Respuesta corta: el software que maneja datos de salud responde a cuatro familias de normas a la vez. Protección de datos dice lo que puedes hacer con los datos personales de salud: el Artículo 9 del RGPD en la UE, HIPAA y un mosaico de leyes estatales en EE. UU. Normas del sistema de salud dicen cómo deben moverse y compartirse los datos: el Espacio Europeo de Datos Sanitarios (EHDS) en la UE, TEFCA, USCDI y las normas de bloqueo de información en EE. UU. Seguridad del producto se aplica cuando el software hace algo médico: el Reglamento de Productos Sanitarios (MDR) y el Reglamento de Productos Sanitarios para Diagnóstico In Vitro (IVDR) en la UE, las normas de la FDA en EE. UU., con IEC 62304 e ISO 13485 como los estándares de ingeniería y calidad detrás de ellos. Seguridad establece la base que todos deben cumplir: ISO 27001 y 27799, NIS2 para sectores críticos, la Norma de Seguridad de HIPAA. La identidad (eIDAS y la Cartera Europea de Identidad Digital, NHS login, DNI nacionales) se aplica a las cuatro.
El mapa
El mapa de regulación de datos de salud agrupa las normas para el software que maneja datos de salud en familias: protección de datos (Artículo 9 del RGPD, HIPAA, leyes estatales de EE. UU.), normas del sistema de salud (EHDS, Cures Act, TEFCA), seguridad del producto (MDR, IVDR, FDA), normas de ingeniería y calidad (IEC 62304, ISO 13485), seguridad (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) e identidad (eIDAS 2).
| Familia | Norma | Se aplica a | Qué pide |
|---|---|---|---|
| Protección de datos | RGPD, Art. 9 y Art. 35 | Cualquiera que procese datos de salud de residentes de la UE | Una base legal del Art. 9(2), una EIPD, un DPD para procesamiento a gran escala, derechos, notificación de brechas en 72 h |
| Protección de datos | HIPAA (Normas de Privacidad, Seguridad, Brechas) | Entidades cubiertas por HIPAA y sus asociados comerciales en EE. UU. | Usos permitidos, salvaguardias, notificación de brechas; no cubre la mayoría de las aplicaciones de consumo |
| Protección de datos | Leyes estatales de EE. UU. (CCPA/CPRA, Washington My Health My Data…) | Empresas que manejan datos de residentes | Consentimiento para datos de salud del consumidor, derechos de eliminación, restricciones de venta |
| Sistema de salud | EHDS, Reglamento (UE) 2025/327 | Sistemas de HCE, aplicaciones de bienestar que reclaman interoperabilidad, titulares de datos, organismos de acceso a datos de salud | Acceso y portabilidad del paciente en el formato de intercambio europeo, MyHealth@EU obligatorio, permisos de uso secundario |
| Sistema de salud | Ley de Curas del Siglo XXI, normas HTI de la ONC, TEFCA | TI de salud certificada en EE. UU., proveedores, redes | API FHIR, datos USCDI, sin bloqueo de información, intercambio a nivel nacional |
| Seguridad del producto | MDR 2017/745, IVDR 2017/746 | Software con propósito médico para pacientes de la UE | Clasificación, evaluación de conformidad, evaluación clínica, vigilancia post-comercialización, marcado CE |
| Seguridad del producto | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Software como dispositivo médico para EE. UU. | Vía previa a la comercialización por clase, sistema de calidad, documentación de ciberseguridad |
| Ingeniería | IEC 62304, IEC 82304-1, ISO 14971 | Equipos de software de dispositivos médicos | Ciclo de vida del software por clase de seguridad, gestión de riesgos |
| Calidad | ISO 13485 | Fabricantes de dispositivos | Un sistema de gestión de calidad que cubre diseño, producción, quejas |
| Seguridad | ISO/IEC 27001, ISO 27799, ISO 27701 | Cualquier organización; orientación específica para la salud | Un sistema de gestión de seguridad de la información, controles de salud, extensión de privacidad |
| Seguridad | NIS2, Directiva 2022/2555 | Proveedores de atención médica, fabricantes de dispositivos, proveedores de nube y digitales por encima de ciertos umbrales | Medidas de riesgo, notificación de incidentes en 24/72 h, responsabilidad de la dirección |
| Seguridad | Norma de Seguridad de HIPAA | Entidades cubiertas por HIPAA y asociados comerciales en EE. UU. | Salvaguardias administrativas, físicas y técnicas; análisis de riesgos |
| Identidad | eIDAS 2 y la Cartera Europea de Identidad Digital | Servicios que verifican la identidad de los ciudadanos de la UE | Aceptación de la cartera para identificación sólida a partir de 2026-2027 |
Quién está cubierto por qué
Qué normas de datos de salud se aplican depende de lo que haga el software. Una aplicación para consumidores sin afirmaciones médicas responde al Artículo 9 del RGPD, a una DPIA y a prácticas de seguridad; añadir interpretación la convierte en un dispositivo médico bajo el MDR; una plataforma FHIR es un procesador de RGPD y a veces está sujeta a NIS2; un hospital asume todo esto más NIS2 como entidad esencial.
- Una aplicación de salud para el consumidor sin afirmaciones médicas (un diario de síntomas, un registro de informes de laboratorio): Artículo 9 del RGPD con consentimiento explícito, una EIPD, práctica de seguridad a nivel ISO 27001, y la etiqueta de aplicación de bienestar del EHDS si afirma conectarse a sistemas de HCE. No es un dispositivo médico, siempre que su propósito previsto siga siendo no médico. En EE. UU.: normas de la FTC y leyes estatales de privacidad de la salud en lugar de HIPAA.
- La misma aplicación con una función de interpretación ("su resultado sugiere…"): un dispositivo médico según la Norma 11 del MDR, generalmente clase IIa, con IEC 62304 e ISO 13485 detrás. Ver ¿Es una aplicación de salud un dispositivo médico? y Clases de SaMD.
- Un proveedor de plataformas o integración FHIR: RGPD como encargado del tratamiento (contratos del Artículo 28), ISO 27001, posiblemente NIS2 como proveedor de infraestructura digital o servicios TIC, obligaciones del EHDS cuando forma parte de un sistema de HCE, HIPAA como asociado comercial en EE. UU.
- Un hospital: todo lo anterior como responsable del tratamiento y operador, además de NIS2 como entidad esencial, leyes nacionales de registros de salud y los plazos del EHDS para conectarse a la infraestructura nacional.
- Una plataforma de investigación: Artículo 9(2)(j) y Artículo 89 del RGPD, el capítulo de uso secundario del EHDS (permisos de un organismo de acceso a datos de salud, entornos de procesamiento seguros), y normas de anonimización. Ver Uso secundario de datos de salud.
En qué orden
El cumplimiento de la normativa de datos de salud se aborda mejor en un orden fijo: primero se redacta el propósito previsto, porque decide si el software es un dispositivo médico; luego la protección de datos (base legal, DPIA, contratos con procesadores); luego una línea base de seguridad según ISO 27001; luego los mandatos de interoperabilidad como FHIR y EHDS o USCDI; luego la vía del dispositivo, si la hay; finalmente las cuestiones transfronterizas.
- Decida el propósito previsto por escrito. Determina si es un dispositivo médico, y todo lo demás se deriva de ello.
- Protección de datos primero: base legal, EIPD, contratos con encargados del tratamiento, DPD. Estos son necesarios antes del primer usuario real, en todos los escenarios. Ver Artículo 9 del RGPD para datos de salud y EIPD para una aplicación de salud.
- Base de seguridad: un SGSI según ISO 27001, mapeado a los controles de salud de 27799; esto también responde a la mayor parte de NIS2 y la Norma de Seguridad de HIPAA. Ver ISO 27001 vs ISO 27799 y NIS2 para hospitales y proveedores.
- Mandatos de interoperabilidad: FHIR y el formato de intercambio de su mercado (EHDS, USCDI/US Core) para que el producto no quede excluido de la infraestructura nacional. Ver USCDI explicado y TEFCA explicado.
- Ruta del dispositivo, si la hay: clasificación, sistema de calidad, ciclo de vida, organismo notificado o vía de la FDA. Presupueste un año.
- Transfronterizo: diferencias entre HIPAA y RGPD al servir a ambos mercados (HIPAA vs RGPD), mecanismos de transferencia, ubicación del alojamiento.
Dónde se sitúa Anpheros
Anpheros Daily es un registro de salud personal con un propósito previsto declarado no médico: almacena, muestra y comparte, y no interpreta ni recomienda. Anpheros Platform es un backend FHIR R4 ofrecido a clínicas y desarrolladores como encargado del tratamiento según el Artículo 28 del RGPD, con consentimiento y registros de acceso controlados por el paciente. Las páginas de regulación en este clúster describen las normas tal como se aplican a cualquier producto de este tipo; la página de transparencia describe cómo Anpheros las aplica a sí mismo.
Esta página explica la regulación para equipos de producto e ingeniería. No constituye asesoramiento legal; los textos enlazados bajo Fuentes son la autoridad, y su oficial de protección de datos, organismo notificado o asesor decide para su caso. Última revisión: octubre de 2026.
Páginas relacionadas
- ¿Es una aplicación de salud un dispositivo médico? Norma 11 del MDR de la UE
- Sus datos médicos en la UE: RGPD, EHDS y sus derechos
- Artículo 9 del RGPD para datos de salud
- EIPD para una aplicación de salud
- HIPAA vs RGPD
- NIS2 para hospitales y proveedores de tecnología sanitaria
- Estándares de interoperabilidad sanitaria: el mapa
- RGPD para desarrolladores (sitio de desarrolladores)
- Registros electrónicos de salud nacionales en Europa y EE. UU.
- MyHealth@EU y el resumen de paciente transfronterizo
- La Ley de IA de la UE y la IA en salud
- Uso secundario de datos de salud
- Seguridad e identidad en aplicaciones de salud
Fuentes
- Reglamento (UE) 2016/679 (RGPD), EUR-Lex
- Reglamento (UE) 2025/327 (Espacio Europeo de Datos Sanitarios), EUR-Lex
- Reglamento (UE) 2017/745 (MDR), EUR-Lex
- Reglamento (UE) 2017/746 (IVDR), EUR-Lex
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA para profesionales
- ASTP/ONC: Marco de Intercambio Confiable y Acuerdo Común
- ISO/IEC 27001:2022
Preguntas frecuentes
¿Se aplica el RGPD a una empresa estadounidense con usuarios de la UE?
Sí, según el Artículo 3(2), tan pronto como ofrezca servicios a personas en la UE o supervise su comportamiento, independientemente de dónde se encuentren los servidores. Luego necesita un representante en la UE, una base legal según el Artículo 9 y un mecanismo de transferencia lícito.
¿Es HIPAA más estricto que el RGPD?
Ninguno es estrictamente más estricto. HIPAA tiene un alcance más limitado (solo entidades cubiertas y asociados comerciales) y es más prescriptivo sobre las salvaguardias; el RGPD es más amplio (cualquiera que procese datos de residentes de la UE), se basa en derechos y requiere una base legal para cada uso. Un producto en ambos mercados debe cumplir ambos.
¿El EHDS reemplaza al RGPD para los datos de salud?
No. El EHDS se basa en el RGPD y añade obligaciones para los sistemas de HCE, el acceso del paciente, el intercambio transfronterizo y el uso secundario. El RGPD sigue siendo la base para cada operación de procesamiento.
¿Por dónde empiezo si no tengo un equipo de cumplimiento?
Escriba el propósito previsto, ejecute una EIPD con una plantilla, adopte una base de seguridad al estilo ISO 27001 y utilice FHIR con los perfiles de su mercado. Esos cuatro pasos cubren la mayor parte de lo que pedirá una primera auditoría o un primer cliente hospitalario.
Pruébalo gratis en el sandbox
Tu primera llamada FHIR en 5 minutos. Una API HL7 FHIR R4 con el consentimiento del paciente integrado: pruébala en el sandbox y luego conecta tu propia app o sistema de clínica.
Gratis · 30 pacientes sintéticos · sin tarjeta
Anpheros crea un historial médico que el paciente controla y puede compartir con cualquier clínica, en una plataforma HL7 FHIR R4, con sede en la UE. Estas guías te ayudan a entender y organizar tu salud; no reemplazan a tu médico.
Sobre Anpheros →