إجابة مختصرة: البرامج التي تتعامل مع بيانات صحية تخضع لأربع عائلات من القواعد دفعة واحدة. حماية البيانات تحدد ما يمكنك فعله ببيانات الصحة الشخصية: المادة 9 من اللائحة العامة لحماية البيانات (GDPR) في الاتحاد الأوروبي، وقانون HIPAA ومجموعة من قوانين الولايات في الولايات المتحدة. قواعد النظام الصحي تحدد كيفية نقل البيانات ومشاركتها: مساحة البيانات الصحية الأوروبية (EHDS) في الاتحاد الأوروبي، و TEFCA، و USCDI، وقواعد منع المعلومات في الولايات المتحدة. سلامة المنتج تنطبق عندما يقوم البرنامج بشيء طبي: لائحة الأجهزة الطبية (MDR) ولائحة الأجهزة التشخيصية المختبرية (IVDR) في الاتحاد الأوروبي، وقواعد إدارة الغذاء والدواء الأمريكية (FDA) في الولايات المتحدة، مع معايير IEC 62304 و ISO 13485 كمعايير هندسية وجودة خلفهما. الأمن يحدد الحد الأدنى الذي يجب على الجميع تلبيته: ISO 27001 و 27799، و NIS2 للقطاعات الحيوية، وقاعدة أمن HIPAA. الهوية (eIDAS والمحفظة الرقمية للهوية الأوروبية، وتسجيل NHS، والهويات الوطنية) تتداخل مع جميع العائلات الأربع.
الخريطة
تجمع خريطة تنظيم البيانات الصحية القواعد الخاصة بالبرامج التي تتعامل مع البيانات الصحية في مجموعات: حماية البيانات (المادة 9 من اللائحة العامة لحماية البيانات، قانون HIPAA، قوانين ولايات أمريكية)، قواعد النظام الصحي (EHDS، قانون Cures، TEFCA)، سلامة المنتجات (MDR، IVDR، FDA)، معايير الهندسة والجودة (IEC 62304، ISO 13485)، الأمن (ISO 27001، ISO 27799، NIS2، قاعدة HIPAA للأمن) والهوية (eIDAS 2).
| العائلة | القاعدة | تنطبق على | ما تطلبه |
|---|---|---|---|
| حماية البيانات | GDPR، المادة 9 والمادة 35 | أي شخص يعالج بيانات صحية لمقيمين في الاتحاد الأوروبي | أساس قانوني من المادة 9 (2)، تقييم تأثير حماية البيانات (DPIA)، مسؤول حماية البيانات (DPO) للمعالجة واسعة النطاق، الحقوق، الإبلاغ عن خرق البيانات في غضون 72 ساعة |
| حماية البيانات | HIPAA (قواعد الخصوصية والأمن والخرق) | الكيانات المشمولة في الولايات المتحدة وشركائها التجاريين | الاستخدامات المسموح بها، الضمانات، الإبلاغ عن الخرق؛ لا تشمل معظم تطبيقات المستهلكين |
| حماية البيانات | قوانين الولايات الأمريكية (CCPA/CPRA، Washington My Health My Data…) | الشركات التي تتعامل مع بيانات المقيمين | موافقة على بيانات صحة المستهلك، حقوق الحذف، قيود البيع |
| النظام الصحي | EHDS، اللائحة (EU) 2025/327 | أنظمة السجلات الصحية الإلكترونية (EHR)، تطبيقات العافية التي تدعي قابلية التشغيل البيني، أصحاب البيانات، هيئات الوصول إلى البيانات الصحية | وصول المريض وقابلية نقل البيانات بتنسيق التبادل الأوروبي، إلزامية MyHealth@EU، تصاريح الاستخدام الثانوي |
| النظام الصحي | قانون القرن الحادي والعشرين للعلاج، قواعد ONC HTI، TEFCA | تقنيات الصحة المعتمدة في الولايات المتحدة، مقدمو الخدمات، الشبكات | واجهات برمجة تطبيقات FHIR، بيانات USCDI، عدم منع المعلومات، التبادل على مستوى البلاد |
| سلامة المنتج | MDR 2017/745، IVDR 2017/746 | البرامج ذات الغرض الطبي لمرضى الاتحاد الأوروبي | التصنيف، تقييم المطابقة، التقييم السريري، المراقبة ما بعد التسويق، علامة CE |
| سلامة المنتج | FDA (21 CFR 820/QMSR، 510(k)، De Novo، PMA) | البرامج كجهاز طبي للولايات المتحدة | مسار ما قبل التسويق حسب الفئة، نظام الجودة، وثائق الأمن السيبراني |
| الهندسة | IEC 62304، IEC 82304-1، ISO 14971 | فرق برامج الأجهزة الطبية | دورة حياة البرامج حسب فئة السلامة، إدارة المخاطر |
| الجودة | ISO 13485 | مصنعو الأجهزة | نظام إدارة جودة يغطي التصميم والإنتاج والشكاوى |
| الأمن | ISO/IEC 27001، ISO 27799، ISO 27701 | أي منظمة؛ إرشادات خاصة بالصحة | نظام إدارة أمن المعلومات، ضوابط الصحة، امتداد الخصوصية |
| الأمن | NIS2، التوجيه 2022/2555 | مقدمو الرعاية الصحية، مصنعو الأجهزة، مقدمو الخدمات السحابية والرقمية فوق عتبات الحجم | تدابير المخاطر، الإبلاغ عن الحوادث في غضون 24/72 ساعة، مسؤولية الإدارة |
| الأمن | قاعدة أمن HIPAA | الكيانات المشمولة في الولايات المتحدة والشركاء التجاريين | ضمانات إدارية ومادية وتقنية؛ تحليل المخاطر |
| الهوية | eIDAS 2 والمحفظة الرقمية للهوية الأوروبية | الخدمات التي تتحقق من هوية المواطنين الأوروبيين | قبول المحفظة لتحديد الهوية القوية من 2026-2027 |
من يشمله ما الذي ينطبق عليه
تعتمد قواعد البيانات الصحية التي تنطبق على البرنامج على ما يفعله. تطبيق للمستهلكين بدون ادعاءات طبية يخضع للمادة 9 من اللائحة العامة لحماية البيانات، وتقييم تأثير حماية البيانات (DPIA) وممارسة أمنية؛ إضافة تفسير يجعله جهازًا طبيًا بموجب MDR؛ منصة FHIR هي معالج بيانات بموجب اللائحة العامة لحماية البيانات وأحيانًا بموجب NIS2؛ المستشفى يتحمل كل هذه بالإضافة إلى NIS2 ككيان أساسي.
- تطبيق صحي للمستهلك بدون ادعاءات طبية (مذكرات للأعراض، سجل لتقارير المختبر): المادة 9 من اللائحة العامة لحماية البيانات (GDPR) مع موافقة صريحة، وتقييم تأثير حماية البيانات (DPIA)، وممارسة أمنية على مستوى ISO 27001، وتسمية تطبيق العافية من EHDS إذا ادعى الاتصال بأنظمة السجلات الصحية الإلكترونية (EHR). ليس جهازًا طبيًا، طالما أن الغرض المقصود منه يظل غير طبي. في الولايات المتحدة: قواعد لجنة التجارة الفيدرالية (FTC) وقوانين خصوصية الصحة الخاصة بالولايات بدلاً من HIPAA.
- نفس التطبيق مع ميزة تفسير ("نتيجتك تشير إلى…"): جهاز طبي بموجب القاعدة 11 من MDR، عادةً من الفئة IIa، مع IEC 62304 و ISO 13485 خلفه. انظر هل تطبيق الصحة جهاز طبي؟ و فئات SaMD.
- بائع منصة FHIR أو تكامل: اللائحة العامة لحماية البيانات (GDPR) كمعالج (عقود المادة 28)، ISO 27001، ربما NIS2 كمزود للبنية التحتية الرقمية أو خدمات تكنولوجيا المعلومات والاتصالات، التزامات EHDS عندما يكون جزءًا من نظام سجل صحي إلكتروني (EHR)، HIPAA كشريك تجاري في الولايات المتحدة.
- مستشفى: كل ما سبق كجهة تحكم ومشغل، بالإضافة إلى NIS2 ككيان أساسي، وقوانين السجلات الصحية الوطنية، وآجال EHDS للاتصال بالبنية التحتية الوطنية.
- منصة بحث: المادة 9 (2) (j) والمادة 89 من اللائحة العامة لحماية البيانات (GDPR)، فصل الاستخدام الثانوي من EHDS (تصاريح من هيئة الوصول إلى البيانات الصحية، بيئات معالجة آمنة)، ومعايير إخفاء الهوية. انظر الاستخدام الثانوي لبيانات الصحة.
بأي ترتيب
يُفضل التعامل مع الامتثال لبيانات الرعاية الصحية بترتيب ثابت: أولاً، اكتب الغرض المقصود، لأنه يحدد ما إذا كان البرنامج جهازًا طبيًا؛ ثم حماية البيانات (الأساس القانوني، تقييم تأثير حماية البيانات (DPIA)، عقود المعالجة)؛ ثم خط أساس الأمان وفقًا لمعيار ISO 27001؛ ثم تفويضات التشغيل البيني مثل FHIR و EHDS أو USCDI؛ ثم مسار الجهاز، إن وجد؛ وأخيرًا، الأسئلة المتعلقة بالعبور عبر الحدود.
- حدد الغرض المقصود كتابيًا. هذا يحدد ما إذا كنت جهازًا طبيًا، وكل شيء آخر يتبع من ذلك.
- حماية البيانات أولاً: الأساس القانوني، تقييم تأثير حماية البيانات (DPIA)، عقود المعالج، مسؤول حماية البيانات (DPO). هذه مطلوبة قبل أول مستخدم حقيقي، في كل سيناريو. انظر المادة 9 من اللائحة العامة لحماية البيانات لبيانات الصحة و تقييم تأثير حماية البيانات لتطبيق صحي.
- خط الأساس الأمني: نظام إدارة أمن المعلومات (ISMS) وفقًا لـ ISO 27001، مع ربطه بضوابط الصحة في 27799؛ هذا يلبي أيضًا معظم متطلبات NIS2 وقاعدة أمن HIPAA. انظر ISO 27001 مقابل ISO 27799 و NIS2 للمستشفيات والبائعين.
- تفويضات قابلية التشغيل البيني: FHIR وتنسيق التبادل لسوقك (EHDS، USCDI/US Core) حتى لا يتم استبعاد المنتج من البنية التحتية الوطنية. انظر شرح USCDI و شرح TEFCA.
- مسار الجهاز، إن وجد: التصنيف، نظام الجودة، دورة الحياة، هيئة الإخطار أو مسار FDA. خصص عامًا واحدًا.
- عبر الحدود: اختلافات HIPAA مقابل GDPR عند خدمة كلا السوقين (HIPAA مقابل GDPR)، آليات النقل، موقع الاستضافة.
موقف Anpheros
Anpheros Daily هو سجل صحي شخصي بغرض مقصود غير طبي معلن: يقوم بتخزين وعرض ومشاركة، ولا يفسر أو يوصي. Anpheros Platform هو الواجهة الخلفية FHIR R4 مقدمة للعيادات والمطورين كمعالج بموجب المادة 28 من اللائحة العامة لحماية البيانات (GDPR)، مع موافقة يتحكم فيها المريض وسجلات الوصول. تصف صفحات اللوائح في هذه المجموعة القواعد كما تنطبق على أي منتج من هذا النوع؛ تصف صفحة الشفافية كيف تطبق Anpheros هذه القواعد على نفسها.
تشرح هذه الصفحة اللوائح الخاصة بفرق المنتجات والهندسة. إنها ليست استشارة قانونية؛ النصوص المرتبطة تحت المصادر هي السلطة، ويقرر مسؤول حماية بياناتك، أو الهيئة المُخطرَة، أو مستشارك لحالتك. آخر مراجعة: أكتوبر 2026.
صفحات ذات صلة
- هل تطبيق الصحة جهاز طبي؟ EU MDR القاعدة 11
- بياناتك الطبية في الاتحاد الأوروبي: GDPR، EHDS وحقوقك
- المادة 9 من اللائحة العامة لحماية البيانات لبيانات الصحة
- تقييم تأثير حماية البيانات لتطبيق صحي
- HIPAA مقابل GDPR
- NIS2 للمستشفيات وبائعي التكنولوجيا الصحية
- معايير قابلية التشغيل البيني للرعاية الصحية: الخريطة
- اللائحة العامة لحماية البيانات للمطورين (موقع المطورين)
- السجلات الصحية الإلكترونية الوطنية في أوروبا والولايات المتحدة
- MyHealth@EU وملخص المريض عبر الحدود
- قانون الذكاء الاصطناعي للاتحاد الأوروبي والذكاء الاصطناعي في مجال الصحة
- الاستخدام الثانوي لبيانات الصحة
- الأمن والهوية في تطبيقات الصحة
المصادر
- اللائحة (EU) 2016/679 (GDPR)، EUR-Lex
- اللائحة (EU) 2025/327 (مساحة البيانات الصحية الأوروبية)، EUR-Lex
- اللائحة (EU) 2017/745 (MDR)، EUR-Lex
- اللائحة (EU) 2017/746 (IVDR)، EUR-Lex
- التوجيه (EU) 2022/2555 (NIS2)، EUR-Lex
- HHS: HIPAA للمهنيين
- ASTP/ONC: إطار التبادل الموثوق به والاتفاق المشترك
- ISO/IEC 27001:2022
الأسئلة الشائعة
هل تنطبق اللائحة العامة لحماية البيانات (GDPR) على شركة أمريكية لديها مستخدمون في الاتحاد الأوروبي؟
نعم، بموجب المادة 3 (2)، بمجرد تقديمها خدمات لأشخاص في الاتحاد الأوروبي أو مراقبة سلوكهم، بغض النظر عن مكان وجود الخوادم. ثم تحتاج إلى ممثل في الاتحاد الأوروبي، وأساس قانوني بموجب المادة 9، وآلية نقل قانونية.
هل HIPAA أكثر صرامة من GDPR؟
لا يوجد منهما أكثر صرامة بشكل مطلق. HIPAA أضيق في النطاق (يشمل الكيانات المشمولة والشركاء التجاريين فقط) وأكثر تفصيلاً بشأن الضمانات؛ GDPR أوسع (يشمل أي شخص يعالج بيانات المقيمين في الاتحاد الأوروبي)، قائم على الحقوق ويتطلب أساسًا قانونيًا لكل استخدام. يجب على المنتج الذي يستهدف كلا السوقين تلبية كليهما.
هل تحل EHDS محل GDPR لبيانات الصحة؟
لا. تبني EHDS على GDPR وتضيف التزامات لأنظمة السجلات الصحية الإلكترونية (EHR)، وصول المرضى، التبادل عبر الحدود، والاستخدام الثانوي. تظل GDPR هي الأساس لكل عملية معالجة.
من أين أبدأ إذا لم يكن لدي فريق امتثال؟
اكتب الغرض المقصود، قم بإجراء تقييم تأثير حماية البيانات (DPIA) باستخدام نموذج، اعتمد خط أساس أمني على غرار ISO 27001، واستخدم FHIR مع ملفات التعريف الخاصة بسوقك. تغطي هذه الخطوات الأربع معظم ما سيطلبه التدقيق الأول أو أول عميل مستشفى.
جرّبه مجانًا في بيئة الاختبار
أول طلب FHIR خلال 5 دقائق. واجهة برمجة تطبيقات HL7 FHIR R4 مع موافقة المريض مدمجة: جربها في بيئة الاختبار، ثم اربط تطبيقك الخاص أو نظام عيادتك.
مجاني · 30 مريضًا اصطناعيًا · دون بطاقة
تبني Anpheros سجلًا طبيًا يتحكم فيه المريض ويمكن مشاركته مع أي عيادة، على منصة HL7 FHIR R4، مقرها في الاتحاد الأوروبي. تساعدك هذه الأدلة على فهم وتنظيم صحتك؛ ولا تغني عن استشارة طبيبك.
عن Anpheros →