제7장: 규제 및 개인정보 고려사항

§7.7 시뮬레이터 ENUM·임계 매핑 — 규제·개인정보 토큰

규제 및 개인정보 계층은 시뮬레이터의 「규제 (panel-2)」 영역과 정합한다. 본권 표준은 FDA·식약처·HIPAA·GDPR·PIPA 등 주요 규제 체계를 「표준 ENUM 토큰」으로 명시하여, 다국적 배포 시 「국가별 적합성 검토 매트릭스」가 자동 산출되도록 설계되었다.¹

§7.7.1 규제 분류와 임상 위험 수준

약물 순응도 기술은 임상 위험 수준에 따라 의료기기·일반 건강 기기·디지털 치료제 (Software as a Medical Device, SaMD)의 세 카테고리로 분류된다. 단순 알람 기능만 제공하는 「BLISTER_PACK」 (전자 블리스터)은 대부분의 관할권에서 비의료기기로 분류되지만, 결과를 임상 의사결정에 직접 활용하는 「BIO_DIGITAL_INGESTIBLE」 (디지털 알약, 센서 내장)은 FDA·식약처 의료기기 등록이 필수이다.²

「임상 의사결정에 직접 영향을 미치는 소프트웨어는 그 자체로 의료기기이며, IMDRF SaMD 위험 분류 매트릭스에 따라 규제 강도가 결정된다.」 — FDA·IMDRF Software as a Medical Device 공동 가이드

§7.8 규제·개인정보 심화 — HIPAA·GDPR·국가별 비교

§7.8.1 HIPAA Privacy Rule과 Security Rule

HIPAA는 「Privacy Rule」 (45 CFR §164.500 이하)과 「Security Rule」 (45 CFR §164.300 이하)로 구분되며, 본권 표준은 두 규칙을 「데이터 흐름의 직교 축」으로 모형화한다. Privacy Rule은 「누가 어떤 목적으로 PHI에 접근할 수 있는가」를 정의하고, Security Rule은 「관리적·물리적·기술적 보호 조치 (Safeguards)」를 의무화한다.³ 본권 표준이 정의하는 「최소 접근 (Minimum Necessary)」 원칙은 Privacy Rule §164.502(b)의 직접 구현이다.

HIPAA 위반 시 벌금은 위반 등급에 따라 연간 $137,236 ~ $2,067,813 (Tier 1~4, 2024 기준)이며, 형사 처벌도 가능하다.⁴ 본권 표준의 「감사 로그 (Audit Log)」 의무 — 모든 PHI 접근·수정·전송 이벤트를 6년간 보관 — 는 HIPAA §164.312(b) 의 「감사 통제」 요구의 직접 반영이다.

§7.8.2 GDPR의 7가지 원칙과 Article 9

GDPR의 7가지 원칙 — ①적법성·공정성·투명성, ②목적 제한, ③데이터 최소화, ④정확성, ⑤저장 제한, ⑥무결성·기밀성, ⑦책임 — 은 본권 표준의 데이터 거버넌스 계층에 직접 매핑된다. 의료 데이터는 GDPR Article 9의 「특수 카테고리 (Special Categories)」에 해당하며, 「명시적 동의 (Explicit Consent)」 또는 「공중 보건 (Public Interest in Public Health)」 등 제한적 근거에서만 처리 가능하다.⁵

GDPR 위반 시 최대 과징금은 「전 세계 연 매출의 4% 또는 €20,000,000 가운데 큰 금액」이며, 실제로 의료 분야에서 €1,000,000 이상의 과징금이 다수 부과되었다. 본권 표준은 GDPR 「설계에 의한 개인정보 보호 (Privacy by Design)」 원칙 (Article 25)을 「표준 적합성 인증의 사전 요건」으로 명시하여, 인증 자체가 GDPR 컴플라이언스의 증거가 되도록 한다.

§7.8.3 FDA·식약처·EMA·NMPA 비교

네 주요 규제 당국의 의료기기 분류 체계는 「위험 기반 (Risk-based)」 공통 원리를 따르지만, 세부 등급과 평가 절차는 상이하다.

• FDA — Class I (저위험, 510(k) 면제 가능) / Class II (중위험, 510(k) 사전 신고) / Class III (고위험, PMA 사전 승인). 디지털 헬스 영역은 「Pre-Cert Program」 시범 운영 종료 후 「Digital Health Center of Excellence」로 통합.
• 식약처 (MFDS) — 1등급 (저위험) / 2등급 (중위험, 본권 표준 다수 적용) / 3등급 (중위험 이상) / 4등급 (고위험). 디지털 치료제 별도 가이드라인 (2020 시행).
• EMA·각 회원국 — MDR (2017/745) 기준 Class I·IIa·IIb·III. CE 마킹 + Notified Body 인증 필수. EMA는 의약품, 각 회원국 보건당국이 의료기기 담당.
• NMPA (중국) — Class I (등록) / Class II (성/시급 인증) / Class III (NMPA 직접 승인). 「녹색 통로 (Green Pathway)」로 혁신 의료기기 가속 심사.

§7.8.4 21 CFR Part 11 — 전자 기록·전자 서명

FDA 21 CFR Part 11은 「전자 기록 (Electronic Records)」과 「전자 서명 (Electronic Signatures)」이 종이 기록·필기 서명과 동등한 법적 효력을 가지기 위한 기술적 요건을 규정한다. 본권 표준의 임상 시험 시나리오 — CDISC SDTM 형식의 순응도 데이터 제출 — 는 Part 11 요건 (감사 추적·시스템 검증·전자 서명의 이중 인증) 을 모두 충족한다.⁶

§7.A 한국 규제·개인정보 인프라

한국의 약물 순응도 기술 규제는 「식품의약품안전처 (MFDS·식약처)」가 의료기기·디지털 치료제를 담당하고, 「개인정보 보호위원회」가 의료 데이터 보호를 총괄하며, 「한국인터넷진흥원 (KISA)」이 정보보안 인증을 운영하는 「3축 거버넌스」로 구성된다.⁷

식약처는 「의료기기법」과 「의료기기 등급 분류 및 지정에 관한 규정」을 통해 의료기기를 4등급으로 분류하며, 본권 표준의 다수 제품 (스마트 알약 디스펜서·디지털 알약·연동 약국 시스템)은 2등급에 해당한다.⁸ 2등급 의료기기는 「식약처 GMP 인증」과 「임상 시험 결과」를 갖추어야 하며, 본권 표준의 「ISO_13485」 토큰은 GMP 인증의 필수 요건과 정합한다.

「디지털 치료제 (Digital Therapeutics)」는 식약처가 2020년 별도 가이드라인을 제정한 신생 영역이다. 본권 표준의 행동 변화 모형 (CBT·MI·HBM 등)을 탑재한 모바일 앱이 「질병의 예방·치료에 직접 사용」되는 경우, 디지털 치료제로 분류되어 임상 시험·SaMD 인증·시판 후 추적 의무가 부과된다.⁹

「개인정보보호법 (PIPA)」은 의료 데이터를 「민감정보 (Sensitive Information, §23)」로 분류하며, 처리 시 「별도 동의」 또는 「법률 특별 근거」를 요구한다. 본권 표준의 「PIPA_KOREA」 토큰은 한국 배포 시 자동으로 민감정보 처리 절차 (동의 수집·암호화·접근 통제·파기 절차)를 활성화한다.¹⁰

「의료법 §21」은 진료기록의 열람·사본 발급 권리를 환자 본인·법정 대리인·정당한 권한 보유자로 제한한다. 본권 표준이 정의하는 「환자 포털」 시나리오는 의료법 §21을 직접 구현하며, 「본인 인증 (NICE·KISA 본인확인)」을 통해 접근 권한을 검증한다.¹¹

「약사법 §47 (의약품 안전 사용)」은 약사의 복약 지도 의무를 규정하며, 본권 표준의 「약사 워크플로우 ENUM 토큰」은 §47 의무의 디지털 이행 증거로 활용 가능하다. 약사가 본권 표준 인터페이스를 통해 환자에게 복약 지도를 제공하고, 그 사실을 「FHIR Communication」 리소스로 기록하면, 의약품 사고 발생 시 「상담 이력 증거」로 법정에서 채택된다.

정보보안 영역에서는 「KISA ISMS-P (Information Security Management System — Personal information)」 인증이 의료 정보 처리 시스템의 「최소 보안 기준」으로 기능한다. ISMS-P 는 102개 인증 기준 가운데 64개가 정보보안, 38개가 개인정보 보호이며, 본권 표준의 「데이터 보안 컨트롤」 검증 매트릭스의 직접 입력이다.¹² 개인정보 보호위원회의 「의료 데이터 처리 가이드라인 (2023)」은 의료 AI·디지털 헬스 영역의 PII 분리·가명 처리·결합 절차를 상세히 규정하여, 본권 표준의 「분석 환경 격리 정책」과 정합한다.

미주

1. International Medical Device Regulators Forum (IMDRF), SaMD: Possible Framework for Risk Categorization, 2014; FDA Digital Health Center of Excellence, SaMD Guidance Update, 2024.
2. FDA, 21 CFR Part 880 — General Hospital and Personal Use Devices; FDA, De Novo Classification Process for Digital Pills, 2023.
3. U.S. Department of Health and Human Services (HHS), HIPAA Privacy Rule (45 CFR §164.500 et seq.)·HIPAA Security Rule (45 CFR §164.300 et seq.).
4. HHS Office for Civil Rights (OCR), HIPAA Civil Money Penalty Tiers — 2024 Adjusted Amounts, Federal Register 2024.
5. European Parliament, General Data Protection Regulation (Regulation 2016/679), Article 5 (Principles), Article 9 (Special Categories), Article 25 (Privacy by Design).
6. FDA, 21 CFR Part 11 — Electronic Records; Electronic Signatures; FDA, Guidance for Industry: Part 11, Electronic Records — Scope and Application, 2003 (재확인 2024).
7. 식품의약품안전처, 의료기기 규제 백서 2024; 개인정보 보호위원회, 2024 개인정보 보호 연차보고서.
8. 「의료기기법」 및 「의료기기 등급 분류 및 지정에 관한 규정」 — 국가법령정보센터.
9. 식품의약품안전처, 디지털 치료제 인허가 가이드라인 v2.0, 2023.
10. 「개인정보보호법」 §23 (민감정보의 처리 제한) — 국가법령정보센터.
11. 「의료법」 §21 (기록 열람 등)·§22 (진료기록부 등의 보존) — 국가법령정보센터; 「약사법」 §47 (의약품의 안전 사용).
12. 한국인터넷진흥원 (KISA), ISMS-P 인증 기준 v2024; 개인정보 보호위원회, 의료 데이터 처리 가이드라인, 2023.
13. ISO, ISO 13485:2016 — Medical Devices Quality Management Systems; ISO 14971:2019 — Application of Risk Management to Medical Devices.
14. European Commission, Medical Device Regulation (MDR) 2017/745; NMPA China, Medical Device Registration Administrative Measures, 2023.
15. WIA Standards 공개 저장소 (medication-adherence 폴더), MIT 라이선스, GitHub: WIA-Official/wia-standards-public/tree/main/medication-adherence — 본권 전반에 인용된 시뮬레이터·스펙·API·전자책 자산의 소스코드를 제공하는 오픈 표준 이니셔티브이며, 본 장이 인용하는 모든 1차 출처에 대한 표준 개정위원회의 정식 검증 기록 위치입니다.

§7.B 규제 운영 노트 — 컴플라이언스 매트릭스의 실무 운용

다국적 배포를 목표로 하는 약물 순응도 기술 사업자에게 「국가별 규제 매트릭스의 동시 충족」은 가장 큰 운영 부담이다. 본권 표준은 이러한 부담을 줄이기 위해 「최대 공약수 컴플라이언스 (Greatest Common Compliance)」 원칙을 채택한다. 즉, FDA·EMA·MFDS·NMPA의 요구 가운데 가장 엄격한 항목을 기본값으로 두면, 모든 관할권에서 자동으로 적합성이 확보된다.¹³

「최대 공약수 컴플라이언스」의 구체 항목은 다음과 같다. ① 동의 절차는 GDPR Article 9의 「명시적 동의 (Explicit Consent)」 기준, ② 의료기기 등급은 식약처 2등급 또는 FDA Class II 가운데 더 엄격한 절차, ③ 정보 보안은 HIPAA Security Rule + KISA ISMS-P + ISO/IEC 27001 합집합, ④ 데이터 보유 기간은 HIPAA 6년 + 의료법 10년 가운데 긴 기간, ⑤ 위반 통지 시한은 GDPR 72시간 기준. 이러한 기본값을 채택하면, 사업자는 「국가별 변형」을 최소화하면서 글로벌 배포가 가능하다.

「임상 시험 데이터 제출」은 본권 표준 채택의 가장 중요한 규제 사건이다. CDISC SDTM 형식의 순응도 데이터를 FDA·식약처·EMA에 동시 제출하는 시나리오에서, 본권 표준의 ENUM 토큰은 「언어 변환 비용 0」의 표준 사전 역할을 한다. FDA가 요구하는 21 CFR Part 11의 전자 서명 요건도 본권 표준의 「감사 로그 + 다중 인증」으로 충족된다.

「개인정보 보호의 운영 점검 항목」은 본권 표준이 매분기 권고하는 핵심 자체 평가이다. ① 동의 철회 요청의 24시간 이내 처리 비율, ② 데이터 접근권 요청의 30일 이내 응답 비율, ③ 가명 처리된 데이터의 재식별 시도 모니터링 결과, ④ 제3자 데이터 제공 이력의 환자 통지 비율, ⑤ 사고 대응 훈련의 분기별 실시 여부. 한국의 「개인정보 보호위원회」는 이러한 점검 항목을 「의료 데이터 처리 가이드라인 (2023)」에서 사실상 의무화하였다.

본권 표준의 「국가별 적합성 매트릭스」는 다섯 가지 핵심 관할권 (미국·EU·한국·일본·중국) 에 대해 각각 다음 차원을 점검한다. 의료기기 등록 요구·임상 시험 의무·개인정보 동의 형식·데이터 현지화 요구·국가별 데이터 보호 책임자 (DPO) 지정 의무. 매트릭스의 출력은 시뮬레이터 panel-2에서 「국기 아이콘 + 적합 또는 보완 필요」의 시각화로 제공되며, 보완 필요 항목을 클릭하면 구체 행동 항목 (예: 「식약처 임상 시험 신고서 제출」) 이 표시된다.

마지막으로 본권 표준은 「규제 변경의 모니터링」을 운영 의무로 명시한다. FDA·식약처·EMA·NMPA의 규제 변경은 평균 분기 1회 이상 발생하며, 본권 표준 운영위원회는 변경 사항을 모니터링하여 「표준 적합성 인증」의 자동 재평가가 필요한지 검토한다. 한국의 식약처는 디지털 치료제 가이드라인을 2020년 제정 이후 2년마다 개정 중이며, 본권 표준은 가이드라인 개정 90일 이내에 매핑 명세서를 갱신하도록 약속한다.