록하나요?

담당자가 들은 내용을 질문별로 정리한 뒤 공급자에게 서면 회신을 요청합니다. 회신 전에는 병원이 정리한 메모라는 사실을 표시하고, 공급자가 확정한 답변처럼 기록하지 않습니다. 통화에서 새로 나온 처리 항목도 후속 질문에 포함합니다.

보호조치의 상세 설계를 공개하지 않으면 선정이 불가능한가요?

공개하지 않는다는 이유만으로 선정 가능 여부를 단정하지 않습니다. 상세 설계 대신 선정 판단에 필요한 조치의 적용 대상과 설명 범위를 요청합니다. 병원 개인정보 담당자는 확보한 설명으로 판단 가능한 부분과 전문적인 검토가 필요한 부분을 나눕니다.

문서 개정일이 오래되면 바로 제외해야 하나요?

개정일만으로 문서가 현재 처리와 다르다고 단정하지 않습니다. 공급자에게 현재 서비스에 적용되는 문서인지 묻고, 이후 변경된 처리 내용이 있는지 답변을 요청합니다. 최신 적용 여부에 대한 회신도 선정 자료와 함께 보관합니다.

모든 추가 질문의 답변을 받을 때까지 구매를 미뤄야 하나요?

질문의 성격과 병원이 정한 구매 판단 조건에 따라 결정합니다. 어떤 미답변이 처리 범위를 결정하는 데 필요한지 개인정보 담당자가 정리하고 원장이 구매 보류 여부를 판단합니다. 구매 결정 자체를 환자 정보 처리의 승인으로 기록하지 않습니다.

공급자가 설문 양식으로만 답변하면 어떻게 해야 하나요?

선택형 응답만으로 뜻이 명확하지 않은 항목에는 설명을 추가해 달라고 요청합니다. 병원 질문과 공급자 설문의 표현이 다르면 서로 대응하는 항목을 표시하고, 대응하지 않는 질문은 별도로 전달합니다. 설문 제출 완료를 모든 질문의 해결로 처리하지 않습니다.

이어서 읽을 주제

병원광고 업무에 AI 도구를 사용할 계획이라면, 개인정보 처리 내용을 정리한 뒤 실제로 맡길 업무의 범위를 정하는 주제를 이어 읽을 수 있습니다. 홍보 문구 초안과 개인정보가 포함될 수 있는 자료 분석을 각각 어떤 업무로 요청할지 정리하는 데 도움이 됩니다.