FTC는 왜 온라인 진료 앱을 고소했나 — 건강정보와 광고 데이터의 경계
탈모, 발기부전, 우울감, 체중. 병원 대기실에서는 입 밖으로 꺼내기 어려운 말을 온라인 진료 앱에서는 체크박스로 고를 수 있습니다. 누가 듣고 있지 않다는 안도감도 그 편리함의 일부입니다.
그런데 문진표의 마지막 버튼이 세 가지 일을 한꺼번에 한다면 어떨까요. 의사에게 보낼 기록을 접수하고, 약 정기구독을 시작하고, 광고 시스템에는 ‘이 사용자가 어떤 치료에 관심을 보였는지’ 알리는 신호를 보내는 겁니다.
미국 연방거래위원회(FTC)가 2026년 7월 29일 온라인 진료 업체 Hims & Hers를 상대로 낸 48쪽짜리 소장은 바로 이 겹침을 문제 삼습니다. 진료 화면, 결제 화면, 광고 추적 화면의 경계가 이용자에게 보이지 않았다는 주장입니다.
먼저 선을 그어둘 사실
FTC가 유타주 소비자보호당국, 로스앤젤레스 카운티가 대리한 캘리포니아주와 함께 소송을 냈습니다. 사건번호는 미국 캘리포니아 북부연방법원
3:26-cv-07871입니다.아직 판결은 없습니다. 아래에서 “공유했다”, “결제했다”, “숨겼다”는 내용은 별도로 표시하지 않은 경우에도 공개 소장에 적힌 원고 측 주장입니다. Hims 이용자의 진료기록 전체가 Meta나 Snap에 넘어갔다고 확인된 사건도 아닙니다. 공개 소장의 핵심 일부는 가려져 있어, 확인된 범위를 넘겨 채우면 안 됩니다.
소장이 문제 삼은 것은 개인정보 하나가 아니다
FTC 발표만 보면 ‘건강정보를 광고회사에 보냈다’는 사건처럼 보입니다. 소장을 읽으면 세 갈래가 한 화면에서 만납니다.
첫째는 결제입니다. Hims의 온라인 문진은 치료 관심사에 관한 약 5~15개 질문, 병력에 관한 25~50개 질문, 예상 치료와 가격·배송 주기 안내로 이어집니다. FTC는 이용자가 의료진의 추천을 검토하라고 문진을 제출한 직후, 대부분의 경우 추천안을 살펴보거나 승인할 기회 없이 처방 치료비가 청구되고 정기구독에 들어갔다고 주장합니다.
둘째는 해지입니다. FTC는 다음 리필 결제일을 눈에 띄게 알리지 않았고, 2023년 이전에는 전화·이메일·채팅을 거쳐야 했으며, 온라인 해지가 생긴 뒤에도 ‘주문 품목 추가·삭제’ 메뉴 안쪽 여러 단계에 해지 버튼을 숨겼다고 적었습니다.
셋째가 건강정보입니다. Hims는 서비스를 ‘온라인 100%, 비공개, 안전’하다고 광고했고, 한때 의료기록과 민감정보는 치료를 맡은 의료진만 접근한다고 설명했습니다. 그러나 FTC는 특정 고객 목록을 광고 플랫폼에 제공하고, 웹사이트에 설치한 추적 기술로 이용자의 행동을 자동 전송했다고 주장합니다.
이 세 갈래는 별개처럼 보이지만 뿌리가 같습니다. 이용자는 ‘진료를 신청한다’고 생각했는데 회사는 같은 행동을 ‘구매 동의’와 ‘광고 이벤트’로도 해석했다는 겁니다. 버튼 하나의 의미가 회사 쪽에서만 세 배로 늘어났습니다.
갑자기 시작된 조사도 아닙니다. Hims는 FTC가 2023년 10월 개인정보, 광고, 해지 관행에 관한 자료를 요구했다고 공시했습니다. 2026년 5월 제출한 분기보고서에서는 한 단계 더 나아갔습니다. FTC가 그해 4월 조사 결과를 알렸고 양측이 합의를 논의하고 있으며, 회사는 위법 인정 없이 끝내기 위한 제안을 냈다고 밝혔습니다. 소송으로 가면 적극 방어할 논거가 있다는 회사 입장과 함께, 이 사안의 예상 손실로 1,500만달러를 회계상 반영했다고도 적었습니다.
이 충당금이 곧 위법 인정은 아닙니다. 반대로 조사 단계에서 처음 튀어나온 주장이라고 볼 수도 없습니다. 2023년 자료 요구, 2026년 4월 조사 결과 통보, 5월 회사 공시, 7월 소송 제기라는 시간표를 함께 봐야 사건의 현재 위치가 보입니다.
마지막 버튼 뒤의 순서가 이용자의 예상과 달랐다
소장에서 가장 자세히 묘사된 부분은 온라인 문진의 마지막 몇 분입니다. 화면을 차례대로 보면 각각은 익숙합니다. 문제는 이용자가 기대한 순서와 원고들이 주장하는 실제 처리 순서가 달랐다는 데 있습니다.
| 단계 | 이용자가 화면에서 하는 일 | 소장이 문제 삼은 지점 |
|---|---|---|
| 치료 관심 확인 | 원하는 치료와 목표에 관한 약 5~15개 질문에 답함 | 아직은 상품을 고르는 탐색 단계처럼 보임 |
| 계정·문진 작성 | 계정을 만들고 병력에 관한 약 25~50개 질문에 답함 | 상담을 위한 의료정보 제출이라는 인상이 강해짐 |
| 예상 치료·결제정보 입력 | 처방될 수 있는 치료, 가격, 배송 주기를 보고 카드·배송 정보를 넣음 | 마지막 화면의 오늘 결제 0달러, 처방될 때만 결제 같은 표현이 즉시 구매가 아니라는 기대를 만들었다는 주장 |
| 의료진 검토 이후 | 의료진이 문진을 보고 처방 여부와 치료를 정함 | 대부분의 이용자는 추천 치료를 보고 수락하는 두 번째 버튼 없이 결제·배송·정기구독이 이어졌다는 주장 |
여기서 ‘상담’은 영상통화만 뜻하지 않습니다. 질문을 추가로 주고받는 비동기 메시지 상담도 포함할 수 있습니다. 그런데 소장은 실시간 진료를 의무화하지 않은 미국 대부분의 주에서 의료진이 문진만 검토해 처방할 수 있었고, 많은 이용자가 추천 치료의 용량이나 대안을 묻고 수락·거절할 대화를 하지 못했다고 적었습니다.
이 사건은 의료진의 처방이 적절했는지를 다투는 의료과실 사건과도 다릅니다. 핵심은 처방 결정과 구매 동의 사이의 순서입니다. 이용자는 ‘문진 제출 → 추천 확인 → 구매 결정’을 예상했는데, 소장이 그린 흐름은 ‘문진 제출 → 의료진 처방 → 즉시 결제·배송·구독’이었습니다. 상담 신청 버튼과 구매 확정 버튼이 사실상 한 버튼으로 겹쳐 있었다는 주장입니다.
가격이 앞 화면 어딘가에 표시됐다는 사실만으로 이 논점이 끝나지는 않습니다. FTC가 근거로 든 미국의 온라인 정기결제 규칙은 중요한 조건을 결제 전에 명확하게 보여주고, 명시적인 동의를 받고, 쉽게 해지할 수 있게 하는지를 함께 봅니다. 금액, 첫 결제 시점, 자동 갱신, 다음 결제일, 해지 기한 가운데 하나만 흐려져도 이용자는 ‘무엇에 동의했는가’를 다르게 이해할 수 있습니다.
‘매월 배송’인데 첫 갱신은 20일째일 수 있었다
정기구독에서는 월 가격만큼 날짜가 중요합니다. 소장에는 월간 상품을 예로 들며, Hims가 첫 갱신을 최초 결제 30일 뒤가 아니라 10일 앞선 20일째에 처리하고 그 결제를 피하려면 18일째까지 해지하도록 했다는 주장이 나옵니다. 이후 갱신도 공휴일이나 운영상 이유로 안내된 주기보다 최대 이틀 앞당길 수 있었다고 적었습니다.
이 숫자는 모든 Hims 상품과 모든 시기에 똑같이 적용됐다는 확정 사실이 아닙니다. 소장이 제시한 월간 구독의 예시입니다. 그래도 소비자 관점에서는 중요한 차이입니다. ‘한 달치’라는 상품 수량과 ‘30일 뒤 결제’라는 달력의 약속은 같지 않을 수 있기 때문입니다. 다음 배송 주기만 보고 있다가 카드 승인일이 먼저 오면, 해지 버튼을 찾았을 때 이미 결제가 처리됐을 수 있습니다.
해지 경로에도 시간에 따른 변화가 있었습니다. 소장은 2023년 4월 전에는 대부분 전화·이메일·채팅으로 고객센터를 거쳐야 했다고 주장합니다. 그 뒤 웹사이트에는 온라인 해지가 생겼지만 모바일 앱에는 없었고, 구독 화면에서 ‘해지’라는 말 대신 ‘주문 품목 추가·삭제’를 먼저 눌러야 했다고 적었습니다. 해지 버튼을 찾은 뒤에도 이유와 부작용, 가격 부담, 유지 제안 등을 묻는 화면을 약 3~10개 지나야 요청이 접수됐다는 내용도 담겼습니다.
이것은 2026년 7월 현재의 해지 화면을 그대로 설명하는 사용법이 아닙니다. 여러 해에 걸친 과거 관행에 대한 소장의 주장입니다. 다만 앱을 고를 때 ‘해지 가능’이라는 문장만 확인해서는 부족하다는 교훈은 남습니다. 해지 메뉴가 결제한 기기 안에 있는지, 다음 결제 전에 완료되는지, 완료 확인서를 남길 수 있는지까지 봐야 합니다.
픽셀은 사진이 아니라 행동을 보내는 작은 통로다
여기서 말하는 ‘Meta Pixel’은 화면에 보이는 사진 한 점이 아닙니다. 광고주가 웹사이트에 넣는 코드입니다. 사용자가 어떤 페이지를 보고 어떤 버튼을 눌렀는지 같은 이벤트를 광고 플랫폼이 측정하도록 돕습니다. Conversions API는 비슷한 정보를 웹브라우저가 아니라 회사 서버에서 광고 플랫폼 서버로 직접 보내는 방식입니다.
일반 쇼핑몰에서는 ‘운동화 페이지를 봄’이나 ‘장바구니에 넣음’이 광고 성과를 재는 신호가 됩니다. 온라인 진료 사이트에서는 맥락이 달라집니다. 특정 치료 페이지를 보거나 문진 단계를 통과했다는 사실만으로도 건강 상태나 관심사를 추론할 수 있기 때문입니다. FTC도 암센터 방문 위치나 임신 테스트기 구매 기록처럼, 진단명 자체가 아니어도 건강정보를 드러낼 수 있다고 안내합니다.
공개 소장은 Hims가 Meta Pixel과 Conversions API를 사용했고, Meta·Snap에 특정 고객 목록을 제공해 각 플랫폼 계정과 맞추도록 했다고 주장합니다. 또 Microsoft, Google, Pinterest, Reddit, TikTok, X 등의 픽셀도 열거합니다. 다만 어떤 고객의 어떤 항목이 어느 시기에 얼마나 전송됐는지를 설명하는 대목 일부는 공개본에서 가려졌습니다.
그래서 이 사건을 “의사가 쓴 진료차트가 통째로 팔렸다”라고 요약하면 과장입니다. 반대로 “이름 대신 이벤트만 갔으니 건강정보가 아니다”라고 축소해도 정확하지 않습니다. 광고 시스템에서는 ‘누구인지’와 ‘무엇에 관심을 보였는지’를 다시 연결할 수 있는지가 핵심입니다.
진단명을 보내지 않아도 건강정보가 만들어질 수 있다
광고 추적에서 민감도는 한 칸의 데이터보다 조합에서 생깁니다. 아래 표는 광고 추적 기술에서 일반적으로 생각해볼 수 있는 흐름을 설명한 것이며, Hims가 각 항목을 실제로 전송했다는 목록이 아닙니다. 이 사건 소장의 관련 세부 항목은 상당 부분 가려져 있습니다.
| 광고 시스템이 받을 수 있는 신호의 예 | 그 신호만으로 알 수 있는 것 | 다른 식별 신호와 합쳐질 때 가능한 추론 | 그 신호만으로 단정할 수 없는 것 |
|---|---|---|---|
| 특정 치료 카테고리 페이지 방문 | 해당 브라우저가 그 페이지를 열었다는 사실 | 탈모·성 건강·정신건강 등 특정 주제에 관심이 있을 가능성 | 실제 진단 여부, 본인을 위해 방문했는지 |
| 문진 시작·완료 같은 버튼 이벤트 | 이용자가 단순 열람보다 더 깊게 진행했다는 사실 | 치료를 적극 검토했을 가능성 | 의료진의 진단과 처방 내용 |
| 구매·구독 완료 이벤트 | 거래 단계가 끝났다는 사실 | 해당 서비스의 고객일 가능성 | 정확한 약 이름·용량·복용 여부 |
| 계정·기기와 연결되는 식별 신호 | 같은 브라우저나 계정의 행동을 묶을 단서 | 광고 플랫폼의 기존 계정·관심사와 연결할 가능성 | 그 사람이 공개적으로 밝힌 건강 상태 |
그래서 개인정보 판단에는 세 층이 있습니다. 첫째는 문진 답변이나 처방명처럼 내용 자체가 민감한 정보입니다. 둘째는 페이지 주소와 버튼 이름처럼 주변 맥락이 민감성을 드러내는 정보입니다. 셋째는 그 맥락을 특정 계정이나 기기에 다시 붙일 수 있게 하는 식별 신호입니다. 첫 번째 층이 없더라도 두 번째와 세 번째가 만나면 광고 프로필에는 상당히 구체적인 건강 관심사가 생길 수 있습니다.
반대로 페이지 방문만으로 질병을 확정해서도 안 됩니다. 가족의 치료를 알아봤을 수도 있고, 기사 취재나 단순 호기심일 수도 있습니다. 이 모호함 때문에 오히려 이용자 통제가 중요합니다. 광고 시스템은 완벽한 진단을 내려야만 작동하는 것이 아니라, 광고 대상을 나눌 정도의 가능성만 있어도 움직이기 때문입니다.
병원 앱처럼 보여도 모든 정보가 HIPAA 안에 있지는 않다
미국 의료정보 보호법을 뜻하는 HIPAA라는 이름 때문에 생기는 오해가 있습니다. 흰 가운 아이콘이 있고 처방전이 오가면 앱 안의 모든 정보가 자동으로 HIPAA 보호를 받을 것 같지만, 법은 화면 모양이 아니라 주체와 관계를 봅니다.
HIPAA는 의료보험자, 일정한 전자거래를 하는 의료기관, 의료정보 교환기관과 이들의 업무수탁자 등에 적용됩니다. 개인이 직접 선택한 건강 앱이 이 범주에 들어가지 않으면, 의료기관에서 받은 정보도 앱에 전달된 뒤 HIPAA의 보호 범위 밖으로 나갈 수 있다고 미국 보건복지부(HHS)는 설명합니다.
Hims의 2026년 3월 26일자 개인정보 처리방침도 이 층을 나눕니다. Hims & Hers 자체는 HIPAA의 ‘적용 대상 기관’이 아니며, 제휴 의료그룹·검사기관·약국은 적용 대상이거나 아닐 수 있다고 적혀 있습니다. 진단·치료에만 쓰이지 않는 계정, 거래, 사이트 이용 정보는 별도의 개인정보 처리방침과 주법에 따른다고 설명합니다. 같은 앱 안에서도 의료진의 진료기록과 플랫폼의 회원·마케팅 데이터가 다른 규칙 아래 놓일 수 있다는 뜻입니다.
한국에서는 기준이 다릅니다. 개인정보 보호법 제23조는 건강과 성생활에 관한 정보를 민감정보로 분류하고, 법령상 근거가 없다면 다른 개인정보 동의와 별도의 동의를 요구합니다. 그렇다고 이번 미국 소송만으로 국내 온라인 진료 앱의 위법 여부를 판단할 수는 없습니다. 다만 ‘진료용 정보’라는 한 덩어리 이름 아래 실제 처리 주체와 목적이 여러 개일 수 있다는 질문은 그대로 남습니다.
같은 앱 안에서 정보는 네 가지 신분으로 갈라진다
이용자에게는 전부 ‘내 건강정보’지만, 서비스 뒤에서는 정보의 신분이 달라질 수 있습니다. Hims의 현행 개인정보 처리방침은 회사 자체가 HIPAA 적용 대상 의료기관은 아니며, 제휴 의료그룹·검사기관·약국의 적용 여부와 회사가 업무수탁자로 일하는 범위가 각각 다를 수 있다고 밝힙니다. 계정 가입을 위해 낸 이름·이메일·주소 등은 진단과 치료에만 쓰이는 보호정보와 구분한다고도 적습니다.
| 정보의 신분 | 대표 예 | 주로 필요한 목적 | 탈퇴 때 생기는 차이 |
|---|---|---|---|
| 진료기록 | 병력, 의료진 메시지, 진단·처방 정보 | 진료와 약 조제, 의료 분쟁 대응 | 관련 법령의 보관 의무 때문에 즉시 전부 삭제되지 않을 수 있음 |
| 플랫폼 계정·거래정보 | 로그인, 배송지, 결제·환불 내역, 고객센터 기록 | 계정 운영, 배송, 정산, 부정 이용 방지 | 계정은 닫혀도 세금·분쟁 대응에 필요한 일부 거래기록은 남을 수 있음 |
| 이용 분석정보 | 방문 페이지, 클릭, 기기·쿠키 식별자 | 오류 분석, 서비스 개선, 이용 흐름 측정 | 쿠키 삭제와 계정 탈퇴가 별도이고, 기기·브라우저마다 선택을 다시 해야 할 수 있음 |
| 광고용 프로필 | 광고 관심사, 잠재고객 분류, 광고 성과 이벤트 | 맞춤형 광고, 비슷한 이용자 찾기, 캠페인 측정 | 광고 거부는 대개 앞으로의 이용을 제한하며 이미 공유된 정보의 회수를 뜻하지 않음 |
이 표의 구분은 모든 앱에 똑같은 법적 분류를 붙인 것이 아닙니다. 서비스마다 계약 구조와 적용 법이 다릅니다. 하지만 이용자가 요청해야 할 창구를 찾는 지도는 됩니다. ‘내 계정을 삭제해 주세요’ 한 문장으로는 의료그룹의 진료기록, 플랫폼의 거래기록, 분석업체의 식별자, 광고 파트너의 프로필이 한꺼번에 지워지지 않을 수 있습니다.
미국에서도 HIPAA 밖이면 아무 법도 없는 것은 아닙니다. FTC법은 회사가 내건 개인정보 약속과 실제 관행이 일치하는지 볼 수 있고, 일정한 개인건강기록 서비스에는 FTC의 건강정보 유출 통지 규칙이 적용될 수 있습니다. 이 규칙에서 ‘유출’은 해킹만 뜻하지 않고 회사가 식별 가능한 건강정보를 허가 없이 공개한 경우도 포함할 수 있다고 FTC와 HHS는 안내합니다.
한국 이용자에게도 ‘탈퇴’와 ‘삭제’는 같은 말이 아닙니다. 개인정보 보호법에는 자신의 개인정보 열람, 정정·삭제, 처리정지와 동의 철회를 요구할 수 있는 권리가 규정돼 있습니다. 다만 다른 법령이 보관을 요구하는 정보 등에는 예외가 있습니다. 따라서 삭제가 어렵다는 답을 받았다면 전체를 한 덩어리로 포기하기보다, 무슨 항목을 어떤 근거로 언제까지 보관하고 마케팅 이용은 즉시 멈추는지 나눠서 답해 달라고 요청하는 편이 정확합니다.
Hims만의 낯선 사고가 아니다
이 사건을 처음 보는 뉴스처럼 넘기기 어려운 이유는 앞선 사례가 있기 때문입니다.
| 사건 | FTC가 문제 삼은 데이터 흐름 | 결과 또는 현재 위치 |
|---|---|---|
| GoodRx, 2023 | 처방·건강 상태 등 개인 건강정보를 Facebook·Google 등에 공개하고 이용자에게 알리지 않았다는 혐의 | 광고 목적 건강정보 제공 금지, 150만달러 민사벌금 합의 |
| BetterHelp, 2023 | 이메일·IP 주소·정신건강 설문 정보를 Facebook·Snapchat 등에 광고 목적으로 제공했다는 혐의 | 광고 목적 제공 금지, 이용자 환급용 780만달러 지급 명령 확정 |
| Premom, 2023 | 배란·생리·임신 관련 정보와 식별자를 SDK를 통해 Google·분석업체 등에 제공했다는 혐의 | 광고 목적 제공 금지와 명시적 동의 의무를 담은 법원 명령 |
| Hims & Hers, 2026 | 고객 목록과 웹 이벤트를 Meta·Snap 등 광고 플랫폼에 제공하고, 결제·해지도 오인시켰다는 혐의 | 2026년 7월 31일 현재 소송 제기 단계 |
공통점은 해커가 서버를 뚫었다는 이야기가 아니라는 데 있습니다. 티빙 개인정보 유출 사건이 외부 침입 뒤의 대응을 묻는다면, 이 사건들은 회사가 평소 성장과 광고 측정을 위해 만든 통로를 묻습니다. 보안이 뚫리지 않아도 개인정보는 원래 설계된 길로 너무 멀리 갈 수 있습니다.
지금 확정된 사실과 아직 다투는 주장을 나눠야 한다
새로운 소송을 읽을 때 가장 쉽게 커지는 오류는 소장에 적힌 문장을 판결문처럼 옮기는 것입니다. 2026년 7월 31일 기준으로는 아래처럼 선을 그을 수 있습니다.
| 구분 | 현재 말할 수 있는 범위 |
|---|---|
| 확인된 절차 | FTC·유타주·캘리포니아주 측이 2026년 7월 29일 연방법원에 소장을 제출했고 사건이 시작됨 |
| 회사가 직접 공시한 내용 | 2023년 FTC 자료 요구, 2026년 4월 조사 결과 통보, 합의 논의와 회사의 방어 입장, 1,500만달러 회계상 충당금 |
| 원고 측 주장 | 문진 직후 결제·구독, 불명확한 갱신일, 복잡한 해지, 고객 목록과 추적 이벤트를 통한 건강정보 공유 |
| 공개본으로 확인하기 어려운 부분 | 정확히 어떤 고객의 어떤 데이터 항목이 어느 플랫폼에 언제·얼마나 전송됐는지 |
| 아직 없는 판단 | 법원의 사실 인정, 위법 여부, 손해액, 최종 금지명령이나 합의 조건 |
| 이 사건만으로 말할 수 없는 것 | Hims 이용자의 진료차트 전체가 광고사로 넘어갔다는 결론, 한국 온라인 진료 앱의 위법 여부 |
회사 분기보고서의 충당금도 유죄나 합의금 확정액이 아닙니다. 기업 회계에서 예상 가능한 손실을 반영한 수치이고 변할 수 있습니다. 소장의 상세한 화면 묘사는 중요한 증거 주장일 수 있지만, 피고의 답변과 증거개시, 재판 또는 합의를 거치기 전에는 반박 가능성이 열려 있습니다.
이 구분은 Hims를 두둔하기 위한 장치가 아닙니다. 오히려 비슷한 앱을 평가할 때 더 유용합니다. 한 회사에 대한 과장된 결론보다, 어느 화면에서 동의가 흐려지고 어느 데이터 통로가 광고로 이어질 수 있는지를 정확히 알아야 다른 서비스에도 같은 질문을 던질 수 있기 때문입니다.
가입 전에는 ‘개인정보 처리방침’ 하나만 보면 부족하다
온라인 진료의 편의를 포기하자는 결론은 현실적이지 않습니다. 이동이 어렵거나 대면 진료가 부담스러운 사람에게 온라인 접근은 분명한 가치가 있습니다. 대신 앱을 병원처럼 믿기 전에, 병원과 플랫폼이 어디서 갈라지는지 봐야 합니다.
| 확인할 순간 | 실제로 볼 문서·화면 | 통과 기준 |
|---|---|---|
| 증상을 입력하기 전 | 앱의 개인정보 처리방침과 의료기관의 개인정보·진료정보 고지 | 운영사, 실제 진료기관, 약국이 누구인지 구분되고 각각의 역할이 적혀 있음 |
| 쿠키를 선택할 때 | ‘맞춤형 광고’, ‘판매 또는 공유’, ‘광고 ID’, Meta·Google 등 제3자 목록 | 필수 기능과 광고·분석 추적을 따로 선택할 수 있고, 선택 추적을 거부해도 문진 가능 |
| 카드번호를 넣기 전 | 마지막 버튼 주변의 오늘 결제액, 처방 전 결제 여부, 정기배송 주기 | ‘상담 신청’과 ‘구매·구독 동의’가 별도이며 첫 결제 시점과 금액이 바로 보임 |
| 구독을 시작하기 전 | 다음 리필일과 해지 경로 | 앱 안에서 해지 메뉴를 찾을 수 있고, 다음 결제 전에 알림을 받을 수 있음 |
| 사용을 마친 뒤 | 개인정보 열람·삭제·광고 거부 창구 | 진료기록의 법정 보관분과 마케팅 프로필의 삭제 범위를 나눠 설명함 |
영문 정책이라면 targeted advertising, sell or share, advertising partners, pixel, mobile advertising ID를 검색하면 긴 문서에서 중요한 대목을 빨리 찾을 수 있습니다. Hims의 현행 정책도 일부 주법에서 제3자 제공이 ‘판매’ 또는 ‘공유’로 간주될 수 있다고 밝히고, 광고 거부와 개인정보 삭제 요청 창구를 안내합니다.
다만 쿠키 거부나 휴대폰의 광고 추적 제한은 앞으로의 수집을 줄이는 장치이지, 이미 전달된 데이터를 자동으로 회수하는 버튼은 아닙니다. 탈퇴 전에 처방·결제 내역을 내려받고, 해지 완료 화면과 삭제 요청 접수번호를 남겨두는 편이 좋습니다. ‘회원 탈퇴’, ‘정기구독 해지’, ‘진료기록 보관’, ‘광고용 프로필 삭제’는 서로 다른 일일 수 있습니다.
이미 이용했다면 네 가지 요청을 따로 남긴다
과거에 온라인 진료 앱을 썼다는 이유만으로 곧바로 피해가 발생했다고 볼 수는 없습니다. 다만 앞으로의 결제와 데이터 이용 범위를 줄이고 싶다면, 앱에서 ‘탈퇴’ 한 번 누르는 것보다 요청을 네 갈래로 나누는 편이 낫습니다.
첫째, 정기결제부터 끊습니다. 다음 결제 예정일, 해지 적용일, 남아 있는 배송 주문을 각각 확인하고 완료 화면과 이메일을 보관합니다. 계정 삭제를 먼저 해버리면 주문 내역이나 해지 상태를 확인하기 어려워질 수 있습니다. 결제에 이의가 있다면 신청 화면, 카드 승인 시각, 의료진 메시지, 해지 시도 기록을 시간순으로 남긴 뒤 서비스의 이의제기 절차와 카드사의 분쟁 절차를 확인해야 합니다.
둘째, 개인정보 열람을 요청합니다. ‘내 정보 보여 달라’보다 항목을 나누면 답을 비교하기 쉽습니다.
- 회사가 보유한 계정·거래·이용기록의 항목과 수집 출처
- 진료기록을 보유한 의료기관 또는 의료그룹의 이름과 연락 창구
- 광고·분석 목적으로 제공된 정보의 범주, 제공받은 자, 목적
- 각 정보의 보유기간과 자동 삭제 기준
- 맞춤형 광고·판매 또는 공유 거부가 접수된 날짜와 적용 범위
셋째, 삭제와 처리정지를 분리해 요청합니다. 진료기록처럼 법적 보관 의무가 있을 수 있는 정보는 보관 근거와 만료일을 물어보고, 그와 별개로 광고·분석 이용과 선택적 제3자 제공은 중단해 달라고 적습니다. 서비스가 일부 삭제를 거절한다면 ‘삭제 불가’ 한 줄이 아니라 해당 항목, 법적 근거, 보관기간, 이의제기 방법을 요청합니다.
넷째, 기기 쪽 추적 설정도 정리합니다. 웹의 쿠키 선택, 앱 권한, iOS·안드로이드의 광고 추적 설정은 서로 별개입니다. Hims의 현행 정책도 맞춤형 광고 거부 선택이 기기와 브라우저별로 적용될 수 있고, 이미 판매·공유된 정보까지 되돌리거나 모든 관심 기반 광고를 멈추지는 않는다고 설명합니다. 휴대폰 한 대에서 거부했다고 PC 브라우저와 태블릿까지 자동 적용된다고 생각하면 안 됩니다.
요청 문장은 길 필요가 없습니다. “계정 해지”가 아니라 “정기구독 해지 완료일, 보유 개인정보 열람, 광고 목적 처리정지, 삭제 가능한 정보의 삭제, 보관이 필요한 정보의 근거와 만료일을 각각 알려 달라”고 쓰면 됩니다. 답변과 접수번호를 한 폴더에 모아두면 이후 서비스 문의나 권리 행사 때 같은 설명을 반복하지 않아도 됩니다.
나는 이 소장을 읽으며 온라인 진료 앱의 가장 큰 위험이 작은 글씨에만 있다고 생각하지 않게 됐습니다. 더 어려운 문제는 큰 글씨가 주는 인상입니다. ‘비공개’, ‘안전’, ‘의료진 검토’라는 문구가 보이면 우리는 그 화면 전체를 병원으로 받아들입니다. 하지만 화면 뒤의 회사는 동시에 진료 연결자, 약 판매자, 구독 사업자, 광고주일 수 있습니다.
온라인 진료 앱을 고를 때 의사의 자격과 약의 가격만 확인해서는 계산이 끝나지 않습니다. 내가 환자로 입력한 정보가 어느 순간 고객 데이터와 광고 이벤트로 이름을 바꾸는지, 그 경계를 보여주는 앱인지까지 봐야 합니다.
참고 자료
- 미국 연방거래위원회(FTC). FTC and States Act Against Hims & Hers for Deceptive and Unlawful Privacy Practices (소송 개요·세 가지 혐의·판결 전 단계 고지). 2026-07-29. 2026-07-31 확인. 자료 보기
- 미국 연방거래위원회(FTC). Complaint for Permanent Injunction, Monetary Judgment, Civil Penalty Judgment, and Other Relief (사건번호 3:26-cv-07871, 문진·결제·해지·픽셀 관련 주장). 2026-07-29. 2026-07-31 확인. 자료 보기
- Hims & Hers. Privacy Policy (HIPAA 적용 주체 구분·자동 수집·광고 파트너·거부 및 삭제 창구). 2026-03-26. 2026-07-31 확인. 자료 보기
- 미국 증권거래위원회(SEC). Hims & Hers 2026년 1분기 Form 10-Q (FTC 조사 결과 통보·합의 논의·회사 방어 입장·1,500만달러 충당금 공시). 2026-05-11. 2026-07-31 확인. 자료 보기
- 미국 보건복지부(HHS). The access right, health apps, & APIs (건강 앱과 HIPAA 적용 관계). 2025-05-30 검토. 2026-07-31 확인. 자료 보기
- 미국 FTC·HHS. Collecting, Using, or Sharing Consumer Health Information? (HIPAA·FTC법·Health Breach Notification Rule의 적용 구분과 건강정보의 넓은 범위). 2026-07-31 확인. 자료 보기
- 미국 연방거래위원회(FTC). GoodRx 광고 목적 건강정보 공유 금지 및 150만달러 합의. 2023-02-01. 2026-07-31 확인. 자료 보기
- 미국 연방거래위원회(FTC). BetterHelp 건강정보 광고 제공 금지 및 780만달러 지급 명령. 2023-07-14. 2026-07-31 확인. 자료 보기
- 미국 증권거래위원회(SEC). Hims & Hers 2025 Form 10-K (2023년 10월 FTC 자료요구와 조사 범위 공시). 2026-02-23. 2026-07-31 확인. 자료 보기
- 미국 연방거래위원회(FTC). Easy Healthcare Corporation, U.S. v. (Premom 건강정보·SDK 사건과 2023년 6월 법원 명령). 2023-06-26. 2026-07-31 확인. 자료 보기
- 국가법령정보센터. 개인정보 보호법 (제23조 민감정보, 제35조 열람, 제36조 정정·삭제, 제37조 처리정지와 동의 철회). 2026-07-31 확인. 자료 보기