hrv.expert

웨어러블 데이터 권리: 전체 사본 받는 법

심박수, 수면, 심박변이도(HRV) 기록은 개인정보입니다. EU, 영국, 캘리포니아와 그 밖의 여러 곳에서는 법에 따라 정해진 기한 안에 회사에 사본을 요청할 수 있고, 그중 대부분에서는 무료입니다. EU에서는 그 사본에 요약이 아니라 회사가 처리하는 개인정보 전체가 들어 있어야 합니다. 결제를 중단한 뒤 앱이 무엇을 보관하는지는 각 회사가 정합니다. 밝히는 내용이 적은 곳도 있고, 쓰지 않은 계정을 이삼 년 뒤에 삭제하는 곳도 있습니다. 정기적으로 내보내고, 내보내기에 빠진 데이터가 있으면 전체 사본을 요청하고, 파일은 개방형 형식으로 보관하세요.

중급 글: HRV Expert 편집팀 편집: Sabir Shaykhlislamov 업데이트 13분 분량

목차 7개 섹션

핵심 정리

  • WHOOP 고객센터는 해지한 뒤에도 과거 데이터를 볼 수 있다고 안내하지만, 이용약관은 콘텐츠를 더는 서비스를 통해 이용할 수 없으며 사본은 요청할 수 있다고 밝힙니다. Oura는 멤버십이 없으면 하루 점수 세 가지만 보여 주지만, 내보내기는 여전히 쓸 수 있습니다.
  • 여러 서비스가 쓰지 않는 계정을 삭제하거나, 삭제할 권리가 있다고 밝힙니다. Garmin은 계정 활동 없이 2년이 지나면(시계 착용은 활동으로 치지 않습니다), Welltory는 3년이 지나면 삭제하고, Samsung은 24개월이 지나면 삭제할 수 있습니다. Withings는 EU 이용약관에 3년, 미국 이용약관에 5년, 개인정보 처리방침에 10년이라고 적었습니다.
  • GDPR에 따라 EU 사람들에게 서비스를 제공하는 모든 회사에 개인정보 사본을 요청할 수 있으며, 회사는 이를 무료로, 한 달 안에 줘야 합니다. EU 사법재판소는 사본에 처리 중인 개인정보가 모두 들어 있어야 한다고 판단하며, 유럽 데이터보호이사회는 요약만으로는 안 된다고 설명합니다.
  • 한계도 분명합니다. 회사가 줄 의무가 있는 것은 요청 시점에 아직 보유한 데이터뿐이고, 휴대폰에만 있는 데이터는 회사가 복사할 수 없으며, 데이터가 아주 많으면 회사는 내가 원하는 내용을 구체적으로 밝혀 달라고 할 수 있습니다. 웨어러블을 다룬 판결은 아직 없습니다.
  • 아카이브는 하나하나 받은 그대로 두고, 체크섬, 날짜가 붙은 폴더, 파일 내용을 적은 메모와 함께 보관하세요. 사본은 최소 세 부를 두고, 그중 한 부는 집 밖에 두세요.

심박수, 수면, 심박변이도(HRV) 기록은 개인정보이며, 많은 곳에서 법에 따라 이를 보유한 회사에 정해진 기한 안에 사본을 요청할 수 있습니다. 대개 무료입니다. EU에서는 그 사본에 요약이 아니라 회사가 처리하는 개인정보 전체가 들어 있어야 합니다. 결제를 중단한 뒤 회사가 무엇을 보관하는지는 별개의 문제입니다. 이는 회사 자체의 약관이 정하며, 쓰지 않은 계정을 이삼 년 뒤에 삭제하는 곳도 있습니다.

이 가이드는 주요 서비스가 데이터에 어떤 일이 생긴다고 밝히는지, 지역마다 법이 무엇을 보장하는지, 사본을 요청하는 방법, 받은 파일을 보관하는 방법을 정리합니다. 각 회사의 이용약관, 개인정보 처리방침, 도움말 페이지와 법률 원문은 2026년 10월 22일에 확인했습니다. 이 가이드는 법에 관한 일반 정보이며, 법률 자문이 아닙니다.

웨어러블 데이터를 보유하는 곳

데이터는 최대 세 곳을 거칩니다.

  • 웨어러블 기기. 링이나 밴드는 휴대폰이 가져가기 전까지 측정값을 저장합니다. RingConn은 Gen 3가 동기화 없이 최대 10일 치 데이터를 저장한다고 밝힙니다(RingConn Support).
  • 휴대폰. 일부 앱은 데이터를 휴대폰에 보관합니다. Apple ‘건강’ 앱은 데이터를 iPhone에 저장하고, iCloud를 쓰면 종단간 암호화해 저장하므로 Apple은 키를 보유하지 않습니다(Apple Support, iCloud data security).
  • 회사 서버. 많은 서비스가 측정값을 업로드하고 서버에서 점수를 계산합니다. WHOOP 고객센터는 세 단계 모두를 멤버십에 묶어 둡니다. 멤버십이 끝나면 WHOOP는 생체 데이터를 더는 수집하지도, 업로드하지도, 분석하지도 않는다고 합니다(WHOOP Support).

개인정보 보호 법률은 이 데이터의 소유자를 정하지 않습니다. 대신 데이터에 대한 권리를 줍니다. EU 일반 개인정보 보호법(GDPR)에서는 데이터를 보고 사본을 받을 권리(15조), 삭제를 요구할 권리(17조), 내가 제공한 데이터를 다른 서비스로 옮길 권리(20조)가 그것입니다. 자기 문서에서 한발 더 나아가는 회사도 있습니다. Ultrahuman의 개인정보 처리방침은 내가 데이터를 소유하고 회사의 데이터 사용을 통제한다고 하고, Samsung의 미국 개인정보 처리방침은 개인정보가 내 것이라고 합니다.

결제를 중단하면 데이터는 어떻게 될까

결제를 중단한 뒤

각 회사의 자체 문서 기준, 2026년 10월 22일·24일

  • WHOOP 앱을 온전히 쓰려면 멤버십 필요

    과거 데이터, 결제 없이
    회사 문서끼리 내용이 다름. 고객센터: 볼 수 있음. 이용약관: 콘텐츠는 “서비스를 통해서는” 더 이상 이용할 수 없으며, 사본을 요청할 수 있습니다.
    내보내기, 결제 없이
    명시 없음. WHOOP는 멤버십이 끝난 뒤에도 앱 안의 내보내기가 되는지 밝히지 않습니다.
    삭제 기한
    명시 없음. 기한은 명시되어 있지 않습니다. 이용약관은 계약이 끝나면 WHOOP가 콘텐츠를 “당사의 운영 데이터베이스에서” 삭제할 수 있다고 합니다.
    사본 요청
    privacy.whoop.com · privacy@whoop.com

  • Oura 앱을 온전히 쓰려면 멤버십 필요

    과거 데이터, 결제 없이
    일부. 매일의 점수 세 가지만 보입니다. ‘준비 상태’, ‘활동’, ‘수면’입니다.
    내보내기, 결제 없이
    예. Membership Hub에서 CSV로, “멤버십이 없어도” 됩니다. API에는 멤버십이 필요합니다.
    삭제 기한
    명시 없음. 계정이 활성 상태인 동안 보관되며, 사용하지 않는 계정에 대한 기한은 없습니다.
    사본 요청
    dataprotection@ouraring.com

  • Garmin Connect 선택 구독

    과거 데이터, 결제 없이
    예. 앱에는 구독이 필요 없습니다. Connect+를 출시할 때 Garmin은 기존 기능과 데이터가 모두 “계속 무료”라고 밝혔습니다.
    내보내기, 결제 없이
    예. 계정 전체를 ZIP으로, Account Management Center에서 받습니다.
    삭제 기한
    예. 계정 활동이 2년간 없으면 삭제됩니다. 시계를 착용하는 것은 활동으로 치지 않습니다.
    사본 요청
    privacy@garmin.com · euprivacy@garmin.com

  • Google Health (Fitbit) 선택 구독

    과거 데이터, 결제 없이
    명시 없음. Google Health Premium은 선택 사항입니다. 종료되어도 코치 데이터는 유지되며, 그 밖에 무엇이 바뀌는지는 Google이 밝히지 않습니다.
    내보내기, 결제 없이
    예. Google Takeout에서 Google Health를 선택합니다.
    삭제 기한
    예. Google 계정으로 옮기지 않은 Fitbit 계정: Google은 삭제를 시작하는 날을 2026년 7월 15일로 정했습니다. 2년간 사용하지 않은 Google 계정은 삭제될 수 있습니다.
    사본 요청
    support.google.com/policies/troubleshooter/7575787

  • Samsung Health 구독 없음

    과거 데이터, 결제 없이
    예. Samsung Health 구독은 없습니다.
    내보내기, 결제 없이
    예. 앱에서 ‘Download personal data’를 선택합니다. Samsung은 파일 목록을 밝히지 않습니다.
    삭제 기한
    예. 24개월간 사용하지 않은 Samsung 계정은 이메일 안내 뒤에 데이터와 함께 삭제될 수 있습니다.
    사본 요청
    samsung.com/request-desk

  • Apple Health 구독 없음

    과거 데이터, 결제 없이
    예. 구독은 없습니다. 건강 데이터는 iPhone에 보관됩니다.
    내보내기, 결제 없이
    예. iPhone에서 ‘Export All Health Data’로 XML 형식으로 내보냅니다.
    삭제 기한
    예. 1년간 사용하지 않은 iCloud 계정은 30일 전에 통지한 뒤 닫힐 수 있습니다.
    사본 요청
    privacy.apple.com

  • Withings 선택 구독

    과거 데이터, 결제 없이
    예. Withings+는 선택 사항이며, 이것이 없어도 기기는 “정상적으로 계속 작동”합니다. Withings는 구독 상태와 관계없이 언제나 내 데이터에 직접 접근할 수 있다고 합니다.
    내보내기, 결제 없이
    예. 앱에서, 이메일로 받는 CSV 아카이브.
    삭제 기한
    회사 문서끼리 내용이 다름. EU 이용약관: 로그인, 기기 사용, Withings 이메일 클릭이 모두 3년간 없으면 삭제됩니다. 미국 이용약관: 5년간 로그인이 없으면 비활성화될 수 있습니다. 개인정보 처리방침: 10년.
    사본 요청
    privacy@withings.com

  • Welltory 선택 구독

    과거 데이터, 결제 없이
    일부. 무료 플랜: 최근 30일. 그보다 오래된 데이터는 먼저 내보내지 않으면 삭제됩니다.
    내보내기, 결제 없이
    예. 같은 로그인으로 웹 앱에서 받는 아카이브.
    삭제 기한
    예. 3년간 활동이 없으면 삭제됩니다.
    사본 요청
    support@welltory.com

  • Polar Flow 선택 구독

    과거 데이터, 결제 없이
    예. Polar Flow는 무료입니다. Fitness Program 구독은 훈련 프로그램을 더할 뿐입니다.
    내보내기, 결제 없이
    예. account.polar.com의 Download your data. Polar가 알고리즘으로 계산한 수면·활동 데이터는 빠집니다. 세션과 RR 간격은 Flow 웹사이트에서 받습니다.
    삭제 기한
    명시 없음. Flow 계정이 활성 상태인 동안 보관되며, 사용하지 않는 계정의 기한은 없습니다.
    사본 요청
    privacy@polar.com

  • Ultrahuman 선택 구독

    과거 데이터, 결제 없이
    예. 링에는 구독이 필요 없습니다. “링과 내 데이터에 평생 접근”할 수 있습니다. PowerPlugs와 Ultrahuman Max는 선택 사항입니다.
    내보내기, 결제 없이
    일부. 다운로드 버튼은 없습니다. 프로그래머라면 개인 API 토큰으로 내 일별 지표를 읽을 수 있습니다. iPhone에서는 Apple ‘건강’ 앱에 사본이 남습니다.
    삭제 기한
    명시 없음. 사용하지 않는 계정의 기한은 없습니다. 계정을 닫으면 데이터가 삭제될 수 있습니다.
    사본 요청
    legal@ultrahuman.com
결제를 중단하거나 계정 사용을 중단했을 때 내 데이터가 어떻게 되는지에 대해 각 회사의 이용약관, 개인정보 처리방침, 고객센터가 하는 설명을 2026년 10월 22일과 24일에 읽고 정리했습니다. ‘명시 없음’은 회사 문서에 그에 관한 설명이 없다는 뜻입니다. 정책은 바뀌므로, 어느 항목이든 믿기 전에 회사의 공식 페이지를 확인하세요.

WHOOP: 고객센터와 이용약관의 엇갈린 설명

WHOOP에는 무료 요금제가 없습니다. 이용약관은 서비스를 쓰려면 활성 멤버십이 필요하다고 하며, 멤버십이 끝나면 밴드의 데이터는 더는 업로드되지 않습니다. 과거 데이터에 대해서는 WHOOP의 문서끼리도 설명이 엇갈립니다.

  • 2026년 10월 22일 자 고객센터 문서는 해지 후에도 과거 데이터를 볼 수 있느냐는 질문에, 볼 수 있지만 해지 후에는 새 데이터가 기록되지 않는다고 답합니다.
  • 2026년 8월 3일 자 이용약관은 멤버십이 끝나면 콘텐츠를 더는 서비스를 통해 이용할 수 없지만 데이터 사본은 요청할 수 있다고 밝힙니다. 또 계약이 끝나면 WHOOP가 관련 콘텐츠를 운영 데이터베이스에서 삭제할 수 있고, 어떤 콘텐츠도 저장할 의무가 없다고도 밝힙니다.

멤버십이 끝난 뒤에도 앱 안의 내보내기 기능이 작동하는지는 WHOOP가 밝히지 않으므로, 끝나기 전에 내보내세요. 내보내는 단계는 WHOOP를 해지하면 내 데이터는 어떻게 될까? 페이지에 있습니다.

Oura: 점수 세 가지, 내보내기는 계속 가능

Oura는 멤버십이 없으면 하루 Oura 점수 세 가지(‘준비 상태’, ‘활동’, ‘수면’)와 배터리, 프로필, 설정만 볼 수 있다고 밝힙니다. 해지해도 데이터는 삭제되지 않으며, 멤버십이 없어도 멤버십 허브(Membership Hub)에서 Oura 데이터 전체를 CSV 형식으로 내보낼 수 있다고 합니다. API를 쓰려면 멤버십이 필요합니다(Oura Member Care). Oura의 개인정보 처리방침은 측정 데이터를 Oura 계정이 활성 상태인 동안에만 보관한다고 합니다. 자세한 내용은 Oura를 해지하면 내 데이터는 어떻게 될까? 페이지에서 다룹니다.

서비스별 페이지

해지하거나 사용을 그만둘 때 데이터가 어떻게 되는지 각 서비스가 밝힌 내용은 아래 페이지에 서비스별로 정리했습니다.

쓰지 않는 계정의 삭제 기한

여러 회사가 쓰지 않는 계정을 삭제하거나, 삭제할 권리가 있다고 밝힙니다. 그런데 ‘쓰지 않는다’는 말이 짐작과 다를 수 있습니다.

  • Garmin: Garmin의 모든 사이트와 서비스에서 Garmin 계정 활동이 최소 2년 동안 없으면 계정이 삭제된다고 합니다. 로그인, 기기에서의 업로드, 구매, Garmin 마케팅 이메일에 대한 반응, 커뮤니티 참여는 활동으로 인정되고, Garmin은 인정되지 않는 것으로 기기 사용을 꼽습니다. 매일 차더라도 한 번도 동기화하지 않은 시계로는 계정이 유지되지 않습니다. Garmin은 먼저 이메일로 여러 번 경고하며, 삭제된 데이터는 복원할 수 없다고 합니다(Garmin Support).
  • Samsung: 24개월 동안 쓰지 않은 계정은 비활성으로 분류됩니다. 이메일 안내 뒤 계정과 관련 데이터의 전부 또는 일부가 삭제될 수 있습니다(Samsung Support).
  • Welltory: 삼 년 동안 활동이 없으면 개인정보가 삭제됩니다. 무료 요금제는 기록이 최근 30일로 제한되며, 먼저 내보내지 않으면 그보다 오래된 데이터는 삭제됩니다(Welltory).
  • Withings: 문서마다 기간이 세 가지로 다릅니다. EU 이용약관은 비활성 계정을 모두 삭제한다고 합니다. 삼 년 넘게 로그인이 없고, Withings 기기에서의 로그인도 없고, Withings 이메일을 한 번도 클릭하지 않은 계정이 해당하며, 삭제 90일 전에 통지합니다. 미국 이용약관은 사용자가 5년 동안 로그인하지 않으면 WITHINGS가 계정을 비활성화할 수 있다고 합니다. 개인정보 처리방침은 같은 종류의 무활동이 10년 이어져야 계정을 비활성으로 보고 삭제한다고 합니다. 세 문서 모두 2026년 10월 24일에 게시되어 있었습니다. 나에게 적용될 수 있는 가장 짧은 기간을 기준으로 삼으세요.
  • Apple: iCloud 약관에 따라 Apple은 일 년 동안 쓰지 않은 계정을 이메일로 30일 전에 통지한 뒤 닫을 수 있고, 그 데이터도 일정 기간이 지나면 삭제할 수 있습니다. 약관은 그 기간을 밝히지 않습니다.
  • Google: Google은 Google 전체에서 최소 이 년 동안 활동이 없으면 비활성 Google 계정과 그 활동 및 데이터를 삭제할 권리가 있다고 밝힙니다(Google Account Help).

서비스 자체가 종료될 때

실제로 서비스가 종료된 사례가 있으며, 종료일은 정해져 있었고 데이터를 옮길 수 있는 기간은 짧았습니다.

  • Fitbit 계정이 Google 계정으로 이전되었습니다. 2026년 5월 19일 이후에는 Fitbit 계정으로 Fitbit에 더는 접근할 수 없습니다. 이전하지 않은 계정에 대해 Google은 2026년 7월 15일부터 데이터 삭제 처리를 시작하기로 정했습니다(Google Health Help).
  • Microsoft Health Dashboard는 Microsoft Band에 쓰이던 서비스입니다. Microsoft는 Microsoft Health Dashboard의 모든 데이터를 2019년 5월 31일에 삭제한다고 공지했습니다. Band 소유자는 웹 기능 없이 밴드를 계속 쓸 수 있었습니다(Microsoft Support).
  • Suunto Movescount는 2022년 1월 10일 이후 종료되었습니다. 그 뒤로는 Movescount를 쓰거나 그곳의 훈련 기록을 가져올 수 없다고 Suunto는 밝혔습니다(Suunto).
  • Endomondo는 2020년 12월 31일에 서비스를 종료했습니다. MapMyRun으로의 이전은 2021년 2월 15일까지 허용되었고, 소유자가 삭제하지 않은 데이터는 2021년 3월 31일 이후 삭제될 예정이었습니다(Endomondo Support, 보관본).
  • Polar의 polarpersonaltrainer.com은 2019년 12월 31일에 종료되었습니다. 제때 데이터를 옮기지 않았다면 이제 삭제되어 복원할 수 없습니다(Polar, Privacy FAQ).

서비스가 종료될 때마다 종료일과 내려받을 수 있는 기간이 주어졌고, 그 뒤에는 데이터가 삭제되거나 더는 옮길 수 없게 되었습니다.

지역별 권리

EU와 유럽경제지역(EEA): GDPR

GDPR은 회사가 어디에 있든, 이용자가 돈을 내든 안 내든 EU의 사람들에게 상품이나 서비스를 제공하는 모든 회사에 적용됩니다(3조 2항). 건강 데이터는 특수 범주의 개인정보에 속합니다(9조).

  • 데이터 사본(15조). 회사가 내 데이터를 처리하는지 확인받고, 사본과 함께 처리 목적, 수령인, 보관 기간, 나에게서 받은 것이 아닌 데이터의 출처를 알려 달라고 할 수 있습니다. 전자적으로 요청하면 달리 요청하지 않는 한 사본은 흔히 쓰는 전자적 형태로 제공됩니다. 수령인의 종류만이 아니라 이름을 알려 달라고 할 수 있으며, 수령인을 식별할 수 없는 경우는 예외입니다(EU 사법재판소, C-154/21).
  • 무료이며 이유가 필요 없습니다. 첫 사본은 무료이고, 회사는 왜 필요한지 물을 수 없습니다(EU 사법재판소, C-307/22). 회사가 거부하거나 비용을 청구할 수 있는 것은 명백히 근거가 없거나 과도한 요청뿐이며, 이는 회사가 입증해야 합니다(12조 5항). 사법재판소는 첫 요청도 과도한 요청이 될 수 있다고 판단했지만, 이는 예외적인 경우에 한하며, 회사는 그 요청이 권리를 남용할 의도로, 예를 들어 손해배상을 청구할 상황을 인위적으로 만들기 위해 이루어졌음을 입증해야 합니다(C-526/24). 회사는 신원에 합리적인 의심이 있으면 본인 확인을 요구할 수 있습니다(12조 6항).
  • 한 달. 회사는 부당한 지체 없이, 어떤 경우에도 요청을 받은 날부터 한 달 안에 답해야 합니다. 요청의 복잡성과 수를 고려해 필요하면 두 달 더 연장할 수 있지만, 첫 한 달 안에 그 사실과 이유를 알려야 합니다(12조 3항).
  • 개인정보 이동권(20조). 내가 제공한 데이터는 구조화되고 흔히 쓰이며 기계가 읽을 수 있는 형식으로 받을 수 있고, 회사가 다른 서비스로 보내게 할 수 있습니다. 처리가 동의나 계약에 근거하고 자동화된 방식으로 이루어지는 경우에 적용됩니다.
  • 진정(77조). 사는 곳, 일하는 곳, 문제가 생긴 곳의 감독기관에 낼 수 있습니다. 유럽 데이터보호이사회(EDPB)가 나라별 감독기관 목록을 제공합니다.

영국

영국 GDPR도 같은 권리를 유지하며, 기관은 부당한 지체 없이, 한 달 안에 답해야 합니다(ICO). 2025년 데이터(이용 및 접근)법이 세 가지를 바꿨습니다.

  • 회사가 합리적이고 비례에 맞는 검색으로 찾은 데이터에 대한 권리가 있으며, 이 규칙은 2024년 1월 1일부터 시행된 것으로 취급됩니다(78조).
  • 2026년 2월 5일부터, 요청이 무엇을 대상으로 하는지 파악하려고 회사가 합리적으로 추가 정보가 필요해 이를 요청하면, 내가 답할 때까지 한 달 기한의 계산이 멈춥니다(76조, 2026년 시행규칙에 따라 이날부터 시행). ICO의 안내는 요청자에게 요청 범위를 좁히라고 강요할 수는 없다고 덧붙입니다.
  • 2026년 6월 19일부터 회사 자체에 불만을 제기할 권리가 있으며, 회사는 30일 안에 접수 사실을 알려야 합니다(103조). 여전히 ICO에 진정을 낼 수도 있는데, ICO는 대부분의 경우 먼저 회사에 문제를 제기하라고 권장합니다.

캘리포니아

캘리포니아 소비자 개인정보보호법(CCPA)은 캘리포니아에서 사업을 하며 세 가지 기준 중 하나를 충족하는 영리 사업체에 적용됩니다. 연 매출 2,500만 달러 초과(물가에 연동해 조정), 소비자 또는 가구 100,000 이상의 개인정보를 구매, 판매, 공유하는 경우, 또는 매출의 절반 이상을 개인정보의 판매나 공유에서 얻는 경우입니다(Civil Code §1798.140).

  • 사업체가 수집한 나에 관한 구체적인 개인정보 항목을 요청할 수 있고(§1798.110), 나에 대해 추론한 내용도 개인정보입니다(§1798.140(v)).
  • 사업체는 45일 안에 답해야 하며, 처음 45일 안에 알리면 합리적으로 필요할 때 한 번 45일 더 연장할 수 있습니다. 답변은 무료이며 기술적으로 가능한 범위에서 기계가 읽을 수 있어야 합니다(§1798.130).
  • 기본적으로 최근 12개월이 대상입니다. 2022년 1월 1일 이후의 데이터까지 거슬러 올라가 요청할 수 있으며, 그것이 불가능하거나 지나친 노력이 든다고 하는 사업체는 그 이유를 자세히 설명해야 합니다(CCPA Regulations §7024(h)).
  • 사업체는 12개월 동안 두 번을 넘는 요청에는 답할 필요가 없습니다(§1798.130(b)).

진정은 캘리포니아 개인정보보호국이나 주 법무장관에게 냅니다. 미국의 다른 주에도 자체 법이 있습니다. 예를 들어 Garmin은 포괄적인 개인정보 보호법이 있는 미국의 어느 주든 그 거주자는 열람, 정정, 삭제, 개인정보 이동을 요청할 수 있다고 밝힙니다(Garmin).

브라질, 일본, 한국, 러시아

지역과 법요청할 수 있는 것기한답이 없을 때
브라질, LGPD열람, 무료(18조). 동의나 계약에 근거한 처리는 ANPD가 정한 조건에 따른 완전한 전자 사본(19조 §3)간단한 답은 즉시, 명확하고 완전한 답변은 요청일로부터 15일 안(19조)데이터 감독기관인 ANPD에 청원
일본, APPI전자적 방식을 포함한 데이터 공개(33조). 합리적인 수수료 가능(38조)“지체 없이”, 일수는 정해져 있지 않음일본 개인정보보호위원회의 문의 창구
한국, 개인정보 보호법개인정보 열람(35조). 개인정보 전송 요구권(35조의2)은 현재 일부 보건 관련 기관, 이동통신사, 에너지 공급자 등 지정된 개인정보처리자에게만 적용되며, 회사가 도출한 데이터는 해당하지 않음10일(시행령 41조). 정당한 사유가 있으면 통지하고 연기 가능(35조)개인정보보호위원회에 신고(62조)
러시아, 152-FZ데이터 자체를 포함한 처리 정보(14조). 전자 사본을 받을 권리나 개인정보 이동권은 찾지 못함영업일 10일, 사유를 밝힌 통지로 최대 5일 연장(20조)권한 있는 개인정보 보호 기관 또는 법원(17조)

러시아 법 조문은 공식 포털에 접속할 수 없어 ConsultantPlus가 공개한 통합본을 썼습니다. 한국에서는 2027년 2월 20일부터 개인정보를 나에게 전송하도록 요구할 권리가 매출액과 이용자 수 기준을 충족하는 대기업에도 적용됩니다(시행령 42조의2).

아래 차트에서 한 달은 30일로 그렸고, 러시아의 영업일은 공휴일을 빼고 일주일에 닷새로 그렸습니다. 그래서 영업일 10일은 달력으로 14일, 영업일 15일은 21일로 표시됩니다.

내 데이터를 요청받은 회사가 답변해야 하는 기간으로, 요청을 받은 날부터 세며, 법이 허용하는 가장 긴 연장도 함께 보여 줍니다. 한 달은 30일로 그렸습니다. 영국에서는 회사가 요청 범위를 묻는 동안 기간이 멈춥니다. 러시아는 영업일로 세는데, 여기서는 공휴일을 빼고 한 주를 5일로 그렸으므로 영업일 10일은 달력일 14일로, 15일은 21일로 보입니다. 한국에서는 정당한 사유가 있으면 회사가 답변을 미룰 수 있고 정해진 한도가 없으므로 연장은 그리지 않았습니다. 일본 법은 “지체 없이”라고만 하고 일수를 정하지 않습니다.

사본은 앱의 요약이 아니라 내 데이터 전체

앱이 분 단위 심박수를 몇 년 전 것까지 보여 주고, 그 데이터를 회사 서버에서 가져온다면 회사가 그 데이터를 보유하고 처리하는 것입니다. 우리는 GDPR에 따라 요청하는 사본에 하루 평균이 아니라 그 상세 수준의 데이터가 들어 있어야 한다고 해석합니다. 이 해석을 뒷받침하는 근거는 세 가지입니다.

  • EU 사법재판소. 사본은 원본의 충실한 재현이나 전사이므로, 데이터에 대한 순전히 일반적인 설명은 사본으로 인정되지 않습니다. 따라서 사본에는 처리 중인 개인정보가 모두 들어 있어야 하며(C-487/21, 21항과 32항), 그 데이터를 온전하고 충실하게 재현해야 합니다(39항). 개인정보에는 처리 결과로 나온 모든 정보가 포함되며(26항), 같은 논리로 보면 측정값에서 계산한 점수도 여기에 해당합니다.
  • 요약된 건강 데이터. 진료 기록을 다룬 사건에서 재판소는 데이터의 단순한 요약이나 집계 형태의 편집본을 주면 일부 관련 데이터가 빠지거나 잘못 재현될 위험이 생길 수 있다고 했습니다(C-307/22, 78항).
  • 유럽 데이터보호이사회. 열람권은 데이터의 요약만 주는 것으로 이해될 수 없습니다(Guidelines 01/2022, 23항). 여기에는 연결된 기기의 원시 데이터와 건강 평가 결과가 포함됩니다(97항). 또 셀프서비스 도구를 쓴다고 해서 받는 개인정보의 범위가 제한되는 일은 결코 없어야 합니다(138항). 내보내기 버튼이 전체 사본을 대신하지는 않습니다.

Oura의 개발자 문서를 보면 이것이 왜 중요한지 알 수 있습니다. 문서는 하룻밤 평균 심박수가 30초 샘플을 바탕으로 한다고 하면서, 앱은 집계된 5분 심박수 샘플의 평균을 보여 준다고 합니다(Oura API). 회사는 앱이 보여 주는 것보다 더 세밀한 데이터로 작업하며, 이 해석에 따르면 전체 사본에는 그 데이터 가운데 Oura가 아직 보유한 부분이 무엇이든 들어 있어야 합니다. Oura는 30초 데이터를 얼마나 오래 보관하는지 밝히지 않습니다.

웨어러블 기기의 데이터는 세 곳에 있을 수 있습니다. 회사 서버에서는 세밀한 샘플부터 앱에 보이는 점수까지 층을 이룹니다. 내보내기 버튼은 제조사가 고른 항목을 줍니다. GDPR 15조에 따른 사본은 점수를 포함해 회사가 보유한 모든 개인 데이터를 포함합니다. 20조의 개인정보 이동권은 심박 데이터를 비롯해 내가 제공한 데이터에 미치지만 점수에는 미치지 않습니다. 눈금은 상세한 정도를 보여 줄 뿐 실제 개수가 아닙니다.

이 논거의 한계

  • 웨어러블을 다룬 판결은 아직 없습니다. C-487/21은 신용정보 회사, C-307/22는 치과의사에 관한 사건이었습니다. 이를 링이나 시계에 적용하는 것은 판결이 아니라 유추에 따른 논거이며, 회사나 감독기관은 다르게 볼 수 있습니다.
  • 회사가 아직 보유한 데이터만 해당합니다. 보관 기간이 지난 경우처럼 회사가 더는 갖고 있지 않은 데이터는 제공할 필요가 없습니다. 다만 요청을 피하려고 데이터를 삭제해서는 안 됩니다(EDPB, 37항과 39항).
  • 회사가 처리하는 데이터만 해당합니다. Apple ‘건강’ 앱처럼 세부 데이터가 휴대폰에만 있다면 회사 쪽에는 복사할 것이 없습니다. 그때는 휴대폰에서 내보내세요.
  • 대규모 요청. 회사가 나에 관한 데이터를 많이 보유하고 있으면, 사본을 주기 전에 요청이 어떤 정보나 처리에 관한 것인지 구체적으로 밝혀 달라고 요청할 수 있습니다(GDPR 전문 63). EDPB는 정보주체의 잦은 활동에 관한 데이터를 오랜 기간 수집하는 회사를 예로 듭니다(35항). 요청서에 데이터와 날짜를 적으면 이렇게 주고받는 절차를 피할 수 있습니다.
  • 형식. 15조는 흔히 쓰는 전자적 형태를 요구하며, EDPB는 열람에는 PDF도 충분할 수 있다고 봅니다(156항). 기계가 읽을 수 있는 파일은 20조의 권리이며, 웨어러블 기기가 추적한 심장 박동처럼 내가 제공한 데이터에는 적용되지만 회사가 추론한 점수에는 적용되지 않습니다. 이런 데이터에 대해 업계에서 흔히 쓰는 형식이 없다면, 제29조 작업반은 XML, JSON, CSV 같은 개방형 형식을 가능한 가장 세밀한 수준으로 제공하라고 요청했습니다(WP242).
  • 영업 비밀. 회사는 알고리즘을 보호할 수 있지만, 그 고려의 결과가 모든 정보의 제공을 거부하는 것이어서는 안 됩니다(GDPR 전문 63).
  • EU 밖. 영국은 검색 범위를 합리적이고 비례에 맞는 수준으로 제한합니다. 캘리포니아는 기본적으로 12개월 동안의 구체적인 개인정보 항목을 대상으로 하고, 사업체는 12개월 동안 두 번을 넘는 요청에는 답할 필요가 없습니다.

사본을 요청하는 방법

회사의 개인정보 처리방침에 있는 주소로 보내거나 회사의 개인정보 관련 요청 양식을 쓰고, 보낸 내용은 날짜가 보이게 사본을 보관하세요. 위의 그림에 서비스 열 곳의 주소가 있습니다. 이 사이트의 데이터 요청 편지 작성기가 아래 항목을 편지로 만들어 줍니다.

그다음에는 이렇게 하세요.

  1. 기한을 적어 두세요. EU와 영국은 한 달, 캘리포니아는 45일입니다. 회사가 요청을 받은 날부터 세고, 영국에서는 신원 확인에 필요한 것을 회사가 확보한 날부터 세세요.
  2. 신원 확인에 바로 답하세요. 회사가 본인임을 확인해 달라고 할 수 있고, 그동안 기한이 멈출 수 있습니다.
  3. 받은 것을 목록과 대조하세요. 빠진 데이터 종류나 기간이 있으면 다시 연락해 빠진 항목을 하나하나 적으세요.
  4. 기한이 지나도 답이 없으면 첫 요청과 그 날짜를 인용한 재요청서를 보내세요. 그다음 EU에서는 개인정보 감독기관에 진정을 내세요. 영국에서는 ICO의 권장대로 먼저 회사에, 그다음 ICO에 내세요. 캘리포니아에서는 캘리포니아 개인정보보호국이나 주 법무장관에게 내세요.

받는 파일과 여는 방법

대부분의 회사는 이메일 링크나 개인정보 포털로 ZIP 아카이브를 보냅니다. 링크가 만료되기 전에 내려받으세요. WHOOP의 내보내기 링크는 7일 뒤에 만료됩니다(WHOOP Support).

  • CSV: 어떤 스프레드시트 프로그램에서든 열리는 표입니다. 단위를 확인하세요. Oura는 지속 시간을 초 단위로 줍니다.
  • JSON: 구조화된 텍스트이며 텍스트 편집기나 브라우저에서 읽을 수 있습니다.
  • FIT: 활동과 일일 웰니스 파일에 쓰는 Garmin의 이진 형식입니다. Garmin의 FIT SDK 도구에 든 FitCSVTool은 이진 FIT 파일을 읽을 수 있는 텍스트 파일로 바꾸는 명령줄 도구입니다(Garmin Developers). 이 도구에는 Garmin의 FIT Protocol License가 적용됩니다.
  • XML: Apple ‘건강’ 앱의 내보내기 형식입니다. 주 파일인 export.xml은 매우 클 수 있습니다.

각 플랫폼의 내보내기에 무엇이 들어 있는지는 HRV 데이터 내보내기: 기기별 방법 페이지가 설명하며, RR 변환기는 박동 간 간격이 든 파일을 업로드 없이 브라우저에서 단순한 목록으로 바꿔 줍니다.

아카이브를 계속 쓸 수 있게 보관하는 방법

  1. 원본은 건드리지 마세요. 아카이브를 받은 그대로 2026-10-22_whoop_export.zip처럼 날짜와 서비스 이름을 붙여 저장하고, 작업은 사본으로만 하세요.
  2. 체크섬을 옆에 기록하세요. 예를 들어 shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256 명령을 쓰고, 가끔 확인하세요. 체크섬은 파일이 바뀌었는지 보여 줍니다(NDSA, fixity guidance).
  3. 작업용 사본은 개방형 형식으로 두세요. 압축을 풀고, FIT 파일은 CSV로 바꾸고, CSV, JSON, XML은 받은 그대로 두세요.
  4. 내보내기마다 날짜별 폴더 하나를 쓰세요.
폴더 또는 파일넣을 것
health-data/whoop/2026-10-22/서비스와 날짜별 내보내기 하나
original/받은 그대로의 아카이브와 .sha256 파일
extracted/압축을 푼 파일과 변환한 파일
README.txt파일이 무엇인지
  1. 폴더마다 README를 쓰세요. 기기와 앱 버전, 단위, 숫자가 어떤 HRV 지표인지(WHOOP는 RMSSD RMSSD 연속한 NN 간격 차이의 제곱평균제곱근. 심장 박동 간격이 다음 간격과 얼마나 다른지를 밀리초 단위로 나타내는 심박변이도(HRV) 지표이며, 주로 미주신경 활동을 반영합니다. RMSSD 더 알아보기 , Apple은 SDNN SDNN 기록에 들어 있는 모든 NN 간격의 표준편차로, 단위는 ms입니다. 전반적인 변동을 나타내며, 값이 기록 시간의 길이에 크게 좌우됩니다. SDNN 더 알아보기 ), 시간대를 적으세요(WHOOP Support, Apple Health). 이 메모가 없으면 서로 다른 서비스의 값을 비교할 수 없습니다.
  2. 세 부를 백업하세요. 중요한 파일은 원본 1부와 백업 2부, 총 3부를 두 종류의 저장 매체에 나눠 두고 한 부는 집 밖에 두라는 권고가 있습니다(US-CERT, Data Backup Options).
  3. 백업을 암호화하세요. 이 파일은 건강 데이터입니다.
  4. 정기적으로 내보내세요. 서비스를 떠날 때만이 아니라 몇 달마다 내보내세요. 삭제 기한, 서비스 종료, 링크 만료가 닥치면 남는 것은 이미 만들어 둔 사본뿐입니다.

이 페이지는 개인정보 보호 법률에 관한 일반 정보이며, 법률 자문이 아닙니다.

자주 묻는 질문

웨어러블 데이터는 내 것인가요?

개인정보 보호 법률은 소유권을 정하지 않고, 대신 개인정보에 대한 권리를 줍니다. GDPR에 따라 사본을 받을 수 있고, 내가 제공한 데이터를 다른 서비스로 옮길 수 있으며, 삭제를 요청할 수 있습니다. 아예 분명하게 밝히는 회사도 있습니다. Ultrahuman의 개인정보 처리방침은 데이터를 내가 소유한다고 하고, Samsung의 미국 개인정보 처리방침은 개인정보가 내 것이라고 합니다.

구독료를 더 내지 않는다는 이유로 회사가 요청을 거부할 수 있나요?

GDPR에서는 거부할 수 없습니다. 열람권은 구독 여부와 무관하고, 첫 사본은 무료이며, 회사는 이유를 물을 수 없습니다. 다만 회사는 아직 보유한 데이터만 줄 수 있으므로, 계정이 삭제되기 전에 요청하세요.

하루 평균이 아니라 분 단위 심박수를 요청할 수 있나요?

GDPR에 따라 회사가 처리하는 개인정보 전체의 사본을 회사가 보유한 상세 수준 그대로 요청할 수 있습니다. EU 사법재판소는 사본이 데이터를 온전하고 충실하게 재현해야 한다고 판단합니다. 요청서에 앱에서 보이는 데이터와 상세 수준을 적으세요. 웨어러블을 다룬 판결은 아직 없으므로, 확정된 규칙이 아니라 유추에 따른 논거로 보세요.

회사는 얼마 안에 답해야 하나요?

EU와 영국은 한 달이며, 요청이 복잡하거나 많아서 필요하면 두 달 더 연장할 수 있습니다. 캘리포니아는 45일이며, 합리적으로 필요하면 한 번 45일 더 연장할 수 있습니다. 브라질은 명확하고 완전한 답변을 15일 안에 줘야 합니다. 한국은 10일이며, 회사는 정당한 사유가 있으면 이를 연기할 수 있습니다. 러시아는 영업일 기준 10일이고, 사유를 밝혀 통지하면 최대 5일 더 연장할 수 있습니다. 일본 법은 ‘지체 없이’라고 정합니다.

회사가 답하지 않으면 어떻게 하나요?

첫 요청과 그 날짜를 인용한 재요청서를 보내세요. 그다음 EU에서는 자국의 개인정보 감독기관에 진정을 낼 수 있습니다. 영국에서는 ICO가 먼저 회사에 문제를 제기한 다음 ICO에 진정을 내라고 권장합니다. 캘리포니아에서는 캘리포니아 개인정보보호국이나 주 법무장관에게 낼 수 있습니다.

출처

  1. Canceling Your Membership WHOOP Support, 2026
  2. WHOOP Terms of Use WHOOP, 2026
  3. WHOOP Privacy Policy WHOOP, 2026
  4. How to Export Your Data WHOOP Support
  5. Apple Health Integration WHOOP Support, 2026
  6. Oura Membership Oura Member Care, 2026
  7. ŌURA Health Privacy Policy Oura, 2026
  8. Oura API V2 (OpenAPI schema 1.42) Oura developer documentation
  9. Inactive Account Deletion Garmin Support
  10. How Do I Export Data Out of Garmin Connect? Garmin Support
  11. Garmin Connect+ Subscription (Forerunner 570 owner's manual) Garmin, 2026
  12. Your Data Protection Rights Garmin, 2023
  13. How to move your Fitbit Account to a Google Account Google Health Help
  14. Cancel your Google Health Premium subscription Google Health Help
  15. Inactive Google Account Policy Google Account Help
  16. Frequently asked questions about Samsung accounts Samsung Support
  17. Privacy Policy (Samsung US) Samsung, 2026
  18. Legal: iCloud terms and conditions Apple, 2026
  19. iCloud data security overview Apple Support, 2026
  20. Share your data in Health on iPhone Apple iPhone User Guide
  21. Terms of service (EU), General Terms of Use of 13 October 2026 Withings, 2026
  22. Terms of service (US), General Terms of Use of 13 October 2026 Withings, 2026
  23. Privacy policy (October 2026 version) Withings, 2026
  24. Withings+ - Canceling your Subscription Withings Support
  25. Welltory subscription: which one to choose, how to cancel or get a refund, and how to delete your data Welltory Help Center
  26. Privacy Policy - Welltory Welltory, 2026
  27. Welltory web app: key questions & answers Welltory Help Center
  28. Ultrahuman Privacy Policy Ultrahuman, 2026
  29. RingConn Gen 3 FAQ RingConn Support
  30. Privacy FAQ Polar, 2026
  31. How to download all your data from the Polar ecosystem Polar Support
  32. End of support for the Microsoft Health Dashboard applications and services: FAQ Microsoft Support
  33. Stay connected: transfer from Suunto Movescount to Suunto app Suunto, 2021
  34. Endomondo Is Retired (archived 9 May 2021) Endomondo Support, 2021
  35. Regulation (EU) 2016/679 (General Data Protection Regulation) Official Journal of the European Union, 2016
  36. Judgment of 4 May 2023, Österreichische Datenschutzbehörde and CRIF, C-487/21, EU:C:2023:369 Court of Justice of the European Union, 2023
  37. Judgment of 26 October 2023, FT v DW, C-307/22, EU:C:2023:811 Court of Justice of the European Union, 2023
  38. Judgment of 19 March 2026, Brillen Rottler v TC, C-526/24, EU:C:2026:216 (read 23 October 2026) Court of Justice of the European Union, 2026
  39. Judgment of 12 January 2023, RW v Österreichische Post, C-154/21, EU:C:2023:3 Court of Justice of the European Union, 2023
  40. Guidelines 01/2022 on data subject rights: Right of access, version 2.1 European Data Protection Board, 2024
  41. Guidelines on the right to data portability (WP242 rev.01) Article 29 Working Party, endorsed by the European Data Protection Board, 2017
  42. File a complaint European Data Protection Board
  43. A guide to subject access Information Commissioner's Office (UK), 2026
  44. Getting copies of your information (SAR) Information Commissioner's Office (UK)
  45. Make a complaint about how an organisation has used your personal information Information Commissioner's Office (UK)
  46. Data (Use and Access) Act 2025, section 76 legislation.gov.uk, 2025
  47. Data (Use and Access) Act 2025, section 78 legislation.gov.uk, 2025
  48. Data (Use and Access) Act 2025, section 103 legislation.gov.uk, 2025
  49. The Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026 legislation.gov.uk, 2026
  50. California Consumer Privacy Act of 2018 (statute, effective 1 January 2026) California Privacy Protection Agency, 2026
  51. CCPA Regulations (effective 1 January 2026) California Privacy Protection Agency, 2026
  52. Complaint Form California Privacy Protection Agency
  53. California Consumer Privacy Act (CCPA) State of California Department of Justice
  54. Lei nº 13.709, de 14 de agosto de 2018 (LGPD) Presidência da República (Brazil), 2018
  55. Act on the Protection of Personal Information (Act No. 57 of 2003) Japanese Law Translation, Ministry of Justice
  56. Personal Information Protection Commission, Japan Personal Information Protection Commission
  57. 개인정보 보호법 (Personal Information Protection Act) 국가법령정보센터 (Korea Ministry of Government Legislation), 2026
  58. 개인정보 보호법 시행령 (Enforcement Decree of the Personal Information Protection Act) 국가법령정보센터 (Korea Ministry of Government Legislation), 2026
  59. Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ КонсультантПлюс (consolidated text)
  60. FIT SDK Garmin Developers
  61. FIT SDK Tools (FitCSVTool and licence) Garmin
  62. Checking Your Digital Content: What is Fixity, and When Should I be Checking It? National Digital Stewardship Alliance, 2014
  63. Data Backup Options US-CERT (CISA), 2012

브랜드별

비교

더 많은 가이드