헬스케어 광고 컴플라이언스, 광고 문구가 아니라 데이터 지도에서 갈린다

몇 년 전 미국 중서부에 있는 한 병원 네트워크의 마케팅팀과 협업할 때였습니다. 광고 카피는 전부 법무팀 승인을 받았고, FDA 페어 밸런스 요건도 지켰고, Google·Meta 플랫폼 정책도 문제없었습니다. 그런데 감사에서 문제가 터진 곳은 광고 소재가 아니었습니다. 환자 예약 완료 페이지에 심어둔 서버사이드 픽셀이 예약자 성명과 진료 과목을 고스란히 광고 플랫폼으로 전송하고 있었던 겁니다. 그 팀은 광고 성과를 정확히 보고 있다고 믿었지만, 사실은 HIPAA 위반 상태로 몇 달을 운영한 셈이었습니다.

이런 사례는 하루 이틀 일이 아닙니다. 미국 시장에서 헬스케어 광고 컴플라이언스는 이제 광고 문구를 승인받는 문제가 아니라, 광고와 마테크 스택 전체의 데이터 흐름을 설계하는 문제로 넘어왔습니다. FTC와 HHS OCR이 최근 몇 년간 집중적으로 제재한 사건들을 보면, 공통점이 하나 있습니다. 카피 한 줄보다 데이터가 어디로 흘러가는지가 더 결정적이었다는 점입니다.

기존 체크리스트가 반복해서 실패하는 이유

헬스케어 광고 운영자라면 FDA의 페어 밸런스 요건, FTC의 입증 의무, HIPAA 동의서, 플랫폼 정책, 처방약 리스크 정보 표기처럼 익숙한 항목들을 이미 알고 있을 겁니다. 이것들은 여전히 중요합니다. 하지만 2023년 FTC가 GoodRx에 150만 달러 벌금을 부과한 사건이나, BetterHelp가 780만 달러를 지불한 사건을 보면 공통점이 있습니다. GoodRx는 건강 정보를 Meta와 Google에 공유했고, BetterHelp는 상담 내용을 광고 타겟팅에 활용했습니다. 두 사건 모두 광고 표현이 아니라 데이터 공유 구조가 핵심 쟁점이었습니다.

즉, 지금 필요한 것은 항목을 하나씩 지워가는 체크리스트가 아니라, 내가 운영하는 광고 계정과 웹사이트, CRM, 분석 도구 사이에서 PHI가 언제 태어나고 어디로 이동하는지를 그려보는 작업입니다. 아래 열 가지는 현장에서 사후에 발견되는 대표적인 빈틈들입니다.

1. 픽셀·서버사이드 트래킹의 PHI 전송 감사

가장 많이, 그리고 가장 오래 놓치는 지점입니다. 마케팅 픽셀은 흔히 '분석 도구'로 착각하기 쉽습니다. 하지만 환자 포털, 로그인 상태의 건강 정보 페이지, 예약 완료 페이지에 Google Ads 픽셀, Meta Pixel, LinkedIn Insight Tag가 붙어 있으면 그 자체로 PHI 공개로 간주됩니다. HHS OCR은 온라인 추적 기술 가이드에서 로그인한 페이지, 예약 확인 페이지, 증상 검색 결과 페이지 등에서 제3자 픽셀이 발화하면 HIPAA 위반 가능성이 있다고 명확히 밝히고 있습니다.

서버사이드 태깅으로 전환했다고 해서 자동으로 안전해지는 것도 아닙니다. 서버사이드 GTM을 쓰더라도 해당 벤더와 BAA를 체결하지 않았다면 PHI를 제3자에게 전송한 것과 다름없습니다. 특히 dataLayer에 진단명, 약물명, 검사명, 환자 ID 같은 변수를 넣는 순간, 의도하지 않았어도 PHI가 광고 플랫폼으로 흘러갑니다.

• 로그인·환자 포털·예약 완료 페이지에서 모든 마케팅 픽셀을 제거하거나 BAA 가능 솔루션으로 교체합니다.
• dataLayer에 PHI 변수를 넣지 않도록 개발팀과 명확한 네이밍 규칙을 정합니다.
• UTM·URL 파라미터에 건강 상태나 처방 정보를 포함하지 않습니다.
• Google Analytics처럼 HIPAA 준수를 보장하지 않는 도구에는 PHI를 절대 전송하지 않습니다.

2. 리타겟팅·룩어라이크 오디언스의 민감 건강 데이터 추론 차단

Google과 Meta는 건강 상태에 기반한 타겟팅을 금지합니다. 그런데 암 치료 센터의 '상담 신청 완료' 전환자를 소스로 Meta 룩어라이크 오디언스를 만들면, 표면적으로는 자사 데이터를 쓴 것이지만 실질적으로는 건강 상태를 추론한 타겟팅이 됩니다. 플랫폼이 이 사용자와 유사한 건강 관심사를 가진 사람을 찾아내기 때문입니다.

이런 행위는 FTC뿐 아니라 워싱턴주의 My Health My Data Act, 캘리포니아의 CMIA, 네바다주의 건강 데이터법 같은 주별 규제에서도 점점 더 엄격하게 다뤄지고 있습니다. 특히 민감 질환 랜딩페이지의 전환 이벤트를 오디언스 소스로 쓰는 것은 규제 기관이 가장 예민하게 보는 지점 중 하나입니다.

• 민감 질환 관련 전환 페이지를 오디언스 소스로 사용하지 않습니다.
• 리타겟팅 픽셀은 질환별 랜딩페이지가 아니라 일반 브랜드 페이지에만 설치합니다.
• 룩어라이크를 만들기 전에 해당 주 공중보건법과 플랫폼 정책을 이중으로 확인합니다.
• 건강 상태 추론을 피하기 위해 오디언스 소스를 비민감 행동(뉴스레터 구독, 일반 건강 정보 열람 등)으로 제한합니다.

3. AI 챗봇·가상 어시스턴트의 의료 상담 범위

많은 헬스케어 기업이 웹사이트에 AI 챗봇을 도입하면서 "의료 상담은 제공하지 않는다"는 문구를 넣습니다. 하지만 챗봇이 실제로는 증상 질문에 답하고, 약물 복용법을 안내하고, 예약까지 잡아주는 경우가 많습니다. 이 과정에서 챗봇 로그에 사용자의 증상, 복용 중인 약물, 예약 날짜가 기록되면 PHI가 생성된 셈입니다.

더 큰 문제는 이 챗봇 데이터가 마케팅 자동화 솔루션이나 CRM으로 흘러가면서 BAA가 없는 벤더에 저장되거나 리드 스코어링에 사용된다는 점입니다. FTC는 AI 기반 건강 조언이 부정확하거나 오해를 불러일으킬 경우 소비자 보호법 위반으로 간주할 수 있다는 입장도 밝힌 바 있습니다.

• 챗봇 스크립트에서 의료 상담으로 해석될 수 있는 프롬프트를 제거합니다.
• 챗봇 데이터 저장소가 HIPAA 준수 인프라인지 확인합니다.
• 챗봇 대화 로그가 마케팅 픽셀이나 분석 도구로 전송되지 않는지 점검합니다.
• 의료 상담 기능을 제공한다면 반드시 BAA 체결된 벤더만 사용합니다.

4. 동적 광고·피드 기반 소재의 승인되지 않은 문구 재조합

동적 검색 광고, 동적 리마케팅, 피드 기반 소재는 마케터가 승인한 문구를 그대로 쓰는 것이 아닙니다. 피드의 데이터와 랜딩페이지 콘텐츠를 조합해 광고 문구를 자동으로 생성합니다. 헬스케어에서는 진료 과목명, 질환명, 의사 이름, 리뷰 문구 등이 조합되면서 법적 리뷰를 거치지 않은 표현이 노출될 수 있습니다.

예를 들어 "OOO 의사의 리뷰 4.9점"이라는 피드 데이터가 "최고의 암 치료" 같은 문구로 자동 확장될 수 있습니다. 이런 표현은 FDA의 페어 밸런스 요건이나 FTC의 과장 광고 기준을 위반할 소지가 있습니다. 특히 리뷰나 가격 정보처럼 광고주가 완전히 통제하지 못하는 데이터가 피드에 섞여 있으면 위험이 커집니다.

• 동적 광고에 사용하는 피드 데이터 자체를 사전 승인합니다.
• 동적 검색 광고에서 특정 질환 관련 키워드와 URL을 제외합니다.
• 자동 생성 문구에 대해 주 단위 감사 시스템을 구축합니다.
• 리뷰, 가격, 의사 프로필 등 민감 데이터가 포함된 피드는 사용을 자제합니다.

5. 콜 트래킹·통화 녹취 벤더의 BAA 부재

검색 광고에서 전환 추적을 위해 콜 트래킹 번호를 쓰는 것은 일상적입니다. 그런데 통화 녹취 파일이나 콜 로그에 환자의 이름, 증상, 예약 내용이 포함되면 PHI가 됩니다. 이 데이터가 콜 트래킹 벤더의 서버에 저장되는데, 해당 벤더와 BAA를 체결하지 않았다면 HIPAA 위반입니다.

HHS OCR은 마케팅 목적으로 사용되는 콜 트래킹 서비스가 PHI를 처리한다면 반드시 BAA가 필요하다고 봅니다. 그런데도 현장에서는 콜 트래킹을 '광고 성과 측정 도구'로만 인식하고 계약 검토를 건너뛰는 경우가 많습니다. 특히 녹취 기능을 켜두고 잊어버리는 경우가 가장 위험합니다.

• 콜 트래킹 벤더와 BAA 체결 여부를 확인합니다.
• 통화 녹취 기능을 켜기 전에 PHI 수집 범위와 보관 기간을 검토합니다.
• 콜 로그 데이터를 CRM이나 마케팅 자동화 도구로 전송할 때 암호화와 접근 통제를 확인합니다.
• BAA가 불가능한 저가 벤더는 사용하지 않습니다.

6. 지오펜싱·위치 기반 타겟팅과 주별 건강 데이터법

병원, 클리닉, 약국 주변에 지오펜스를 설정해 광고를 노출하는 것은 흔한 전략입니다. 하지만 사용자가 특정 병원이나 진료과를 방문했다는 위치 데이터 자체가 건강 상태를 추론할 수 있는 민감 정보로 간주됩니다. 특히 산부인과 방문자나 정신건강 클리닉 방문자를 지오펜싱으로 타겟팅하는 것은 FTC가 민감한 위치 데이터를 이용한 불공정 행위로 볼 수 있습니다.

워싱턴주의 My Health My Data Act는 위치 기반 건강 데이터 수집을 엄격히 제한하며, 캘리포니아도 지오펜싱을 통한 건강 데이터 활용에 대한 규제를 강화하고 있습니다. 2024년 이후 여러 주에서 위치 데이터를 건강 데이터와 동일하게 취급하는 법안이 발의되고 있기 때문에, 지금은 괜찮아도 6개월 뒤에는 위반이 될 수 있습니다.

• 병원·클리닉·약국 중심의 지오펜싱 타겟팅을 중단합니다.
• 위치 데이터 수집 시 옵트인 동의와 목적 고지를 강화합니다.
• 주별 건강 데이터 프라이버시 법률의 지리적 범위를 수시로 확인합니다.
• 광고 성과 측정을 위해 위치 데이터 대신 컨텍스트 신호를 활용합니다.

7. UTM·URL 파라미터·폼 히든 필드의 PHI 유출

마케터는 캠페인 성과를 추적하기 위해 UTM 파라미터를 붙이고, 랜딩페이지 폼에 히든 필드를 넣어 소스와 매체를 기록합니다. 그런데 의료 기관의 예약 폼이나 상담 신청 폼에 "증상", "복용 중인 약물", "진단명" 같은 필드가 있으면, 이 값이 URL 파라미터나 히든 필드에 실려 마케팅 분석 도구로 전송될 수 있습니다.

예를 들어 ?utm_source=google&symptom=chest_pain 같은 URL은 그 자체로 PHI입니다. 이 URL이 Google Analytics나 광고 플랫폼의 리퍼러 로그에 기록되면 PHI 공개가 됩니다. 많은 마케팅팀이 URL 파라미터를 '기술적 추적'으로만 생각하지만, 규제 기관은 PHI 전송으로 봅니다. URL 단축 서비스가 원본 URL을 별도로 저장하는 경우에도 같은 위험이 생깁니다.

• 건강 상태·증상·약물명을 UTM 파라미터에 포함하지 않습니다.
• 폼 히든 필드에 PHI가 될 수 있는 값을 넣지 않습니다.
• 서버 로그와 분석 도구에서 PHI 패턴을 정기적으로 검색합니다.
• URL 단축 서비스가 PHI를 포함한 원본 URL을 별도로 저장하는지 확인합니다.

8. CRM·마케팅 자동화의 이메일/SMS 캠페인과 HIPAA

헬스케어 기업이 환자 유치를 위해 이메일이나 SMS 캠페인을 보낼 때, 환자 이름, 진료 예약일, 검사 결과 알림 등이 포함되면 PHI입니다. 이 데이터가 Mailchimp, HubSpot, ActiveCampaign 같은 마케팅 자동화 도구로 전송되면, 해당 도구가 HIPAA 준수 계약을 제공하지 않는 한 컴플라이언스 위반이 됩니다.

특히 병원 마케팅팀이 CRM에서 세그먼트를 만들어 이메일을 발송할 때, 환자 상태별로 세그먼트를 나누는 것 자체가 건강 상태 기반 타겟팅이 될 수 있습니다. "당뇨 환자에게 혈당 관리 캠페인" 같은 것은 의료 서비스로서 의미가 있지만, 마케팅 자동화 도구가 PHI를 처리하게 된다는 점을 놓치기 쉽습니다.

• 이메일/SMS 발송 도구가 BAA를 제공하는지 확인합니다.
• 환자 상태별 세그먼트를 만드는 경우 HIPAA 준수 CRM을 사용합니다.
• 이메일 내용에 진단명, 예약 정보, 검사 결과를 포함하지 않습니다.
• 수신 동의와 별도로 건강 정보 활용 동의를 확보합니다.

9. A/B 테스트·개인화 툴의 데이터 처리 경로

A/B 테스트 도구, 히트맵, 세션 리플레이, 개인화 엔진은 페이지 방문자의 행동 데이터를 수집합니다. 헬스케어 웹사이트에서 로그인 상태이거나 예약 완료 페이지에서 이런 도구가 실행되면, 사용자의 건강 관련 페이지 열람 기록이 쌓입니다. 이 데이터가 PHI로 간주되면 해당 도구 벤더와 BAA가 없을 경우 HIPAA 위반입니다.

개인화 툴이 특정 질환 페이지 방문자를 대상으로 다른 콘텐츠를 노출하는 것 역시 건강 상태 추론으로 이어질 수 있습니다. Optimizely, VWO, Hotjar 같은 도구는 기본적으로 HIPAA 준수를 보장하지 않습니다. 세션 리플레이에서 폼 입력 값이나 URL이 녹화되면 PHI가 고스란히 외부 서버에 저장될 수 있습니다.

• 로그인·예약 완료·환자 포털 페이지에서 A/B 테스트와 개인화 도구를 비활성화합니다.
• 세션 리플레이에서 PHI가 노출되지 않도록 마스킹 설정을 적용합니다.
• 히트맵 데이터에 URL, 폼 입력 값, 클릭 텍스트가 포함되는지 점검합니다.
• 헬스케어 전용으로 BAA를 제공하는 테스트 도구로 교체합니다.

10. 서드파티 데이터 인리치먼트와 오디언스 신디케이션

헬스케어 마케터가 보유한 CRM 데이터를 서드파티 데이터로 보강하거나, 반대로 서드파티 데이터를 구매해 오디언스를 확장하는 경우가 있습니다. 예를 들어 환자 이메일 리스트를 서드파티 벤더에 업로드해 건강 관심사, 소득, 가구 구성 등을 매칭하는 행위는 PHI 공유에 해당할 수 있습니다.

또한 보유한 환자 데이터를 기반으로 데이터 클린룸이나 CDP에서 오디언스를 만들어 광고 플랫폼에 전송하면, 이 과정에서 PHI가 비HIPAA 준수 환경으로 유출될 수 있습니다. FTC는 2024년 이후 민감 데이터 판매와 브로커 행위에 대해 집중 단속을 벌이고 있습니다. 데이터 클린룸도 해시 처리만으로는 재식별 위험이 완전히 사라지지 않습니다.

• CRM 데이터의 서드파티 인리치먼트를 원칙적으로 금지합니다.
• 데이터 클린룸 사용 시 PHI가 해시되더라도 재식별 위험을 평가합니다.
• 광고 플랫폼에 업로드하는 고객 리스트는 BAA 체결된 경로로만 전송합니다.
• 서드파티 데이터 구매 시 민감 건강 정보 포함 여부를 확인합니다.

결론: 체크리스트가 아니라 데이터 흐름 감사가 필요합니다

위 열 가지 지점은 각각 개별 항목으로 보이지만, 실제로는 하나의 문제로 수렴합니다. 헬스케어 광고 컴플라이언스는 마케팅 캠페인의 데이터가 어디서 생성되고, 어디로 흐르고, 누가 저장하는지를 모르면 지킬 수 없습니다. 광고 카피를 법무팀이 승인해도 픽셀이 PHI를 전송하면 위반입니다. 플랫폼 정책을 준수해도 콜 트래킹 벤더에 BAA가 없으면 위반입니다. A/B 테스트를 중단해도 CRM의 세그먼트가 건강 상태를 기반으로 하면 위반입니다.

미국 시장에서 헬스케어 광고를 운영하는 마케터라면, 이제 다음과 같은 통합 프레임워크가 필요합니다.

1. 광고·마테크 스택의 데이터 흐름 지도를 작성합니다.
2. PHI가 생성·저장·전송되는 모든 지점을 식별합니다.
3. 각 벤더의 BAA 체결 여부와 HIPAA 준수 상태를 확인합니다.
4. 민감 건강 데이터 타겟팅·추론 기능을 비활성화합니다.
5. 광고 소재뿐 아니라 데이터 이벤트에 대한 정기 감사를 수행합니다.

결국 컴플라이언스는 한 번의 점검이 아니라 지속적인 운영 시스템입니다. FTC와 HHS OCR이 보는 것은 광고 문구가 아니라 그 광고를 가능하게 만든 데이터의 흐름이기 때문입니다. 이 관점을 먼저 바꾸지 않으면, 체크리스트를 아무리 늘려도 사후에 발견되는 빈틈은 계속 남을 수밖에 없습니다.