Σύντομη απάντηση: Ο HIPAA (1996, με τους κανόνες Απορρήτου, Ασφάλειας και Ειδοποίησης Παραβίασης) ισχύει για καλυπτόμενες οντότητες, ασφαλιστικά σχέδια, κέντρα επεξεργασίας υγειονομικής περίθαλψης και παρόχους που τιμολογούν ηλεκτρονικά, καθώς και για τους συνεργάτες τους· προστατεύει τις προστατευόμενες πληροφορίες υγείας που διατηρούν και ορίζει ποιες χρήσεις επιτρέπονται χωρίς την άδεια του ατόμου. Ο GDPR (2016) ισχύει για οποιονδήποτε ελεγκτή ή επεξεργαστή χειρίζεται προσωπικά δεδομένα ατόμων στην ΕΕ, με τα δεδομένα υγείας ως ειδική κατηγορία· απαιτεί νομική βάση για κάθε χρήση και παρέχει στα άτομα εκτελεστά δικαιώματα. Η πρακτική διαφορά για ένα προϊόν: μια εφαρμογή υγείας καταναλωτών στις ΗΠΑ βρίσκεται συνήθως εκτός του HIPAA και ρυθμίζεται από την FTC και τους νόμους των πολιτειών αντ' αυτού· η ίδια εφαρμογή στην ΕΕ βρίσκεται εντός του GDPR από τον πρώτο χρήστη. Ένα προϊόν που εξυπηρετεί και τις δύο αγορές πρέπει να κατασκευαστεί ταυτόχρονα για το εύρος του GDPR και τις επιτακτικές διασφαλίσεις του HIPAA.
Παράλληλη σύγκριση
Συγκρίνοντας τα δύο, ο HIPAA ρυθμίζει τις καλυπτόμενες οντότητες και τους συνεργάτες στις ΗΠΑ που χειρίζονται προστατευόμενες πληροφορίες υγείας, ενώ ο GDPR ρυθμίζει κάθε υπεύθυνο ή εκτελούντα την επεξεργασία δεδομένων κατοίκων της ΕΕ. Ο HIPAA επιτρέπει τη χρήση για σκοπούς θεραπείας, πληρωμής και λειτουργιών χωρίς άδεια και δίνει 60 ημέρες για την ειδοποίηση παραβίασης. Ο GDPR απαιτεί νομική βάση για κάθε σκοπό, παρέχει δικαίωμα διαγραφής και φορητότητας, και δίνει 72 ώρες.
| HIPAA (ΗΠΑ) | GDPR (ΕΕ) | |
|---|---|---|
| Ποιος ρυθμίζεται | Καλυπτόμενες οντότητες και συνεργάτες | Οποιοσδήποτε ελεγκτής ή επεξεργαστής δεδομένων κατοίκων ΕΕ, οπουδήποτε |
| Τι δεδομένα | Προστατευόμενες πληροφορίες υγείας (PHI): αναγνωρίσιμα δεδομένα υγείας που διατηρούνται από καλυπτόμενη οντότητα | Όλα τα προσωπικά δεδομένα· τα δεδομένα υγείας είναι ειδική κατηγορία (Άρθρο 9) |
| Εφαρμογές υγείας καταναλωτών | Εκτός HIPAA, εκτός αν ενεργεί για λογαριασμό καλυπτόμενης οντότητας· ισχύουν ο νόμος FTC, ο κανόνας FTC για την ειδοποίηση παραβίασης υγείας, νόμοι πολιτειών | Εντός GDPR· η ρητή συγκατάθεση είναι η συνήθης βάση |
| Νομική βάση για χρήση | Επιτρεπόμενες χρήσεις χωρίς άδεια: θεραπεία, πληρωμή, λειτουργίες, συν εγκεκριμένες εξαιρέσεις· άδεια αλλιώς | Μια βάση του Άρθρου 6 και μια εξαίρεση του Άρθρου 9(2) για κάθε σκοπό |
| Ελάχιστη αναγκαιότητα / ελαχιστοποίηση | Πρότυπο ελάχιστης αναγκαιότητας | Αρχή ελαχιστοποίησης δεδομένων (Άρθρο 5) |
| Δικαιώματα ατόμου | Πρόσβαση (30 ημέρες), τροποποίηση, λογοδοσία κοινοποιήσεων, περιορισμοί | Πρόσβαση (1 μήνας), διόρθωση, διαγραφή, φορητότητα, αντίρρηση, περιορισμός, ανάκληση συγκατάθεσης |
| Απο-ταυτοποίηση | Ασφαλής Λιμένας (18 αναγνωριστικά) ή εμπειρογνωμοσύνη | Ανωνυμοποίηση (όχι πλέον προσωπικά δεδομένα) έναντι ψευδωνυμοποίησης (ακόμα προσωπικά δεδομένα) |
| Ασφάλεια | Κανόνας Ασφάλειας: διοικητικές, φυσικές, τεχνικές διασφαλίσεις· ανάλυση κινδύνου· διευθετήσιμες έναντι απαιτούμενων προδιαγραφών | Άρθρο 32: κατάλληλα μέτρα ανάλογα με τον κίνδυνο· όχι σταθερή λίστα |
| Ειδοποίηση παραβίασης | Άτομα και HHS εντός 60 ημερών από την ανακάλυψη (μέσα ενημέρωσης αν 500+ σε μια πολιτεία)· ετήσιο αρχείο για μικρότερες παραβιάσεις | Αρχή εντός 72 ωρών· άτομα χωρίς αδικαιολόγητη καθυστέρηση όταν υπάρχει υψηλός κίνδυνος |
| Συμβάσεις | Συμφωνία συνεργάτη (BAA) | Σύμβαση επεξεργαστή (Άρθρο 28) |
| Ρόλοι εποπτείας | Υπεύθυνος απορρήτου και υπεύθυνος ασφάλειας | Υπεύθυνος προστασίας δεδομένων όπου απαιτείται (Άρθρο 37) |
| Εκτίμηση αντικτύπου | Ανάλυση κινδύνου σύμφωνα με τον Κανόνα Ασφάλειας | DPIA σύμφωνα με το Άρθρο 35 |
| Διεθνής μεταφορά | Κανένας περιορισμός στον ίδιο τον HIPAA | Κεφάλαιο V: επάρκεια, SCCs, Πλαίσιο Απορρήτου Δεδομένων |
| Επιβολή | Γραφείο Πολιτικών Δικαιωμάτων του HHS· εισαγγελείς πολιτειών | Εθνικές αρχές προστασίας δεδομένων· EDPB |
| Πρόστιμα | Κλιμακωτές αστικές ποινές, προσαρμοσμένες στον πληθωρισμό, περίπου έως 2 εκατομμύρια δολάρια ανά διάταξη ανά έτος· ποινικές κυρώσεις | Έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου κύκλου εργασιών |
Η διαφορά στο πεδίο εφαρμογής, στην πράξη
Στην πράξη, ο HIPAA εφαρμόζεται σε μια εφαρμογή υγείας μόνο όταν ενεργεί για λογαριασμό μιας καλυπτόμενης οντότητας, ως συνεργάτης βάσει συμφωνίας BAA. Μια εφαρμογή που επιλέγει ο ασθενής βρίσκεται εκτός του πεδίου εφαρμογής του HIPAA και ρυθμίζεται από την FTC και τους νόμους των πολιτειών. Στην ΕΕ, η ίδια εφαρμογή είναι υπεύθυνη επεξεργασίας GDPR από τον πρώτο χρήστη.
Ένα νοσοκομείο στις ΗΠΑ που χρησιμοποιεί μια πλατφόρμα FHIR στο cloud: το νοσοκομείο είναι καλυπτόμενη οντότητα, η πλατφόρμα συνεργάτης βάσει BAA, και οι δύο υπό τον HIPAA. Ένας καταναλωτής στις ΗΠΑ που ανεβάζει τις δικές του εργαστηριακές αναφορές σε μια εφαρμογή: ο HIPAA δεν ισχύει για την εφαρμογή· η FTC ισχύει (παραπλανητικές πρακτικές, και ο κανόνας FTC για την ειδοποίηση παραβίασης υγείας, που ενημερώθηκε το 2024 για να καλύπτει ρητά τις εφαρμογές υγείας), όπως και οι νόμοι πολιτειών όπως ο My Health My Data Act της Ουάσινγκτον (2023), ο οποίος απαιτεί συγκατάθεση για τη συλλογή δεδομένων υγείας καταναλωτών και απαγορεύει τη γεωφύτευση γύρω από εγκαταστάσεις υγείας, καθώς και οι διατάξεις υγείας του California CPRA, των νόμων της Νεβάδα και του Κονέκτικατ. Ένας ασθενής στην ΕΕ που κάνει το ίδιο: η εφαρμογή είναι ελεγκτής βάσει του GDPR με υποχρεώσεις του Άρθρου 9 από την πρώτη ημέρα. Δείτε Άρθρο 9 GDPR για δεδομένα υγείας.
Η διαφορά στη νομική βάση
Ο HIPAA και ο GDPR ξεκινούν από αντίθετες αφετηρίες όσον αφορά τη νομική βάση. Ο HIPAA επιτρέπει στις καλυπτόμενες οντότητες να χρησιμοποιούν προστατευόμενες πληροφορίες υγείας για σκοπούς θεραπείας, πληρωμής και λειτουργιών υγειονομικής περίθαλψης χωρίς άδεια, απαιτώντας γραπτή άδεια για άλλες χρήσεις. Ο GDPR απαγορεύει την επεξεργασία δεδομένων υγείας, εκτός εάν ισχύει εξαίρεση του Άρθρου 9(2), οπότε τίποτα δεν επιτρέπεται εξ ορισμού και η συγκατάθεση πρέπει να είναι ρητή, συγκεκριμένη και ανακλητή.
Ο HIPAA ξεκινά από τις επιτρεπόμενες χρήσεις: μια καλυπτόμενη οντότητα μπορεί να χρησιμοποιεί και να κοινοποιεί PHI για θεραπεία, πληρωμή και λειτουργίες υγειονομικής περίθαλψης χωρίς να ζητά άδεια, και για μια λίστα σκοπών δημοσίου συμφέροντος· οτιδήποτε άλλο απαιτεί γραπτή άδεια. Ο GDPR ξεκινά από απαγόρευση (για δεδομένα υγείας) με εξαιρέσεις· τίποτα δεν επιτρέπεται "εξ ορισμού", και η συγκατάθεση, όταν χρησιμοποιείται, πρέπει να είναι ρητή, συγκεκριμένη και ανακλητή. Η αντίδραση μιας ομάδας προϊόντων των ΗΠΑ ότι οι "λειτουργίες" καλύπτουν την ανάλυση δεδομένων δεν μεταφέρεται· στην ΕΕ, η ανάλυση δεδομένων υγείας απαιτεί συγκατάθεση ή ανωνυμοποίηση.
Η διαφορά στα δικαιώματα
Όσον αφορά τα ατομικά δικαιώματα, τόσο ο HIPAA όσο και ο GDPR χορηγούν πρόσβαση και διόρθωση, αλλά ο GDPR προσθέτει διαγραφή, φορητότητα σε μηχαναναγνώσιμο μορφότυπο, αντίρρηση και το δικαίωμα ανάκλησης της συγκατάθεσης, τα οποία ο HIPAA δεν διαθέτει ως τέτοια. Ένα προϊόν που δημιουργείται για τα δικαιώματα του GDPR, με εξαγωγή, διαγραφή και ανάκληση εντός του προϊόντος, ικανοποιεί τα δικαιώματα πρόσβασης του HIPAA με το παραπάνω.
Οι κανόνες του Cures Act για την παρεμπόδιση πληροφοριών και το δικαίωμα πρόσβασης σε ηλεκτρονικές PHI μέσω APIs ωθούν τους ασθενείς στις ΗΠΑ προς τη φορητότητα.
Ασφάλεια και παραβιάσεις
Ο Κανόνας Ασφάλειας του HIPAA είναι επιτακτικός, με απαιτούμενη ανάλυση κινδύνου, καθορισμένες διοικητικές, φυσικές και τεχνικές διασφαλίσεις, πολιτικές, εκπαίδευση και ελέγχους ελέγχου. Το Άρθρο 32 του GDPR βασίζεται στο αποτέλεσμα, ζητώντας μέτρα κατάλληλα για τον κίνδυνο, που συνήθως αποδεικνύονται μέσω του ISO 27001. Οι προθεσμίες για παραβιάσεις διαφέρουν σημαντικά: 60 ημέρες προς τους ιδιώτες και το HHS βάσει του HIPAA, 72 ώρες προς την αρχή βάσει του GDPR.
Ο Κανόνας Ασφάλειας του HIPAA είναι επιτακτικός: ανάλυση κινδύνου, ονομαστικές διασφαλίσεις, πολιτικές, εκπαίδευση, έλεγχοι ελέγχου και μια προτεινόμενη ενημέρωση για το 2025 που θα καθιστούσε την κρυπτογράφηση και τον έλεγχο ταυτότητας πολλαπλών παραγόντων υποχρεωτικούς αντί για διευθετήσιμους. Το Άρθρο 32 του GDPR είναι βασισμένο στο αποτέλεσμα: κατάλληλο για τον κίνδυνο, με την κρυπτογράφηση και την ψευδωνυμοποίηση να αναφέρονται ως παραδείγματα· το ISO 27001 είναι ο συνήθης τρόπος απόδειξής του. Οι προθεσμίες παραβίασης διαφέρουν απότομα: 60 ημέρες σε άτομα και HHS βάσει HIPAA, 72 ώρες στην αρχή βάσει GDPR. Ένα κοινό εγχειρίδιο περιστατικών χρησιμοποιεί το μικρότερο χρονικό όριο. Δείτε ISO 27001 έναντι ISO 27799.
Απο-ταυτοποίηση
Ο Ασφαλής Λιμένας του HIPAA αφαιρεί 18 αναγνωριστικά και τα δεδομένα δεν είναι πλέον PHI· η εμπειρογνωμοσύνη πιστοποιεί έναν πολύ μικρό κίνδυνο επαν-ταυτοποίησης. Ο GDPR δεν έχει λίστα: τα δεδομένα είναι ανώνυμα μόνο εάν κανείς δεν μπορεί εύλογα να τα επαν-ταυτοποιήσει, και τα ψευδωνυμοποιημένα δεδομένα παραμένουν προσωπικά δεδομένα. Η έξοδος του Ασφαλούς Λιμένα συχνά δεν πληροί το κριτήριο του GDPR, ειδικά με ημερομηνίες και σπάνιες παθήσεις. Δείτε Απο-ταυτοποίηση δεδομένων υγείας.
Κατασκευή και για τα δύο
Ένα προϊόν που εξυπηρετεί τόσο τις ΗΠΑ όσο και την ΕΕ είναι καλύτερο να σχεδιαστεί πρώτα σύμφωνα με τον GDPR (συγκατάθεση ανά σκοπό, δικαιώματα εντός του προϊόντος, DPIA, 72ωρη διαδικασία αντιμετώπισης παραβιάσεων, επιλογή φιλοξενίας στην ΕΕ) με τις επιτακτικές διαδικασίες του HIPAA από πάνω: έγγραφο ανάλυσης κινδύνου, πρότυπο BAA, πολιτικές του Κανόνα Ασφάλειας, διαδικασία παραβίασης 60 ημερών και αρχεία εκπαίδευσης προσωπικού.
Σχεδιάστε σύμφωνα με τον GDPR (συγκατάθεση ανά σκοπό, δικαιώματα στο προϊόν, DPIA, εγχειρίδιο 72 ωρών, επιλογή φιλοξενίας στην ΕΕ) και προσθέστε από πάνω τα επιτακτικά τεχνικά στοιχεία του HIPAA (έγγραφο ανάλυσης κινδύνου, πρότυπο BAA, σύνολο πολιτικών Κανόνα Ασφάλειας, διαδικασία παραβίασης 60 ημερών, αρχεία εκπαίδευσης προσωπικού). Διατηρήστε τα δεδομένα ΗΠΑ και ΕΕ σε διαχωρίσιμες περιοχές, επειδή οι μεταφορές GDPR και ορισμένοι νόμοι πολιτειών των ΗΠΑ ενδιαφέρονται και για την τοποθεσία. Το Anpheros είναι κατασκευασμένο έτσι: GDPR-πρώτα ως ευρωπαϊκή εταιρεία, με την πλατφόρμα να μπορεί να λειτουργεί ως συνεργάτης βάσει BAA για πελάτες των ΗΠΑ. Ο ιστότοπος προγραμματιστών τεκμηριώνει GDPR για προγραμματιστές και ασφάλεια.
Αυτή η σελίδα εξηγεί τη ρύθμιση για ομάδες προϊόντων και μηχανικών. Δεν αποτελεί νομική συμβουλή· τα κείμενα που συνδέονται κάτω από Πηγές είναι η αυθεντία, και ο υπεύθυνος προστασίας δεδομένων, ο κοινοποιημένος φορέας ή ο σύμβουλός σας αποφασίζει για την περίπτωσή σας. Τελευταία αναθεώρηση: Οκτώβριος 2026.
Σχετικές σελίδες
- Άρθρο 9 GDPR για δεδομένα υγείας
- Απο-ταυτοποίηση δεδομένων υγείας
- ISO 27001 έναντι ISO 27799
- TEFCA και QHINs εξηγούνται
- Χάρτης ρύθμισης δεδομένων υγείας
- GDPR για προγραμματιστές (ιστότοπος προγραμματιστών)
Πηγές
- HHS: HIPAA για επαγγελματίες (Κανόνες Απορρήτου, Ασφάλειας, Ειδοποίησης Παραβίασης)
- HHS: Κανόνας Ειδοποίησης Παραβίασης
- FTC Health Breach Notification Rule (16 CFR Part 318)
- Πολιτεία Ουάσινγκτον: My Health My Data Act (HB 1155)
- Κανονισμός (ΕΕ) 2016/679 (GDPR), EUR-Lex
- Ευρωπαϊκή Επιτροπή: Πλαίσιο Απορρήτου Δεδομένων ΕΕ-ΗΠΑ
Συχνές ερωτήσεις
Μια εφαρμογή συμβατή με HIPAA είναι αυτόματα συμβατή με GDPR;
Όχι. Η συμμόρφωση με τον HIPAA δεν λέει τίποτα για τη νομική βάση, την ποιότητα της συγκατάθεσης, τη διαγραφή, τη φορητότητα, τις DPIAs, τους DPOs ή τις μεταφορές. Καλύπτει ένα υποσύνολο των προσδοκιών ασφάλειας του GDPR και ένα διαφορετικό καθεστώς παραβιάσεων.
Ισχύει ο HIPAA για την εφαρμογή μου αν ένας γιατρός τη συστήσει;
Όχι από μόνη της. Ο HIPAA ισχύει εάν η εφαρμογή ενεργεί για λογαριασμό μιας καλυπτόμενης οντότητας βάσει συμφωνίας συνεργάτη (για παράδειγμα, ενσωματωμένη στη ροή εργασίας της κλινικής κατόπιν αιτήματος της κλινικής). Μια εφαρμογή που επιλέγει και ελέγχει ο ασθενής βρίσκεται εκτός του HIPAA, και υπό τους κανόνες της FTC και των πολιτειών.
Ποια προθεσμία παραβίασης ακολουθώ για ένα κοινό περιστατικό ΕΕ-ΗΠΑ;
Και οι δύο: 72 ώρες στην αρχή της ΕΕ για δεδομένα κατοίκων ΕΕ, 60 ημέρες σε άτομα και HHS για PHI, συν τυχόν προθεσμίες πολιτειών (συχνά 30 έως 60 ημέρες) και τις 60 ημέρες του κανόνα FTC για εφαρμογές υγείας καταναλωτών. Τα εγχειρίδια λειτουργίας συντάσσονται με το μικρότερο χρονικό όριο.
Μπορούν να επεξεργαστούν δεδομένα υγείας της ΕΕ στις ΗΠΑ;
Ναι, με εργαλείο μεταφοράς του Κεφαλαίου V: το Πλαίσιο Απορρήτου Δεδομένων ΕΕ-ΗΠΑ για πιστοποιημένες εταιρείες, ή τυποποιημένες συμβατικές ρήτρες με εκτίμηση αντικτύπου μεταφοράς. Πολλοί ευρωπαίοι πελάτες εξακολουθούν να απαιτούν φιλοξενία στην ΕΕ ως συμβατική προϋπόθεση.
Δοκιμάστε δωρεάν στο sandbox
Η πρώτη σας κλήση FHIR σε 5 λεπτά. Ένα API HL7 FHIR R4 με τη συγκατάθεση του ασθενούς ενσωματωμένη: δοκιμάστε το στο sandbox, στη συνέχεια συνδέστε τη δική σας εφαρμογή ή σύστημα κλινικής.
Δωρεάν · 30 συνθετικοί ασθενείς · χωρίς κάρτα
Το Anpheros δημιουργεί ένα ιατρικό αρχείο που ελέγχει ο ασθενής και μπορεί να μοιραστεί με οποιαδήποτε κλινική, σε πλατφόρμα HL7 FHIR R4, με έδρα την ΕΕ. Αυτοί οι οδηγοί σάς βοηθούν να κατανοήσετε και να οργανώσετε την υγεία σας· δεν αντικαθιστούν τον γιατρό σας.
Σχετικά με το Anpheros →