오만개캠퍼스
내 공부상담 신청

9.3.6 EMR 전자서명·백업·복구·외부 보관 계약

원문 대조·이중 검수 2026-11-01

이 절을 마치면

법정 보존과 장애 복구·데이터 반환 조건을 점검해요.

요약

전자의무기록의 전자서명·이력·백업·외부 보관 설비 요건을 확인해요. 2, 4 작성 제안: 복구와 계약 종료 시 반환 조건을 문서로 정해요.

꼭 기억할 것

전자서명과 수정 이력을 함께 확인해요

의료법상 전자의무기록은 전자서명이 기재된 전자문서예요. 4 의료인이나 개설자는 안전한 관리·보존에 필요한 시설과 장비를 갖추어야 해요. 4

시행규칙은 생성·저장 및 전자서명을 검증하는 장비와, 서명 후 변경 여부 등 이력관리에 필요한 장비를 구분해요. 2 추가기재·수정 시에는 이력관리 장비에 접속기록을 별도로 보관해야 해요. 2

진료기록의 보존 대상에는 추가·수정된 기록과 수정 전 원본이 모두 포함돼요. 1

작성 제안: 공급업체 시연에서 기록 작성, 서명, 수정, 수정 전 내용 확인을 직접 따라가요. 서명 이미지가 보인다는 설명만 받아 두지 말고 전자서명 검증 결과와 수정 이력 조회 화면을 확인해요.

작성 제안: 첨부영상과 검사결과가 본문 기록에 어떻게 연결되는지 확인해요. 시스템 밖에 저장된 파일도 반환 목록에 적고 어떤 프로그램으로 열 수 있는지 표시해요.

백업 보유와 복구 가능 여부를 나눠요

시행규칙은 백업저장장비를 요구하고, 생성·저장·서명 검증 장비, 이력관리 장비, 백업저장장비가 유무선 인터넷에 연결된 경우 네트워크 보안 시설과 장비를 요구해요. 2 전자의무기록시스템 보안 시설과 장비도 갖추어야 해요. 2 보존장소에는 출입통제구역 등 통제 시설이나 잠금장치 가운데 하나를 두어야 해요. 2

작성 제안: 백업 주기, 보관 위치, 암호화 방식, 담당자, 실패 알림 수신자를 계약 부속표에 적어요. 여기서 정하는 주기는 해당 의원의 운영 조건에 맞춘 계약 조건이며 이 절에서 정한 법정 주기가 아니에요.

작성 제안: 운영 자료를 손상하지 않는 시험 환경에서 백업을 복원해 환자 검색, 본문 열람, 서명 검증, 수정 이력, 첨부파일 열기를 확인해요. 시험 자료에는 가능하면 가상 자료를 사용해요.

작성 제안: 마지막 정상 백업 시점부터 생길 수 있는 기록 공백과 복구까지 허용할 시간을 각각 정해요. 실패하면 원인과 재시험 결과를 남기고, 단순히 백업 완료 알림만으로 복구 시험을 통과 처리하지 않아요.

시설·장비와 접속 기록 보관의 구체적인 사항은 보건복지부장관이 고시로 정해요. 2

작성 제안: 계약 부속표를 확정하기 전에 해당 세부 고시를 함께 대조해요.

외부 보관에 추가되는 설비와 위탁을 확인해요

의료기관(의료법 제49조에 따른 부대사업 장소 포함) 외 장소에 저장 또는 백업장비를 설치하면 실시간 동작·상태 점검 설비, 장애 시 생성·저장·검증 및 이력관리 장비를 대체하는 예비 장비, 감시 장비, 재해예방시설을 추가로 갖추어야 해요. 2

개인정보 처리 업무를 외부에 맡기면 목적 외 처리 금지와 보호조치 등을 포함한 문서가 필요해요. 3 업무를 맡기는 위탁자는 업무를 받아 처리하는 수탁자를 교육하고 안전한 처리 여부를 감독해야 해요. 3

업무를 맡기는 개인정보처리자인 위탁자는 위탁 업무 내용과 수탁자(재위탁받은 자 포함)를 정보주체가 언제든 쉽게 확인할 수 있도록 대통령령이 정하는 방법으로 공개해야 해요. 3 수탁자가 업무를 다시 맡기려면 위탁자의 동의를 받아야 해요. 3

작성 제안: 외부 보관 장소와 운영 주체를 확인하고 시설 목록, 장애 대응 연락처, 접근권한 관리 방법을 받아요. 공급업체가 다른 보관업체를 쓰는 경우 그 관계도 표시해요.

작성 제안: 업체가 제시한 인증만 보관하기보다 의원이 쓰는 서비스와 저장 위치가 실제 인증 범위에 포함되는지 대조해요.

작성 제안: 국외 서버·해외 원격지원 여부는 P9-C4-S3의 국외이전 점검과 연결해요.

보건복지부장관은 표준·호환성·정보 보안 등 대통령령의 인증 기준에 적합한 전자의무기록시스템을 인증할 수 있어요. 6 인증받지 않은 자는 인증 표시나 유사 표시를 해서는 안 돼요. 6

업체 변경과 폐업에 대비해 반환을 설계해요

개인정보의 안전성 확보에는 내부 관리계획과 접속기록 보관 등 기술적·관리적·물리적 조치가 요구돼요. 5

작성 제안: 반환 대상에 원본, 수정본, 서명 검증에 필요한 정보, 이력, 첨부영상과 연결 정보를 적어요. 반환 형식·기한·비용·지원 범위를 계약 전에 협의해요.

작성 제안: 새 시스템에서 표본 기록을 읽는 시험과 전체 수량 대조를 분리해요. 일부 파일을 열었다는 이유만으로 전체 이전이 끝났다고 표시하지 않아요.

작성 제안: 반환 확인 담당자와 장애 중 임시 기록 절차를 정해요. 기존 서비스 해지일은 자료 반환 확인과 보존 경로 확정에 맞춰 협의하고, 남은 복사본의 처리와 증빙도 계약에 적어요.

흔한 실수

직원과 병원 운영이 고민이라면

채용, 근무 규칙, 운영 위험처럼 원장님이 정해야 할 일을 상담 신청서에 남겨 주세요.

상담 신청

근거 조문

의료법 제22조 ②

②의료인이나 의료기관 개설자는 진료기록부등[제23조제1항에 따른 전자의무기록(電子醫務記錄)을 포함하며, 추가기재ㆍ수정된 경우 추가기재ㆍ수정된 진료기록부등 및 추가기재ㆍ수정 전의 원본을 모두 포함한다. 이하 같다]을 보건복지부령으로 정하는 바에 따라 보존하여야 한다. <개정 2008.2.29, 2010.1.18, 2018.3.27>

의료법 제23조 ①

①의료인이나 의료기관 개설자는 제22조의 규정에도 불구하고 진료기록부등을 「전자서명법」에 따른 전자서명이 기재된 전자문서(이하 "전자의무기록"이라 한다)로 작성ㆍ보관할 수 있다.

의료법 제23조 ②

②의료인이나 의료기관 개설자는 보건복지부령으로 정하는 바에 따라 전자의무기록을 안전하게 관리ㆍ보존하는 데에 필요한 시설과 장비를 갖추어야 한다. <개정 2008.2.29, 2010.1.18>

의료법 제23조 ④

④ 의료인이나 의료기관 개설자는 전자의무기록에 추가기재ㆍ수정을 한 경우 보건복지부령으로 정하는 바에 따라 접속기록을 별도로 보관하여야 한다. <신설 2018.3.27>

의료법 제23조의2 ①

① 보건복지부장관은 전자의무기록이 효율적이고 통일적으로 관리ㆍ활용될 수 있도록 기록의 작성, 관리 및 보존에 필요한 전산정보처리시스템(이하 "전자의무기록시스템"이라 한다), 시설, 장비 및 기록 서식 등에 관한 표준을 정하여 고시하고 전자의무기록시스템을 제조ㆍ공급하는 자, 의료인 또는 의료기관 개설자에게 그 준수를 권고할 수 있다. <개정 2025.12.23>

의료법 제23조의2 ②

② 보건복지부장관은 전자의무기록시스템이 제1항에 따른 표준, 전자의무기록시스템 간 호환성, 정보 보안 등 대통령령으로 정하는 인증 기준에 적합한 경우에는 인증을 할 수 있다.

의료법 제23조의2 ③

③ 제2항에 따라 인증을 받은 자는 대통령령으로 정하는 바에 따라 인증의 내용을 표시할 수 있다. 이 경우 인증을 받지 아니한 자는 인증의 표시 또는 이와 유사한 표시를 하여서는 아니 된다.

의료법 시행규칙 제16조

제16조(전자의무기록의 관리ㆍ보존에 필요한 시설과 장비 등)
① 의료인이나 의료기관의 개설자는 법 제23조제2항에 따라 전자의무기록(電子醫務記錄)을 안전하게 관리ㆍ보존하기 위하여 다음 각 호의 시설과 장비를 갖추어야 한다. <개정 2020.2.28>
1. 전자의무기록의 생성ㆍ저장과 전자서명을 검증할 수 있는 장비
2. 전자서명이 있은 후 전자의무기록의 변경 여부 확인 등 전자의무기록의 이력관리를 위하여 필요한 장비
3. 전자의무기록의 백업저장장비
4. 네트워크 보안에 관한 시설과 장비(제1호부터 제3호까지에 따른 장비가 유무선 인터넷과 연결된 경우에 한정한다)
5. 법 제23조의2제1항에 따른 전자의무기록시스템(이하 "전자의무기록시스템"이라 한다) 보안에 관한 시설과 장비
6. 전자의무기록 보존장소에 대한 다음 각 목의 어느 하나에 해당하는 물리적 접근 방지 시설과 장비
가. 출입통제구역 등 통제 시설
나. 잠금장치
7. 의료기관(법 제49조에 따라 부대사업을 하는 장소를 포함한다) 외의 장소에 제1호에 따른 전자의무기록의 저장장비 또는 제3호에 따른 백업저장장비를 설치하는 경우에는 다음 각 목의 시설과 장비
가. 전자의무기록 시스템의 동작 여부와 상태를 실시간으로 점검할 수 있는 시설과 장비
나. 전자의무기록 시스템에 장애가 발생한 경우 제1호 및 제2호에 따른 장비를 대체할 수 있는 예비 장비
다. 폐쇄회로 텔레비전 등의 감시 장비
라. 재해예방시설
② 의료인이나 의료기관 개설자는 법 제23조제4항에 따라 전자의무기록에 추가기재ㆍ수정을 한 경우 제1항제2호에 따른 장비에 접속 기록을 별도로 보관하여야 한다. <신설 2018.9.27>
③ 제1항 각 호에 따라 갖추어야 하는 시설과 장비 및 제2항에 따른 접속 기록 보관에 관한 구체적인 사항은 보건복지부장관이 정하여 고시한다. <개정 2018.9.27>

개인정보 보호법 제26조 ①

① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다. <개정 2023.3.14>
1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항
3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

개인정보 보호법 제26조 ②

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 "위탁자"라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 "수탁자"라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라  공개하여야 한다. <개정 2023.3.14>

개인정보 보호법 제26조 ④

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 유출등이 되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다. <개정 2015.7.24, 2026.3.10>

개인정보 보호법 제26조 ⑥

⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다. <신설 2023.3.14>

개인정보 보호법 제29조

제29조(안전조치의무) 개인정보처리자는 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다. <개정 2015.7.24, 2026.3.10>

출처

  1. 보건복지부,질병관리청 · 의료법 제22조
  2. 보건복지부,질병관리청 · 의료법 시행규칙 제16조
  3. 개인정보보호위원회 · 개인정보 보호법 제26조
  4. 보건복지부,질병관리청 · 의료법 제23조
  5. 개인정보보호위원회 · 개인정보 보호법 제29조
  6. 보건복지부,질병관리청 · 의료법 제23조의2