의료 AI는 GDPR을 지킬까?
…
한줄 요약
한국 병원이 유럽 환자를 진료하거나 EU 거주자의 데이터를 처리하는 경우 GDPR이 적용된다. 특히 관광의료(의료관광)를 운영하는 병원은 GDPR 준수 여부를 점검해야 한다.
Q: 한국 병원이 유럽 GDPR을 신경 써야 하나?
A: 간단 답변
대부분의 국내 일반 병원은 GDPR 적용 대상이 아니지만, 유럽 환자를 대상으로 서비스를 제공하거나 EU 거주자 데이터를 처리하는 경우 GDPR이 역외 적용된다. 관광의료 클리닉, 해외 환자 유치 의료기관은 반드시 점검이 필요하다.
상세 설명
GDPR 적용 기준 (역외 적용 조항 — 제3조)
GDPR은 EU 내에 사업장이 없는 기업에도 다음 조건 중 하나를 충족하면 적용된다.
| 적용 조건 | 해당 상황 예시 |
|---|---|
| EU 거주자에게 재화·서비스 제공 | EU 환자를 위한 온라인 예약, 원격 상담 |
| EU 거주자의 행동 모니터링 | 유럽 환자 데이터를 한국 AI 시스템에 입력·분석 |
| EU 내 사업장 존재 | 유럽 지점 운영 |
한국 개인정보보호법 vs GDPR 비교
| 항목 | 한국 개인정보보호법 | EU GDPR |
|---|---|---|
| 건강 정보 분류 | 민감정보 (제23조) | 특별 범주 개인정보 (제9조) |
| 처리 근거 | 동의 또는 법령 | 동의·계약·법적 의무·생명이익 등 6가지 |
| 정보주체 권리 | 열람·정정·삭제·처리정지 | 열람·정정·삭제·처리제한·이동·반대·자동화 결정 거부 |
| 국외 이전 | 정보주체 동의 또는 안전성 확인 | 적정성 결정 국가 또는 표준계약조항(SCC) |
| 위반 과징금 | 위반 매출액 3% 이하 | 전 세계 연매출 4% 또는 2천만 유로 중 높은 금액 |
| 자동화 결정 거부권 | 없음 (논의 중) | 있음 (제22조) |
의료 AI와 GDPR 제22조 (자동화 결정)
GDPR 제22조는 “정보주체는 자신에 관해 법적 효력 또는 이와 유사하게 중요한 영향을 미치는 자동화된 처리(프로파일링 포함)에만 기초한 결정에 따르지 않을 권리가 있다”고 규정한다. AI 단독 진단 결정은 이 조항의 적용을 받을 수 있다.
관광의료 클리닉 실무 체크리스트
| 점검 항목 | 기준 | 확인 |
|---|---|---|
| EU 환자 대상 서비스 여부 | 웹사이트에 EU 언어·통화 지원 시 GDPR 적용 | |
| 개인정보 처리 방침 | 영어 등 EU 언어로 제공 여부 | |
| 동의 취득 방식 | 명시적·자발적 동의 (사전 체크박스 금지) | |
| 데이터 이전 근거 | AI 업체가 EU 표준계약조항 체결 여부 | |
| DPO 지정 | 대규모 건강 데이터 처리 시 개인정보보호책임자 지정 | |
| 유출 통지 의무 | 72시간 내 감독기관 신고 (GDPR 제33조) | |
| 정보주체 요청 처리 | 30일 내 대응 체계 |
AI 서비스 선택 시 GDPR 고려사항
EU 환자 진료 시 사용하는 AI 플랫폼이 EU 표준계약조항(SCC) 또는 적정성 결정에 근거해 데이터를 처리하는지 확인해야 한다. 한국은 2023년 EU로부터 개인정보보호 적정성 결정을 받아, 한국 서버에서의 데이터 처리는 별도 이전 근거 없이도 가능하다.
핵심 정리
- 대부분의 국내 병원 — GDPR 직접 적용 없음
- EU 환자 진료·유치 의료기관 — GDPR 역외 적용 대상
- 한국은 EU 적정성 결정 국가 (2023) — 데이터 이전 근거 확보
- AI 자동화 결정에 대한 유럽 환자의 거부권 존재 (GDPR 제22조)