유럽 연합에서의 의료 데이터: GDPR, EHDS 및 귀하의 실제 권리

귀하의 검사 결과는 실험실에 있습니다. 퇴원 기록은 병원에 있습니다. 처방전은 약국과 국가 시스템에 있습니다. 도덕적으로는 모두 '귀하의 것'이지만, 수년간 법은 귀하가 이를 전자적으로 요청하고, 즉시, 사용할 수 있는 형식으로 받고, 원하는 곳으로 가져갈 수 있다는 것을 명확하게 말하지 않았습니다. 2025년부터는 그렇게 됩니다.

이 가이드에서는 유럽 연합에서 귀하의 의료 데이터를 규제하는 두 가지 법률, 즉 2018년부터 시행된 GDPR과 2025년 3월부터 시행되어 2031년까지 단계적으로 적용되는 유럽 건강 데이터 공간 규정인 EHDS에 대해 쉽게 설명합니다. 이것은 법률 텍스트가 아니라 귀하가 가진 권리와 그것이 구체화되는 시점에 대한 지도입니다.

GDPR: 건강 데이터는 '특별 범주'

개인 정보 보호 규정(GDPR)은 건강 데이터를 다른 데이터와 분리하여 취급합니다. 이는 유전 및 생체 데이터와 함께 제9조에 설명된 특별 범주입니다. 원칙적으로 건강 데이터 처리는 금지되지만, 명시적인 동의, 의료 서비스, 공중 보건 이익, 안전 조치가 포함된 연구와 같은 명확한 예외가 있습니다.

이것이 귀하에게 구체적으로 의미하는 바는 다음과 같습니다.

• 모든 앱, 실험실 또는 병원은 귀하의 건강 데이터를 처리할 때 명확한 법적 근거를 가져야 하며, 귀하에게 해당 데이터로 무엇을 하는지 쉽게 설명해야 합니다.
• 귀하는 의료 데이터에 대해서도 일반적인 GDPR 권리를 가집니다. 즉, 접근(귀하에 대해 보유하고 있는 정보 확인), 수정, 삭제(의료 기록에는 법적 보존 기간이 있으므로 제한적임), 이식성(구조화되고 일반적으로 사용되며 기계 판독 가능한 형식으로 데이터를 받는 것) 및 특정 처리에 반대할 권리입니다.
• 접근 요청에 대한 응답 기한은 1개월이며, 복잡한 경우 2개월까지 연장될 수 있습니다. 접근은 무료입니다.
• 호스팅이 중요합니다. 데이터는 안전 조치(적정성 결정, 표준 조항)가 있는 경우에만 EU 외부로 전송될 수 있습니다. 귀하의 데이터를 EU 내에 보관하는 앱은 해당 문제를 제거합니다.

GDPR은 권리를 부여했습니다. 그러나 형식과 인프라는 제공하지 않았습니다. 귀하는 접근을 요청할 수 있었지만 PDF 또는 서류 더미를 몇 달 후에 받았고, 병원은 다른 병원으로 데이터를 보낼 의무가 없었습니다. 이것이 바로 EHDS가 채우는 격차입니다.

EHDS: 무엇이며 왜 중요한가

유럽 건강 데이터 공간에 관한 규정(EU) 2025/327은 2025년 3월에 발표되었으며 2025년 3월 26일에 발효되었습니다. 이는 27개 회원국 전체에 걸쳐 건강 데이터가 귀하와 의사 간("1차 사용") 및 엄격한 규칙 하에 연구 및 공공 정책("2차 사용")으로 어떻게 흐르는지를 명시하는 최초의 유럽 법률입니다.

세 가지 핵심 아이디어:

1. 국가 접근 서비스를 통해 귀하의 건강 데이터에 전자적으로 즉시 무료로 접근할 수 있으며, 다운로드하고, 추가하고, 제한하고, 누가 읽었는지 확인할 수 있습니다.
2. 데이터는 공통 형식(유럽 전자 건강 기록 교환 형식, EEHRxF)으로 흐르며, HL7 FHIR와 같은 표준을 기반으로 하므로 스페인의 병원이 루마니아의 귀하의 요약을 읽을 수 있습니다.
3. 전자 건강 기록 시스템은 상호 운용성 및 로깅에 대한 공통 요구 사항을 충족해야 하며, 적합성 선언, 즉 의료 소프트웨어에 대한 일종의 CE 마크가 있어야 합니다.

EHDS 하에서의 귀하의 권리, 하나씩

규정 제2장의 조항은 귀하에게 구체적으로 다음과 같은 권리를 부여합니다.

접근. 귀하의 국가 접근 서비스를 통해 귀하의 전자 건강 데이터에 즉시, 무료로, 쉽게 읽을 수 있는 형식으로 접근할 권리입니다. "즉시"는 GDPR의 서면 요청 및 1개월 대기 없이 이루어진다는 것을 의미하며, 한 가지 예외가 있습니다. 의사는 심각한 진단과 같은 특정 결과에 대해 직접 알려줄 때까지 접근을 지연시킬 수 있습니다.

다운로드. 유럽 교환 형식의 전자 사본을 최소한 우선 범주에 대해 받을 권리이며, 이를 선택한 의료 제공자에게 회원국 어디에서든 전송할 권리입니다.

삽입. 귀하의 전자 기록에 정보(예: 가정 측정값)를 추가할 권리이며, 귀하가 입력했음을 명확하게 표시하여 의사가 임상 데이터와 구별할 수 있도록 합니다.

수정. 접근 서비스를 통해 온라인으로 잘못된 데이터 수정을 요청할 권리입니다.

제한. 특정 데이터 또는 전체 기록에 대한 전문가의 접근을 제한할 권리입니다. 제한하는 사람은 응급 상황에서 정보 부족이 치료에 영향을 미칠 수 있음을 알게 됩니다.

접근 정보. 귀하의 데이터에 누가, 언제, 어느 기관에서 접근했는지 확인할 권리입니다. 접근 로그는 의무적이며 환자에게 공개됩니다.

대리인. 귀하를 대신하여 귀하의 데이터에 접근할 다른 사람(부모, 성인 자녀, 보호자)을 지정할 권리입니다.

2차 사용 반대. 귀하의 데이터(가명 또는 익명 처리된)가 연구, 통계 또는 공공 정책에 사용되는 것에 반대할 권리이며, 각 회원국에서 정한 조건에 따릅니다. 이것은 절대적인 권리는 아니지만 존재하며, 각 국가는 이를 이행해야 합니다.

우선 범주: 먼저 흐르는 것

EHDS는 모든 것이 첫날부터 사용 가능해야 한다고 요구하지 않습니다. 유럽 교환 형식으로 존재하고 접근 및 전송 가능해야 하는 전자 건강 데이터의 우선 범주를 정의합니다.

1. 환자 요약(알레르기, 약물, 질병, 예방 접종; 실제로는 국제 환자 요약 또는 그 유럽 등가물).
2. 전자 처방전 및 전자 조제.
3. 의료 영상 및 영상 보고서.
4. 검사 결과.
5. 퇴원 보고서.

유럽 차원에서 MyHealth@EU 인프라(이전의 eHDSI)는 이미 국가 연락 지점을 연결하고 연결된 국가 간에 환자 요약 및 전자 처방전 교환을 허용합니다. EHDS는 이를 의무화하고 다른 범주로 확장합니다.

실제로 적용되는 시점

이것이 대부분의 언론 기사가 잘못 이해하는 부분입니다. 규정은 2025년에 발효되었지만 단계적으로 적용됩니다.

• 2027년 3월 26일: 규정의 일반 적용; 회원국은 디지털 건강 당국 및 건강 데이터 접근 기관을 보유해야 하며, 기본 규칙이 운영됩니다.
• 2029년 3월 26일: 환자 요약 및 전자 처방전(첫 번째 두 가지 우선 범주), 전자 건강 기록 시스템 요구 사항 및 2차 사용의 첫 번째 단계에 대한 환자 권리 및 제공자 의무.
• 2031년 3월 26일: 영상, 검사 결과 및 퇴원 보고서에 대한 동일한 의무, plus 2차 사용의 나머지 부분.
• 필요한 회원국의 경우 특정 마감일이 연장될 수 있으며, 위원회에 통지해야 합니다.

이것이 귀하에게 의미하는 바는 다음과 같습니다. 귀하는 이미 GDPR 권리를 가지고 있습니다. EHDS 권리는 2029년부터 요약 및 처방전을 시작으로 점진적으로 시행됩니다. 그때까지 많은 국가와 제공업체는 자발적으로 또는 국가 법률을 통해 이를 구현하고 있으며, 심각한 앱은 이미 유럽 형식을 기반으로 구축되고 있습니다.

사용하는 앱에 대한 의미

EHDS는 주로 의료 제공업체가 사용하는 시스템과 국가 접근 서비스를 규제합니다. 웰니스 앱(피트니스, 수면, 영양)은 자발적 규정을 따릅니다. 제조업체는 앱이 전자 건강 기록 시스템과 상호 운용 가능하다고 선언하고 유럽 데이터베이스에 등록할 수 있습니다. 이것은 의무가 아닙니다. 귀하의 개인 의료 기록을 보관하는 앱은 두 세계 사이에 있습니다. 의료 제공업체는 아니지만, 유럽 형식을 얼마나 밀접하게 따르는지에 따라 가치가 직접적으로 상승합니다.

EHDS의 정신으로 앱에 물어볼 만한 질문은 다음과 같습니다.

• 데이터를 표준 형식(FHIR, 코드 포함)으로 보관하고 제공자 또는 국가 접근 서비스로 가져갈 수 있도록 완전히 내보냅니까?
• 내 기록에 누가 무엇에 접근했는지 보여줍니까?
• 범주 및 기간별로 접근 권한을 부여하고 철회할 수 있습니까?
• 의사 또는 실험실에서 온 데이터와 귀하가 입력한 데이터를 명확하게 구분합니까(출처)?
• EU에 데이터를 호스팅합니까?

답변이 "예"라면, 해당 앱은 이미 유럽 법률이 전체 시스템이 되기를 바라는 곳에 있습니다.

오늘날 귀하의 권리를 사용하는 방법

지금부터 시작하기 위해 2029년을 기다릴 필요는 없습니다.

1. GDPR에 따라 귀하에 대한 데이터를 보유하고 있는 모든 제공업체(병원, 실험실, 개인 병원)에 접근을 요청하십시오. 서면으로 GDPR 제15조를 인용하십시오. 응답하는 데 1개월이 걸립니다. 전자 형식과 가능한 경우 구조화된 형식을 요청하십시오.
2. 국가 포털이 있는 경우 사용하십시오. 여러 국가에서 이미 환자 요약, 처방전 및 일부 결과를 온라인으로 제공하고 있습니다. 귀하의 국가가 무엇을 제공하는지, 그리고 얼마나 많이 다운로드할 수 있는지 확인하십시오.
3. 받은 것을 개인 기록에 코드로 입력하여 내보내고 비교할 수 있도록 하십시오. 검사 결과 가이드는 코드가 왜 중요한지 설명합니다.
4. **이미 존재하는 곳(일부 국가 시스템에서 제공)**에서 접근 로그를 요청하고 읽는 데 익숙해지십시오.
5. 무엇이든 불분명하면 모든 서비스의 privacy@ 주소로 편지하십시오. 심각한 서비스는 전용 주소를 가지고 있으며 응답합니다.

Anpheros가 돕는 방법

Anpheros는 의무화되기 전에 EHDS 원칙을 기반으로 구축되었습니다. 귀하의 기록은 유럽 연합 내에서 HL7 FHIR R4 리소스로 표준 코드로 저장됩니다. 언제든지 전체를 내보낼 수 있으며, IPS 요약으로도 가능합니다. 병원, 앱 또는 AI 어시스턴트의 모든 접근은 제한된 기간 동안 취소 가능한 귀하의 동의를 필요로 하며, 귀하가 볼 수 있는 로그에 기록됩니다. 모든 데이터 조각에는 출처가 표시됩니다(귀하가 입력했거나, 문서에서 스캔했거나, 장치 또는 제공업체에서 가져온 것). 귀하의 데이터에 대한 요청(계정 삭제 포함)은 privacy@anpheros.com에서 GDPR 마감일 내에 처리됩니다.

자주 묻는 질문

EHDS는 유럽 전역에서 누구나 내 데이터를 볼 수 있다는 것을 의미합니까?

아니요. EHDS는 귀하를 치료하는 의료 전문가의 접근을 로깅 및 귀하의 제한 권리와 함께 규제하며, 익명 처리된 데이터를 사용한 2차 사용은 접근 기관의 승인 하에 반대할 권리가 있습니다. 모든 사람의 기록에 대한 중앙 유럽 데이터베이스를 생성하는 것은 아닙니다.

오늘날 FHIR 형식으로 데이터를 요청할 수 있습니까?

GDPR에 따라 "구조화되고 일반적으로 사용되며 기계 판독 가능한 형식"으로 이식성을 요청할 수 있습니다. 제공업체가 정확한 형식을 결정하며 FHIR을 제공할 의무는 없습니다. EHDS에 따라 2029년부터 요약 및 처방전에 대해 유럽 교환 형식이 의무화됩니다. 그때까지 요청하십시오. 많은 시스템이 이미 가능합니다.

개인 기록 앱의 내 데이터가 EHDS에 해당됩니까?

앱 자체는 의료 제공업체가 아니므로 제공업체에 대한 EHDS 의무는 직접 적용되지 않습니다. GDPR은 앱에 완전히 적용됩니다. EHDS는 간접적으로 앱에 중요합니다. 유럽 형식을 더 많이 사용할수록 귀하의 데이터가 규제 시스템에 더 쉽게 도달할 수 있습니다.

연구에 내 데이터를 사용하는 것을 거부할 수 있습니까?

예, EHDS는 각 회원국에서 구현되는 2차 사용에 반대할 권리를 제공합니다(구체적인 메커니즘은 다름). 연구에 사용되는 데이터는 익명 처리되거나 익명화되며 안전한 환경에서만 접근되며 자유롭게 다운로드되지 않습니다.

병원에서 데이터를 제공하기를 거부하면 어떻게 해야 합니까?

서면으로 요청하고 GDPR 제15조를 인용하며 증거를 보관하십시오. 1개월(또는 정당화된 경우 3개월) 이내에 응답이 없으면 국가 데이터 보호 당국에 불만을 제기할 권리가 있습니다. 2029년부터 우선 범주에 대해서는 국가 접근 서비스 경로도 사용할 수 있습니다.