'HIPAA 준수'와 '암호화'가 가족에게 실제로 뜻하는 것

HIPAA 규칙은 '적용 대상 기관'에 적용됩니다. 건강보험사, 의료정보 처리기관, 그리고 청구 같은 거래를 위해 건강 정보를 전자적으로 전송하는 의료 제공자, 여기에 더해 그들을 대신해 그 정보를 다루는 '업무 협력자'입니다.¹ 어머니의 약 목록을 관리하는 딸은 적용 대상 기관이 아닙니다. 가족 단체 대화방도, 함께 쓰는 스프레드시트도, 가족이 스스로 내려받은 대부분의 앱도 마찬가지입니다.

그래서 미국 연방거래위원회(FTC)는 의사와 달리 건강 앱은 HIPAA 같은 건강 정보 보호법의 적용을 받지 않을 수 있고, 판단 근거로 삼을 수 있는 건 앱의 개인정보 처리방침이라고 소비자에게 분명히 안내합니다.⁵ FTC의 건강 정보 유출 통지 규칙이 있는 이유도 그것입니다. 2024년부터 이 규칙은 건강 정보를 다루면서 HIPAA의 적용을 받지 않는 앱에, 그 정보가 유출되거나 허가 없이 공개되면 사람들에게 알리도록 요구합니다.²

어떤 정부 기관도 앱을 'HIPAA 준수'로 인증하지 않습니다. 회사가 그렇게 말할 때는 자기 관행을 설명하는 것입니다. 적용 대상 기관에 요구되는 방식대로 정보를 다룬다는 것, 그리고 대개는 의료 제공자가 쓸 경우 업무 협력자 계약에 서명하겠다는 것이요. 둘 다 좋은 일입니다. 하지만 어느 쪽도 검사를 받았다는 뜻은 아닙니다. CareCoordinate가 'HIPAA 기준에 맞춘'이라고 말하는 이유가 이것입니다. 관행은 규칙이 설명하는 그대로이고, 그 표현이 정직한 표현이기 때문입니다.

그러니 그 문구는 대화의 시작으로 여기세요. 쓸모 있는 다음 질문은 이것입니다. 구체적으로 무엇을 하시나요? 다음 부분이 그 확인 목록입니다.

전자 건강 정보에 대한 HIPAA의 보안 기준은 보호 장치를 쉬운 말로 적어 둡니다. 접근 권한을 받은 사람만 정보를 볼 수 있게 하는 접근 통제, 활동을 기록하고 살펴보는 감사 통제, 그 사람이 본인이 맞는지 확인하는 본인 인증, 그리고 네트워크로 오가는 정보를 지키는 전송 보안입니다.³ 이 목록에서 암호화는 저장된 정보와 전송 중인 정보에 대해 두 번 나오고, 둘 다 '검토 후 적용(addressable)' 항목으로 표시되어 있습니다. 기관이 그것을 시행하거나, 그에 맞먹는 조치가 합리적인 이유를 문서로 남겨야 한다는 뜻입니다.³

가족의 말로 옮기면 이렇습니다. 정보가 서버로 가는 길에서만이 아니라 저장된 곳에서도 암호화되는지 물어보세요. 누가 무엇을 보고 바꿨는지 앱이 기록해 두어서 몇 달 뒤에 생긴 의문에도 답할 수 있는지 물어보세요. 사람이 본인임을 어떻게 증명하는지, 그리고 돌봄 가족이 돌봄 서클을 떠나는 날 바로 접근 권한을 없앨 수 있는지 물어보세요. 이런 일을 하는 회사라면 한 문장으로 그렇다고 말할 것입니다.

우리 가족 정보는 저장될 때와 전송될 때 암호화되나요? 회사에서 누가 그 정보를 읽을 수 있고, 어떤 규칙에 따르나요? 광고 목적을 포함해 다른 회사와 공유하거나 판매하는 것이 있나요? 접근과 변경에 대한 감사 기록이 있나요? 한 사람의 접근 권한을 즉시 없앨 수 있나요? 모든 것을 내보내고 계정을 삭제할 수 있나요, 그리고 데이터가 완전히 없어지기까지 얼마나 걸리나요? 유출이 생기면 어떻게 되고, 누구에게 알리나요? 대부분은 개인정보 처리방침에 답이 있어야 합니다. FTC는 무엇을 수집하고 어떻게 쓰고 공유하는지 처리방침을 읽어 보고, 설정에서 내가 무엇을 조절할 수 있는지 확인하라고 권합니다.⁵

부모님 담당 의사에게 적용되는 규칙은 가족에게도 도움이 됩니다. 의료 제공자는 환자가 동의할 때, 반대할 기회를 받고도 반대하지 않을 때, 또는 환자가 스스로 결정할 수 없을 때 환자에게 가장 이롭다고 판단하면, 가족이 환자 돌봄에 참여하는 데 필요한 정보를 나눌 수 있습니다.⁴ 의사가 진료실에서 딸과 이야기할 수 있는 근거가 바로 이 조항이고, 병원에서 HIPAA 때문에 안 된다고 할 때 짚어 줄 조항도 이것입니다. 이런 대화를 일상적인 일로 만들어 주는 서류는 '돌보는 가족이라면 꼭 챙겨야 할 법률 문서들' 가이드를 참고하세요.