비만관리 앱 건강정보 수집 시 유의점

S요약

• 비만관리 앱에서 건강정보·처방전 등 민감한 정보를 수집하는 경우, 개인정보보호법·의료법·정보통신망법 등 다양한 법률 준수가 필수입니다.
• 사용자 동의 외에도 별도의 동의 방식·정보보호 조치·목적외 이용 제한·위탁 및 제3자 제공 규제, 정보주체 권리보장 등 구체적 의무가 부과됩니다.
• 비의료인이 자동분석 기반으로 건강 예측 및 조언을 제공할 경우, 의료법상 무면허 의료행위(의료행위 제공·진단·치료 오인 유발 등) 금지 규정에 저촉되는지 여부가 쟁점이 됩니다.

F사건 경위

비만관리용 앱 플랫폼 기획 과정에서 회원가입 시 건강검진 결과, 복용약물, 생활습관, 처방전 내역 등의 정보를 입력받고 이를 기반으로 비의료인의 자동분석 서비스를 제공하고자 하는 방안입니다.

L법률 쟁점

본 서비스의 기획 및 운영에서 개인정보보호법상 민감정보 처리와 의료법상 무면허 의료행위 해당 여부가 핵심 쟁점입니다.

• 개인정보보호법에 따라 건강정보와 처방전은 '민감정보'로 분류되어 일반 개인정보보다 엄격한 보호 의무가 요구됩니다.
• 정보주체(이용자) 명시적 동의, 수집·이용 목적의 명확한 고지, 보관 기간 제한 등 세부 요건 준수가 필요합니다.
• 의료법상 의료인이 아닌 자가 특정 건강상태의 예측이나 질환 위험에 대한 조언을 제공하는 것이 '의료행위'에 해당한다면 무면허 의료행위로 간주될 수 있습니다.
• 정보통신망법에 따라 정보통신서비스 제공자가 건강·의료정보를 서비스 목적으로 처리할 경우 별도의 보안조치와 기술적·관리적 보호조치 의무가 추가됩니다.
• 데이터를 외부에 제공하거나 위탁할 경우 추가 동의 및 위탁·제공 내역 공개 의무가 있습니다.

P핵심 포인트

빅데이터 및 알고리즘을 활용한 건강정보 예측 서비스 운영 시, 이용자 동의 외에도 다양한 법률적 제한을 준수해야 하며 서비스 범위에 따라 행위 자체가 의료법 위반 소지가 있을 수 있습니다.

• 민감정보(건강검진, 처방전 등)는 명확하고 구체적인 동의 절차를 반드시 거쳐야 하며, 개인정보 수집·이용 목적·항목·보유기간·제공범위 등을 사전 고지해야 합니다.
• 동의 내용은 반드시 분리동의(즉, 일반 개인정보와 민감정보를 구분하여) 방식으로 받아야 하며, 건강정보 활용·분석 목적이 구체적으로 명시되어야 합니다.
• 동의 없이 다른 목적으로 정보 활용하거나, 제3자에게 제공·처리 위탁 시에는 별도 동의 및 관리감독 의무가 발생합니다.
• 건강상태 예측, 질환 위험 판단, 생활습관 개선에 관한 알고리즘 조언이 단순 참고사항임을 명확히 고지하여 사용자가 의료행위로 오인하지 않도록 해야 합니다.
• 상담·진단·치료로 오인될 만한 행위 또는 의료전문가 판단이 필요한 복약지도, 중대한 질병 진단 등은 엄격히 제한되어야 하며, 이를 초과할 경우 무면허 의료행위로 처벌될 수 있습니다.
• 수집된 건강정보는 암호화·접근권한 관리·내부감사 등 안전조치 의무가 매우 엄격하고, 침해 사고 발생 시 자진신고 및 피해자 통지도 신속히 해야 합니다.

A대응 방안

서비스 기획 및 운영 단계에서 법률 준수와 위험 방지 목적의 구체적 조치가 필요합니다.

• 앱 초기 회원가입 및 서비스 동의과정에서 민감정보 별도 동의, 수집·이용 내역 구체적 고지, 정보주체의 열람·삭제 등 권리 보장 절차를 체계적으로 구축해야 합니다.
• 민감정보 접근권한을 업무상 최소한의 인원으로 제한하고, DB암호화·접속기록 관리·정기적 보안점검 등 기술적·관리적 보호조치를 적용해야 합니다.
• 건강정보 분석 및 예측 결과는 진단이 아닌 참고용 분석 결과임을 반복적으로 안내하며, 의료인이 제공하지 않는 점과 구체적 질병 진단·복약지도의 범위를 엄격히 제한해야 합니다.
• 서비스 안내문·약관·홈페이지 FAQ 등 전 채널에서 “본 서비스는 의료인의 진단 또는 치료를 대체하지 않는다”는 내용을 명확하게 고지하는 것이 필요합니다.
• 처방전 및 약물정보 등 외부 데이터 연동 또는 보관 시에는 정보주체가 언제든 정보 삭제·철회를 요청할 수 있도록 UI·시스템을 마련해야 하며, 실질적으로 신속한 삭제가 이루어지도록 관리를 강화해야 합니다.
• 개발 및 서비스 운영 중 문제가 발생할 경우, 즉시 개인정보 보호 책임자 지정·침해 신고 및 내부 대응 매뉴얼을 갖추고, 외부 위탁이 있는 상황에서는 수탁자 대상 법률 교육도 반드시 연 1회 이상 실시하는 것이 바람직합니다.