간단 요약: 건강 데이터를 다루는 소프트웨어는 네 가지 규칙 체계의 적용을 받습니다. 데이터 보호는 개인 건강 데이터를 가지고 무엇을 할 수 있는지 규정합니다. EU에서는 GDPR 제9조, 미국에서는 HIPAA 및 여러 주 법률이 이에 해당합니다. 의료 시스템 규칙은 데이터가 어떻게 이동하고 공유되어야 하는지를 규정합니다. EU에서는 유럽 건강 데이터 공간(EHDS), 미국에서는 TEFCA, USCDI 및 정보 차단 금지 규칙이 이에 해당합니다. 제품 안전은 소프트웨어가 의료적 목적으로 사용될 때 적용됩니다. EU에서는 의료기기 규정(MDR) 및 체외진단기기 규정(IVDR), 미국에서는 FDA 규정이 적용되며, 관련 엔지니어링 및 품질 표준으로는 IEC 62304 및 ISO 13485가 있습니다. 보안은 모든 주체가 충족해야 하는 기본 요건을 설정합니다. ISO 27001 및 27799, 중요 부문에 대한 NIS2, HIPAA 보안 규칙이 이에 해당합니다. 신원 확인(eIDAS 및 EU 디지털 신원 지갑, NHS 로그인, 국가 신분증)은 이 네 가지 규칙 체계 모두에 걸쳐 적용됩니다.
로드맵
건강 데이터 규제 로드맵은 건강 데이터를 처리하는 소프트웨어에 대한 규칙을 다음과 같은 범주로 그룹화합니다: 데이터 보호(GDPR 제9조, HIPAA, 미국 주 법률), 건강 시스템 규칙(EHDS, Cures Act, TEFCA), 제품 안전(MDR, IVDR, FDA), 엔지니어링 및 품질 표준(IEC 62304, ISO 13485), 보안(ISO 27001, ISO 27799, NIS2, HIPAA 보안 규칙) 및 신원(eIDAS 2).
| 체계 | 규칙 | 적용 대상 | 요구 사항 |
|---|---|---|---|
| 데이터 보호 | GDPR, 제9조 및 제35조 | EU 거주자의 건강 데이터를 처리하는 모든 주체 | 제9조(2)항에 따른 법적 근거, DPIA, 대규모 처리 시 DPO, 권리, 72시간 내 침해 통지 |
| 데이터 보호 | HIPAA (개인정보 보호, 보안, 침해 규칙) | 미국 내 적용 대상 기관 및 비즈니스 파트너 | 허용된 사용, 보호 조치, 침해 통지; 대부분의 소비자 앱에는 적용되지 않음 |
| 데이터 보호 | 미국 주 법률 (CCPA/CPRA, 워싱턴주 My Health My Data 등) | 거주자의 데이터를 처리하는 기업 | 소비자 건강 데이터에 대한 동의, 삭제 권리, 판매 제한 |
| 의료 시스템 | EHDS, 규정 (EU) 2025/327 | EHR 시스템, 상호 운용성을 주장하는 웰니스 앱, 데이터 보유자, 건강 데이터 접근 기관 | 유럽 교환 형식의 환자 접근 및 이식성, 의무적인 MyHealth@EU, 2차 사용 허가 |
| 의료 시스템 | 21세기 치료법법, ONC HTI 규칙, TEFCA | 미국 인증 건강 IT, 제공자, 네트워크 | FHIR API, USCDI 데이터, 정보 차단 금지, 전국적인 교환 |
| 제품 안전 | MDR 2017/745, IVDR 2017/746 | EU 환자를 위한 의료 목적의 소프트웨어 | 분류, 적합성 평가, 임상 평가, 시판 후 감시, CE 마크 |
| 제품 안전 | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | 미국 내 의료기기로서의 소프트웨어 | 등급별 시판 전 절차, 품질 시스템, 사이버 보안 문서 |
| 엔지니어링 | IEC 62304, IEC 82304-1, ISO 14971 | 의료기기 소프트웨어 팀 | 안전 등급별 소프트웨어 수명 주기, 위험 관리 |
| 품질 | ISO 13485 | 기기 제조업체 | 설계, 생산, 불만을 포함하는 품질 경영 시스템 |
| 보안 | ISO/IEC 27001, ISO 27799, ISO 27701 | 모든 조직; 건강 관련 지침 | 정보 보안 관리 시스템, 건강 통제, 개인정보 보호 확장 |
| 보안 | NIS2, 지침 2022/2555 | 규모 임계값을 초과하는 의료 제공자, 기기 제조업체, 클라우드 및 디지털 제공업체 | 위험 조치, 24/72시간 내 사고 보고, 경영진 책임 |
| 보안 | HIPAA 보안 규칙 | 미국 내 적용 대상 기관 및 비즈니스 파트너 | 관리적, 물리적, 기술적 보호 조치; 위험 분석 |
| 신원 확인 | eIDAS 2 및 EU 디지털 신원 지갑 | EU 시민의 신원을 확인하는 서비스 | 2026-2027년부터 강력한 신원 확인을 위한 지갑 수용 |
누가 무엇에 적용되는가
어떤 건강 데이터 규칙이 적용되는지는 소프트웨어가 무엇을 하는지에 따라 달라집니다. 의료 관련 주장이 없는 소비자 앱은 GDPR 제9조, DPIA 및 보안 관행을 준수해야 합니다. 해석을 추가하면 MDR에 따른 의료 기기가 됩니다. FHIR 플랫폼은 GDPR 처리자이며 때로는 NIS2의 적용을 받습니다. 병원은 이러한 모든 규정을 준수해야 하며, 필수 기관으로서 NIS2도 적용됩니다.
- 의료적 주장이 없는 소비자 건강 앱 (증상 일기, 검사 결과 기록): GDPR 제9조 (명시적 동의), DPIA, ISO 27001 수준의 보안 관행, EHR 시스템에 연결을 주장하는 경우 EHDS 웰니스 앱 라벨. 의도된 목적이 비의료적인 한 의료기기가 아님. 미국에서는 HIPAA 대신 FTC 규칙 및 주 건강 개인정보 보호법 적용.
- 해석 기능이 추가된 동일한 앱 ("결과가 시사하는 바는…"): MDR 규칙 11에 따른 의료기기, 일반적으로 Class IIa, IEC 62304 및 ISO 13485 기반. 건강 앱이 의료기기인가? 및 SaMD 등급 참조.
- FHIR 플랫폼 또는 통합 공급업체: GDPR (처리자로서 제28조 계약), ISO 27001, 디지털 인프라 또는 ICT 서비스 제공업체로서 NIS2 적용 가능성, EHR 시스템의 일부인 경우 EHDS 의무, 미국 내 비즈니스 파트너로서 HIPAA 적용.
- 병원: 위 모든 사항을 통제자 및 운영자로서 적용받으며, 필수 기관으로서 NIS2, 국가 건강 기록법, 국가 인프라 연결에 대한 EHDS 기한 준수.
- 연구 플랫폼: GDPR 제9조(2)(j) 및 제89조, EHDS 2차 사용 장(건강 데이터 접근 기관의 허가, 안전한 처리 환경), 익명화 표준. 건강 데이터의 2차 사용 참조.
어떤 순서로
건강 데이터 규정 준수는 고정된 순서로 접근하는 것이 가장 좋습니다. 먼저 소프트웨어가 의료 기기인지 여부를 결정하는 의도된 목적을 작성해야 합니다. 그런 다음 데이터 보호(법적 근거, DPIA, 처리자 계약)를 다룹니다. 이어서 ISO 27001에 따른 보안 기준을 설정합니다. 그 다음 FHIR 및 EHDS 또는 USCDI와 같은 상호 운용성 의무 사항을 확인합니다. 해당되는 경우 의료 기기 경로를 따르고, 마지막으로 국경 간 문제를 고려합니다.
- 의도된 목적을 서면으로 결정합니다. 이것이 의료기기인지 여부를 결정하며, 다른 모든 것이 이에 따라 결정됩니다.
- 데이터 보호를 먼저 수행합니다: 법적 근거, DPIA, 처리자 계약, DPO. 이는 모든 시나리오에서 첫 번째 실제 사용자 전에 필요합니다. 건강 데이터에 대한 GDPR 제9조 및 건강 앱을 위한 DPIA 참조.
- 보안 기본 사항을 마련합니다: ISO 27001에 따른 ISMS를 27799의 건강 통제에 매핑합니다. 이는 NIS2 및 HIPAA 보안 규칙의 대부분에도 해당됩니다. ISO 27001 대 ISO 27799 및 병원 및 공급업체를 위한 NIS2 참조.
- 상호 운용성 의무를 준수합니다: FHIR 및 해당 시장의 교환 형식(EHDS, USCDI/US Core)을 사용하여 제품이 국가 인프라에서 제외되지 않도록 합니다. USCDI 설명 및 TEFCA 설명 참조.
- 해당하는 경우 기기 경로를 따릅니다: 분류, 품질 시스템, 수명 주기, 인증 기관 또는 FDA 절차. 1년 정도 소요될 수 있습니다.
- 국경 간 규정을 고려합니다: 양 시장을 모두 서비스할 경우 HIPAA 대 GDPR의 차이점(HIPAA 대 GDPR), 전송 메커니즘, 호스팅 위치.
Anpheros의 위치
Anpheros Daily는 비의료적 의도된 목적을 가진 개인 건강 기록입니다. 데이터를 저장, 표시 및 공유하며 해석하거나 권장하지 않습니다. Anpheros Platform은 GDPR 제28조에 따라 처리자로서 클리닉 및 개발자에게 제공되는 FHIR R4 백엔드로, 환자 통제 동의 및 접근 로그를 제공합니다. 이 클러스터의 규정 페이지는 이러한 종류의 모든 제품에 적용되는 규칙을 설명하며, 투명성 페이지는 Anpheros가 자체적으로 어떻게 적용하는지 설명합니다.
이 페이지는 제품 및 엔지니어링 팀을 위한 규정을 설명합니다. 법률 자문이 아니며, 출처에 링크된 텍스트가 권위 있으며, 귀하의 데이터 보호 책임자, 인증 기관 또는 변호사가 귀하의 사례를 결정합니다. 최종 검토: 2026년 10월.
관련 페이지
- 건강 앱이 의료기기인가? EU MDR 규칙 11
- EU에서의 귀하의 의료 데이터: GDPR, EHDS 및 귀하의 권리
- 건강 데이터에 대한 GDPR 제9조
- 건강 앱을 위한 DPIA
- HIPAA 대 GDPR
- 병원 및 헬스케어 기술 공급업체를 위한 NIS2
- 의료 상호 운용성 표준: 로드맵
- 개발자를 위한 GDPR (개발자 사이트)
- 유럽 및 미국의 국가 전자 건강 기록
- MyHealth@EU 및 국경 간 환자 요약
- EU AI 법 및 건강 AI
- 건강 데이터의 2차 사용
- 건강 앱의 보안 및 신원 확인
출처
- 규정 (EU) 2016/679 (GDPR), EUR-Lex
- 규정 (EU) 2025/327 (유럽 건강 데이터 공간), EUR-Lex
- 규정 (EU) 2017/745 (MDR), EUR-Lex
- 규정 (EU) 2017/746 (IVDR), EUR-Lex
- 지침 (EU) 2022/2555 (NIS2), EUR-Lex
- HHS: 전문가를 위한 HIPAA
- ASTP/ONC: 신뢰할 수 있는 교환 프레임워크 및 공통 계약
- ISO/IEC 27001:2022
자주 묻는 질문
EU 사용자가 있는 미국 회사에도 GDPR이 적용되나요?
예, 제3조(2)항에 따라 EU 내 사람들에게 서비스를 제공하거나 그들의 행동을 모니터링하는 한, 서버 위치에 관계없이 적용됩니다. 이 경우 EU 대표자, 제9조에 따른 법적 근거 및 합법적인 전송 메커니즘이 필요합니다.
HIPAA가 GDPR보다 더 엄격한가요?
어느 쪽도 엄격하게 더 엄격하지는 않습니다. HIPAA는 범위가 더 좁고(적용 대상 기관 및 비즈니스 파트너만 해당) 보호 조치에 대해 더 구체적입니다. GDPR은 범위가 더 넓고(EU 거주자의 데이터를 처리하는 모든 사람), 권리 기반이며, 모든 사용에 대한 법적 근거를 요구합니다. 두 시장 모두에 서비스를 제공하는 제품은 두 가지 모두를 충족해야 합니다.
EHDS가 건강 데이터에 대한 GDPR을 대체하나요?
아니요. EHDS는 GDPR을 기반으로 하며 EHR 시스템, 환자 접근, 국경 간 교환 및 2차 사용에 대한 의무를 추가합니다. GDPR은 모든 처리 작업의 기초로 남아 있습니다.
규정 준수 팀이 없을 경우 어디서부터 시작해야 하나요?
의도된 목적을 서면으로 작성하고, 템플릿을 사용하여 DPIA를 실행하고, ISO 27001 스타일의 보안 기본 사항을 채택하고, 해당 시장의 프로필과 함께 FHIR을 사용하십시오. 이 네 가지 단계는 첫 감사 또는 첫 병원 고객이 요청할 대부분의 사항을 다룹니다.
샌드박스에서 무료로 사용해 보세요
5분 만에 첫 FHIR 호출. 환자의 동의가 내장된 HL7 FHIR R4 API: 샌드박스에서 먼저 사용해보고, 자체 앱 또는 병원 시스템을 연결하세요.
무료 · 합성 환자 30명 · 카드 불필요
Anpheros는 환자가 직접 관리하고 어떤 병원과도 공유할 수 있는 의료 기록을 EU 기반의 HL7 FHIR R4 플랫폼에서 구축합니다. 이 가이드들은 건강 정보를 이해하고 정리하는 데 도움을 드리며, 의사의 진료를 대체하지 않습니다.
Anpheros 소개 →