Άρθρο 9 ΓΚΠΔ για δεδομένα υγείας: επεξήγηση νόμιμων βάσεων

Σύντομη απάντηση: σύμφωνα με τον GDPR, τα δεδομένα που αφορούν την υγεία αποτελούν ειδική κατηγορία. Το Άρθρο 9(1) απαγορεύει την επεξεργασία τους· το Άρθρο 9(2) παραθέτει τις εξαιρέσεις που αίρουν την απαγόρευση. Για μια ομάδα προϊόντων, τέσσερις είναι σημαντικές: (α) ρητή συγκατάθεση του ατόμου, (η) παροχή υγειονομικής περίθαλψης από ή υπό την ευθύνη επαγγελματία που δεσμεύεται από το απόρρητο, (θ) δημόσια υγεία, και (ι) επιστημονική έρευνα με διασφαλίσεις σύμφωνα με το Άρθρο 89. Μια εξαίρεση του Άρθρου 9 απαιτείται επιπλέον μιας συνήθους νομικής βάσης σύμφωνα με το Άρθρο 6, όχι αντί αυτής. Η επεξεργασία δεδομένων υγείας σε μεγάλη κλίμακα ενεργοποιεί επίσης μια ΕΔΕΠ (Άρθρο 35) και έναν υπεύθυνο προστασίας δεδομένων (Άρθρο 37).

Τι θεωρείται δεδομένα υγείας

Σύμφωνα με τον GDPR, δεδομένα που αφορούν την υγεία είναι προσωπικά δεδομένα που σχετίζονται με τη σωματική ή ψυχική υγεία ενός ατόμου, συμπεριλαμβανομένης της παροχής υπηρεσιών υγειονομικής περίθαλψης, τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας του (Άρθρο 4(15)). Με ευρεία ερμηνεία, καλύπτει εργαστηριακές τιμές, διαγνώσεις, φάρμακα, ραντεβού και σημειώματα αναρρωτικής άδειας, καθώς και οποιαδήποτε δεδομένα από τα οποία μπορεί να συναχθεί μια κατάσταση υγείας.

Το Άρθρο 4(15) ορίζει ως δεδομένα που αφορούν την υγεία προσωπικά δεδομένα που σχετίζονται με τη φυσική ή ψυχική υγεία ενός ατόμου, συμπεριλαμβανομένης της παροχής υπηρεσιών υγειονομικής περίθαλψης, τα οποία αποκαλύπτουν πληροφορίες σχετικά με την κατάσταση της υγείας τους. Η αιτιολογική σκέψη 35 και η νομολογία τα ερμηνεύουν ευρέως: μια εργαστηριακή τιμή, μια διάγνωση, ένα φάρμακο, ένα ραντεβού με γιατρό, ένα σημείωμα αναρρωτικής άδειας, ένας αριθμός βημάτων σε συνδυασμό με καρδιακή πάθηση, μια αναζήτηση για ένα σύμπτωμα που συνδέεται με έναν λογαριασμό. Δεδομένα που αποκαλύπτουν την κατάσταση της υγείας είναι δεδομένα υγείας, ακόμη και αν δεν συλλέχθηκαν ως τέτοια. Το Δικαστήριο της Ευρωπαϊκής Ένωσης επιβεβαίωσε το 2022 (OT, C-184/20) ότι δεδομένα από τα οποία μπορεί να συναχθεί ένα γεγονός ειδικής κατηγορίας είναι από μόνα τους δεδομένα ειδικής κατηγορίας.

Οι εξαιρέσεις που έχουν σημασία

Οι εξαιρέσεις του Άρθρου 9(2) του GDPR που έχουν τη μεγαλύτερη σημασία για τα προϊόντα υγείας είναι η ρητή συγκατάθεση (a), που χρησιμοποιείται από εφαρμογές υγείας για καταναλωτές και αρχεία που ελέγχονται από τον ασθενή· η παροχή υγειονομικής περίθαλψης (h), που χρησιμοποιείται από κλινικές και τους προμηθευτές λογισμικού τους υπό την επαγγελματική εχεμύθεια· η δημόσια υγεία (i)· η επιστημονική έρευνα (j) με τις διασφαλίσεις του Άρθρου 89· και το ουσιαστικό δημόσιο συμφέρον (g), στο οποίο βασίζεται το EHDS για δευτερογενή χρήση.

Άρθρο 9(2)	Ποιος το χρησιμοποιεί συνήθως	Προϋποθέσεις
(α) Ρητή συγκατάθεση	Εφαρμογές υγείας για καταναλωτές, υπηρεσίες ευεξίας, αρχεία που ελέγχονται από τον ασθενή	Ελεύθερα δοθείσα, συγκεκριμένη, ενημερωμένη, σαφής, μέσω μιας σαφούς θετικής ενέργειας, εύκολη στην ανάκληση όσο και στη χορήγηση· δεν είναι συνδεδεμένη με την υπηρεσία, εκτός αν η υπηρεσία χρειάζεται τα δεδομένα
(γ) Ζωτικά συμφέροντα	Επείγουσα πρόσβαση	Μόνο όταν το άτομο είναι σωματικά ή νομικά ανίκανο να συναινέσει
(η) Παροχή υγειονομικής περίθαλψης	Κλινικές, νοσοκομεία, γενικοί ιατροί, οι προμηθευτές λογισμικού τους ως επεξεργαστές	Απαραίτητη για διάγνωση, φροντίδα, θεραπεία ή διαχείριση συστημάτων υγείας, βάσει του ενωσιακού ή εθνικού δικαίου ή σύμβασης με επαγγελματία, και υπό την υποχρέωση επαγγελματικού απορρήτου (Άρθρο 9(3))
(θ) Δημόσια υγεία	Αρχές δημόσιας υγείας, φαρμακοεπαγρύπνηση	Βάσει νόμου που προβλέπει κατάλληλα μέτρα
(ι) Έρευνα, στατιστικές, αρχειοθέτηση	Ερευνητικά ιδρύματα, μητρώα, πλατφόρμες που διευκολύνουν την έρευνα	Βάσει νόμου, αναλογική, με διασφαλίσεις του Άρθρου 89 (ψευδωνυμοποίηση, ελαχιστοποίηση)
(ζ) Σημαντικό δημόσιο συμφέρον	Εθνικές υποδομές δεδομένων υγείας	Βάσει νόμου· ο ΕΔΔΥ βασίζεται σε αυτό για δευτερεύουσα χρήση

Ένα προσωπικό αρχείο υγείας που ελέγχεται από τον ασθενή λειτουργεί βάσει (α): το άτομο αποφασίζει τι θα αποθηκεύσει και με ποιον θα μοιραστεί. Μια κλινική που γράφει σε αυτό το αρχείο λειτουργεί βάσει (η) για τη δική της επεξεργασία, και η συγκατάθεση του ασθενούς διέπει την κοινοποίηση. Μια πλατφόρμα που εξυπηρετεί και τα δύο είναι επεξεργαστής για την κλινική (σύμβαση Άρθρου 28) και υπεύθυνος επεξεργασίας για τον λογαριασμό που προσφέρει στο άτομο. Η καταγραφή αυτών, ανά πράξη επεξεργασίας, αποτελεί τον πυρήνα των αρχείων που απαιτούνται από το Άρθρο 30.

Συγκατάθεση που πραγματικά ισχύει

Η ρητή συγκατάθεση για δεδομένα υγείας βάσει του GDPR ισχύει μόνο όταν πρόκειται για ξεχωριστή, συγκεκριμένη δήλωση ανά σκοπό, που δίνεται με σαφή θετική ενέργεια, ενημερωμένη σχετικά με τους αποδέκτες, καταγεγραμμένη με τον χρόνο και τη μέθοδο, και ανακλητή τόσο εύκολα όσο δόθηκε. Προεπιλεγμένα πλαίσια, συνδυασμένοι σκοποί και εφαρμογές που δεν μπορούν να χρησιμοποιηθούν χωρίς τη συγκατάθεση για ανάλυση έχουν κριθεί άκυρα.

Οι ρυθμιστικές αρχές έχουν ακυρώσει τη συγκατάθεση για εφαρμογές υγείας για τους ίδιους λόγους επανειλημμένα: προ-επιλεγμένα κουτιά· συγκατάθεση που ζητείται για τα πάντα ταυτόχρονα· αδυναμία χρήσης της εφαρμογής χωρίς συγκατάθεση για αναλύσεις· κείμενα συγκατάθεσης που δεν αναφέρουν τους αποδέκτες· απουσία διαδρομής ανάκλησης. Έγκυρη ρητή συγκατάθεση για δεδομένα υγείας σημαίνει ξεχωριστή, συγκεκριμένη δήλωση ("Συμφωνώ ότι η Anpheros αποθηκεύει τα εργαστηριακά αποτελέσματα που ανεβάζω"), λεπτομερής ανά σκοπό (αποθήκευση· κοινοποίηση σε μια συγκεκριμένη κλινική· ανωνυμοποιημένες στατιστικές), με καταγραφή του πότε και πώς δόθηκε, και έναν διακόπτη που την ανακαλεί με άμεση ισχύ για μελλοντική επεξεργασία. Τα δεδομένα παιδιών χρειάζονται τον κάτοχο της γονικής ευθύνης, με ηλικιακά όρια που ορίζονται από κάθε κράτος μέλος μεταξύ 13 και 16 ετών.

Απόρρητο, Άρθρο 9(3)

Το Άρθρο 9(3) του GDPR θέτει την προϋπόθεση της εχεμύθειας για την εξαίρεση της υγειονομικής περίθαλψης: τα δεδομένα υγείας μπορούν να υποβληθούν σε επεξεργασία βάσει του Άρθρου 9(2)(h) μόνο από ή υπό την ευθύνη επαγγελματία που δεσμεύεται από επαγγελματική εχεμύθεια βάσει του ενωσιακού ή εθνικού δικαίου, ή από άλλο πρόσωπο που υπόκειται σε ισοδύναμη υποχρέωση εχεμύθειας.

Οι προμηθευτές λογισμικού σε κλινικές το επιτυγχάνουν μέσω σύμβασης: η συμφωνία επεξεργασίας επιβάλλει εμπιστευτικότητα στο προσωπικό με πρόσβαση, και η πρόσβαση καταγράφεται.

Πέρα από το Άρθρο 9

Μια εξαίρεση του Άρθρου 9(2) δεν είναι η μόνη υποχρέωση του GDPR για δεδομένα υγείας. Η επεξεργασία απαιτεί επίσης μια βάση του Άρθρου 6, συνήθως μια DPIA βάσει του Άρθρου 35 και έναν υπεύθυνο προστασίας δεδομένων βάσει του Άρθρου 37, περιορισμούς στις αυτοματοποιημένες αποφάσεις βάσει του Άρθρου 22, ένα εργαλείο του Κεφαλαίου V για μεταφορές εκτός ΕΕ, ειδοποίηση παραβίασης εντός 72 ωρών και εθνικούς νόμους για τα αρχεία υγείας.

Το Άρθρο 6 εξακολουθεί να ισχύει: σύμβαση (6(1)(β)) για την παροχή της υπηρεσίας που ζήτησε το άτομο, συγκατάθεση (6(1)(α)), έννομη υποχρέωση, δημόσιο καθήκον ή έννομα συμφέροντα, τα οποία δεν μπορούν να χρησιμοποιηθούν για να παρακαμφθεί το Άρθρο 9.
Το Άρθρο 35 ΕΔΕΠ είναι υποχρεωτικό για την επεξεργασία ειδικών κατηγοριών σε μεγάλη κλίμακα· οι περισσότερες εφαρμογές υγείας και όλες οι πλατφόρμες πληρούν τις προϋποθέσεις. Δείτε ΕΔΕΠ για μια εφαρμογή υγείας.
Το Άρθρο 37 ΥΔΠ είναι υποχρεωτικό για τις κύριες δραστηριότητες που συνίστανται σε επεξεργασία ειδικών κατηγοριών σε μεγάλη κλίμακα.
Το Άρθρο 22 περιορίζει τις αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία με σημαντικές επιπτώσεις, οι οποίες περιλαμβάνουν αυτοματοποιημένη διαλογή ή επιλεξιμότητα· τα δεδομένα υγείας μπορούν να χρησιμοποιηθούν για αυτές μόνο με ρητή συγκατάθεση ή νομική βάση σε νόμο, με διασφαλίσεις.
Το Άρθρο 44 και επόμενα: οι μεταφορές εκτός ΕΕ απαιτούν επάρκεια (το Πλαίσιο Προστασίας Δεδομένων ΕΕ-ΗΠΑ για πιστοποιημένες εταιρείες των ΗΠΑ), τυποποιημένες συμβατικές ρήτρες με εκτίμηση επιπτώσεων μεταφοράς, ή άλλο εργαλείο του Κεφαλαίου V. Η φιλοξενία στην ΕΕ αποφεύγει το ερώτημα για τα δεδομένα κατά την αποθήκευση· το προσωπικό υποστήριξης στο εξωτερικό δεν το αποφεύγει.
Άρθρα 33–34: ειδοποίηση παραβίασης στην αρχή εντός 72 ωρών και στα άτομα όταν ο κίνδυνος είναι υψηλός, πράγμα που συνήθως συμβαίνει με δεδομένα υγείας.
Εθνικό δίκαιο προσθέτει επίπεδα: νόμοι περί ιατρικού απορρήτου, νόμοι περί αρχείων υγείας, περίοδοι διατήρησης, και σε ορισμένες χώρες ειδικοί κανόνες για εφαρμογές υγείας (πιστοποίηση φιλοξενίας HDS της Γαλλίας, πλαίσιο DiGA της Γερμανίας).

Ο ΕΔΔΥ επιπλέον

Ο κανονισμός για τον Ευρωπαϊκό Χώρο Δεδομένων Υγείας (2025/327) δεν αλλάζει το Άρθρο 9. Προσθέτει δικαιώματα πρόσβασης και φορητότητας δεδομένων υγείας σε κοινή μορφή, υποχρεώσεις για συστήματα ΗΔΣ, και σύστημα αδειοδότησης για δευτερεύουσα χρήση που βασίζεται στα Άρθρα 9(2)(ζ), (η), (θ) και (ι) με τις δικές του διασφαλίσεις και δυνατότητα εξαίρεσης (opt-out). Δείτε Τα ιατρικά σας δεδομένα στην ΕΕ.

Στην Anpheros

Η Anpheros επεξεργάζεται δεδομένα υγείας με τη ρητή συγκατάθεση του ατόμου για το αρχείο που τηρεί (Άρθρο 9(2)(α)), ανά σκοπό και ανακλητή στην εφαρμογή, και ως επεξεργαστής για κλινικές που γράφουν σε αυτό το αρχείο βάσει της δικής τους βάσης του Άρθρου 9(2)(η). Κάθε πρόσβαση από κλινική απαιτεί την έγκριση του ατόμου για ένα εύρος και μια διάρκεια και εμφανίζεται στο αρχείο καταγραφής προσβάσεων. Δείτε Πλατφόρμα συγκατάθεσης ασθενούς και Ποιος είδε τον ιατρικό μου φάκελο;.

Αυτή η σελίδα εξηγεί τη νομοθεσία για ομάδες προϊόντων και μηχανικούς. Δεν αποτελεί νομική συμβουλή· τα κείμενα που συνδέονται στις Πηγές είναι η αυθεντία, και ο υπεύθυνος προστασίας δεδομένων σας, ο κοινοποιημένος οργανισμός ή ο σύμβουλός σας αποφασίζει για την περίπτωσή σας. Τελευταία αναθεώρηση: Οκτώβριος 2026.

Σχετικές σελίδες

Πηγές

Συχνές ερωτήσεις

Ο αριθμός βημάτων είναι δεδομένο υγείας;

Από μόνος του, συνήθως όχι. Σε συνδυασμό με άλλα δεδομένα που αποκαλύπτουν κατάσταση υγείας (διάγνωση, πρόγραμμα αποκατάστασης, καρδιακή πάθηση), ή όταν επεξεργάζεται για να συναχθεί τέτοια κατάσταση, γίνεται δεδομένο που αφορά την υγεία. Οι ρυθμιστικές αρχές εξετάζουν τον σκοπό και το συμπέρασμα, όχι μόνο το ακατέργαστο πεδίο.

Μπορώ να χρησιμοποιήσω έννομα συμφέροντα για δεδομένα υγείας;

Όχι. Τα έννομα συμφέροντα είναι μια βάση του Άρθρου 6· τα δεδομένα υγείας χρειάζονται επιπλέον μια εξαίρεση του Άρθρου 9(2), και καμία από αυτές δεν είναι έννομα συμφέροντα. Οι αναλύσεις σε δεδομένα υγείας απαιτούν συγκατάθεση ή ανωνυμοποίηση.

Χρειάζεται μια κλινική τη συγκατάθεση του ασθενούς για να τηρεί αρχεία;

Όχι σύμφωνα με τον GDPR: επεξεργάζεται βάσει του Άρθρου 9(2)(η) και του εθνικού δικαίου υγείας. Η συγκατάθεση γίνεται σχετική όταν τα δεδομένα χρησιμοποιούνται για κάτι άλλο (κοινοποίηση σε εφαρμογή, έρευνα, μάρκετινγκ) ή όταν το εθνικό δίκαιο το απαιτεί.

Πόσο καιρό μπορούν να διατηρούνται τα δεδομένα υγείας;

Ο GDPR ορίζει ότι όχι περισσότερο από όσο είναι απαραίτητο· οι εθνικοί νόμοι περί αρχείων υγείας θέτουν συγκεκριμένες περιόδους διατήρησης για κλινικά αρχεία (συχνά 10 έως 30 χρόνια). Ένα προσωπικό αρχείο που ελέγχεται από το άτομο διατηρείται όσο το επιθυμεί και διαγράφεται κατόπιν αιτήματος.

Anpheros Platform

Δοκιμάστε δωρεάν στο sandbox

Η πρώτη σας κλήση FHIR σε 5 λεπτά. Ένα API HL7 FHIR R4 με τη συγκατάθεση του ασθενούς ενσωματωμένη: δοκιμάστε το στο sandbox, στη συνέχεια συνδέστε τη δική σας εφαρμογή ή σύστημα κλινικής.

Δημιουργία δωρεάν sandbox Διαβάστε τους οδηγούς προγραμματιστών →

Δωρεάν · 30 συνθετικοί ασθενείς · χωρίς κάρτα

Αυτός ο οδηγός παρέχεται για ενημερωτικούς σκοπούς και δεν αντικαθιστά την ιατρική συμβουλή. Για αποφάσεις σχετικά με την υγεία σας, μιλήστε με τον γιατρό σας. Σε επείγουσα περίπτωση, καλέστε τον τοπικό αριθμό έκτακτης ανάγκης (112 στην Ευρώπη).

Συντάχθηκε από

Η ομάδα του Anpheros

Το Anpheros δημιουργεί ένα ιατρικό αρχείο που ελέγχει ο ασθενής και μπορεί να μοιραστεί με οποιαδήποτε κλινική, σε πλατφόρμα HL7 FHIR R4, με έδρα την ΕΕ. Αυτοί οι οδηγοί σάς βοηθούν να κατανοήσετε και να οργανώσετε την υγεία σας· δεν αντικαθιστούν τον γιατρό σας.

Σχετικά με το Anpheros →