간단 요약: GDPR에 따라 건강 관련 데이터는 특별 범주에 속합니다. 제9조 1항은 이를 처리하는 것을 금지하지만, 제9조 2항은 이러한 금지를 해제하는 예외 사항들을 나열합니다. 제품 팀에게는 네 가지가 중요합니다. (a) 명시적 동의, (h) 비밀 유지 의무가 있는 전문가에 의한 또는 그 책임 하에 제공되는 의료 서비스, (i) 공중 보건, 그리고 (j) 제89조에 따른 안전 조치를 갖춘 과학 연구입니다. 제9조의 예외는 제6조에 따른 일반적인 법적 근거를 대체하는 것이 아니라 추가적으로 필요합니다. 대규모로 건강 데이터를 처리하는 경우 DPIA(제35조) 및 개인정보 보호 책임자(제37조)도 의무화됩니다.
건강 데이터란 무엇인가
GDPR에 따라 건강 관련 데이터는 개인의 신체적 또는 정신적 건강과 관련된 개인 데이터로, 건강 관리 서비스 제공을 포함하며 건강 상태에 대한 정보를 공개합니다(제4조 15항). 넓게 해석하면, 검사 결과, 진단, 약물, 예약, 병가 기록 등 건강 상태를 추론할 수 있는 모든 데이터를 포함합니다.
제4조 15항은 건강 관련 데이터를 개인의 신체적 또는 정신적 건강과 관련된 개인 데이터로 정의하며, 여기에는 건강 상태에 대한 정보를 공개하는 의료 서비스 제공도 포함됩니다. 제35항 및 판례는 이를 광범위하게 해석합니다. 예를 들어, 검사 결과, 진단, 약물, 의사 진료 예약, 병가서, 심장 질환과 결합된 걸음 수, 계정과 연결된 증상 검색 등이 해당됩니다. 건강 상태를 공개하는 데이터는 수집될 때 그렇게 의도되지 않았더라도 건강 데이터입니다. 2022년 유럽 사법 재판소(OT, C-184/20)는 특별 범주 사실을 추론할 수 있는 데이터 자체도 특별 범주 데이터라고 확인했습니다.
중요한 예외 사항
건강 제품에 중요한 GDPR 제9조 2항의 예외 사항은 다음과 같습니다. 소비자 건강 앱 및 환자 통제 기록에서 사용하는 명시적 동의(a); 의료 기관 및 해당 소프트웨어 공급업체가 전문 비밀 유지 하에 사용하는 의료 제공(h); 공중 보건(i); 제89조의 안전 조치를 갖춘 과학 연구(j); 그리고 EHDS가 이차적 용도로 의존하는 상당한 공익(g)입니다.
| 제9조 2항 | 일반적으로 누가 사용하는가 | 조건 |
|---|---|---|
| (a) 명시적 동의 | 소비자 건강 앱, 웰니스 서비스, 환자 통제 기록 | 자유롭게 제공되고, 구체적이며, 정보에 기반하고, 모호하지 않으며, 명확한 적극적 행위에 의해 이루어져야 하며, 제공하는 만큼 쉽게 철회할 수 있어야 합니다. 서비스가 데이터가 필요한 경우가 아니라면 서비스와 함께 묶여서는 안 됩니다. |
| (c) 생명 유지 이익 | 응급 접근 | 개인이 신체적 또는 법적으로 동의할 수 없을 때만 해당됩니다. |
| (h) 의료 서비스 제공 | 클리닉, 병원, 일반의, 그들의 소프트웨어 공급업체(처리자로서) | 진단, 치료, 의료 시스템 관리 또는 운영에 필요하며, EU 또는 국가 법률 또는 전문가와의 계약에 따라, 그리고 전문가 비밀 유지 의무(제9조 3항) 하에 있어야 합니다. |
| (i) 공중 보건 | 공중 보건 당국, 약물 감시 | 적절한 조치를 제공하는 법률에 근거해야 합니다. |
| (j) 연구, 통계, 보관 | 연구 기관, 등록소, 연구를 가능하게 하는 플랫폼 | 법률에 근거하고, 비례적이며, 제89조 안전 조치(가명 처리, 최소화)를 갖추어야 합니다. |
| (g) 상당한 공익 | 국가 건강 데이터 인프라 | 법률에 근거해야 합니다. EHDS는 2차 사용을 위해 이를 활용합니다. |
환자가 통제하는 개인 건강 기록은 **(a)**에 따라 운영됩니다. 즉, 개인이 무엇을 저장하고 누구와 공유할지 결정합니다. 해당 기록에 작성하는 클리닉은 자체 처리 활동에 대해 **(h)**에 따라 운영되며, 환자의 동의는 공유를 관리합니다. 두 가지 모두를 제공하는 플랫폼은 클리닉의 처리자(제28조 계약)이자 개인에게 제공하는 계정의 통제자입니다. 처리 작업별로 이를 기록하는 것이 제30조에서 요구하는 기록의 핵심입니다.
실제로 유효한 동의
GDPR에 따른 건강 데이터에 대한 명시적 동의는 목적별로 별도의 구체적인 진술이 있고, 명확한 긍정적 행위로 주어졌으며, 수신자에 대한 정보가 제공되고, 시간과 방법이 기록되었으며, 부여된 만큼 쉽게 철회할 수 있을 때만 유효합니다. 미리 체크된 상자, 묶음 목적, 분석에 동의하지 않으면 앱을 사용할 수 없는 경우는 모두 무효로 판정되었습니다.
규제 기관은 건강 앱에 대한 동의를 반복적으로 동일한 이유로 무효화했습니다. 미리 체크된 상자, 모든 것에 대해 한 번에 요청되는 동의, 분석에 동의하지 않으면 앱을 사용할 수 없는 경우, 수신자를 명시하지 않은 동의 문구, 철회 경로 없음. 건강 데이터에 대한 유효한 명시적 동의는 별도의 구체적인 진술("제가 업로드한 검사 결과를 Anpheros가 저장하는 것에 동의합니다"), 목적별(저장; 명시된 클리닉과의 공유; 익명화된 통계)로 세분화되고, 언제 어떻게 제공되었는지에 대한 기록, 그리고 미래 처리 활동에 즉시 효력을 발휘하여 철회할 수 있는 스위치가 있어야 합니다. 아동의 데이터는 부모의 법적 보호자 동의가 필요하며, 각 회원국은 13세에서 16세 사이의 연령 기준을 설정합니다.
비밀 유지, 제9조 3항
GDPR 제9조 3항은 의료 예외에 대한 비밀 유지 조건을 설정합니다. 제9조 2항 (h)에 따른 건강 데이터는 EU 또는 국가 법률에 따른 전문 비밀 유지 의무가 있는 전문가 또는 이와 동등한 비밀 유지 의무가 있는 다른 사람에 의해서만 또는 그 책임 하에 처리될 수 있습니다.
의료 기관의 소프트웨어 공급업체는 계약을 통해 이를 충족합니다. 처리자 계약은 접근 권한이 있는 직원에 대한 기밀 유지 의무를 부과하며, 접근 기록이 유지됩니다.
제9조를 넘어서
제9조 2항의 예외가 건강 데이터에 대한 유일한 GDPR 의무는 아닙니다. 처리를 위해서는 제6조에 따른 근거, 일반적으로 제35조에 따른 DPIA 및 제37조에 따른 데이터 보호 책임자, 제22조에 따른 자동화된 결정 제한, EU 외부 전송을 위한 제5장 도구, 72시간 이내의 위반 통지, 그리고 국가 건강 기록 법률도 필요합니다.
- 제6조는 여전히 적용됩니다. 계약(6(1)(b))은 개인이 요청한 서비스 제공을 위한 것이고, 동의(6(1)(a)), 법적 의무, 공공 업무 또는 정당한 이익이 있으며, 이는 제9조를 무시하는 데 사용될 수 없습니다.
- 제35조 DPIA는 특별 범주 데이터의 대규모 처리에 대해 의무화됩니다. 대부분의 건강 앱과 모든 플랫폼이 해당됩니다. 건강 앱 DPIA를 참조하십시오.
- 제37조 DPO는 특별 범주 데이터의 대규모 처리를 핵심 활동으로 하는 경우 의무화됩니다.
- 제22조는 자동화된 처리만으로 상당한 영향을 미치는 결정(자동화된 분류 또는 자격 심사 포함)을 제한합니다. 건강 데이터는 명시적 동의 또는 법률에 따른 법적 근거와 안전 조치를 통해서만 이를 위해 사용될 수 있습니다.
- 제44조 이하: EU 외부로의 전송에는 적정성(인증된 미국 기업을 위한 EU-미국 데이터 개인정보 보호 프레임워크), 전송 영향 평가가 포함된 표준 계약 조항 또는 기타 제5장 도구가 필요합니다. EU 내 호스팅은 저장된 데이터에 대한 문제를 피하지만, 해외 지원 직원은 그렇지 않습니다.
- 제33-34조: 72시간 이내에 당국에 대한 위반 통지 및 위험이 높은 경우(건강 데이터의 경우 일반적으로 해당됨) 개인에 대한 통지입니다.
- 국가 법률은 추가적인 계층을 추가합니다. 의료 비밀 유지법, 건강 기록법, 보존 기간, 그리고 일부 국가에서는 건강 앱에 대한 특정 규칙(프랑스의 HDS 호스팅 인증, 독일의 DiGA 프레임워크)이 있습니다.
EHDS 추가
유럽 건강 데이터 공간 규정(2025/327)은 제9조를 변경하지 않습니다. 이는 공통 형식으로 건강 데이터에 접근하고 이동할 수 있는 권리, EHR 시스템에 대한 의무, 그리고 제9조 2항 (g), (h), (i), (j)에 기반한 2차 사용 허가 시스템을 자체 안전 조치 및 옵트아웃과 함께 추가합니다. EU에서의 의료 데이터를 참조하십시오.
Anpheros에서는
Anpheros는 개인이 보관하는 기록에 대해 개인의 명시적 동의(제9조 2항 (a))에 따라 목적별로 처리하며, 앱에서 철회 가능합니다. 또한, 클리닉이 해당 기록에 작성하는 경우 클리닉의 자체 제9조 2항 (h) 근거에 따라 처리자로서 작동합니다. 클리닉의 모든 접근은 범위와 기간에 대한 개인의 승인을 요구하며, 개인의 접근 기록에 표시됩니다. 환자 동의 플랫폼 및 내 의료 기록을 누가 보았는가?를 참조하십시오.
이 페이지는 제품 및 엔지니어링 팀을 위한 규정을 설명합니다. 법률 자문이 아니며, 출처 아래 링크된 텍스트가 권위이며, 귀하의 개인정보 보호 책임자, 인증 기관 또는 변호사가 귀하의 사례를 결정합니다. 마지막 검토: 2026년 10월.
관련 페이지
- 건강 앱 DPIA: 체크리스트 및 템플릿
- EU에서의 의료 데이터: GDPR, EHDS 및 귀하의 권리
- HIPAA 대 GDPR
- 건강 데이터 비식별화
- 환자 동의 플랫폼
- 건강 데이터 규제 지도
- 개발자를 위한 GDPR (개발자 사이트)
출처
- GDPR 제9조, EUR-Lex
- GDPR 제4조 15항 및 제35항, EUR-Lex
- EDPB: 동의에 관한 지침 05/2020
- CJEU, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: COVID-19 맥락에서 연구를 위한 건강 데이터 처리에 관한 지침 (03/2020)
- 규정 (EU) 2025/327 (EHDS), EUR-Lex
자주 묻는 질문
걸음 수는 건강 데이터인가요?
단독으로는 보통 그렇지 않습니다. 건강 상태를 공개하는 다른 데이터(진단, 재활 프로그램, 심장 질환)와 결합되거나 건강 상태를 추론하기 위해 처리되는 경우 건강 관련 데이터가 됩니다. 규제 기관은 원시 필드뿐만 아니라 처리 목적과 추론을 살펴봅니다.
건강 데이터에 정당한 이익을 사용할 수 있나요?
아니요. 정당한 이익은 제6조 근거이며, 건강 데이터는 추가적으로 제9조 2항 예외가 필요하며, 그 어떤 것도 정당한 이익이 아닙니다. 건강 데이터에 대한 분석은 동의 또는 익명화가 필요합니다.
클리닉이 환자의 동의 없이 기록을 보관해야 하나요?
GDPR 하에서는 그렇지 않습니다. 클리닉은 제9조 2항 (h) 및 국가 건강 법률에 따라 처리합니다. 동의는 데이터가 다른 용도(앱 공유, 연구, 마케팅)로 사용되거나 국가 법률에서 요구하는 경우 관련이 있습니다.
건강 데이터는 얼마나 오래 보관할 수 있나요?
GDPR은 필요한 기간 이상으로 보관하지 않는다고 명시하고 있습니다. 국가 건강 기록법은 임상 기록에 대한 구체적인 보존 기간(종종 10~30년)을 설정합니다. 개인이 통제하는 개인 기록은 원하는 만큼 보관되며, 요청 시 삭제됩니다.
샌드박스에서 무료로 사용해 보세요
5분 만에 첫 FHIR 호출. 환자의 동의가 내장된 HL7 FHIR R4 API: 샌드박스에서 먼저 사용해보고, 자체 앱 또는 병원 시스템을 연결하세요.
무료 · 합성 환자 30명 · 카드 불필요
Anpheros는 환자가 직접 관리하고 어떤 병원과도 공유할 수 있는 의료 기록을 EU 기반의 HL7 FHIR R4 플랫폼에서 구축합니다. 이 가이드들은 건강 정보를 이해하고 정리하는 데 도움을 드리며, 의사의 진료를 대체하지 않습니다.
Anpheros 소개 →