당신은 피트니스 트래커 (fitness tracker)를 24시간 내내 착용합니다. 그것은 당신의 안정 시 심박수 (resting heart rate), 수면 주기 (sleep cycles), GPS 경로, 스트레스 수준을 알고 있으며, 모델에 따라 혈중 산소 농도, 생리 주기, 그리고 ECG (심전도) 측정값까지 알고 있습니다.

여기 대부분의 사람들이 미처 생각하지 못하는 질문이 있습니다: 그 데이터에 또 누가 접근할 수 있을까요?

그 답은 당신이 어떤 브랜드를 착용하고 있는지에 거의 전적으로 달려 있습니다. 그리고 가장 우수한 브랜드와 최악의 브랜드 사이의 격차는 상당합니다.

HIPAA의 격차 (대부분의 사람들이 오해하는 부분)

무엇보다 먼저 알아야 할 점은: 당신의 피트니스 트래커 데이터는 거의 확실히 HIPAA (미국 의료정보 보호법)의 적용을 받지 않는다는 것입니다.

HIPAA는 병원, 건강 보험사, 의료 정보 처리 기관(healthcare clearinghouses) 및 이들의 직접적인 비즈니스 협력자와 같은 '대상 기관 (covered entities)'에 적용됩니다. 소비자용 웨어러블 기업들 (Fitbit, Garmin, Apple, Whoop, Oura)은 이 중 어디에도 해당하지 않습니다.

당신의 스마트워치 심박수 데이터는 의사의 수기 메모보다 법적 보호를 덜 받습니다. 부분적으로 적용되는 유일한 프레임워크는 주법 (state laws) — 캘리포니아의 CCPA, 일리노이의 BIPA — 뿐이며, 이조차도 상당한 공백이 존재합니다.

결국 남는 것은 각 회사의 자체적인 개인정보 처리방침 (privacy policy)뿐입니다. 하나씩 살펴보겠습니다.

Fitbit (현재 Google Health): ⚠️ 주의

2026년 5월 기준으로, 모든 Fitbit 계정은 Google 계정으로 통합되었습니다. 이제 당신의 건강 데이터는 Google의 개인정보 처리방침을 따릅니다.

데이터가 말해주는 것:

• Fitbit은 Apple의 App Store 개인정보 보호 라벨 기준 23가지 데이터 유형을 수집하며, 이는 이번 비교 대상 중 가장 많습니다.
• Google은 Fitbit 건강 데이터가 Google Ads (구글 광고)에 사용되지 않을 것이라고 약속했습니다.
• 개인정보 처리방침은 여전히 "연구 및 상업적 목적"을 위해 집계되거나 비식별화된 (de-identified) 데이터를 공유하는 것을 허용합니다.
• Meta와 Google의 분석 SDK (Analytics SDKs)가 앱에 내장되어 사용 데이터를 전송합니다.

재식별 (re-identification) 문제: 2024년 Imperial College London의 연구에 따르면, 소위 익명이라고 여겨지는 피트니스 데이터셋은 연령대, 우편번호, 활동 패턴이라는 단 세 가지 데이터 포인트만으로도 87%의 정확도로 재식별될 수 있음이 밝혀졌습니다. "비식별화 (De-identified)"는 들리는 것만큼 안전하지 않습니다.

2026년: Whoop은 광고 파트너와의 데이터 공유 관행으로 인해 캘리포니아에서 집단 소송 (class-action lawsuit)에 직면해 있으며, 이는 업계 전반에 걸쳐 규제 압박이 어디로 향하고 있는지를 보여주는 신호입니다.