Krátká odpověď: software, které pracuje s daty o zdraví, podléhá současně čtyřem skupinám pravidel. Ochrana osobních údajů říká, co smíte s osobními údaji o zdraví dělat: v EU je to článek 9 GDPR, v USA HIPAA a soubor státních zákonů. Pravidla zdravotnických systémů říkají, jak se data musí přesouvat a sdílet: v EU je to European Health Data Space (EHDS), v USA TEFCA, USCDI a pravidla pro zamezení blokování informací. Bezpečnost produktů platí, když software dělá něco lékařského: v EU jsou to Nařízení o zdravotnických prostředcích (MDR) a Nařízení o diagnostických zdravotnických prostředcích in vitro (IVDR), v USA pravidla FDA, přičemž standardy pro vývoj a kvalitu za nimi jsou IEC 62304 a ISO 13485. Bezpečnost stanovuje základní úroveň, kterou musí splnit každý: ISO 27001 a 27799, NIS2 pro kritická odvětví, pravidlo pro bezpečnost HIPAA. Identita (eIDAS a EU peněženka digitální identity, NHS login, národní ID) prostupuje všechny čtyři oblasti.
Mapa
Mapa regulací pro zdravotnická data seskupuje pravidla pro software pracující se zdravotnickými daty do kategorií: ochrana dat (GDPR článek 9, HIPAA, zákony států USA), pravidla zdravotnického systému (EHDS, Cures Act, TEFCA), bezpečnost produktů (MDR, IVDR, FDA), inženýrské a kvalitativní standardy (IEC 62304, ISO 13485), zabezpečení (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) a identita (eIDAS 2).
| Skupina | Pravidlo | Platí pro | Co požaduje |
|---|---|---|---|
| Ochrana osobních údajů | GDPR, čl. 9 a 35 | Každý, kdo zpracovává údaje o zdraví obyvatel EU | Právní základ z čl. 9 odst. 2, DPIA, DPO pro rozsáhlé zpracování, práva, oznámení o porušení do 72 h |
| Ochrana osobních údajů | HIPAA (pravidla pro ochranu soukromí, bezpečnost a narušení dat) | Pokryté subjekty v USA a jejich obchodní partneři | Povolená použití, ochranná opatření, oznámení o narušení dat; nezahrnuje většinu spotřebitelských aplikací |
| Ochrana osobních údajů | Státní zákony USA (CCPA/CPRA, Washington My Health My Data…) | Společnosti, které nakládají s údaji obyvatel | Souhlas s údaji o zdraví spotřebitelů, právo na výmaz, omezení prodeje |
| Zdravotnický systém | EHDS, nařízení (EU) 2025/327 | Systémy EHR, wellness aplikace s nárokem na interoperabilitu, držitelé dat, orgány pro přístup k datům o zdraví | Přístup pacienta a přenositelnost v evropském formátu pro výměnu, povinné MyHealth@EU, povolení pro sekundární použití |
| Zdravotnický systém | 21st Century Cures Act, pravidla ONC HTI, TEFCA | Certifikované zdravotnické IT v USA, poskytovatelé, sítě | API FHIR, data USCDI, žádné blokování informací, celostátní výměna |
| Bezpečnost produktů | MDR 2017/745, IVDR 2017/746 | Software s lékařským účelem pro pacienty v EU | Klasifikace, posouzení shody, klinické hodnocení, dohled po uvedení na trh, označení CE |
| Bezpečnost produktů | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Software jako zdravotnický prostředek pro USA | Předprodejní cesta podle třídy, systém řízení kvality, dokumentace kybernetické bezpečnosti |
| Vývoj | IEC 62304, IEC 82304-1, ISO 14971 | Týmy vývojářů softwaru pro zdravotnické prostředky | Životní cyklus softwaru podle třídy bezpečnosti, řízení rizik |
| Kvalita | ISO 13485 | Výrobci zdravotnických prostředků | Systém řízení kvality zahrnující návrh, výrobu, reklamace |
| Bezpečnost | ISO/IEC 27001, ISO 27799, ISO 27701 | Jakákoli organizace; specifické pokyny pro zdravotnictví | Systém řízení bezpečnosti informací, zdravotnické kontroly, rozšíření pro ochranu soukromí |
| Bezpečnost | NIS2, směrnice 2022/2555 | Poskytovatelé zdravotní péče, výrobci zdravotnických prostředků, poskytovatelé cloudových a digitálních služeb nad prahovými hodnotami velikosti | Opatření k řízení rizik, hlášení incidentů do 24/72 h, odpovědnost managementu |
| Bezpečnost | Pravidlo pro bezpečnost HIPAA | Pokryté subjekty v USA a obchodní partneři | Administrativní, fyzická a technická ochranná opatření; analýza rizik |
| Identita | eIDAS 2 a EU peněženka digitální identity | Služby, které ověřují totožnost občanů EU | Přijetí peněženky pro silnou identifikaci od roku 2026–2027 |
Kdo je v jakém rozsahu
Která pravidla pro zdravotnická data platí, závisí na tom, co software dělá. Spotřebitelská aplikace bez zdravotních tvrzení podléhá GDPR článku 9, DPIA a bezpečnostním postupům; přidání interpretace z ní činí zdravotnický prostředek podle MDR; platforma FHIR je zpracovatelem GDPR a někdy i podle NIS2; nemocnice podléhá všem těmto pravidlům plus NIS2 jakožto nezbytný subjekt.
- Spotřebitelská aplikace pro zdraví bez lékařských tvrzení (deník symptomů, záznam laboratorních výsledků): GDPR článek 9 s výslovným souhlasem, DPIA, bezpečnostní praxe na úrovni ISO 27001 a označení wellness aplikace EHDS, pokud tvrdí, že se připojuje k systémům EHR. Není to zdravotnický prostředek, pokud jeho zamýšlený účel zůstává nelékařský. V USA: pravidla FTC a státní zákony o ochraně soukromí v oblasti zdraví namísto HIPAA.
- Stejná aplikace s funkcí interpretace („váš výsledek naznačuje…“): zdravotnický prostředek podle pravidla 11 MDR, obvykle třídy IIa, s podporou IEC 62304 a ISO 13485. Viz Je aplikace pro zdraví zdravotnickým prostředkem? a Třídy SaMD.
- Poskytovatel platformy nebo integrace FHIR: GDPR jako zpracovatel (smlouvy podle článku 28), ISO 27001, případně NIS2 jako poskytovatel digitální infrastruktury nebo ICT služeb, závazky EHDS, pokud je součástí systému EHR, HIPAA jako obchodní partner v USA.
- Nemocnice: vše výše uvedené jako správce a provozovatel, navíc NIS2 jako základní entita, národní zákony o zdravotních záznamech a lhůty EHDS pro připojení k národní infrastruktuře.
- Výzkumná platforma: GDPR článek 9 odst. 2 písm. j) a článek 89, kapitola EHDS o sekundárním použití (povolení od orgánu pro přístup k datům o zdraví, bezpečná zpracovatelská prostředí) a standardy pro anonymizaci. Viz Sekundární použití dat o zdraví.
V jakém pořadí
K dodržování předpisů pro zdravotnická data je nejlepší přistupovat v pevně daném pořadí: nejprve napište zamýšlený účel, protože ten rozhoduje, zda je software zdravotnickým prostředkem; poté ochrana dat (právní základ, DPIA, smlouvy se zpracovateli); poté základní úroveň zabezpečení podle ISO 27001; poté požadavky na interoperabilitu, jako jsou FHIR a EHDS nebo USCDI; poté cesta zdravotnického prostředku, pokud existuje; nakonec otázky přeshraniční spolupráce.
- Písemně rozhodněte o zamýšleném účelu. Určuje, zda jste zdravotnický prostředek, a vše ostatní z toho vyplývá.
- Nejprve ochrana osobních údajů: právní základ, DPIA, smlouvy se zpracovateli, DPO. Tyto jsou potřeba před prvním skutečným uživatelem, v každém scénáři. Viz GDPR článek 9 pro data o zdraví a DPIA pro aplikaci pro zdraví.
- Základní úroveň bezpečnosti: ISMS podle ISO 27001, mapovaný na zdravotnické kontroly ISO 27799; to také pokrývá většinu NIS2 a pravidla pro bezpečnost HIPAA. Viz ISO 27001 vs ISO 27799 a NIS2 pro nemocnice a dodavatele.
- Požadavky na interoperabilitu: FHIR a formát výměny vašeho trhu (EHDS, USCDI/US Core), aby produkt nebyl vyloučen z národní infrastruktury. Viz Vysvětlení USCDI a Vysvětlení TEFCA.
- Cesta zdravotnického prostředku, pokud existuje: klasifikace, systém řízení kvality, životní cyklus, cesta k notifikovanému orgánu nebo FDA. Počítejte s rokem.
- Mezinárodní přeshraniční působení: rozdíly mezi HIPAA a GDPR při obsluze obou trhů (HIPAA vs GDPR), mechanismy přenosu, umístění hostingu.
Kde se Anpheros nachází
Anpheros Daily je osobní zdravotní záznam s deklarovaným nelékařským zamýšleným účelem: ukládá, zobrazuje a sdílí, ale neinterpretuje ani nedoporučuje. Anpheros Platform je backend FHIR R4 nabízený klinikám a vývojářům jako zpracovatel podle článku 28 GDPR, s kontrolou souhlasu pacienta a protokoly přístupu. Stránky o regulaci v tomto clusteru popisují pravidla tak, jak se vztahují na jakýkoli produkt tohoto druhu; stránka o transparentnosti popisuje, jak je Anpheros aplikuje na sebe.
Tato stránka vysvětluje regulaci pro produktové a vývojové týmy. Nejedná se o právní poradenství; závazné jsou texty uvedené v sekci Zdroje a pro váš případ rozhoduje váš pověřenec pro ochranu osobních údajů, notifikovaný orgán nebo právní zástupce. Poslední revize: říjen 2026.
Související stránky
- Je aplikace pro zdraví zdravotnickým prostředkem? Pravidlo 11 MDR EU
- Vaše lékařská data v EU: GDPR, EHDS a vaše práva
- GDPR článek 9 pro data o zdraví
- DPIA pro aplikaci pro zdraví
- HIPAA vs GDPR
- NIS2 pro nemocnice a dodavatele zdravotnických technologií
- Standardy interoperability zdravotní péče: mapa
- GDPR pro vývojáře (stránka pro vývojáře)
- Národní elektronické zdravotní záznamy v Evropě a USA
- MyHealth@EU a přeshraniční souhrn pacienta
- EU AI Act a zdravotnická AI
- Sekundární použití dat o zdraví
- Bezpečnost a identita v aplikacích pro zdraví
Zdroje
- Nařízení (EU) 2016/679 (GDPR), EUR-Lex
- Nařízení (EU) 2025/327 (European Health Data Space), EUR-Lex
- Nařízení (EU) 2017/745 (MDR), EUR-Lex
- Nařízení (EU) 2017/746 (IVDR), EUR-Lex
- Směrnice (EU) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA pro profesionály
- ASTP/ONC: Trusted Exchange Framework and Common Agreement
- ISO/IEC 27001:2022
Časté otázky
Platí GDPR pro americkou společnost s uživateli z EU?
Ano, podle článku 3 odst. 2, jakmile nabízí služby osobám v EU nebo monitoruje jejich chování, bez ohledu na to, kde se servery nacházejí. Poté potřebuje zástupce v EU, právní základ podle článku 9 a mechanismus pro zákonný přenos dat.
Je HIPAA přísnější než GDPR?
Ani jedno není striktně přísnější. HIPAA má užší rozsah (pouze pokryté subjekty a obchodní partneři) a je specifičtější ohledně ochranných opatření; GDPR je širší (každý, kdo zpracovává údaje obyvatel EU), založené na právech a vyžaduje právní základ pro každé použití. Produkt působící na obou trzích musí splňovat obojí.
Nahrazuje EHDS pro data o zdraví GDPR?
Ne. EHDS staví na GDPR a přidává závazky pro systémy EHR, přístup pacientů, přeshraniční výměnu a sekundární použití. GDPR zůstává základem pro každou operaci zpracování.
Kde mám začít, pokud nemám tým pro dodržování předpisů?
Napište zamýšlený účel, proveďte DPIA pomocí šablony, zaveďte základní úroveň bezpečnosti podle ISO 27001 a používejte FHIR s profily vašeho trhu. Tyto čtyři kroky pokrývají většinu toho, co bude požadovat první audit nebo první nemocniční zákazník.
Vyzkoušejte zdarma v sandboxu
První volání FHIR za 5 minut. API standardu HL7 FHIR R4 s integrovaným souhlasem pacienta: vyzkoušejte si ho v sandboxu a poté propojte svou vlastní aplikaci nebo klinický systém.
Zdarma · 30 syntetických pacientů · bez karty
Anpheros vytváří zdravotní záznamy, které pacient ovládá a může sdílet s jakoukoli klinikou, na platformě HL7 FHIR R4 se sídlem v EU. Tyto průvodce vám pomohou porozumět vašemu zdraví a uspořádat si ho; nenahrazují vašeho lékaře.
O Anpheros →