KOTRA 상하이무역관이 2026년 8월 18일 게시한 외부 전문가 기고로 중국의 의료데이터 규제체계와 개인정보 보호, 데이터 국외이전 및 제약·바이오기업의 의료데이터 활용 시 주요 유의사항을 다루고 있습니다.

■ 주요 내용(제약 관련 내용 중심)

 ◦ 의료데이터 규제체계 강화
  - 중국은 「데이터안전법」에 따라 의료데이터를 중요도와 위험 수준에 따라 분류·관리하고 있으며 「개인정보보호법」에서는 의료건강정보를 민감개인정보로 규정해 강화된 보호요건 적용
  - 2026년 2월 「의료위생기관 데이터안전 및 개인정보보호 관리방법(시행)」을 시행해 의료위생기관의 데이터 수집·저장·이용·전송 등 전 생명주기 안전관리와 데이터 공유·대외 제공·위탁처리·국외이전 등에 대한 관리체계 마련
  - 의료기관이 외부 기업이나 연구기관에 데이터를 제공하거나 처리를 위탁하는 경우 사전 심사, 계약을 통한 통제 및 수탁자에 대한 지속적인 감독 필요

 ◦ 의료데이터 국외이전 및 인류유전자원 관리
  - 중국 의료데이터를 해외 본사나 연구기관에서 활용하는 경우 관련 규정에 따라 국외이전 안전평가, 개인정보 국외이전 표준계약 또는 개인정보보호 인증 등 적용 절차 검토 필요
  - 상하이 자유무역시험구 린강신편구는 바이오의약 분야에 대해 일정한 업무 상황에서 국외이전할 수 있는 일반데이터의 범위를 별도로 규정하는 등 일부 지역에서 데이터 국외이전 규제 차등화 추진
  - 인류유전자원 데이터의 국외 제공에는 별도의 관련 규제가 적용되며 원칙적으로 국외 제공 전 국무원 위생건강 주관부서에 사전보고하고 정보 백업을 제출해야 하며 공중건강이나 국가안전에 영향을 미칠 우려가 있는 경우 안전심사 필요

 ◦ 민감개인정보 및 비식별화 관리
   - 의료건강정보는 민감개인정보에 해당하며 동의를 처리 근거로 하는 경우 원칙적으로 개별 동의가 필요하고, 처리 전 개인정보보호 영향평가 실시 및 관련 기록을 최소 3년간 보존
  - 특정 개인을 식별할 수 없고 복원이 불가능하도록 익명화된 정보는 개인정보보호법상 개인정보에서 제외되지만, 추가 정보와 결합해 다시 개인을 식별할 수 있는 비식별화 데이터는 개인정보 규제 적용
  - 의료데이터가 법률상 익명화 요건을 충족하는지 판단하기 위한 세부 평가기준이 아직 충분히 통일되지 않아 데이터 활용 과정에서 익명화의 유효성과 재식별 위험에 대한 지속적인 점검 필요

 ◦ 한국 제약바이오기업 유의사항
  - 중국에서 임상연구·신약개발 등에 의료데이터를 활용하는 경우 필요한 데이터의 유형과 이용 목적, 처리기간, 접근권한 및 국외이전 여부 등을 사전에 구체화하고 관련 규제에 맞는 데이터 처리구조 설계 필요
  - 중국 내 의료데이터를 해외 본사로 직접 이전하기보다 중국 현지 서버나 신뢰데이터공간에서 처리하고 익명화된 분석 결과 등을 활용하는 방식 등 규제 부담을 고려한 데이터 활용구조 검토 필요
  - 유전체 정보나 인류유전자원이 포함된 데이터에는 인류유전자원 관련 규제 등 추가적인 규제가 적용될 수 있으므로 임상시험 및 연구개발 단계에서 관련 규제와 국외이전 요건을 사전에 확인할 필요