Respuesta corta: HIPAA (1996, con las Normas de Privacidad, Seguridad y Notificación de Brechas) se aplica a las entidades cubiertas, planes de salud, intermediarios de atención médica y proveedores que facturan electrónicamente, y a sus asociados comerciales; protege la información de salud protegida que poseen y establece qué usos se permiten sin la autorización de la persona. GDPR (2016) se aplica a cualquier controlador o procesador que maneje datos personales de personas en la UE, considerando los datos de salud como una categoría especial; requiere una base legal para cada uso y otorga a las personas derechos exigibles. La diferencia práctica para un producto: una aplicación de salud para el consumidor en EE. UU. generalmente está fuera de HIPAA y regulada por la FTC y las leyes estatales en su lugar; la misma aplicación en la UE está dentro del GDPR desde el primer usuario. Un producto que sirva a ambos debe construirse para la amplitud del GDPR y las salvaguardias prescriptivas de HIPAA a la vez.
Lado a lado
Cara a cara, la HIPAA regula a las entidades cubiertas y a los socios comerciales de EE. UU. que manejan información de salud protegida, mientras que el RGPD regula a cualquier controlador o procesador de datos de residentes de la UE. La HIPAA permite usos de tratamiento, pago y operaciones sin autorización y otorga 60 días para la notificación de brechas; el RGPD requiere una base legal para cada propósito, otorga el derecho de supresión y portabilidad, y otorga 72 horas.
| HIPAA (EE. UU.) | GDPR (UE) | |
|---|---|---|
| Quién está regulado | Entidades cubiertas y asociados comerciales | Cualquier controlador o procesador de datos de residentes de la UE, en cualquier lugar |
| Qué datos | Información de salud protegida (PHI): datos de salud identificables en posesión de una entidad cubierta | Todos los datos personales; los datos de salud son una categoría especial (Artículo 9) |
| Aplicaciones de salud para consumidores | Fuera de HIPAA a menos que actúe para una entidad cubierta; se aplican la Ley FTC, la Norma de Notificación de Brechas de Salud de la FTC y las leyes estatales | Dentro del GDPR; el consentimiento explícito es la base habitual |
| Base legal para el uso | Usos permitidos sin autorización: tratamiento, pago, operaciones, además de las excepciones enumeradas; autorización en caso contrario | Una base del Artículo 6 y una excepción del Artículo 9(2) para cada propósito |
| Mínimo necesario / minimización | Estándar de mínimo necesario | Principio de minimización de datos (Artículo 5) |
| Derechos individuales | Acceso (30 días), enmienda, contabilidad de divulgaciones, restricciones | Acceso (1 mes), rectificación, supresión, portabilidad, objeción, restricción, retirada del consentimiento |
| Desidentificación | Puerto Seguro (18 identificadores) o determinación de experto | Anonimización (ya no son datos personales) frente a seudonimización (sigue siendo datos personales) |
| Seguridad | Norma de Seguridad: salvaguardias administrativas, físicas y técnicas; análisis de riesgos; especificaciones abordables frente a requeridas | Artículo 32: medidas apropiadas al riesgo; sin lista fija |
| Notificación de brechas | Individuos y HHS dentro de los 60 días posteriores al descubrimiento (medios si son 500+ en un estado); registro anual para brechas menores | Autoridad dentro de las 72 horas; individuos sin demora indebida cuando el riesgo es alto |
| Contratos | Acuerdo de asociado comercial (BAA) | Contrato de procesador (Artículo 28) |
| Roles de supervisión | Oficial de privacidad y oficial de seguridad | Delegado de Protección de Datos cuando sea requerido (Artículo 37) |
| Evaluación de impacto | Análisis de riesgos según la Norma de Seguridad | DPIA según el Artículo 35 |
| Transferencia internacional | Ninguna restricción en HIPAA en sí | Capítulo V: adecuación, SCC, Marco de Privacidad de Datos |
| Cumplimiento | Oficina de Derechos Civiles de HHS; fiscales generales estatales | Autoridades nacionales de protección de datos; EDPB |
| Multas | Sanciones civiles por niveles, ajustadas por inflación, aproximadamente hasta $2 millones por disposición por año; sanciones penales | Hasta 20 millones de euros o el 4% de la facturación mundial |
La diferencia de alcance, en la práctica
En la práctica, la HIPAA se aplica a una aplicación de salud solo cuando actúa para una entidad cubierta, como un socio comercial bajo un BAA; una aplicación de consumo que un paciente elige está fuera de la HIPAA y regulada por la FTC y las leyes estatales. En la UE, la misma aplicación es un controlador RGPD desde el primer usuario.
Un hospital de EE. UU. que utiliza una plataforma FHIR en la nube: el hospital es una entidad cubierta, la plataforma un asociado comercial bajo un BAA, ambos bajo HIPAA. Un consumidor en EE. UU. que carga sus propios informes de laboratorio en una aplicación: HIPAA no se aplica a la aplicación; la FTC sí (prácticas engañosas, y la Norma de Notificación de Brechas de Salud, actualizada en 2024 para cubrir explícitamente las aplicaciones de salud), al igual que las leyes estatales como la My Health My Data Act de Washington (2023), que requiere consentimiento para recopilar datos de salud del consumidor y prohíbe la geolocalización alrededor de centros de salud, y las disposiciones de salud de las leyes CPRA de California, Nevada y Connecticut. Un paciente en la UE que hace lo mismo: la aplicación es un controlador bajo el GDPR con obligaciones del Artículo 9 desde el primer día. Ver Artículo 9 del GDPR para datos de salud.
La diferencia de base legal
La HIPAA y el RGPD parten de puntos opuestos en cuanto a la base legal. La HIPAA permite a las entidades cubiertas utilizar información de salud protegida para tratamiento, pago y operaciones de atención médica sin autorización, requiriendo autorización por escrito para otros usos. El RGPD prohíbe el procesamiento de datos de salud a menos que se aplique una excepción del Artículo 9(2), por lo que nada está permitido por defecto y el consentimiento debe ser explícito, específico y revocable.
HIPAA parte de usos permitidos: una entidad cubierta puede usar y divulgar PHI para tratamiento, pago y operaciones de atención médica sin pedir permiso, y para una lista de propósitos de interés público; todo lo demás requiere una autorización por escrito. GDPR parte de una prohibición (para datos de salud) con excepciones; nada está permitido "por defecto", y el consentimiento, cuando se utiliza, debe ser explícito, específico y revocable. El instinto de un equipo de producto de EE. UU. de que "operaciones" cubre análisis no se traslada; en la UE, el análisis de datos de salud requiere consentimiento o anonimización.
La diferencia de derechos
En cuanto a los derechos individuales, la HIPAA y el RGPD otorgan acceso y corrección, pero el RGPD añade la supresión, la portabilidad en formato legible por máquina, la objeción y el derecho a retirar el consentimiento, de los que la HIPAA carece como tales. Un producto construido para los derechos del RGPD, con exportación, eliminación y revocación en el producto, satisface los derechos de acceso de la HIPAA con margen.
Las reglas de bloqueo de información de la Ley Cures y el derecho de acceso a la PHI electrónica a través de APIs acercan a los pacientes de EE. UU. hacia la portabilidad.
Seguridad y brechas
La Regla de Seguridad de la HIPAA es prescriptiva, con un análisis de riesgos requerido, salvaguardias administrativas, físicas y técnicas nombradas, políticas, capacitación y controles de auditoría; el Artículo 32 del RGPD se basa en resultados, solicitando medidas apropiadas al riesgo, generalmente demostradas a través de ISO 27001. Los plazos de notificación de brechas difieren drásticamente: 60 días a individuos y HHS bajo HIPAA, 72 horas a la autoridad bajo el RGPD.
La Norma de Seguridad de HIPAA es prescriptiva: un análisis de riesgos, salvaguardias nombradas, políticas, capacitación, controles de auditoría y una actualización propuesta para 2025 que haría obligatorios el cifrado y la autenticación multifactor en lugar de abordables. El Artículo 32 del GDPR está basado en resultados: apropiado al riesgo, con cifrado y seudonimización nombrados como ejemplos; ISO 27001 es la forma habitual de demostrarlo. Los plazos de las brechas difieren drásticamente: 60 días a individuos y HHS bajo HIPAA, 72 horas a la autoridad bajo el GDPR. Un manual de incidentes conjunto utiliza el plazo más corto. Ver ISO 27001 vs ISO 27799.
Desidentificación
El Puerto Seguro de HIPAA elimina 18 identificadores listados y los datos ya no son PHI; la determinación de experto certifica un riesgo de reidentificación muy bajo. El GDPR no tiene lista: los datos son anónimos solo si nadie puede reidentificarlos razonablemente, y los datos seudonimizados siguen siendo datos personales. La salida del Puerto Seguro a menudo no cumple con el estándar del GDPR, especialmente con fechas y condiciones raras. Ver Desidentificación de datos de salud.
Construyendo para ambos
Un producto que sirve tanto a EE. UU. como a la UE se diseña mejor primero para el RGPD (consentimiento por propósito, derechos en el producto, DPIA, plan de ejecución de brechas de 72 horas, opción de alojamiento en la UE) con los artefactos prescriptivos de la HIPAA superpuestos: un documento de análisis de riesgos, una plantilla de BAA, políticas de la Regla de Seguridad, un procedimiento de brechas de 60 días y registros de capacitación de la fuerza laboral.
Diseñe para el GDPR (consentimiento por propósito, derechos en el producto, DPIA, manual de 72 horas, opción de alojamiento en la UE) y superponga los artefactos prescriptivos de HIPAA (documento de análisis de riesgos, plantilla de BAA, conjunto de políticas de la Norma de Seguridad, procedimiento de brechas de 60 días, registros de capacitación de la fuerza laboral). Mantenga los datos de EE. UU. y la UE en regiones separables, porque las transferencias del GDPR y algunas leyes estatales de EE. UU. se preocupan por la ubicación. Anpheros está construido de esta manera: primero GDPR como empresa europea, con la plataforma capaz de operar como asociado comercial bajo un BAA para clientes de EE. UU. El sitio para desarrolladores documenta GDPR para desarrolladores y seguridad.
Esta página explica la regulación para equipos de producto e ingeniería. No constituye asesoramiento legal; los textos enlazados en Fuentes son la autoridad, y su delegado de protección de datos, organismo notificado o consejero decide para su caso. Última revisión: Octubre de 2026.
Páginas relacionadas
- Artículo 9 del GDPR para datos de salud
- Desidentificación de datos de salud
- ISO 27001 vs ISO 27799
- TEFCA y QHINs explicados
- Mapa de regulación de datos de salud
- GDPR para desarrolladores (sitio para desarrolladores)
Fuentes
- HHS: HIPAA para profesionales (Normas de Privacidad, Seguridad, Notificación de Brechas)
- HHS: Norma de Notificación de Brechas
- Norma de Notificación de Brechas de Salud de la FTC (16 CFR Parte 318)
- Estado de Washington: My Health My Data Act (HB 1155)
- Reglamento (UE) 2016/679 (GDPR), EUR-Lex
- Comisión Europea: Marco de Privacidad de Datos UE-EE. UU.
Preguntas frecuentes
¿Una aplicación compatible con HIPAA es automáticamente compatible con GDPR?
No. La compatibilidad con HIPAA no dice nada sobre la base legal, la calidad del consentimiento, la supresión, la portabilidad, las DPIA, los DPO o las transferencias. Cubre un subconjunto de las expectativas de seguridad del GDPR y un régimen de brechas diferente.
¿HIPAA se aplica a mi aplicación si un médico la recomienda?
No por sí sola. HIPAA se aplica si la aplicación actúa en nombre de una entidad cubierta bajo un acuerdo de asociado comercial (por ejemplo, integrada en el flujo de trabajo de la clínica a petición de la clínica). Una aplicación que el paciente elige y controla está fuera de HIPAA, y bajo las normas de la FTC y estatales.
¿Qué plazo de notificación de brechas sigo para un incidente conjunto UE-EE. UU.?
Ambos: 72 horas a la autoridad de la UE para los datos de residentes de la UE, 60 días a los individuos y al HHS para la PHI, además de cualquier plazo estatal (a menudo de 30 a 60 días) y los 60 días de la norma de la FTC para aplicaciones de salud para consumidores. Los manuales se redactan según el plazo más corto.
¿Se pueden procesar datos de salud de la UE en EE. UU.?
Sí, con una herramienta de transferencia del Capítulo V: el Marco de Privacidad de Datos UE-EE. UU. para empresas certificadas, o cláusulas contractuales estándar con una evaluación de impacto de la transferencia. Sin embargo, muchos clientes europeos exigen el alojamiento en la UE como condición contractual.
Pruébalo gratis en el sandbox
Tu primera llamada FHIR en 5 minutos. Una API HL7 FHIR R4 con el consentimiento del paciente integrado: pruébala en el sandbox y luego conecta tu propia app o sistema de clínica.
Gratis · 30 pacientes sintéticos · sin tarjeta
Anpheros crea un historial médico que el paciente controla y puede compartir con cualquier clínica, en una plataforma HL7 FHIR R4, con sede en la UE. Estas guías te ayudan a entender y organizar tu salud; no reemplazan a tu médico.
Sobre Anpheros →