최근 몇 년 사이 건강·피트니스 앱은 폭발적으로 늘었습니다. 하루 걸음 수를 기록하는 앱부터 섭취 칼로리를 추적하는 앱, 특정 질환을 관리하도록 돕는 앱까지 종류도 다양합니다. 그만큼 우리의 스마트폰과 각종 기기에는 상당한 양의 건강 데이터가 쌓이고 있습니다.
그런데 이 데이터는 우리가 만들어내는 다른 정보들과 마찬가지로 판매되고 있습니다.
당신의 건강 데이터는 값진 상품입니다
'건강 데이터'라는 용어는 범위가 매우 넓습니다. 도대체 무엇이 건강 데이터에 해당할까요? 누구에게 묻느냐에 따라 답이 달라집니다. 이 글에서는 이해를 돕기 위해 가장 넓은 정의를 사용하겠습니다. 애플 헬스(Health) 앱에 기록한 혈압 측정치부터 MapMyFitness에 남긴 자전거 주행 거리, LoseIt!에 입력한 식단 정보, Glow 배란·임신 앱에 적은 정보까지 모두 포함됩니다.
이런 정보들이 모두 비공개이고 별 가치가 없다고 생각하기 쉽습니다. 하지만 다른 유형의 데이터와 마찬가지로, 이를 판매해 수익을 올리는 회사들이 많습니다. 마케팅 업체는 건강 데이터도 다른 데이터처럼 활용해 광고 타겟팅의 정밀도를 높일 수 있습니다.
예를 들어 체중 감량을 위해 LoseIt!을 꾸준히 사용하고 있다면, 마케터는 이 정보를 바탕으로 다이어트 제품 광고를 집중적으로 노출시킬 수 있습니다. MapMyFitness로 산악 하이킹을 기록했다면 아웃도어 의류 광고가, 다음 운동을 자전거 라이딩으로 기록했다면 사이클링 장비 광고가 눈에 띄기 시작할 것입니다.
그렇다면 프라이버시가 보장되리라고 기대할 만한 데이터는 어떨까요? 예컨대 스마트폰 연동 혈당 측정기로 혈당을 관리하는 경우입니다. 마케터 입장에서는 당신이 당뇨 환자라는 사실에 큰돈을 지불할 의향이 충분합니다. 당뇨 환자 시장은 규모가 작지만, 그만큼 매우 구체적인 타겟팅이 가능하기 때문입니다.
마케터에게 건강 데이터가 유용한 상황은 무궁무진하게 상상할 수 있습니다. 광고 네트워크가 시도하는 타겟팅에는 사실상 한계가 없습니다.
건강 데이터의 거래 구조
건강 데이터의 프라이버시와 보안은 중요한 문제입니다. 정부도 관심을 두고 있고, 공공·민간 단체 모두 예의주시하고 있습니다. 개인 건강 정보가 유출되면 결과가 심각할 수 있기 때문에, 그에 상응하는 감독 체계도 갖춰져 있습니다.
그러나 건강 앱의 폭발적 성장은 개발자, 마케터, 일부 의료 산업 관계자에게 새로운 기회를 열어주었고, 그들은 이 기회를 놓치지 않으려 합니다. 본격적으로 들어가기 전에, 이 논의에서 빼놓을 수 없는 법률 하나를 짚고 넘어갈 필요가 있습니다.
HIPAA란 무엇인가
1996년에 제정된 미국 건강보험 휴대성·책임성 법(HIPAA)은 기밀 건강 정보의 공유를 규제하는 복잡한 법률입니다. 병원이나 치과에 갈 때 서명했던 여러 동의서가 바로 HIPAA 관련 서식일 겁니다. HIPAA의 프라이버시 규칙은 '규제 대상 기업(covered entity)'의 데이터 사용과 공개를 규율하는데, 여기에는 의료기관, 건강보험사, 의료 정보 중개기관(clearinghouse)이 해당됩니다.
미국 보건복지부(Department of Health and Human Services)에 따르면 의료 정보 중개기관은 다음과 같이 정의됩니다.
다른 기관으로부터 받은 비표준 건강 정보를 표준 형식(표준 전자 포맷 또는 데이터 내용)으로 변환하거나, 그 반대로 처리하는 기관.
이 정의는 다소 모호해서 여러 방식으로 해석될 수 있습니다. 그래서 건강 앱, 앱이 수집하는 데이터, 그 데이터로 할 수 있는 작업의 경계 역시 불분명해집니다. 게다가 데이터가 여러 번 손바닥을 거듭 거치면서, HIPAA가 어디까지 적용되는지 추적하기는 더욱 어려워집니다.
다시 건강 데이터 판매 이야기로 돌아가겠습니다.
앱 개발자(규제 대상 기업과 계열 관계가 없는 한)와 마케팅 회사는 HIPAA의 적용을 받지 않기 때문에, 처벌에 대한 부담 없이 건강 정보를 거래할 수 있습니다. 결국 건강 데이터는 계속 마케터에게 팔릴 것이며, 우리가 할 수 있는 일은 많지 않습니다.
보험사도 이 데이터를 살 수 있을까?
많은 사람을 불안하게 하는 문제는 바로 건강보험사입니다. 건강 데이터가 시장에 유통되고 있다면, 보험사가 이를 구입해 보험료 산정에 반영할 수도 있지 않을까요? 보험사가 여러 출처에서 막대한 데이터를 분석해 가입자의 위험도를 예측한다는 것은 이미 공공연한 사실입니다. 건강 앱이 만들어내는 데이터를 활용하려는 것도 자연스러운 발상입니다.
실제로 2013년 영국 파이낸셜타임스(Financial Times)가 의뢰한 조사에 따르면, MapMyFitness, WebMD, iPeriod를 포함한 상위 20개 피트니스 앱이 최대 70곳의 제3자 업체에 정보를 전송하고 있었으며, 이 정보가 제약회사나 보험회사의 손에 넘어갈 가능성도 지적됐습니다.
물론 여기서 '가능성'이라는 단어가 중요합니다. 이런 앱이 생성한 정보가 '보호 건강 정보'에 해당하는지에 따라 HIPAA가 절차를 어렵게 만들거나 아예 차단할 수도 있습니다. '건강 상태'에 관한 정보는 보호 대상으로 간주되지만, 그 범위가 정확히 어디까지일까요? 3마일 걷기 기록도 건강 상태와 관련된 정보라고 볼 수 있을까요? 명확하지 않습니다.
그러나 데이터 분석 기술이 발전하면 이 문제는 곧 무의미해질 수 있습니다. HIPAA가 보호하지 않는 정보라도 알고리즘으로 분석하면 보험사에 유용한 인사이트를 뽑아낼 수 있기 때문입니다. 예를 들어 페이스북에 술자리 이야기를 자주 올린다면, 건강보험사는 평균보다 음주량이 많을 것이라 판단해 당신을 더 높은 위험 등급에 분류할 수 있습니다(신용회사가 이미 하고 있는 방식과 유사합니다).
일부 전문가들은 건강 데이터를 앱에 저장할 때 알아둬야 할 다른 문제들도 지적합니다. 예컨대 보험사가 앱 개발사를 인수하면, 그 앱이 보유한 모든 데이터가 보험사 소유로 넘어갑니다. 이 경우 HIPAA가 어떻게 적용될지는 불분명하지만, 상당량의 데이터가 보험사 시스템에 입력될 것이라고 보는 것이 안전합니다.
진화형 과제로 남은 문제
건강 앱은 앱 생태계에서 비교적 최근에 현재의 규모로 성장한 분야이기 때문에, 건강 데이터가 어떻게 취급되는지에 대한 문제는 계속 진화하고 있습니다. 누가 이 데이터를 사고파는지, 무엇에 쓰이는지, 프라이버시에 대해 어떤 기대를 해야 하는지 특정 시점에 확정하기 어렵습니다. 그러나 분명한 사실은 하나입니다. 당신의 데이터는 팔리고 있으며, 확실히는 데이터 브로커와 마케터에게, 어쩌면 보험사에게도 팔리고 있다는 점입니다.
피트니스 앱 개인정보 처리방침에 있는 "당신의 정보를 팔지 않겠다"는 문구에 속아서도 안 됩니다. 파트너 간 정보 전달, 자산 거래 등의 행위는 '판매' 범주에 들지 않는 경우가 많아 이 약속은 지켜지지 않을 때가 많습니다.
결국 우리는 기묘한 공백 상태에 놓여 있습니다. 데이터 거래는 활발히 일어나는데, 정작 누가 사고 있는지는 확실하지 않은 것입니다. 우리는 이 데이터에 대해 상당한 수준의 프라이버시를 기대할 만하지만, 동시에 대부분의 사용자가 앱의 개인정보 처리방침(또는 권한 요청)을 깊이 살펴보지 않는다는 점에서 일종의 공범이기도 합니다. 이제 낡은 지도와 손수 계산으로 돌아가는 편이 나을까요?
이 문제는 아직 뜨거운 감자는 아니지만, 자신의 삶에 대한 정보가 화폐처럼 거래되고 있다는 사실을 더 많은 사람이 인식하면 머지않아 큰 화두가 될 가능성이 있습니다.
건강 앱이 데이터를 파는 것에 대해 어떻게 생각하시나요? 회사들이 생각보다 많은 정보를 가져간다는 점이 걱정되시나요? 아니면 개의치 않으신가요? 개인 데이터 보호를 포기하셨나요? 아래 댓글로 의견을 나눠주세요!
이미지 출처: Georgejmclittle via Shutterstock.