Krátká odpověď: HIPAA (1996, s pravidly pro ochranu soukromí, zabezpečení a oznamování narušení) se vztahuje na kryté subjekty, zdravotní plány, zdravotnická clearingová centra a poskytovatele, kteří fakturují elektronicky, a na jejich obchodní partnery; chrání chráněné zdravotní informace, které drží, a stanoví, které způsoby použití jsou povoleny bez souhlasu osoby. GDPR (2016) se vztahuje na jakéhokoli správce nebo zpracovatele, který zpracovává osobní údaje osob v EU, přičemž zdravotní údaje jsou zvláštní kategorií; vyžaduje právní základ pro každé použití a dává osobám vymahatelná práva. Praktický rozdíl pro produkt: spotřebitelská zdravotní aplikace v USA je obvykle mimo HIPAA a je regulována FTC a státními zákony; stejná aplikace v EU je od prvního uživatele v rámci GDPR. Produkt sloužící oběma trhům musí být navržen tak, aby splňoval šíři GDPR a předepsané bezpečnostní záruky HIPAA současně.
Vedle sebe
HIPAA v USA upravuje kryté subjekty a obchodní partnery, kteří zpracovávají chráněné zdravotní informace, zatímco GDPR v EU upravuje jakéhokoli správce nebo zpracovatele údajů rezidentů EU. HIPAA umožňuje použití pro léčbu, platby a provoz bez povolení a dává 60 dní na oznámení o narušení; GDPR vyžaduje právní základ pro každý účel, uděluje právo na výmaz a přenositelnost a dává 72 hodin.
| HIPAA (USA) | GDPR (EU) | |
|---|---|---|
| Kdo je regulován | Kryté subjekty a obchodní partneři | Jakýkoli správce nebo zpracovatel údajů obyvatel EU, kdekoli |
| Jaká data | Chráněné zdravotní informace (PHI): identifikovatelné zdravotní údaje držené krytým subjektem | Všechny osobní údaje; zdravotní údaje jsou zvláštní kategorií (článek 9) |
| Spotřebitelské zdravotní aplikace | Mimo HIPAA, pokud nejedná jménem krytého subjektu; platí zákon FTC, pravidlo FTC pro oznamování narušení zdraví a státní zákony | V rámci GDPR; obvyklým základem je výslovný souhlas |
| Právní základ pro použití | Povolené použití bez souhlasu: léčba, platba, provoz, plus uvedené výjimky; jinak souhlas | Základ podle článku 6 a výjimka podle článku 9 odst. 2 pro každý účel |
| Minimum nezbytné / minimalizace | Standard minimum nezbytného | Princip minimalizace údajů (článek 5) |
| Práva jednotlivce | Přístup (30 dní), oprava, účetní záznam o zveřejnění, omezení | Přístup (1 měsíc), oprava, výmaz, přenositelnost, námitka, omezení, odvolání souhlasu |
| De-identifikace | Bezpečnostní přístav (18 identifikátorů) nebo expertní posouzení | Anonymizace (již nejsou osobní údaje) vs. pseudonymizace (stále osobní údaje) |
| Zabezpečení | Pravidlo pro zabezpečení: administrativní, fyzická, technická opatření; analýza rizik; řešitelné vs. požadované specifikace | Článek 32: vhodná opatření vzhledem k riziku; žádný pevný seznam |
| Oznámení o narušení | Jednotlivci a HHS do 60 dnů od zjištění (média, pokud 500+ v jednom státě); roční záznam pro menší narušení | Úřadu do 72 hodin; jednotlivcům bez zbytečného odkladu, pokud je riziko vysoké |
| Smlouvy | Dohoda o obchodním partnerství (BAA) | Smlouva se zpracovatelem (článek 28) |
| Role dohledu | Pověřenec pro ochranu soukromí a pověřenec pro zabezpečení | Pověřenec pro ochranu údajů, pokud je vyžadován (článek 37) |
| Dopadové hodnocení | Analýza rizik podle pravidla pro zabezpečení | DPIA podle článku 35 |
| Mezinárodní přenos | Žádné omezení v samotné HIPAA | Kapitola V: adekvátnost, SCC, Rámec pro ochranu soukromí EU-USA |
| Vymáhání | Úřad pro občanská práva HHS; státní generální prokurátoři | Národní úřady pro ochranu údajů; EDPB |
| Pokuty | Vrstvené civilní pokuty, upravené o inflaci, zhruba až 2 miliony USD za ustanovení ročně; trestní pokuty | Až 20 milionů EUR nebo 4 % celosvětového obratu |
Rozdíl v rozsahu, v praxi
V praxi se HIPAA na zdravotní aplikaci vztahuje pouze tehdy, když jedná jménem krytého subjektu jako obchodní partner na základě BAA; spotřebitelská aplikace, kterou si pacient vybere, je mimo působnost HIPAA a je regulována FTC a státními zákony. V EU je stejná aplikace od prvního uživatele správcem GDPR.
Nemocnice v USA používající cloudovou platformu FHIR: nemocnice je krytým subjektem, platforma obchodním partnerem na základě BAA, obojí pod HIPAA. Spotřebitel v USA nahrávající své laboratorní zprávy do aplikace: HIPAA se na aplikaci nevztahuje; platí FTC (klamavé praktiky a pravidlo FTC pro oznamování narušení zdraví, aktualizované v roce 2024, aby výslovně zahrnovalo zdravotní aplikace), stejně jako státní zákony, jako je My Health My Data Act (2023) státu Washington, který vyžaduje souhlas se shromažďováním údajů o zdraví spotřebitelů a zakazuje geofencing kolem zdravotnických zařízení, a zdravotní ustanovení kalifornského CPRA, zákonů Nevady a Connecticutu. Pacient v EU, který dělá totéž: aplikace je správcem podle GDPR s povinnostmi podle článku 9 od prvního dne. Viz GDPR článek 9 pro zdravotní údaje.
Rozdíl v právním základu
HIPAA a GDPR vycházejí z opačných bodů ohledně právního základu. HIPAA umožňuje krytým subjektům používat chráněné zdravotní informace pro léčbu, platby a zdravotní operace bez povolení, přičemž pro jiné použití vyžaduje písemné povolení. GDPR zakazuje zpracování zdravotních údajů, pokud se neuplatní výjimka podle článku 9(2), takže ve výchozím stavu není nic povoleno a souhlas musí být explicitní, specifický a odvolatelný.
HIPAA vychází z povolených použití: krytý subjekt může používat a zveřejňovat PHI pro léčbu, platbu a zdravotnické operace bez žádosti a pro seznam účelů veřejného zájmu; vše ostatní vyžaduje písemný souhlas. GDPR vychází ze zákazu (pro zdravotní údaje) s výjimkami; nic není povoleno „ve výchozím nastavení“ a souhlas, pokud je použit, musí být výslovný, specifický a odvolatelný. Instinkt amerického produktového týmu, že „provoz“ zahrnuje analytiku, se nepřevádí; v EU vyžaduje analytika zdravotních údajů souhlas nebo anonymizaci.
Rozdíl v právech
Pokud jde o práva jednotlivců, HIPAA i GDPR udělují přístup a opravu, ale GDPR přidává výmaz, přenositelnost ve strojově čitelném formátu, námitku a právo odvolat souhlas, které HIPAA jako takové postrádá. Produkt vytvořený pro práva GDPR s exportem, smazáním a odvoláním v produktu uspokojuje práva přístupu HIPAA s rezervou.
Pravidla Cures Act týkající se blokování informací a právo na přístup k elektronickým PHI prostřednictvím API směřují pacienty v USA k přenositelnosti.
Zabezpečení a narušení
Bezpečnostní pravidlo HIPAA je předpisové, s povinnou analýzou rizik, pojmenovanými administrativními, fyzickými a technickými opatřeními, zásadami, školením a kontrolami auditu; článek 32 GDPR je založen na výsledcích a vyžaduje opatření přiměřená riziku, obvykle prokázaná prostřednictvím ISO 27001. Lhůty pro oznámení o narušení se ostře liší: 60 dní pro jednotlivce a HHS podle HIPAA, 72 hodin pro úřad podle GDPR.
Pravidlo pro zabezpečení HIPAA je předpisové: analýza rizik, pojmenované bezpečnostní záruky, zásady, školení, auditní kontroly a navrhovaná aktualizace z roku 2025, která by učinila šifrování a vícefaktorovou autentizaci povinnými, nikoli řešitelnými. Článek 32 GDPR je výsledkově orientovaný: vhodný vzhledem k riziku, přičemž šifrování a pseudonymizace jsou uvedeny jako příklady; ISO 27001 je obvyklý způsob, jak to prokázat. Časové lhůty pro narušení se ostře liší: 60 dní pro jednotlivce a HHS podle HIPAA, 72 hodin pro úřad podle GDPR. Společný plán pro řešení incidentů je napsán podle kratší lhůty. Viz ISO 27001 vs ISO 27799.
De-identifikace
Bezpečnostní přístav HIPAA odstraňuje 18 uvedených identifikátorů a data již nejsou PHI; expertní posouzení certifikuje velmi malé riziko opětovné identifikace. GDPR nemá seznam: data jsou anonymní pouze v případě, že je nikdo nemůže rozumně znovu identifikovat, a pseudonymizovaná data zůstávají osobními údaji. Výstup Bezpečnostního přístavu často nesplňuje kritéria GDPR, zejména pokud jde o data a vzácné stavy. Viz De-identifikace zdravotních údajů.
Budování pro oba
Produkt sloužící jak USA, tak EU je nejlépe navržen nejprve podle GDPR (souhlas na účel, práva v produktu, DPIA, 72hodinový postup pro narušení, možnost hostování v EU) s vrstvením předpisových artefaktů HIPAA navrchu: dokumentace analýzy rizik, šablona BAA, zásady bezpečnostního pravidla, 60denní postup pro narušení a záznamy o školení pracovníků.
Navrhujte podle GDPR (souhlas pro každý účel, práva v produktu, DPIA, 72hodinový plán pro incidenty, možnost hostování v EU) a navrstvení předepsané artefakty HIPAA (dokumentace analýzy rizik, šablona BAA, soubor zásad pravidla pro zabezpečení, 60denní postup pro narušení, záznamy o školení pracovníků). Udržujte data z USA a EU v oddělitelných regionech, protože přenosy podle GDPR a některé státní zákony USA se oběma týkají umístění. Anpheros je postaven tímto způsobem: GDPR-first jako evropská společnost, s platformou schopnou fungovat jako obchodní partner na základě BAA pro zákazníky z USA. Stránka pro vývojáře dokumentuje GDPR pro vývojáře a zabezpečení.
Tato stránka vysvětluje regulaci pro produktové a inženýrské týmy. Nejedná se o právní poradenství; texty uvedené v sekci Zdroje jsou závazné a váš pověřenec pro ochranu údajů, notifikovaný orgán nebo právní zástupce rozhodne pro váš případ. Poslední revize: říjen 2026.
Související stránky
- GDPR článek 9 pro zdravotní údaje
- De-identifikace zdravotních údajů
- ISO 27001 vs ISO 27799
- TEFCA a QHIN vysvětleny
- Mapa regulace zdravotních údajů
- GDPR pro vývojáře (stránka pro vývojáře)
Zdroje
- HHS: HIPAA pro profesionály (pravidla pro ochranu soukromí, zabezpečení, oznamování narušení)
- HHS: Pravidlo pro oznamování narušení
- Pravidlo FTC pro oznamování narušení zdraví (16 CFR Part 318)
- Stát Washington: My Health My Data Act (HB 1155)
- Nařízení (EU) 2016/679 (GDPR), EUR-Lex
- Evropská komise: Rámec pro ochranu soukromí EU-USA
Časté otázky
Je aplikace vyhovující HIPAA automaticky vyhovující GDPR?
Ne. Soulad s HIPAA neříká nic o právním základu, kvalitě souhlasu, výmazu, přenositelnosti, DPIA, DPO ani přenosech. Pokrývá podmnožinu očekávání zabezpečení GDPR a jiný režim pro narušení.
Vztahuje se HIPAA na mou aplikaci, pokud ji doporučí lékař?
Sama o sobě ne. HIPAA se vztahuje, pokud aplikace jedná jménem krytého subjektu na základě dohody o obchodním partnerství (například integrovaná do pracovního postupu kliniky na žádost kliniky). Aplikace, kterou si pacient vybere a ovládá, je mimo HIPAA a spadá pod pravidla FTC a státní pravidla.
Kterou lhůtu pro narušení mám dodržovat pro společný incident v EU a USA?
Obě: 72 hodin pro úřad EU pro údaje obyvatel EU, 60 dní pro jednotlivce a HHS pro PHI, plus jakékoli státní lhůty (často 30 až 60 dní) a 60 dní podle pravidla FTC pro spotřebitelské zdravotní aplikace. Plány pro incidenty jsou psány podle nejkratší lhůty.
Mohou být zdravotní údaje z EU zpracovávány v USA?
Ano, s nástrojem pro přenos podle kapitoly V: Rámec pro ochranu soukromí EU-USA pro certifikované společnosti, nebo standardními smluvními doložkami s hodnocením dopadu přenosu. Mnoho evropských zákazníků přesto vyžaduje hostování v EU jako smluvní podmínku.
Vyzkoušejte zdarma v sandboxu
První volání FHIR za 5 minut. API standardu HL7 FHIR R4 s integrovaným souhlasem pacienta: vyzkoušejte si ho v sandboxu a poté propojte svou vlastní aplikaci nebo klinický systém.
Zdarma · 30 syntetických pacientů · bez karty
Anpheros vytváří zdravotní záznamy, které pacient ovládá a může sdílet s jakoukoli klinikou, na platformě HL7 FHIR R4 se sídlem v EU. Tyto průvodce vám pomohou porozumět vašemu zdraví a uspořádat si ho; nenahrazují vašeho lékaře.
O Anpheros →