개인정보 보호디지털

요약: 유럽건강데이터공간(EHDS)에 관한 EU 규정 2025/327

Habbine Estelle Kim2025년 5월 20일

📘 법적 근거 및 적용 범위

유럽건강데이터공간(European Health Data Space)에 관한 2025년 2월 11일자 유럽의회 및 이사회 규정 (EU) 2025/327.

개정 대상: 지침 2011/24/EU 및 규정 (EU) 2024/2847
발효일: 2025년 3월 26일

1차 이용 관련 규정2027년 3월 26일

2차 이용 관련 규정2029년 3월 26일

2차 이용 확대(예: 유전체 데이터)2031년 3월 26일

이 규정은 유럽 데이터 전략(European Strategy for Data, ESD)의 일환이다. ESD는 유럽연합 디지털 전환의 초석으로, 유럽의 글로벌 경쟁력을 높이고 디지털 주권을 강화하며 책임 있는 데이터 거버넌스를 뒷받침하는 단일 데이터 시장을 구축하는 것을 목표로 한다. 이 전략적 비전은 EU 내에서 공익을 위한 기업-정부 간(Business-to-Government, B2G) 데이터 공유를 확대하고 이를 책임 있고 지속 가능하게 시행하기 위한 권고를 담은 유럽연합 집행위원회의 2020년 보고서에 기반한다.

관련 입법으로는 2024년 1월 11일 발효된 데이터법(Data Act, 규정 (EU) 2023/2854)과 2024년 12월 9일자 정오표(2024/90790)가 있다. 이 규정은 공정한 접근과 이용자 권리의 원칙을 강화한다. 이를 보완하는 데이터 거버넌스법(Data Governance Act, 규정 (EU) 2022/868)은 자발적 데이터 공유를 위한 신뢰 기반 체계를 마련한다. 이 법은 데이터 중개자의 활용을 장려하고, 데이터 이타주의(data altruism) 메커니즘의 발전을 지원하며, 공공부문 기관이 보유한 데이터를 안전하게 재이용하기 위한 조건을 정한다. 이는 모두 혁신을 촉진하고 기업, 연구자 및 EU 시민에게 실질적인 혜택을 제공하기 위한 것이다.

ESD의 핵심 요소는 EU 전역에서 안전하고 상호운용 가능하며 적법한 데이터 공유를 가능하게 하는 공동 유럽 데이터 공간(Common European Data Spaces)의 구축이다. 이러한 데이터 공간은 경제와 사회에서 활용할 수 있는 데이터의 가용성과 접근성을 높이는 동시에, 데이터 거버넌스 원칙과 개인정보 보호 기준이 엄격하게 준수되도록 보장한다. 또한 ESD는 개인과 기업이 자신이 생성한 데이터에 대한 통제권을 유지하도록 보장함으로써 유럽 데이터 경제에 대한 신뢰를 높이고 일반개인정보보호규정(GDPR)의 준수를 뒷받침한다.

🎯 목적 및 주요 규정

건강 데이터의 자유로운 이동: EU 내 건강 정보의 교환 및 접근을 최적화한다.
환자의 권리: 효과적인 진료를 위해 개인 전자건강데이터에 대한 정보주체의 권리를 강화한다.
- 자신의 전자건강데이터에 즉시, 무료로, 안전하고 통제된 방식으로 접근할 권리
- 1차 이용에서 거부(opt-out)할 권리
- 건강 데이터에 대한 접근 또는 특정인의 접근을 통제·철회·제한할 권리
- 접근 기록을 열람할 권리
- 자신의 전자건강기록(EHR)에 정보를 입력할 권리
- 이동, 전송 및 정정을 요구할 권리
- 표준화된 유럽 형식으로 데이터를 제공받을 권리
유럽 인프라 구축: 연구, 보건의료기술평가 및 보건 정책 수립을 위한 데이터의 2차 이용을 촉진한다.
의료 서비스에서 건강 데이터 1차 이용의 최적화: 개인 전자건강데이터의 안전하고 상호운용 가능한 국경 간 교환 및 접근을 가능하게 하여 의료 서비스 제공을 원활하게 한다. 이를 통해 의료 전문가들은 특히 국경 간 치료, 여행 또는 응급 진료의 경우에 보다 충분한 정보에 근거한 맞춤형 결정을 내릴 수 있게 된다. EHDS 체계를 통해 EU 전역의 의료 전문가들은 관련 환자 건강 정보에 적시에 접근할 수 있다. 1차 이용을 위한 개인 전자건강데이터의 우선 범주에는 전자 조제 기록, 전자 처방전, 의료 영상 검사 및 관련 판독 보고서, 의료 검사 결과(검체 검사 및 기타 진단 결과와 관련 보고서 포함), 환자 요약 정보 및 검사 결과가 포함된다.
건강 데이터 2차 이용의 촉진: 지식재산과 영업비밀을 보호하면서, 과학 연구, 보건 분야의 혁신, 공중보건 모니터링 및 정책 개발을 위해 건강 데이터를 익명 또는 가명 처리하여 안전하게 재이용할 수 있도록 한다.
거버넌스 체계 수립: 건강 데이터 이용의 관리 및 감독을 위한 기구를 마련한다. 건강 데이터는 검색 가능하고, 접근 가능하며, 상호운용 가능하고, 재사용 가능해야 한다(FAIR).
건강 데이터 보유자의 의무: 회원국이 적용 범위를 확대하지 않는 한, 소기업(microenterprise) 및 자연인(개인 연구자 포함)은 면제된다.
벌칙 및 제재: 회원국은 위반에 대해 효과적이고 비례적이며 억지력 있는 벌칙을 정하는 등 이 규정의 이행을 보장하기 위해 필요한 모든 조치를 취해야 한다.

🏛️ 거버넌스 및 인프라

각 회원국이 지정하는 디지털보건당국(Digital Health Authorities, DHA)
건강데이터접근기구(Health Data Access Bodies, HDAB)
시장감시당국
유럽건강데이터공간 이사회(EHDS Board): 회원국과 집행위원회 간의 협력 및 정보 교환을 촉진한다.
이해관계자 포럼: 이 규정의 이행과 관련하여 이해관계자 간의 정보 교환을 촉진하고 협력을 증진한다.
MyHealth@EU 및 HealthData@EU 운영그룹: 국경 간 인프라를 위해 설치된다.

🏥 공공 및 민간 병원에 대한 주요 시사점

전자건강데이터의 접근 및 공유(1차 이용)

환자의 전자건강데이터가 표준화된 형식(유럽 전자건강기록 교환 형식, European Electronic Health Record Exchange Format)으로 접근 가능하도록 보장해야 한다.
데이터 상호운용성 표준과 안전한 IT 인프라를 구축하여 안전한 국경 간 데이터 접근을 보장해야 한다.
EHDS 준수 및 데이터 관리를 담당할 책임자를 지정해야 한다.
모니터링, 감사 및 접근 절차와 관련하여 건강 데이터 접근 기구(디지털보건당국 및 HDAB)와 협력해야 한다. 이를 준수하지 않을 경우 이행강제금이 부과되거나 최대 5년간 EHDS 2차 데이터 접근에서 배제될 수도 있다.
개인 전자건강데이터 우선 범주에 관한 유럽연합 집행위원회의 기술 사양을 주시해야 한다.

✅ 프랑스에서는 디지털보건청(Agence du numérique en santé, ANS)이 이 연락 창구로서 MyHealth@EU 서비스의 진입점 역할을 한다. 이를 위해 ANS는 Sesali.fr 서비스와 의료 소프트웨어용 API를 구축하고 있다.

프랑스 주요 병원에서 사용되는 전자건강기록(EHR) 및 병원정보시스템(HIS) 소프트웨어로는 Dedalus가 개발한 Orbis, DxCare, Care4U 등 주요 플랫폼이 있다. 이러한 시스템은 환자 데이터의 디지털 관리에서 핵심적인 역할을 하며, 임상 업무 흐름과 행정 절차를 지원한다.

⚠️ 데이터의 상업적 이용은 투명하고 정당한 사유가 있어야 하며(예: AI 진단 도구 개발), 병원은 오용 또는 재식별을 방지해야 한다.