7.5.2 청구 권한·인증·계좌와 담당자 인수인계

원문 대조·이중 검수 2026-11-01

요약

요양기관 현황 신고와 개인정보 접근 권한 관리에는 각각의 기준이 있고, 공단은 지급내역을 요양기관에 통보해요. ^{1, 5, 6}

꼭 기억할 것

• 신고한 현황 중 요양급여비용 증감에 관련된 사항이 바뀌면 변경된 날부터 15일 이내에 심평원에 신고해야 해요. ¹
• 개인정보취급자나 그 업무가 바뀌면 개인정보처리시스템 접근 권한을 지체 없이 변경하거나 말소해야 해요. ⁵

첫 청구 전에 기관정보의 기준을 맞춰요

이 절에서 심평원은 건강보험심사평가원, 공단은 국민건강보험공단의 줄임말이에요. 말소는 권한을 없애는 것을 말해요. 수탁자는 맡긴 업무를 처리하는 상대방이에요. 공제는 지급할 금액에서 빼는 것을 말해요.

요양기관은 요양급여비용을 최초로 청구할 때 시설·장비·인력 현황을 심평원에 신고해야 해요. ¹ 이미 신고한 사항 중 요양급여비용의 증감에 관련된 내용이 바뀌면 변경된 날부터 15일 이내에 신고해야 해요. ¹

작성 제안: 같은 신고기한이 모든 내부 변경에 적용되는 것은 아니에요. 작성 제안: 원장은 변경 내용을 정리해요. 작성 제안: 담당자에게는 신고한 현황과 청구 프로그램의 기관정보를 대조하는 업무를 맡겨요. 작성 제안: 장비나 인력이 달라졌다면 변경일, 신고 대상인지 판단한 근거, 처리 결과를 인계표에 따로 적어요.

심사청구를 받은 심평원은 심사 후 공단과 요양기관에 내용을 알려요. ²

작성 제안: 따라서 청구 담당자의 연락 가능 여부뿐 아니라 결과통보를 누가 확인할지도 정해 두어요. 작성 제안: 외래가 끝난 뒤 원장에게 전달할 예외사항과 담당자가 바로 처리할 항목을 미리 구분해요.

인증수단과 업무 권한을 함께 정해요

개인정보처리시스템은 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템이에요. ⁵

작성 제안: 의원의 환자정보 시스템이 이 정의에 해당하는지 확인해요.

여기에 접근하는 권한은 업무 수행에 필요한 최소 범위로 나누어 부여해야 해요. ⁵ 정당한 사유가 없으면 취급자별 계정을 발급하고 다른 취급자와 공유되지 않도록 해야 해요. ⁵ 인증수단은 안전하게 적용하고 관리해야 해요. ⁵

작성 제안: 실무에서는 접근할 서비스, 관리자, 만료와 변경을 살필 담당자를 기록해요. 작성 제안: 인계표 본문에는 인증서 파일과 비밀번호 대신 보관·관리 책임과 확인 결과만 남겨요.

개인정보 보호법은 내부 관리계획과 접속기록 보관 등 안전성 확보조치를 요구해요. ⁴

작성 제안: 프로그램을 다룰 줄 아는 사람이라는 이유만으로 환자정보 전체를 열람하게 하지 않아요. 작성 제안: 직원과 외부 유지보수 담당자의 업무 범위를 구분하고, 실제 부여한 권한과 일치하는지 살펴요.

개인정보처리자는 일정 횟수 이상 인증에 실패하면 접근 제한 등 필요한 조치를 해야 해요. ⁵ 정당한 접근 권한이 있는 자가 외부에서 접속할 때에는 인증서·보안토큰·일회용 비밀번호 등 안전한 인증수단을 적용해야 하며, 정보주체는 이 대상에서 제외해요. ⁵ 다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 시스템에는 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있어요. ⁵ 개인정보처리자는 정보주체를 제외한 접속자의 접속기록을 1년 이상 보관·관리해야 해요. ⁵

다만, 5만명 이상의 정보주체에 관한 개인정보를 처리하는 시스템, 고유식별정보 또는 민감정보를 처리하는 시스템, 기준에 정한 기간통신사업자는 2년 이상 보관·관리해야 해요. ⁵ 정보주체 1만명 미만의 개인정보를 처리하는 소상공인·개인·단체는 내부 관리계획 수립·시행을 생략할 수 있어요. ⁵

지급계좌와 외부 업무범위를 따로 점검해요

공단은 심사 결과를 통보받으면 지급 전 사전점검 후 요양기관의 금융기관 계좌로 송금하고 지급통보서를 보내요. ⁶ 지급불능사항이 있으면 항목별·사유별 내역을 요양기관에 알려야 해요. ⁶

작성 제안: 계좌 확인은 청구자료 전송 여부와 나눠 관리하는 것이 좋아요. 작성 제안: 실무 점검표에는 등록된 계좌정보의 확인일, 변경 필요 여부, 지급통보와 실제 입금의 대조 결과를 적어요. 작성 제안: 계좌 변경 신청에 필요한 서류나 인증 절차는 이용 중인 공단 공식 안내에서 확인할 항목으로 남겨요.

개인정보 처리업무를 외부에 맡길 때는 목적 외 처리 금지와 보호조치 등을 담은 문서가 필요해요. ³ 위탁업무와 수탁자도 공개하고, 안전하게 처리하도록 수탁자를 교육하고 처리 현황 점검 등 감독을 해야 해요. ³ 한편 건강보험 심사청구 대행은 법에 열거된 단체가 할 수 있어요. ²

작성 제안: 개인정보 위탁계약만으로 법정 대행청구 자격까지 생긴다고 해석하지 않아요.

공단은 과다 본인일부부담금, 소득세·주민세 원천징수, 의료분쟁조정중재원이 요청한 의료사고 보상금·손해배상금 대불비용, 그 밖의 차감이 있으면 공제내역을 통보해야 해요. ⁶ 요양기관이 법 제77조제1항제1호에 따라 공단에 내야 하는 보험료나 그 밖의 국민건강보험법상 징수금을 체납하면, 공단은 지급할 요양급여비용에서 이를 공제하고 지급할 수 있어요. ²

퇴사일에는 미처리 자료와 접근 권한을 함께 넘겨요

개인정보취급자나 그 업무가 변경되면 접근 권한을 지체 없이 바꾸거나 말소해야 해요. ⁵ 권한 부여·변경·말소 내역은 기록하고 최소 3년간 보관해야 해요. ⁵

작성 제안: 인수인계 문서를 받았다는 사실과 기존 담당자의 권한이 정리됐다는 사실을 별도로 확인해요. 작성 제안: 인계자료는 전송한 청구자료, 접수증, 심사결과통보, 지급통보를 서로 연결해 정리해요.

이 문서들은 접수·심사·지급 단계별로 발급되거나 통보되는 자료예요. ⁶

작성 제안: 미처리 건에는 담당자, 다음 조치, 통보된 기한을 기록해요. 작성 제안: 후임자가 이 내용을 실제로 찾아볼 수 있는지도 점검해요. 작성 제안: 내과나 이비인후과에서 청구 담당자가 바뀌는 상황을 가정해 인계 연습을 해요. 작성 제안: 후임자의 기록·청구자료 대조 업무와 부여할 권한을 함께 정해요. 작성 제안: 인계 완료 표시는 자료 전달과 권한 변경의 확인 결과를 함께 보고 결정해요.

흔한 실수

• 작성 제안: 전임자의 계정을 그대로 공동 사용하지 않아요. 취급자별 계정 원칙과 변경 시 권한 정리 의무를 적용해요.
• 작성 제안: 심사결과통보만으로 입금 확인을 끝내지 않아요. 지급통보와 지급불능 안내도 확인해요.

근거 조문

국민건강보험법 제43조 ②

② 요양기관은 제1항에 따라 신고한 내용(제45조에 따른 요양급여비용의 증감에 관련된 사항만 해당한다)이 변경된 경우에는 그 변경된 날부터 15일 이내에 보건복지부령으로 정하는 바에 따라 심사평가원에 신고하여야 한다.

개인정보 보호법 제26조제1항(각 호 포함)

제26조(업무위탁에 따른 개인정보의 처리 제한)
① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14>
1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

개인정보의 안전성 확보조치 기준 제2조

제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다.1. "개인정보처리시스템"이란 데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템을 말한다.2. "이용자"란 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 자를 말한다.3. "접속기록"이란 개인정보처리시스템에 접속하는 자가 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것을 말한다. 이 경우 "접속"이란 개인정보처리시스템과 연결되어 데이터 송신 또는 수신이 가능한 상태를 말한다.4. "정보통신망"이란 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호의 「전기통신사업법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체계를 말한다.5. "P2P(Peer to Peer)"란 정보통신망을 통해 서버의 도움 없이 개인과 개인이 직접 연결되어 파일을 공유하는 것을 말한다.6. "공유설정"이란 컴퓨터 소유자의 파일을 타인이 조회ㆍ변경ㆍ복사 등을 할 수 있도록 설정하는 것을 말한다.7. "모바일 기기"란 무선망을 이용할 수 있는 스마트폰, 태블릿 컴퓨터 등 개인정보 처리에 이용되는 휴대용 기기를 말한다.8. "비밀번호"란 정보주체 및 개인정보취급자 등이 개인정보처리시스템 또는 정보통신망을 관리하는 시스템 등에 접속할 때 식별자와 함께 입력하여 정당한 접속 권한을 가진 자라는 것을 인증할 수 있도록 시스템에 전달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말한다.9. "생체정보"란 지문, 얼굴, 홍채, 정맥, 음성, 필적 등 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 인증ㆍ식별하거나 개인에 관한 특징을 알아보기 위해 일정한 기술적 수단을 통해 처리되는 정보를 말한다.10. "생체인식정보"란 생체정보 중 특정 개인을 인증 또는 식별할 목적으로 일정한 기술적 수단을 통해 처리되는 정보를 말한다.11. "인증정보"란 개인정보처리시스템 또는 정보통신망을 관리하는 시스템 등에 접속을 요청하는 자의 신원을 검증하는데 사용되는 정보를 말한다.12. "내부망"이란 인터넷망 차단, 접근 통제시스템 등에 의해 인터넷 구간에서의 접근이 통제 또는 차단되는 구간을 말한다.13. "위험도 분석"이란 개인정보 유출에 영향을 미칠 수 있는 다양한 위험요소를 식별ㆍ평가하고 해당 위험요소를 적절하게 통제할 수 있는 방안 마련을 위한 종합적으로 분석하는 행위를 말한다.14. "보조저장매체"란 이동형 하드디스크(HDD), 유에스비(USB)메모리 등 자료를 저장할 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 쉽게 연결ㆍ분리할 수 있는 저장매체를 말한다.
제2장 개인정보의 안전성 확보조치

개인정보의 안전성 확보조치 기준 제4조

제4조(내부 관리계획의 수립ㆍ시행 및 점검) ① 개인정보처리자는 개인정보의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 의사결정 절차를 통하여 다음 각 호의 사항을 포함하는 내부 관리계획을 수립ㆍ시행하여야 한다. 다만, 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인ㆍ개인ㆍ단체의 경우에는 생략할 수 있다.1. 개인정보 보호 조직의 구성 및 운영에 관한 사항2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항4. 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항5. 접근 권한의 관리에 관한 사항6. 접근통제에 관한 사항7. 개인정보의 암호화 조치에 관한 사항8. 접속기록 보관 및 점검에 관한 사항9. 악성프로그램 등 방지에 관한 사항10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항11. 물리적 안전조치에 관한 사항12. 출력ㆍ복사시 안전조치에 관한 사항13. 개인정보의 파기에 관한 사항14. 개인정보 유출사고 대응 계획 수립ㆍ시행에 관한 사항15. 위험 분석 및 관리에 관한 사항16. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항17. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항18. 그 밖에 개인정보 보호를 위하여 필요한 사항② 개인정보처리자는 다음 각 호의 사항을 정하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 사업규모, 개인정보 보유 수, 업무성격 등에 따라 차등화하여 필요한 교육을 정기적으로 실시하여야 한다.1. 교육목적 및 대상2. 교육 내용3. 교육 일정 및 방법③ 개인정보처리자는 제1항 각 호의 사항에 중요한 변경이 있는 경우에는 이를 즉시 반영하여 내부 관리계획을 수정하여 시행하고, 그 수정 이력을 관리하여야 한다.④ 개인정보 보호책임자는 접근 권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 내부 관리계획의 이행 실태를 연1회 이상 점검ㆍ관리 하여야 한다.

개인정보의 안전성 확보조치 기준 제5조

제5조(접근 권한의 관리) ① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하여야 한다.② 개인정보처리자는 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다.③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.④ 개인정보처리자는 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자 별로 계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 한다.⑤ 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.⑥ 개인정보처리자는 정당한 권한을 가진 자만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 조치를 하여야 한다.

개인정보의 안전성 확보조치 기준 제6조

제6조(접근통제) ① 개인정보처리자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 안전조치를 하여야 한다.1. 개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제한2. 개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응② 개인정보처리자는 개인정보처리시스템에 대한 정당한 접근 권한을 가진 자(다만, 정보주체는 제외한다)가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하여야 한다. 다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단을 적용할 수 있다.③ 개인정보처리자는 처리하는 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 권한이 없는 자에게 공개되거나 유출되지 않도록 개인정보처리시스템, 개인정보취급자의 컴퓨터 및 모바일 기기 등에 조치를 하여야 한다.④ 개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근 및 침해사고 방지를 위하여 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속이 차단되도록 하는 등 필요한 조치를 하여야 한다.⑤ 개인정보처리자는 업무용 모바일 기기의 분실ㆍ도난 등으로 개인정보가 유출되지 않도록 해당 모바일 기기에 비밀번호 설정 등의 보호조치를 하여야 한다.⑥ 삭제

개인정보의 안전성 확보조치 기준 제8조

제8조(접속기록의 보관 및 점검) ① 개인정보처리자는 개인정보처리시스템에 접속한 자(다만, 정보주체는 제외한다)의 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다.1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우3. 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우② 개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보취급자의 개인정보처리시스템에 대한 접속기록 및 개인정보 다운로드 상황을 확인하고 점검하는 주기ㆍ방법ㆍ사후조치절차 등을 내부 관리계획으로 정하고 이행하여야 한다.③ 개인정보처리자는 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.

요양급여비용 심사·지급업무 처리기준 제9조

제9조(요양급여비용의 지급) ① 공단은 심사평가원의 요양급여비용의 심사결과를 통보받은 때에는 지체없이 지급전 사전점검후 요양기관의 금융기관(체신관서 포함) 계좌번호로 요양급여비용을 송금하고 그 내역을 별지 제4호서식의 요양급여비용지급통보서에 의하여 요양기관에 통보하여야 한다. 이 경우 법률 제11141호 국민건강보험법 일부개정법률 부칙 제10조의 규정에 의한 재정 구분계리기간 동안 지역가입자, 공무원및교직원인 직장가입자와 그 피부양자, 근로자 및 사용자인 직장가입자와 그 피부양자의 요양급여비용을 요양급여개시일 현재 자격취득상태로 구분계리하여 지급할 수 있다.② 공단은 제1항에 따른 지급전 사전점검결과 지급불능사항이 있을 경우에는 당해 요양기관이 납득할 수 있도록 항목별 사유별 내역을 요양기관에 통보하여야 한다.③ 공단이 요양기관에 지급할 요양급여비용은 법 제107조에 따라 요양급여비용 명세서별로 끝수 처리한 금액으로 한다.④ 공단은 다음 각 호의 어느 하나에 해당하는 경우에는 그 공제내역을 요양기관에 통보하여야 한다.1. 법 제47조제3항에 따라 요양기관에 지급할 요양급여비용에서 과다하게 납부된 본인일부부담금을 공제한 경우2. 「소득세법」 및 「지방세법」이 정하는 바에 따라 소득세 및 주민세를 원천징수하여 공제한 경우3. 「의료사고 피해구제 및 의료분쟁 조정 등에 관한 법률」이 정하는 바에 따라 한국의료분쟁조정중재원이 요청한 의료사고 보상금 및 손해배상금 대불비용을 공제한 경우4. 그 밖에 요양급여비용의 차감이 있는 경우

출처

1. 법제처 국가법령정보센터 · 국민건강보험법 제43조
2. 법제처 국가법령정보센터 · 국민건강보험법 제47조
3. 법제처 국가법령정보센터 · 개인정보 보호법 제26조
4. 법제처 국가법령정보센터 · 개인정보 보호법 제29조
5. 개인정보보호위원회 · 개인정보의 안전성 확보조치 기준 제2조·제4조·제5조·제6조·제8조
6. 보건복지부 · 요양급여비용 심사·지급업무 처리기준 제2조·제8조·제9조