![[WL LAW] 제약바이오 전문 법률 서비스 | BD 자문](https://tistory3.daumcdn.net/tistory/4018317/skinSetting/8de7e6156404427abc473ce8e742f6b2)
유럽 개인정보보호위원회(EDPB)가 2026년 4월 15일, 과학적 연구 목적 개인정보 처리에 관한 가이드라인 1/2026을 채택하였습니다. 현재 2026년 6월 25일까지 공개 의견 수렴 절차가 진행 중입니다.
"유럽 얘기 아닌가요?"라고 생각하실 수 있습니다. 그렇지 않습니다. GDPR은 EU 내에 사업장이 없는 기업이라도, EU 내 정보 주체를 대상으로 재화·서비스를 제공하거나 행동을 모니터링하는 경우 적용됩니다(제3조 제2항). 유럽에서 임상시험을 수행하거나 유럽 파트너사와 연구 협력을 진행하는 한국 기업은 대부분 이 요건에 해당합니다.
한국 기업에 실질적으로 영향을 미치는 세 가지 포인트
1. "우리 활동이 과학적 연구에 해당하는가"를 이제는 문서로 입증해야 합니다
가이드라인은 GDPR상 '과학적 연구'에 해당하는지를 판단하는 6가지 지표적 요소를 제시합니다. ①체계적·방법론적 접근, ②윤리 기준 준수, ③검증 가능성, ④연구자의 독립성, ⑤사회적 기여 목적, ⑥기존 지식에 대한 기여 가능성이 그것입니다. 6가지 모두 충족될 경우 과학적 연구로 추정되며, 일부만 충족될 경우 컨트롤러가 별도로 정당화해야 합니다.
중요한 것은 영리 목적 자체가 결격 사유가 아니라는 점입니다. 그러나 내부 마케팅 분석이나 상업적 데이터 활용은 아무리 'R&D'로 명명하더라도 과학적 연구로 인정되지 않습니다.
한국 기업 실무상 시사점: 유럽 임상시험 프로토콜, 윤리위원회 승인 내역, 결과 공개 계획 등이 이 6가지 요소를 충족한다는 점을 사전에 문서화해 두는 것이 필요합니다. 계약 단계에서 유럽 파트너사가 이 요건 충족 여부를 실사 항목으로 요구하는 사례가 늘어날 수 있습니다.
2. 광범위 동의(Broad Consent)가 공식 허용되었습니다 — 단, 조건이 있습니다
임상시험 설계 단계에서 향후 모든 데이터 활용 목적을 특정하는 것은 현실적으로 불가능합니다. 이로 인해 유럽 파트너사나 CRO와 계약할 때 동의 설계를 놓고 법적 불확실성이 발생하는 경우가 적지 않았습니다.
가이드라인은 수집 시점에 목적이 완전히 확정되지 않더라도, 특정 연구 분야(예: 종양학, 신경과학) 범위 내에서의 광범위 동의가 허용된다고 명확히 합니다. 다만 ①연구 분야가 구체적으로 정의될 것, ②가명처리 등 추가 안전장치가 갖추어질 것, ③정보 주체가 언제든지 동의를 철회할 수 있을 것이라는 조건이 붙습니다.
한편, 임상시험규정(Clinical Trials Regulation)상 사전 동의와 GDPR상 동의는 별개의 요건입니다. 임상시험 동의서에 서명을 받았다는 사실이 GDPR 동의 요건을 자동으로 충족시키지 않으므로, 두 가지를 명확히 구분하여 설계해야 합니다.
한국 기업 실무상 시사점: 유럽 임상시험 CRO 계약 또는 연구 협력 계약에서 동의 설계 조항을 검토할 때, 광범위 동의의 허용 범위와 조건을 계약서에 명확히 반영하는 것이 중요합니다. 특히 한국→유럽 방향의 데이터 이전이 수반되는 경우에는 GDPR 제3장의 국제 이전 요건과 함께 검토해야 합니다.
3. 데이터 장기 보관과 2차 활용의 법적 근거가 명확해졌습니다
실사용 증거(RWE) 연구나 바이오뱅크 협력 프로젝트에서 늘 문제가 되는 것이 데이터 보관 기간입니다. 일차 연구 목적이 완료된 이후에도 데이터를 유지하는 것이 GDPR상 허용되는지 불분명했기 때문입니다.
가이드라인은 이 점을 정리했습니다. 과학적 연구 목적의 추가 처리는 최초 처리 목적과 양립하는 것으로 추정되므로, 별도의 양립성 검토 없이 데이터를 계속 처리할 수 있습니다. 보관 기간도 연장이 가능하되, 막연한 '과학적 연구 목적'이 아니라 적어도 특정 연구 분야가 명시되어야 하고, 보관 필요성을 정기적으로 검토해야 합니다.
한국 기업 실무상 시사점: 유럽 바이오뱅크 또는 연구기관과의 데이터 이용 계약(DUA/DTA) 체결 시, 보관 기간 조항과 2차 사용 조항을 이 가이드라인의 기준에 맞추어 재설계할 필요가 있습니다. 기존에 체결된 계약도 점검이 필요할 수 있습니다.
마치며
이번 가이드라인은 아직 최종본이 아닙니다. 그러나 의견 수렴 이후 큰 틀에서 변경될 가능성은 낮으며, 이미 EU 감독당국의 집행 기준으로 기능할 것이 예상됩니다.
유럽에서 임상시험을 수행하거나, 유럽 파트너사와 공동 연구를 진행하거나, 기술 도입(license-in) 또는 기술 수출(license-out) 계약에 유럽 데이터가 포함되는 한국 기업이라면, 지금이 계약 구조와 동의 설계를 점검할 적기입니다.
📄 가이드라인 원문 다운로드 (영문, 67페이지) https://www.edpb.europa.eu/system/files/2026-04/edpb_guidelines_202601_scientificresearch_en.pdf
🔗 EDPB 공식 페이지 (의견 수렴 제출) https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2026/guidelines-12026-processing-personal-data_en
의견 수렴 기한: 2026년 6월 25일
본 포스팅은 법률 자문이 아니며, 개별 사안에 대한 구체적인 검토가 필요한 경우 전문가와 상담하시기 바랍니다.© WL LAW | woojinleelaw.com | biopharmlaw.com
