Krátká odpověď: podle GDPR jsou údaje týkající se zdraví zvláštní kategorií. Článek 9 odst. 1 zakazuje jejich zpracování; článek 9 odst. 2 uvádí výjimky, které tento zákaz ruší. Pro produktový tým jsou důležité čtyři: (a) výslovný souhlas osoby, (h) poskytování zdravotní péče osobou podléhající povinnosti mlčenlivosti nebo pod její odpovědností, (i) ochrana veřejného zdraví a (j) vědecký výzkum s ochranami podle článku 89. Výjimka podle článku 9 je potřebná navíc k běžnému právnímu základu podle článku 6, nikoli místo něj. Zpracování zdravotních údajů ve velkém rozsahu rovněž spouští posouzení vlivu na ochranu osobních údajů (DPIA) (článek 35) a vyžaduje pověřence pro ochranu osobních údajů (DPO) (článek 37).
Co se považuje za zdravotní údaje
Podle nařízení GDPR jsou údaje týkající se zdraví osobními údaji souvisejícími s fyzickým nebo duševním zdravím osoby, včetně poskytování zdravotních služeb, které odhalují informace o jejím zdravotním stavu (článek 4 odst. 15). V širokém pojetí zahrnují laboratorní hodnoty, diagnózy, léky, schůzky a neschopenky a jakékoli údaje, z nichž lze odvodit zdravotní stav.
Článek 4 odst. 15 definuje údaje týkající se zdraví jako osobní údaje týkající se fyzického nebo duševního zdraví osoby, včetně poskytování služeb zdravotní péče, které odhalují informace o jejím zdravotním stavu. Bod odůvodnění 35 a judikatura jej vykládají široce: laboratorní hodnota, diagnóza, lék, návštěva lékaře, neschopenka, počet kroků v kombinaci se srdečním onemocněním, vyhledávání symptomu spojené s účtem. Údaje, které odhalují zdravotní stav, jsou zdravotními údaji, i když nebyly shromážděny jako takové. Soudní dvůr EU v roce 2022 (OT, C-184/20) potvrdil, že údaje, z nichž lze odvodit skutečnost zvláštní kategorie, jsou samy o sobě údaji zvláštní kategorie.
Důležité výjimky
Výjimky z článku 9 odst. 2 nařízení GDPR, které jsou pro zdravotnické produkty nejdůležitější, jsou výslovný souhlas (a), který používají spotřebitelské zdravotnické aplikace a záznamy ovládané pacientem; poskytování zdravotní péče (h), které používají kliniky a jejich dodavatelé softwaru podléhající lékařskému tajemství; veřejné zdraví (i); vědecký výzkum (j) s ochranou podle článku 89; a podstatný veřejný zájem (g), na kterém se EHDS opírá pro sekundární použití.
| Článek 9 odst. 2 | Kdo jej obvykle používá | Podmínky |
|---|---|---|
| (a) Výslovný souhlas | Aplikace pro zdraví pro spotřebitele, wellness služby, záznamy spravované pacientem | Svobodně daný, konkrétní, informovaný, jednoznačný, jasným potvrzujícím jednáním, stejně snadno odvolatelný jako daný; nespojený se službou, pokud služba údaje nepotřebuje |
| (c) Životně důležité zájmy | Nouzový přístup | Pouze pokud osoba není fyzicky nebo právně schopna udělit souhlas |
| (h) Poskytování zdravotní péče | Kliniky, nemocnice, praktičtí lékaři, jejich dodavatelé softwaru jako zpracovatelé | Nezbytné pro diagnostiku, péči, léčbu nebo správu zdravotnických systémů, na základě práva EU nebo národního práva nebo smlouvy s profesionálem a podléhající povinnosti mlčenlivosti (článek 9 odst. 3) |
| (i) Ochrana veřejného zdraví | Orgány veřejného zdraví, farmakovigilance | Na základě zákona stanovujícího vhodná opatření |
| (j) Výzkum, statistiky, archivace | Výzkumné ústavy, registry, platformy umožňující výzkum | Na základě zákona, přiměřené, s ochranami podle článku 89 (pseudonymizace, minimalizace) |
| (g) Podstatný veřejný zájem | Národní zdravotnické datové infrastruktury | Na základě zákona; EHDS se na něj spoléhá pro sekundární použití |
Osobní zdravotní záznam spravovaný pacientem funguje na základě (a): osoba rozhoduje, co uloží a s kým sdílí. Klinika zapisující do tohoto záznamu funguje na základě (h) pro své vlastní zpracování a pacientův souhlas upravuje sdílení. Platforma, která slouží oběma, je zpracovatelem pro kliniku (smlouva podle článku 28) a správcem pro účet, který nabízí osobě. Zápis toho, podle každé operace zpracování, je jádrem záznamů vyžadovaných článkem 30.
Souhlas, který má skutečnou váhu
Výslovný souhlas se zdravotními údaji podle nařízení GDPR platí pouze tehdy, je-li dán jako samostatné, konkrétní prohlášení pro každý účel, jasným pozitivním jednáním, s informací o příjemcích, zaznamenaný s uvedením času a způsobu a lze jej odvolat stejně snadno, jako byl udělen. Předzaškrtnutá políčka, sdružené účely a aplikace nepoužitelné bez souhlasu s analytikou byly shledány neplatnými.
Regulační orgány opakovaně zneplatnily souhlasy pro zdravotní aplikace ze stejných důvodů: předzaškrtnutá políčka; souhlas požadovaný pro vše najednou; nemožnost používat aplikaci bez souhlasu s analytikou; texty souhlasu, které neuvádějí příjemce; žádná možnost odvolání. Platný výslovný souhlas pro zdravotní údaje znamená samostatné, konkrétní prohlášení ("Souhlasím s tím, aby Anpheros ukládal laboratorní výsledky, které nahraji"), granulární pro každý účel (ukládání; sdílení s pojmenovanou klinikou; anonymizované statistiky), s záznamem o tom, kdy a jak byl udělen, a přepínačem, který jej s okamžitým účinkem pro budoucí zpracování zruší. Údaje dětí vyžadují držitele rodičovské odpovědnosti, s věkovými prahy stanovenými každým členským státem mezi 13 a 16 lety.
Mlčenlivost, článek 9 odst. 3
Článek 9 odst. 3 nařízení GDPR stanoví podmínku mlčenlivosti pro výjimku týkající se poskytování zdravotní péče: zdravotní údaje mohou být zpracovávány podle článku 9 odst. 2 písm. h) pouze osobou vázanou povinností mlčenlivosti podle práva EU nebo vnitrostátního práva, nebo jinou osobou podléhající rovnocenné povinnosti mlčenlivosti.
Dodavatelé softwaru pro kliniky to splňují prostřednictvím smlouvy: dohoda o zpracování ukládá zaměstnancům s přístupem povinnost mlčenlivosti a přístup je zaznamenáván.
Mimo rámec článku 9
Výjimka podle článku 9 odst. 2 není jedinou povinností podle nařízení GDPR pro zdravotní údaje. Zpracování také vyžaduje základ podle článku 6, obvykle DPIA podle článku 35 a pověřence pro ochranu osobních údajů podle článku 37, omezení pro automatizované rozhodování podle článku 22, nástroj podle kapitoly V pro přenosy mimo EU, 72hodinové oznámení o porušení a vnitrostátní zákony o zdravotních záznamech.
- Článek 6 se stále uplatňuje: smlouva (6 odst. 1 písm. b)) pro poskytování služby, o kterou osoba požádala, souhlas (6 odst. 1 písm. a)), zákonná povinnost, veřejný úkol nebo oprávněné zájmy, které nelze použít k překonání článku 9.
- Článek 35 DPIA je povinný pro rozsáhlé zpracování zvláštních kategorií; většina zdravotních aplikací a všechny platformy se do této kategorie řadí. Viz DPIA pro zdravotní aplikaci.
- Článek 37 DPO je povinný pro hlavní činnosti spočívající v rozsáhlém zpracování zvláštních kategorií.
- Článek 22 omezuje rozhodnutí založená výhradně na automatizovaném zpracování s významnými dopady, což zahrnuje automatizované třídění nebo posuzování způsobilosti; zdravotní údaje lze pro ně použít pouze s výslovným souhlasem nebo právním základem v zákoně, s ochranami.
- Článek 44 a násl.: převody mimo EU vyžadují adekvátnost (rámec EU–USA pro ochranu soukromí pro certifikované americké společnosti), standardní smluvní doložky s posouzením dopadu převodu nebo jiný nástroj podle kapitoly V. Hostování v EU eliminuje otázku pro data v klidu; zahraniční podpůrný personál nikoli.
- Článek 33–34: oznámení o porušení orgánu do 72 hodin a osobám, pokud je riziko vysoké, což u zdravotních údajů obvykle je.
- Národní právo přidává vrstvy: zákony o lékařském tajemství, zákony o zdravotních záznamech, doby uchovávání a v některých zemích specifická pravidla pro zdravotní aplikace (francouzská certifikace hostování HDS, německý rámec DiGA).
EHDS navíc
Nařízení o Evropském prostoru pro zdraví (2025/327) nemění článek 9. Přidává práva na přístup a přenositelnost zdravotních údajů ve společném formátu, povinnosti pro systémy EHR a systém povolování pro sekundární použití, který se opírá o článek 9 odst. 2 písm. g), h), i) a j) s vlastními ochranami a možností odhlášení. Viz Vaše lékařské údaje v EU.
V Anpheros
Anpheros zpracovává zdravotní údaje na základě výslovného souhlasu osoby pro záznam, který si vede (článek 9 odst. 2 písm. a)), pro každý účel a odvolatelný v aplikaci, a jako zpracovatel pro kliniky, které zapisují do tohoto záznamu na základě jejich vlastního základu podle článku 9 odst. 2 písm. h). Každý přístup kliniky vyžaduje souhlas osoby pro rozsah a dobu trvání a je zaznamenán v jejím protokolu přístupů. Viz Platforma pro souhlas pacienta a Kdo si prohlížel můj lékařský záznam?.
Tato stránka vysvětluje regulaci pro produktové a inženýrské týmy. Nejedná se o právní poradenství; texty uvedené v sekci Zdroje jsou závazné a váš pověřenec pro ochranu osobních údajů, notifikovaný orgán nebo právní zástupce rozhodne pro váš případ. Poslední revize: říjen 2026.
Související stránky
- DPIA pro zdravotní aplikaci: kontrolní seznam a šablona
- Vaše lékařské údaje v EU: GDPR, EHDS a vaše práva
- HIPAA vs GDPR
- Deidentifikace zdravotních údajů
- Platforma pro souhlas pacienta
- Mapa regulace zdravotních údajů
- GDPR pro vývojáře (web pro vývojáře)
Zdroje
- Článek 9 GDPR, EUR-Lex
- Článek 4 odst. 15 a bod odůvodnění 35 GDPR, EUR-Lex
- EDPB: Pokyny 05/2020 týkající se souhlasu
- Soudní dvůr EU, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Pokyny pro zpracování zdravotních údajů pro výzkum v kontextu COVID-19 (03/2020)
- Nařízení (EU) 2025/327 (EHDS), EUR-Lex
Časté otázky
Jsou počty kroků zdravotní údaje?
Samotné obvykle ne. V kombinaci s jinými údaji, které odhalují zdravotní stav (diagnóza, rehabilitační program, srdeční onemocnění), nebo pokud jsou zpracovávány za účelem jeho odvození, se stávají údaji týkajícími se zdraví. Regulační orgány se zaměřují na účel a odvození, nejen na surové pole.
Mohu pro zdravotní údaje použít oprávněné zájmy?
Ne. Oprávněné zájmy jsou základem podle článku 6; zdravotní údaje navíc vyžadují výjimku podle článku 9 odst. 2, a žádná z nich není oprávněný zájem. Analytika zdravotních údajů vyžaduje souhlas nebo anonymizaci.
Potřebuje klinika souhlas pacienta k vedení záznamů?
Podle GDPR nikoli: zpracovává na základě článku 9 odst. 2 písm. h) a národního zdravotnického práva. Souhlas se stává relevantním, když jsou údaje použity pro něco jiného (sdílení s aplikací, výzkum, marketing) nebo když to vyžaduje národní právo.
Jak dlouho lze zdravotní údaje uchovávat?
GDPR stanoví, že ne déle, než je nezbytně nutné; národní zákony o zdravotních záznamech stanoví konkrétní doby uchovávání pro klinické záznamy (často 10 až 30 let). Osobní záznam spravovaný osobou je uchováván, dokud si to osoba přeje, a na žádost je smazán.
Vyzkoušejte zdarma v sandboxu
První volání FHIR za 5 minut. API standardu HL7 FHIR R4 s integrovaným souhlasem pacienta: vyzkoušejte si ho v sandboxu a poté propojte svou vlastní aplikaci nebo klinický systém.
Zdarma · 30 syntetických pacientů · bez karty
Anpheros vytváří zdravotní záznamy, které pacient ovládá a může sdílet s jakoukoli klinikou, na platformě HL7 FHIR R4 se sídlem v EU. Tyto průvodce vám pomohou porozumět vašemu zdraví a uspořádat si ho; nenahrazují vašeho lékaře.
O Anpheros →