건강 행태정보(Behavioral Information) 제3자 제공의 가능성과 한계 - GoodRx v. FTC 동의명령 사례 분석을 중심으로 - = Possibilities and Limitations of Third-Party Provision of Health Behavioral Information- Focusing on the Analysis of the GoodRx v. FTC Consent Decree Case -

국문 초록 (Abstract)

국문초록

본 논문은 2023년 미국 GoodRx Holdings, Inc.(이하 GoodRx) 사건을 중심으로, 비의료기관 디지털 헬스케어 기업의 건강정보 처리에 대한 미국 연방거래위원회(FTC)의 규제 법리를 분석하고, 우리 법제에 나타나는 시사점을 도출함을 목적으로 한다.
처방약 할인 및 비대면진료 서비스를 제공하는 GoodRx는 구글, 페이스북 등 제3자가 제작한 정보수집도구(Pixels, SDK)를 자사 웹사이트 및 앱에 설치하여 이용자가 서비스를 이용하는 과정에서 생성된 활동 정보를 수집(tracking)하고, 광고주 및 제3자에게 해당 정보가 자동으로 공유되도록 하였다. 이에 따라 이용자의 약물 검색·구매 이력, 관련 건강상태, 약국명 등의 건강정보를 수집하고 이를 이메일·전화번호·모바일 광고 식별자 등 식별정보와 결합하여 페이스북(Meta), 구글 등 제3자 광고 사업자에게 제공하였다. 이러한 정보는 특정 의약품을 검색·구매한 이용자군을 세분화하여 특정 약품명(예: ‘lisinopril claims’ 등) 또는 맞춤형 이벤트의 생성에 활용되었으며, GoodRx는 이 목록의 이메일, 전화번호, 모바일 광고 식별자를 페이스북 Custom Audiences 기능에 업로드하여 페이스북, 인스타그램 상에서 해당 이용자에게 특정 의약품 광고를 노출하는데 사용하였다. 그러나 GoodRx는 개인정보 처리방침에서 “광고주에게 개인의 건강상태나 건강정보를 드러내는 어떠한 정보도 제공하지 않는다”는 문구를 명시하고, 원격진료 서비스(구 HeyDoctor)에 관하여도 서비스 제공 목적 외 제3자 제공 시에는 이용자의 사전 동의를 받겠다고 명시하였으며, 홈페이지에는 HIPAA 규정 준수 배지를 게시하여 자사가 마치 의료기관이나 Business Associate처럼 HIPAA의 직접 규율 대상인 것과 같은 광고를 하였다. 하지만, 실제로는 이용자의 동의를 받지 않은 채 건강 관련 행태정보를 광고 목적의 제3자 제공에 활용하면서도, 그 사실을 이용자에게 통지하지 않았다.
​FTC는 이 사건에서 연방거래위원회법(FTCA) 제5조가 금지하는 ‘기만적(deceptive)’ 행위와 ‘불공정한(unfair)’ 행위 요건을 분석하였다. 먼저, 기만성(deceptiveness)에 관하여 FTC는 (1) 개인정보 처리방침상 건강정보를 제3자에게 제공하지 않는다고 반복적으로 명시한 점, (2) 서비스 제공 목적 외 제3자 제공 시 이용자의 동의를 받을 것이라고 명시한 점, (3) HIPAA 준수 광고를 통하여 HIPAA의 규제를 받는 것으로 오인하게 한 점 등을 종합하여, 평균적 소비자가 GoodRx의 설명을 신뢰할 수밖에 없는 상황에서 실제로는 이에 배치되는 행위를 하였다고 보았다. 다음으로 불공정성(unfairness)에 관하여 FTC는 GoodRx가 건강정보와 식별자를 결합해 특정 처방약 검색·구매 이용자 목록을 생성하여 광고 타겟으로 활용한 점에 지적하였다. 이용자는 약값 비교 또는 비대면진료 서비스를 이용하는 과정에서 자신의 질병·약물 정보가 식별 가능한 형태로 광고 사업자에게 제공되리라고 예상하기 어렵고, 이러한 제공을 스스로 합리적으로 회피할 수 있는 수단을 제공받지 않는다. 그럼에도 GoodRx는 건강정보의 제3자 제공 및 광고 목적 활용 사실을 통지하지 않았고, 정보주체에게 선택권을 부여하지 않았기 때문에, 이는 소비자에게 실질적이고 회피 불가능한 사생활 침해 위험을 초래하는 불공정한 행위에 해당한다고 보았다. 나아가 FTC는 GoodRx가 HBNR이 규율하는 ‘개인 건강기록 제공업체(vendor of personal health records)’에 해당하며, 동의 없는 제3자 ...