간단 요약: HIPAA(1996년, 개인정보보호, 보안 및 침해 통지 규칙 포함)는 적용 대상 기관, 건강 보험사, 의료 정보 처리 기관 및 전자 청구서를 발행하는 제공업체와 이들의 업무 제휴사에 적용됩니다. 이 법은 이들이 보유한 보호 대상 건강 정보를 보호하며, 개인의 동의 없이 허용되는 사용 범위를 명시합니다. GDPR(2016년)은 EU 거주자의 개인 데이터를 처리하는 모든 컨트롤러 또는 프로세서에 적용되며, 건강 데이터는 특별 범주로 취급됩니다. 이 법은 모든 사용에 대한 법적 근거를 요구하며, 개인에게 집행 가능한 권리를 부여합니다. 제품에 대한 실제적인 차이점은 다음과 같습니다. 미국 내 소비자 건강 앱은 일반적으로 HIPAA의 적용을 받지 않으며 대신 FTC 및 주 법률의 규제를 받습니다. EU 내 동일한 앱은 첫 사용자부터 GDPR의 적용을 받습니다. 양쪽 모두를 지원하는 제품은 GDPR의 광범위함과 HIPAA의 규정된 안전 조치를 동시에 충족하도록 구축되어야 합니다.
비교 분석
HIPAA는 미국 내 보호 대상 기관 및 비즈니스 파트너가 보호 대상 건강 정보를 처리하는 것을 규제하는 반면, GDPR은 EU 거주자의 데이터를 처리하는 모든 컨트롤러 또는 프로세서를 규제합니다. HIPAA는 승인 없이 치료, 결제 및 운영상의 사용을 허용하며 위반 통지에 60일을 부여합니다. GDPR은 모든 목적에 대한 법적 근거를 요구하며, 삭제 및 이식성을 부여하고 72시간을 부여합니다.
| HIPAA (미국) | GDPR (EU) | |
|---|---|---|
| 규제 대상 | 적용 대상 기관 및 업무 제휴사 | EU 거주자 데이터의 모든 컨트롤러 또는 프로세서, 전 세계 어디든 |
| 데이터 범위 | 보호 대상 건강 정보(PHI): 적용 대상 기관이 보유한 식별 가능한 건강 데이터 | 모든 개인 데이터; 건강 데이터는 특별 범주(제9조) |
| 소비자 건강 앱 | 적용 대상 기관을 대신하여 운영하는 경우가 아니면 HIPAA 적용 제외; FTC 법, FTC 건강 침해 통지 규칙, 주 법률 적용 | GDPR 적용; 명시적 동의가 일반적인 근거 |
| 사용에 대한 법적 근거 | 동의 없이 허용되는 사용: 치료, 결제, 운영, 추가로 명시된 예외; 그렇지 않으면 동의 필요 | 모든 목적에 대한 제6조 근거 및 제9조(2)항 예외 |
| 최소한의 필요성 / 최소화 | 최소한의 필요성 기준 | 데이터 최소화 원칙(제5조) |
| 개인 권리 | 접근(30일), 수정, 공개 내역 기록, 제한 | 접근(1개월), 정정, 삭제, 이동성, 이의 제기, 제한, 동의 철회 |
| 비식별화 | 안전 항구(18가지 식별자) 또는 전문가 결정 | 익명화(더 이상 개인 데이터가 아님) 대 가명화(여전히 개인 데이터임) |
| 보안 | 보안 규칙: 행정적, 물리적, 기술적 안전 조치; 위험 분석; 주소 지정 가능 대 필수 사양 | 제32조: 위험에 적합한 조치; 고정된 목록 없음 |
| 침해 통지 | 발견 후 60일 이내 개인 및 HHS에 통지(주당 500명 이상 시 언론 포함); 소규모 침해에 대한 연간 기록 | 고위 당국에 72시간 이내; 고위험 시 지체 없이 개인에게 통지 |
| 계약 | 업무 제휴 계약(BAA) | 프로세서 계약(제28조) |
| 감독 역할 | 개인정보보호 책임자 및 보안 책임자 | 요구되는 경우 데이터 보호 책임자(제37조) |
| 영향 평가 | 보안 규칙에 따른 위험 분석 | 제35조에 따른 DPIA |
| 국제 이전 | HIPAA 자체에는 제한 없음 | 제5장: 적정성, SCC, 데이터 개인정보보호 프레임워크 |
| 집행 | HHS 민권 사무국; 주 검찰 총장 | 국가 데이터 보호 당국; EDPB |
| 벌금 | 계층적 민사 벌금, 인플레이션 조정, 연간 조항당 최대 약 2백만 달러; 형사 처벌 | 최대 2천만 유로 또는 전 세계 매출의 4% |
실제적인 범위 차이
실제적으로 HIPAA는 건강 앱이 비즈니스 파트너로서 BAA에 따라 보호 대상 기관을 위해 활동하는 경우에만 적용됩니다. 환자가 선택하는 소비자 앱은 HIPAA 외부이며 FTC 및 주법의 규제를 받습니다. EU에서는 동일한 앱이 첫 번째 사용자부터 GDPR 컨트롤러가 됩니다.
클라우드 FHIR 플랫폼을 사용하는 미국 병원: 병원은 적용 대상 기관이며, 플랫폼은 BAA에 따른 업무 제휴사로서 둘 다 HIPAA의 적용을 받습니다. 앱에 자신의 검사 결과를 업로드하는 미국 소비자: HIPAA는 앱에 적용되지 않습니다. 대신 FTC(기만적 관행 및 2024년에 소비자 건강 앱을 명시적으로 포함하도록 업데이트된 건강 침해 통지 규칙)와 워싱턴주의 My Health My Data Act(2023년, 소비자 건강 데이터 수집에 대한 동의를 요구하고 건강 시설 주변의 지오펜싱을 금지함)와 같은 주 법률, 그리고 캘리포니아 CPRA, 네바다 및 코네티컷 법률의 건강 조항이 적용됩니다. 동일한 작업을 수행하는 EU 환자: 앱은 첫날부터 제9조 의무를 갖는 GDPR에 따른 컨트롤러입니다. GDPR 제9조 건강 데이터 관련을 참조하십시오.
법적 근거 차이
HIPAA와 GDPR은 법적 근거에 대해 반대되는 지점에서 시작합니다. HIPAA는 보호 대상 기관이 승인 없이 치료, 결제 및 의료 운영을 위해 보호 대상 건강 정보를 사용할 수 있도록 허용하며, 다른 용도에 대해서는 서면 승인을 요구합니다. GDPR은 제9조 2항의 예외가 적용되지 않는 한 건강 데이터 처리를 금지하므로 기본적으로 아무것도 허용되지 않으며 동의는 명시적이고 구체적이며 철회 가능해야 합니다.
HIPAA는 허용된 사용에서 시작합니다. 적용 대상 기관은 치료, 결제 및 의료 운영에 대해 요청 없이 PHI를 사용 및 공개할 수 있으며, 공익 목적 목록에 대해서도 마찬가지입니다. 그 외 모든 것은 서면 동의가 필요합니다. GDPR은 예외가 있는 금지에서 시작합니다(건강 데이터의 경우). "기본적으로" 허용되는 것은 없으며, 동의가 사용되는 경우 명시적이고 구체적이며 철회 가능해야 합니다. 미국 제품 팀의 "운영"이 분석을 포함한다는 직관은 이전되지 않습니다. EU에서는 건강 데이터에 대한 분석이 동의 또는 익명화가 필요합니다.
권리 차이
개인 권리에 대해 HIPAA와 GDPR 모두 접근 및 수정을 부여하지만, GDPR은 삭제, 기계 판독 가능한 형식의 이식성, 이의 제기 및 동의 철회 권리를 추가하며, 이는 HIPAA에 해당하지 않습니다. 내보내기, 삭제 및 철회 기능을 갖춘 GDPR 권리를 위해 구축된 제품은 HIPAA의 접근 권리를 충분히 만족시킵니다.
Cures Act의 정보 차단 규칙과 API를 통한 전자 PHI 접근 권리는 미국 환자들을 이식성으로 나아가게 합니다.
보안 및 침해
HIPAA의 보안 규칙은 필수적인 위험 분석, 명명된 관리적, 물리적 및 기술적 보호 조치, 정책, 교육 및 감사 제어를 포함하는 규정 기반입니다. GDPR의 제32조는 위험에 적합한 조치를 요구하는 결과 기반이며, 일반적으로 ISO 27001을 통해 입증됩니다. 위반 통지 기한은 크게 다릅니다. HIPAA에서는 개인 및 HHS에 60일, GDPR에서는 당국에 72시간입니다.
HIPAA의 보안 규칙은 규정적입니다. 위험 분석, 명명된 안전 조치, 정책, 교육, 감사 제어 및 2025년 제안된 업데이트는 암호화 및 다단계 인증을 선택 사항이 아닌 필수로 만들 것입니다. GDPR의 제32조는 결과 기반입니다. 위험에 적합하며, 암호화 및 가명화가 예시로 언급됩니다. ISO 27001이 일반적으로 이를 입증하는 방법입니다. 침해 시점은 크게 다릅니다. HIPAA에서는 개인 및 HHS에 60일, GDPR에서는 당국에 72시간입니다. 공동 침해 실행 계획은 더 짧은 시간을 기준으로 작성됩니다. ISO 27001 대 ISO 27799를 참조하십시오.
비식별화
HIPAA의 안전 항구는 18가지 식별자를 제거하며 데이터는 더 이상 PHI가 아닙니다. 전문가 결정은 재식별 위험이 매우 낮음을 인증합니다. GDPR에는 목록이 없습니다. 데이터는 누구도 합리적으로 재식별할 수 없는 경우에만 익명이며, 가명화된 데이터는 개인 데이터로 유지됩니다. 안전 항구 결과는 특히 날짜와 희귀 질환의 경우 GDPR 기준을 충족하지 못하는 경우가 많습니다. 건강 데이터 비식별화를 참조하십시오.
양쪽 모두를 위한 구축
미국과 EU 모두를 서비스하는 제품은 GDPR을 우선적으로 고려하여 설계하는 것이 가장 좋습니다(목적별 동의, 제품 내 권리, DPIA, 72시간 위반 실행 계획, EU 호스팅 옵션). HIPAA의 규정 기반 아티팩트를 그 위에 추가합니다. 위험 분석 문서, BAA 템플릿, 보안 규칙 정책, 60일 위반 절차 및 직원 교육 기록입니다.
GDPR(목적별 동의, 제품 내 권리, DPIA, 72시간 실행 계획, EU 호스팅 옵션)에 맞춰 설계하고 HIPAA의 규정된 산출물(위험 분석 문서, BAA 템플릿, 보안 규칙 정책 세트, 60일 침해 절차, 직원 교육 기록)을 그 위에 추가합니다. 미국과 EU 데이터를 분리 가능한 지역에 보관하십시오. GDPR 이전 및 일부 미국 주 법률 모두 위치를 중요하게 생각하기 때문입니다. Anpheros는 이러한 방식으로 구축되었습니다. 유럽 회사로서 GDPR 우선으로 설계되었으며, 미국 고객을 위한 BAA에 따라 업무 제휴사로 운영될 수 있는 플랫폼을 갖추고 있습니다. 개발자 사이트에는 개발자를 위한 GDPR 및 보안에 대한 문서가 있습니다.
이 페이지는 제품 및 엔지니어링 팀을 위한 규정을 설명합니다. 법률 자문이 아니며, 출처 아래 링크된 텍스트가 권위 있으며, 귀하의 데이터 보호 책임자, 인증 기관 또는 변호사가 귀하의 사례를 결정합니다. 마지막 검토: 2026년 10월.
관련 페이지
- GDPR 제9조 건강 데이터 관련
- 건강 데이터 비식별화
- ISO 27001 대 ISO 27799
- TEFCA 및 QHIN 설명
- 건강 데이터 규제 지도
- 개발자를 위한 GDPR (개발자 사이트)
출처
- HHS: 전문가를 위한 HIPAA (개인정보보호, 보안, 침해 통지 규칙)
- HHS: 침해 통지 규칙
- FTC 건강 침해 통지 규칙 (16 CFR Part 318)
- 워싱턴 주: My Health My Data Act (HB 1155)
- 규정 (EU) 2016/679 (GDPR), EUR-Lex
- 유럽 위원회: EU-미국 데이터 개인정보보호 프레임워크
자주 묻는 질문
HIPAA 규정을 준수하는 앱이 자동으로 GDPR 규정을 준수하나요?
아니요. HIPAA 규정 준수는 법적 근거, 동의 품질, 삭제, 이동성, DPIA, DPO 또는 이전과 관련하여 아무것도 말해주지 않습니다. GDPR의 보안 기대치의 일부와 다른 침해 체제를 다룹니다.
의사가 추천하는 경우 HIPAA가 제 앱에 적용되나요?
그 자체로는 아닙니다. 앱이 업무 제휴 계약에 따라 적용 대상 기관을 대신하여 운영하는 경우(예: 병원 요청에 따라 병원 워크플로에 통합되는 경우) HIPAA가 적용됩니다. 환자가 선택하고 제어하는 앱은 HIPAA의 적용을 받지 않으며 FTC 및 주 법률의 적용을 받습니다.
공동 EU-미국 사고의 경우 어떤 침해 마감일을 따라야 하나요?
둘 다: EU 거주자 데이터에 대해서는 EU 당국에 72시간, PHI에 대해서는 개인 및 HHS에 60일, 또한 소비자 건강 앱에 대한 주 마감일(종종 30~60일) 및 FTC 규칙의 60일이 있습니다. 실행 계획은 가장 짧은 마감일을 기준으로 작성됩니다.
EU 건강 데이터를 미국에서 처리할 수 있나요?
예, 제5장 이전 도구를 사용하면 됩니다. 인증된 회사를 위한 EU-미국 데이터 개인정보보호 프레임워크 또는 이전 영향 평가가 포함된 표준 계약 조항입니다. 그러나 많은 유럽 고객은 계약 조건으로 EU 호스팅을 요구합니다.
샌드박스에서 무료로 사용해 보세요
5분 만에 첫 FHIR 호출. 환자의 동의가 내장된 HL7 FHIR R4 API: 샌드박스에서 먼저 사용해보고, 자체 앱 또는 병원 시스템을 연결하세요.
무료 · 합성 환자 30명 · 카드 불필요
Anpheros는 환자가 직접 관리하고 어떤 병원과도 공유할 수 있는 의료 기록을 EU 기반의 HL7 FHIR R4 플랫폼에서 구축합니다. 이 가이드들은 건강 정보를 이해하고 정리하는 데 도움을 드리며, 의사의 진료를 대체하지 않습니다.
Anpheros 소개 →