HIPAA 준수 받아쓰기 앱: 확인할 점
환자 기록, 소견서, 회기 요약을 받아쓴다면 받아쓰기 앱은 보호 대상 건강 정보를 다루게 됩니다. ‘HIPAA 준수’를 내세우는 앱은 많지만, HIPAA는 제품을 인증하지 않으며 이 표시가 뜻하는 바는 제각각입니다. HIPAA 준수 받아쓰기 앱을 고를 때 정말 중요한 것과, 첫 메모를 받아쓰기 전에 쓸 수 있는 체크리스트를 소개합니다.
공식 ‘HIPAA 준수’ 표시는 없습니다
미국 보건복지부(HHS)는 어떤 제품도 HIPAA 준수로 인증하거나 보증하지 않습니다. HHS는 또 민간 단체의 ‘인증’을 인정하지 않으며, 그것이 의료 제공자 자신의 의무를 면제해 주지도 않는다고 밝혔습니다. 그러니 업체가 ‘HIPAA 준수’라고 말하면 보증이 아니라 확인해야 할 주장으로 받아들이세요. 준수 여부는 도구가 데이터를 어떻게 다루는지, 어떤 계약이 있는지, 그리고 여러분이 어떻게 쓰는지에 달려 있습니다.
핵심 질문: 업체가 환자 데이터를 받는 일이 있는가?
HIPAA에서는 의료 제공자를 대신해 보호 대상 건강 정보를 생성·수신·보유·전송하는 회사를 비즈니스 어소시에이트라고 합니다. 그 회사와 환자 정보를 공유하기 전에 Business Associate Agreement(BAA)가 필요합니다. 업체가 데이터를 보호하겠다고 약속하는 계약입니다.
그래서 오디오가 어디로 가는지가 그토록 중요합니다.
- 클라우드 받아쓰기. 녹음이 업로드되어 업체 서버에서 텍스트로 변환됩니다. 업체가 환자 데이터를 받으므로 BAA가 필요하고, 업체의 보안, 보관 규칙, 직원에게 의존하게 됩니다.
- 암호화된 클라우드 저장소. 업체가 파일을 읽을 수 없더라도, HHS 지침에 따르면 키 없이 암호화된 환자 데이터를 저장하는 클라우드 업체도 비즈니스 어소시에이트입니다. 여전히 BAA가 필요합니다.
- 기기 내 받아쓰기. 녹음, 텍스트 변환, 저장이 모두 내 휴대폰에서 이루어지고 개발사가 데이터를 전혀 받지 않는다면, 개발사가 나를 대신해 환자 정보를 다루는 것이 아닙니다. 기기 보안을 비롯한 나 자신의 HIPAA 의무는 그대로 적용됩니다.
암호화: 휴대폰을 잃어버렸을 때의 안전망
휴대폰은 잃어버리기도 하고 도난당하기도 합니다. HIPAA의 침해 통지 규칙에 따르면, HHS 지침에 맞게 암호화된 보호 대상 건강 정보는 ‘보안 조치됨’으로 간주되므로, 복호화 키까지 유출되지 않는 한 암호화된 기기를 잃어버려도 보통은 신고 대상 침해가 아닙니다. 받아쓰기 앱에서 다음을 확인하세요.
- 녹음과 텍스트가 기기에서 암호화되는지, 그리고 잠금 해제된 휴대폰에서도 노출되지 않도록 앱 전용 잠금이 있으면 더 좋습니다.
- 키가 휴대폰의 보안 하드웨어로 보호되는지, 다른 곳에 저장된 비밀번호가 아니라 Face ID와 iPhone의 Secure Enclave 같은 것으로요.
- 전송 중 암호화. 전자 의무 기록으로 내보내는 것처럼 휴대폰 밖으로 나가는 모든 것에 적용되는지 확인하세요.
받아쓰기 앱을 고르기 위한 체크리스트
- 오디오는 어디서 텍스트로 변환되나요? 내 기기인가요, 업체 서버인가요? 에어플레인 모드에서 테스트해 보세요.
- 업체가 BAA에 서명하나요? 환자 데이터가 조금이라도 업체 서버에 닿는다면 필요하며, 특정 요금제에서만 제공될 수 있습니다.
- 데이터가 저장 시와 전송 중에 암호화되나요? 어떤 표준을 쓰는지, 누가 키를 보유하는지 물어보세요.
- 내 데이터가 AI 학습에 쓰이나요? ‘비식별화된 데이터가 사용될 수 있습니다’가 아니라 분명한 ‘아니요’를 찾으세요.
- 누가 녹음에 접근할 수 있나요? 직원, 외주 인력, 녹취 담당자, AI 업체?
- 데이터는 얼마나 오래 보관되고, 완전히 삭제할 수 있나요?
- 내보내기를 직접 통제할 수 있나요? 기록을 전자 의무 기록이나 진료 소프트웨어로 보낼지는 매번 여러분이 결정해야 합니다.
HIPAA의 나머지 요건도 그대로입니다
앱 하나로 준수가 완성되지는 않습니다. 휴대폰 소프트웨어를 최신으로 유지하고, 강력한 암호와 Face ID를 쓰고, 기기를 공유하지 말고, 모바일 기기에 관한 조직의 정책을 따르세요. 치료사는 심리치료 기록이 HIPAA에서 추가로 보호된다는 점도 기억하세요. 의원이나 병원에서 일한다면 새 도구를 도입하기 전에 컴플라이언스 또는 개인정보 담당자와 상의하세요.
iPhone 기본 받아쓰기에서 내 목소리가 어떻게 되는지 궁금하신가요? iPhone 받아쓰기는 사적인가?를 읽어 보세요.
자주 묻는 질문
HIPAA 준수 받아쓰기 앱의 공식 목록이 있나요?
없습니다. HHS는 제품을 인증하거나 보증하지 않으므로 ‘HIPAA 준수’ 표시는 업체 자체의 주장입니다. 앱이 데이터를 어떻게 다루는지, 그리고 환자 정보를 받는다면 업체가 Business Associate Agreement에 서명하는지 확인하세요.
받아쓰기 앱에 Business Associate Agreement가 필요한가요?
업체가 나를 대신해 환자 정보를 생성·수신·보유·전송한다면 필요합니다. 예를 들어 오디오를 자사 서버에서 텍스트로 변환하거나 기록을 자사 클라우드에 저장하는 경우입니다. 모든 것이 내 기기에 남고 업체가 아무것도 받지 않는다면 업체 손에는 환자 데이터가 없지만, 컴플라이언스 담당자에게 확인하세요.
iPhone 기본 받아쓰기는 HIPAA를 준수하나요?
임상용 도구로 설계된 것이 아닙니다. 언어와 iPhone에 따라 받아쓰기가 휴대폰에서 처리되거나 Apple 서버로 전송될 수 있고, 텍스트는 입력 중인 앱으로 들어갑니다. iPhone 받아쓰기 개인정보에 관한 가이드에서 확인할 설정을 설명합니다.
암호화하면 앱이 HIPAA를 준수하게 되나요?
암호화만으로는 아니지만 매우 중요합니다. HHS 지침에 맞는 암호화라면 기기를 잃어버리거나 도난당해도 보통은 신고 대상 침해가 아닙니다. 그래도 접근 통제와 합리적인 정책이 필요하고, 업체가 데이터를 받는다면 Business Associate Agreement도 필요합니다.
이 가이드는 HIPAA에 관한 일반 정보이며 법률 자문이 아닙니다. 최종 판단은 조직의 정책과 컴플라이언스 담당자를 따르세요.