إجابة مختصرة: HIPAA (1996، مع قواعد الخصوصية والأمن والإبلاغ عن الانتهاكات) تنطبق على الكيانات المغطاة، وخطط التأمين الصحي، وشركات المقاصة الصحية، ومقدمي الخدمات الذين يرسلون الفواتير إلكترونيًا، وكذلك على شركائهم التجاريين؛ وهي تحمي المعلومات الصحية المحمية التي يحتفظون بها وتحدد الاستخدامات المسموح بها دون إذن الشخص. GDPR (2016) ينطبق على أي متحكم أو معالج يتعامل مع البيانات الشخصية للأشخاص في الاتحاد الأوروبي، مع اعتبار بيانات الصحة فئة خاصة؛ وتتطلب أساسًا قانونيًا لكل استخدام وتمنح الأشخاص حقوقًا قابلة للتنفيذ. الفرق العملي للمنتج: تطبيق صحي للمستهلك في الولايات المتحدة يكون عادةً خارج نطاق HIPAA ويخضع لقوانين FTC وقوانين الولاية بدلاً من ذلك؛ نفس التطبيق في الاتحاد الأوروبي يكون ضمن نطاق GDPR من أول مستخدم. المنتج الذي يخدم كلاهما يجب أن يُبنى ليناسب نطاق GDPR ووسائل الحماية الإلزامية لـ HIPAA في آن واحد.
مقارنة جانبية
بشكل مباشر، تنظم HIPAA الكيانات المشمولة وشركاء الأعمال في الولايات المتحدة الذين يتعاملون مع المعلومات الصحية المحمية، بينما تنظم اللائحة العامة لحماية البيانات (GDPR) أي متحكم أو معالج لبيانات المقيمين في الاتحاد الأوروبي. تسمح HIPAA باستخدامات العلاج والدفع والعمليات دون إذن وتمنح 60 يومًا للإبلاغ عن الانتهاكات؛ وتتطلب اللائحة العامة لحماية البيانات أساسًا قانونيًا لكل غرض، وتمنح الحق في المحو وقابلية النقل، وتمنح 72 ساعة.
| HIPAA (الولايات المتحدة) | GDPR (الاتحاد الأوروبي) | |
|---|---|---|
| من يخضع للتنظيم | الكيانات المغطاة والشركاء التجاريون | أي متحكم أو معالج لبيانات سكان الاتحاد الأوروبي، في أي مكان |
| ما هي البيانات | المعلومات الصحية المحمية (PHI): بيانات صحية قابلة للتعريف يحتفظ بها كيان مغطى | جميع البيانات الشخصية؛ بيانات الصحة فئة خاصة (المادة 9) |
| تطبيقات الصحة للمستهلك | خارج نطاق HIPAA ما لم تكن تعمل لصالح كيان مغطى؛ ينطبق قانون FTC، وقاعدة FTC للإبلاغ عن خروقات الصحة، وقوانين الولاية | ضمن نطاق GDPR؛ الموافقة الصريحة هي الأساس المعتاد |
| الأساس القانوني للاستخدام | الاستخدامات المسموح بها دون إذن: العلاج، الدفع، العمليات، بالإضافة إلى الاستثناءات المدرجة؛ الإذن بخلاف ذلك | أساس المادة 6 واستثناء المادة 9 (2) لكل غرض |
| الحد الأدنى الضروري / التقليل | معيار الحد الأدنى الضروري | مبدأ تقليل البيانات (المادة 5) |
| حقوق الأفراد | الوصول (30 يومًا)، التعديل، محاسبة الإفصاحات، القيود | الوصول (شهر واحد)، التصحيح، المحو، قابلية النقل، الاعتراض، تقييد المعالجة، سحب الموافقة |
| إزالة التعريف | طريقة "Safe Harbor" (18 معرفًا) أو تحديد الخبير | إخفاء الهوية (لم تعد بيانات شخصية) مقابل الترميز (لا تزال بيانات شخصية) |
| الأمن | قاعدة الأمن: وسائل حماية إدارية، مادية، تقنية؛ تحليل المخاطر؛ مواصفات قابلة للتناول مقابل مواصفات مطلوبة | المادة 32: تدابير مناسبة للمخاطر؛ لا توجد قائمة ثابتة |
| الإبلاغ عن الانتهاكات | الأفراد ووزارة الصحة والخدمات الإنسانية في غضون 60 يومًا من الاكتشاف (وسائل الإعلام إذا كان العدد 500+ في ولاية)؛ سجل سنوي للانتهاكات الأصغر | السلطة في غضون 72 ساعة؛ الأفراد دون تأخير غير مبرر عند وجود خطر كبير |
| العقود | اتفاقية الشريك التجاري (BAA) | عقد المعالج (المادة 28) |
| أدوار الإشراف | مسؤول الخصوصية ومسؤول الأمن | مسؤول حماية البيانات حيثما كان ذلك مطلوبًا (المادة 37) |
| تقييم التأثير | تحليل المخاطر بموجب قاعدة الأمن | تقييم حماية البيانات (DPIA) بموجب المادة 35 |
| النقل الدولي | لا يوجد قيد في HIPAA نفسها | الفصل الخامس: الملاءمة، اتفاقيات العقود القياسية، إطار خصوصية البيانات |
| الإنفاذ | مكتب الحقوق المدنية بوزارة الصحة والخدمات الإنسانية؛ المدعون العامون للولايات | سلطات حماية البيانات الوطنية؛ المجلس الأوروبي لحماية البيانات |
| الغرامات | غرامات مدنية متدرجة، معدلة حسب التضخم، تقريبًا تصل إلى 2 مليون دولار لكل بند سنويًا؛ عقوبات جنائية | تصل إلى 20 مليون يورو أو 4٪ من حجم التداول العالمي |
فرق النطاق، عمليًا
من الناحية العملية، تنطبق HIPAA على تطبيق صحي فقط عندما يعمل لصالح كيان مشمول، كشريك أعمال بموجب اتفاقية BAA؛ تطبيق المستهلك الذي يختاره المريض يكون خارج نطاق HIPAA وتنظمه FTC وقوانين الولاية. في الاتحاد الأوروبي، يكون نفس التطبيق متحكمًا في اللائحة العامة لحماية البيانات منذ أول مستخدم.
مستشفى أمريكي يستخدم منصة FHIR سحابية: المستشفى كيان مغطى، والمنصة شريك تجاري بموجب اتفاقية BAA، وكلاهما يخضع لـ HIPAA. مستهلك في الولايات المتحدة يقوم بتحميل تقارير مختبره الخاصة إلى تطبيق: لا ينطبق HIPAA على التطبيق؛ بل FTC (الممارسات الخادعة، وقاعدة FTC للإبلاغ عن خروقات الصحة، التي تم تحديثها في عام 2024 لتشمل تطبيقات الصحة صراحةً)، وكذلك قوانين الولاية مثل My Health My Data Act في واشنطن (2023)، الذي يتطلب موافقة لجمع بيانات صحة المستهلك ويحظر تحديد المواقع الجغرافية حول المرافق الصحية، والأحكام الصحية لقانون CPRA في كاليفورنيا، وقوانين نيفادا وكونيتيكت. مريض في الاتحاد الأوروبي يقوم بنفس الشيء: التطبيق متحكم بموجب GDPR مع التزامات المادة 9 من اليوم الأول. انظر المادة 9 من GDPR لبيانات الصحة.
فرق الأساس القانوني
تبدأ HIPAA واللائحة العامة لحماية البيانات من نقاط معاكسة فيما يتعلق بالأساس القانوني. تسمح HIPAA للكيانات المشمولة باستخدام المعلومات الصحية المحمية للعلاج والدفع وعمليات الرعاية الصحية دون إذن، وتتطلب إذنًا مكتوبًا للاستخدامات الأخرى. تحظر اللائحة العامة لحماية البيانات معالجة البيانات الصحية ما لم ينطبق استثناء المادة 9(2)، لذا لا يُسمح بشيء افتراضيًا ويجب أن يكون الموافقة صريحة ومحددة وقابلة للإلغاء.
يبدأ HIPAA من الاستخدامات المسموح بها: يجوز للكيان المغطى استخدام والإفصاح عن PHI للعلاج والدفع وعمليات الرعاية الصحية دون طلب، ولائمة من أغراض المصلحة العامة؛ كل شيء آخر يتطلب إذنًا مكتوبًا. يبدأ GDPR من حظر (لبيانات الصحة) مع استثناءات؛ لا يُسمح بأي شيء "افتراضيًا"، والموافقة، عند استخدامها، يجب أن تكون صريحة ومحددة وقابلة للسحب. إن غريزة فريق منتج أمريكي بأن "العمليات" تشمل التحليلات لا تنتقل؛ في الاتحاد الأوروبي، تتطلب التحليلات على بيانات الصحة موافقة أو إخفاء هوية.
فرق الحقوق
فيما يتعلق بالحقوق الفردية، تمنح كل من HIPAA واللائحة العامة لحماية البيانات الوصول والتصحيح، لكن اللائحة العامة لحماية البيانات تضيف المحو، وقابلية النقل بتنسيق قابل للقراءة آليًا، والاعتراض، والحق في سحب الموافقة، وهو ما تفتقر إليه HIPAA بهذا الشكل. المنتج المبني لحقوق اللائحة العامة لحماية البيانات، مع التصدير والحذف والإلغاء في المنتج، يلبي حقوق الوصول الخاصة بـ HIPAA بهامش كبير.
قواعد منع المعلومات الخاصة بقانون Cures وحق الوصول إلى المعلومات الصحية الإلكترونية المحمية (ePHI) عبر واجهات برمجة التطبيقات (APIs) تدفع المرضى في الولايات المتحدة نحو قابلية النقل.
الأمن والانتهاكات
قاعدة الأمان الخاصة بـ HIPAA وصفية، مع تحليل مخاطر مطلوب، وضمانات إدارية ومادية وتقنية مسماة، وسياسات، وتدريب، وضوابط تدقيق؛ المادة 32 من اللائحة العامة لحماية البيانات تعتمد على النتائج، وتطلب تدابير مناسبة للمخاطر، وعادة ما تُظهر من خلال ISO 27001. تختلف مواعيد الإبلاغ عن الانتهاكات بشكل حاد: 60 يومًا للأفراد و HHS بموجب HIPAA، و 72 ساعة للسلطة بموجب اللائحة العامة لحماية البيانات.
قاعدة الأمن لـ HIPAA إلزامية: تحليل للمخاطر، وسائل حماية محددة، سياسات، تدريب، ضوابط تدقيق، وتحديث مقترح لعام 2025 سيجعل التشفير والمصادقة متعددة العوامل إلزاميين بدلاً من قابلين للتناول. المادة 32 من GDPR تعتمد على النتائج: مناسبة للمخاطر، مع ذكر التشفير والترميز كأمثلة؛ ISO 27001 هو الطريق المعتاد لإثبات ذلك. تختلف جداول الإبلاغ عن الانتهاكات بشكل حاد: 60 يومًا للأفراد ووزارة الصحة والخدمات الإنسانية بموجب HIPAA، 72 ساعة للسلطة بموجب GDPR. دليل تشغيل مشترك للحوادث يستخدم الجدول الزمني الأقصر. انظر ISO 27001 مقابل ISO 27799.
إزالة التعريف
طريقة Safe Harbor لـ HIPAA تزيل 18 معرفًا مدرجًا وتصبح البيانات لم تعد PHI؛ تحديد الخبير يصدق على خطر إعادة تحديد هوية صغير جدًا. GDPR لا يحتوي على قائمة: البيانات تكون مجهولة الهوية فقط إذا لم يتمكن أحد من إعادة تحديد هويتها بشكل معقول، والبيانات المرمزة تظل بيانات شخصية. غالبًا ما لا يلبي ناتج Safe Harbor معيار GDPR، خاصة مع التواريخ والحالات النادرة. انظر إزالة التعريف لبيانات الصحة.
البناء لكلا النظامين
من الأفضل تصميم منتج يخدم كلاً من الولايات المتحدة والاتحاد الأوروبي وفقًا للائحة العامة لحماية البيانات أولاً (الموافقة لكل غرض، الحقوق في المنتج، تقييم حماية البيانات DPIA، خطة تشغيلية للانتهاكات مدتها 72 ساعة، خيار الاستضافة في الاتحاد الأوروبي) مع إضافة عناصر HIPAA الوصفية فوقها: وثيقة تحليل مخاطر، نموذج اتفاقية BAA، سياسات قاعدة الأمان، إجراء للانتهاكات مدته 60 يومًا، وسجلات تدريب القوى العاملة.
صمم وفقًا لـ GDPR (موافقة لكل غرض، حقوق في المنتج، DPIA، دليل تشغيل لمدة 72 ساعة، خيار استضافة في الاتحاد الأوروبي) وقم بتطبيق القطع الأثرية الإلزامية لـ HIPAA فوقها (وثيقة تحليل المخاطر، نموذج BAA، مجموعة سياسات قاعدة الأمن، إجراء الانتهاكات لمدة 60 يومًا، سجلات تدريب القوى العاملة). احتفظ ببيانات الولايات المتحدة والاتحاد الأوروبي في مناطق قابلة للفصل، لأن عمليات نقل GDPR وبعض قوانين ولايات الولايات المتحدة تهتم بالموقع. تم بناء Anpheros بهذه الطريقة: GDPR أولاً كشركة أوروبية، مع قدرة المنصة على العمل كشريك تجاري بموجب BAA للعملاء الأمريكيين. يوثق موقع المطور GDPR للمطورين و الأمن.
تشرح هذه الصفحة اللوائح الخاصة بفرق المنتجات والهندسة. إنها ليست استشارة قانونية؛ النصوص المرتبطة تحت المصادر هي السلطة، ويقرر مسؤول حماية بياناتك، أو هيئة الإخطار، أو مستشارك لحالتك. آخر مراجعة: أكتوبر 2026.
صفحات ذات صلة
- المادة 9 من GDPR لبيانات الصحة
- إزالة التعريف لبيانات الصحة
- ISO 27001 مقابل ISO 27799
- شرح TEFCA و QHINs
- خريطة تنظيم بيانات الصحة
- GDPR للمطورين (موقع المطور)
المصادر
- HHS: HIPAA للمهنيين (قواعد الخصوصية والأمن والإبلاغ عن الانتهاكات)
- HHS: قاعدة الإبلاغ عن الانتهاكات
- قاعدة FTC للإبلاغ عن خروقات الصحة (16 CFR Part 318)
- ولاية واشنطن: قانون My Health My Data (HB 1155)
- اللائحة (الاتحاد الأوروبي) 2016/679 (GDPR)، EUR-Lex
- المفوضية الأوروبية: إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة
الأسئلة الشائعة
هل التطبيق المتوافق مع HIPAA متوافق تلقائيًا مع GDPR؟
لا. الامتثال لـ HIPAA لا يقول شيئًا عن الأساس القانوني، جودة الموافقة، المحو، قابلية النقل، DPIAs، DPOs أو عمليات النقل. إنه يغطي مجموعة فرعية من توقعات أمن GDPR ونظام مختلف للانتهاكات.
هل ينطبق HIPAA على تطبيقي إذا أوصى به طبيب؟
ليس بحد ذاته. ينطبق HIPAA إذا كان التطبيق يعمل نيابة عن كيان مغطى بموجب اتفاقية شريك تجاري (على سبيل المثال، مدمج في سير عمل العيادة بناءً على طلب العيادة). التطبيق الذي يختاره المريض ويتحكم فيه يكون خارج نطاق HIPAA، ويخضع لقوانين FTC وقوانين الولاية.
أي موعد نهائي للانتهاكات يجب أن أتبعه لحادث مشترك بين الاتحاد الأوروبي والولايات المتحدة؟
كلاهما: 72 ساعة للسلطة الأوروبية لبيانات سكان الاتحاد الأوروبي، و 60 يومًا للأفراد ووزارة الصحة والخدمات الإنسانية لـ PHI، بالإضافة إلى أي مواعيد نهائية للولاية (غالبًا 30 إلى 60 يومًا) وقاعدة FTC لمدة 60 يومًا لتطبيقات صحة المستهلك. يتم كتابة أدلة التشغيل وفقًا لأقصرها.
هل يمكن معالجة بيانات الصحة في الاتحاد الأوروبي في الولايات المتحدة؟
نعم، باستخدام أداة نقل بموجب الفصل الخامس: إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة للشركات المعتمدة، أو اتفاقيات العقود القياسية مع تقييم تأثير النقل. ومع ذلك، لا يزال العديد من العملاء الأوروبيين يطلبون الاستضافة في الاتحاد الأوروبي كشرط تعاقدي.
جرّبه مجانًا في بيئة الاختبار
أول طلب FHIR خلال 5 دقائق. واجهة برمجة تطبيقات HL7 FHIR R4 مع موافقة المريض مدمجة: جربها في بيئة الاختبار، ثم اربط تطبيقك الخاص أو نظام عيادتك.
مجاني · 30 مريضًا اصطناعيًا · دون بطاقة
تبني Anpheros سجلًا طبيًا يتحكم فيه المريض ويمكن مشاركته مع أي عيادة، على منصة HL7 FHIR R4، مقرها في الاتحاد الأوروبي. تساعدك هذه الأدلة على فهم وتنظيم صحتك؛ ولا تغني عن استشارة طبيبك.
عن Anpheros →