GDPR अनुच्छेद 9 स्वास्थ्य डेटा के लिए: उत्पाद टीमों के लिए कानूनी आधारों की व्याख्या

संक्षिप्त उत्तर: GDPR के तहत, स्वास्थ्य संबंधी डेटा एक विशेष श्रेणी है। अनुच्छेद 9(1) इसे संसाधित करने से निषेध करता है; अनुच्छेद 9(2) उन अपवादों को सूचीबद्ध करता है जो निषेध को हटाते हैं। किसी उत्पाद टीम के लिए, चार महत्वपूर्ण हैं: (ए) व्यक्ति की स्पष्ट सहमति, (एच) किसी पेशेवर की जिम्मेदारी के तहत या उसके द्वारा स्वास्थ्य सेवाओं का प्रावधान जो गोपनीयता से बंधा हो, (आई) सार्वजनिक स्वास्थ्य, और अनुच्छेद 89 के तहत सुरक्षा उपायों के साथ (जे) वैज्ञानिक अनुसंधान। अनुच्छेद 9 का अपवाद अनुच्छेद 6 के तहत एक सामान्य कानूनी आधार के अलावा आवश्यक है, न कि उसके बजाय। बड़े पैमाने पर स्वास्थ्य डेटा को संसाधित करने से DPIA (अनुच्छेद 35) और डेटा सुरक्षा अधिकारी (अनुच्छेद 37) भी ट्रिगर होता है।

स्वास्थ्य डेटा क्या माना जाता है

GDPR के तहत, स्वास्थ्य से संबंधित डेटा किसी व्यक्ति के शारीरिक या मानसिक स्वास्थ्य से जुड़ा व्यक्तिगत डेटा है, जिसमें स्वास्थ्य सेवाओं का प्रावधान भी शामिल है, जो उनकी स्वास्थ्य स्थिति के बारे में जानकारी प्रकट करता है (अनुच्छेद 4(15))। व्यापक रूप से पढ़ा जाए तो, इसमें लैब के परिणाम, निदान, दवाएं, अपॉइंटमेंट और बीमारी की छुट्टी के नोट्स, और कोई भी डेटा शामिल है जिससे स्वास्थ्य की स्थिति का अनुमान लगाया जा सकता है।

अनुच्छेद 4(15) स्वास्थ्य संबंधी डेटा को किसी व्यक्ति के शारीरिक या मानसिक स्वास्थ्य से संबंधित व्यक्तिगत डेटा के रूप में परिभाषित करता है, जिसमें स्वास्थ्य देखभाल सेवाओं का प्रावधान भी शामिल है, जो उनकी स्वास्थ्य स्थिति के बारे में जानकारी प्रकट करता है। प्रस्तावना 35 और केस कानून इसे व्यापक रूप से पढ़ते हैं: एक प्रयोगशाला मान, एक निदान, एक दवा, एक डॉक्टर की नियुक्ति, एक बीमार छुट्टी नोट, एक हृदय स्थिति के साथ संयुक्त एक कदम गणना, एक खाते से जुड़ा एक लक्षण की खोज। वह डेटा जो स्वास्थ्य स्थिति को प्रकट करता है, स्वास्थ्य डेटा है, भले ही उसे उस रूप में एकत्र न किया गया हो। न्याय न्यायालय ने 2022 में (OT, C-184/20) पुष्टि की कि वह डेटा जिससे एक विशेष-श्रेणी का तथ्य अनुमानित किया जा सकता है, वह स्वयं विशेष-श्रेणी का डेटा है।

वे अपवाद जो मायने रखते हैं

स्वास्थ्य उत्पादों के लिए सबसे महत्वपूर्ण GDPR अनुच्छेद 9(2) अपवाद हैं: स्पष्ट सहमति (a), जिसका उपयोग उपभोक्ता स्वास्थ्य ऐप्स और रोगी-नियंत्रित रिकॉर्ड द्वारा किया जाता है; स्वास्थ्य सेवा प्रावधान (h), जिसका उपयोग पेशेवर गोपनीयता के तहत क्लीनिकों और उनके सॉफ्टवेयर आपूर्तिकर्ताओं द्वारा किया जाता है; सार्वजनिक स्वास्थ्य (i); वैज्ञानिक अनुसंधान (j) अनुच्छेद 89 सुरक्षा उपायों के साथ; और महत्वपूर्ण सार्वजनिक हित (g), जिस पर EHDS द्वितीयक उपयोग के लिए निर्भर करता है।

रोगी द्वारा नियंत्रित एक व्यक्तिगत स्वास्थ्य रिकॉर्ड (ए) पर चलता है: व्यक्ति तय करता है कि क्या संग्रहीत करना है और किसके साथ साझा करना है। उस रिकॉर्ड में लिखने वाला एक क्लिनिक अपने स्वयं के प्रसंस्करण के लिए (एच) पर चलता है, और रोगी की सहमति साझा करने को नियंत्रित करती है। दोनों की सेवा करने वाला एक प्लेटफ़ॉर्म क्लिनिक के लिए एक प्रोसेसर (अनुच्छेद 28 अनुबंध) और व्यक्ति को प्रदान किए जाने वाले खाते के लिए एक नियंत्रक है। इसे लिखना, प्रति प्रसंस्करण संचालन, अनुच्छेद 30 द्वारा आवश्यक रिकॉर्ड का मूल है।

सहमति जो वास्तव में मान्य है

GDPR के तहत स्वास्थ्य डेटा के लिए स्पष्ट सहमति तभी मान्य होती है जब यह प्रत्येक उद्देश्य के लिए एक अलग, विशिष्ट कथन हो, जो एक स्पष्ट सकारात्मक कार्य द्वारा दिया गया हो, प्राप्तकर्ताओं के बारे में सूचित किया गया हो, समय और विधि के साथ दर्ज किया गया हो, और जितनी आसानी से इसे दिया गया था उतनी ही आसानी से वापस लिया जा सके। पहले से टिक किए गए बॉक्स, बंडल किए गए उद्देश्य और एनालिटिक्स के लिए सहमति के बिना अनुपयोगी ऐप्स सभी को अमान्य घोषित कर दिया गया है।

नियामकों ने बार-बार स्वास्थ्य ऐप्स के लिए सहमति को अमान्य कर दिया है: पूर्व-टिक किए गए बॉक्स; एक साथ सब कुछ के लिए सहमति का अनुरोध; एनालिटिक्स के लिए सहमति के बिना ऐप का उपयोग करने का कोई तरीका नहीं; ऐसे सहमति पाठ जिनमें प्राप्तकर्ताओं का नाम नहीं है; वापसी का कोई रास्ता नहीं। स्वास्थ्य डेटा के लिए मान्य स्पष्ट सहमति का अर्थ है एक अलग, विशिष्ट कथन ("मैं सहमत हूं कि Anpheros मेरे द्वारा अपलोड किए गए लैब परिणामों को संग्रहीत करता है"), प्रति उद्देश्य दानेदार (भंडारण; एक नामित क्लिनिक के साथ साझा करना; गुमनाम सांख्यिकी), कब और कैसे इसे दिया गया था, इसका रिकॉर्ड, और एक स्विच जो भविष्य की प्रसंस्करण पर तत्काल प्रभाव से इसे रद्द करता है। बच्चों के डेटा के लिए माता-पिता की जिम्मेदारी वाले व्यक्ति की आवश्यकता होती है, जिसमें प्रत्येक सदस्य राज्य द्वारा 13 और 16 के बीच आयु सीमा निर्धारित की जाती है।

गोपनीयता, अनुच्छेद 9(3)

GDPR अनुच्छेद 9(3) स्वास्थ्य सेवा अपवाद के लिए गोपनीयता की शर्त निर्धारित करता है: स्वास्थ्य डेटा को अनुच्छेद 9(2)(h) के तहत केवल यूरोपीय संघ या राष्ट्रीय कानून के तहत पेशेवर गोपनीयता से बंधे पेशेवर द्वारा या उसकी जिम्मेदारी के तहत, या गोपनीयता के समान दायित्व के अधीन किसी अन्य व्यक्ति द्वारा संसाधित किया जा सकता है।

क्लीनिकों के सॉफ्टवेयर आपूर्तिकर्ता अनुबंध द्वारा इसे पूरा करते हैं: प्रोसेसर समझौता पहुंच रखने वाले कर्मचारियों पर गोपनीयता लागू करता है, और पहुंच लॉग की जाती है।

अनुच्छेद 9 से परे

अनुच्छेद 9(2) अपवाद स्वास्थ्य डेटा के लिए एकमात्र GDPR दायित्व नहीं है। प्रसंस्करण के लिए अनुच्छेद 6 आधार की भी आवश्यकता होती है, आमतौर पर अनुच्छेद 35 के तहत एक DPIA और अनुच्छेद 37 के तहत एक डेटा सुरक्षा अधिकारी, अनुच्छेद 22 के तहत स्वचालित निर्णयों पर सीमाएं, यूरोपीय संघ के बाहर स्थानांतरण के लिए एक अध्याय V उपकरण, 72 घंटे की उल्लंघन अधिसूचना, और राष्ट्रीय स्वास्थ्य-रिकॉर्ड कानून।

• अनुच्छेद 6 अभी भी लागू होता है: सेवा प्रदान करने के लिए अनुबंध (6(1)(बी)) जो व्यक्ति ने मांगा था, सहमति (6(1)(ए)), कानूनी दायित्व, सार्वजनिक कार्य या वैध हित, जिसका उपयोग अनुच्छेद 9 को ओवरराइड करने के लिए नहीं किया जा सकता है।
• अनुच्छेद 35 DPIA विशेष श्रेणियों के बड़े पैमाने पर प्रसंस्करण के लिए अनिवार्य है; अधिकांश स्वास्थ्य ऐप और सभी प्लेटफ़ॉर्म योग्य हैं। स्वास्थ्य ऐप के लिए DPIA देखें।
• अनुच्छेद 37 DPO विशेष श्रेणियों के बड़े पैमाने पर प्रसंस्करण से युक्त मुख्य गतिविधियों के लिए अनिवार्य है।
• अनुच्छेद 22 महत्वपूर्ण प्रभावों के साथ पूरी तरह से स्वचालित प्रसंस्करण के आधार पर निर्णयों को सीमित करता है, जिसमें स्वचालित ट्राइएज या पात्रता शामिल है; स्वास्थ्य डेटा का उपयोग उनके लिए केवल स्पष्ट सहमति या कानून में कानूनी आधार के साथ, सुरक्षा उपायों के साथ किया जा सकता है।
• अनुच्छेद 44 और आगे: यूरोपीय संघ के बाहर स्थानांतरण के लिए पर्याप्तता (प्रमाणित अमेरिकी कंपनियों के लिए यूरोपीय संघ-अमेरिका डेटा गोपनीयता ढांचा), स्थानांतरण प्रभाव मूल्यांकन के साथ मानक संविदात्मक खंड, या अध्याय V का एक अन्य उपकरण की आवश्यकता होती है। यूरोपीय संघ में होस्टिंग आराम पर डेटा के लिए प्रश्न से बचाती है; विदेश में सहायता कर्मचारी नहीं करते हैं।
• अनुच्छेद 33-34: 72 घंटों के भीतर प्राधिकरण को उल्लंघन की सूचना और जब जोखिम अधिक हो तो लोगों को, जो स्वास्थ्य डेटा के लिए आमतौर पर होता है।
• राष्ट्रीय कानून परतें जोड़ता है: चिकित्सा गोपनीयता कानून, स्वास्थ्य रिकॉर्ड कानून, प्रतिधारण अवधि, और कुछ देशों में स्वास्थ्य ऐप के लिए विशिष्ट नियम (फ्रांस का HDS होस्टिंग प्रमाणन, जर्मनी का DiGA ढांचा)।

EHDS शीर्ष पर

यूरोपीय स्वास्थ्य डेटा स्पेस विनियमन (2025/327) अनुच्छेद 9 को नहीं बदलता है। यह सामान्य प्रारूप में स्वास्थ्य डेटा तक पहुंचने और पोर्ट करने के अधिकार, ईएचआर सिस्टम के लिए दायित्व, और माध्यमिक उपयोग के लिए एक परमिट प्रणाली जोड़ता है जो अनुच्छेद 9(2)(जी), (एच), (आई) और (जे) पर अपने स्वयं के सुरक्षा उपायों और एक ऑप्ट-आउट के साथ निर्भर करता है। यूरोपीय संघ में आपका चिकित्सा डेटा देखें।

Anpheros में

Anpheros व्यक्ति की स्पष्ट सहमति पर स्वास्थ्य डेटा को संसाधित करता है, जो उनके द्वारा रखे गए रिकॉर्ड के लिए (अनुच्छेद 9(2)(ए)), प्रति उद्देश्य और ऐप में वापस लेने योग्य है, और क्लीनिकों के लिए एक प्रोसेसर के रूप में जो उनके स्वयं के अनुच्छेद 9(2)(एच) आधार के तहत उस रिकॉर्ड में लिखते हैं। किसी क्लिनिक द्वारा हर पहुंच के लिए एक दायरे और अवधि के लिए व्यक्ति की मंजूरी की आवश्यकता होती है और उनके एक्सेस लॉग में दिखाई देती है। रोगी सहमति मंच और मेरे मेडिकल रिकॉर्ड को किसने देखा? देखें।

यह पृष्ठ उत्पाद और इंजीनियरिंग टीमों के लिए विनियमन की व्याख्या करता है। यह कानूनी सलाह नहीं है; स्रोतों के तहत लिंक किए गए पाठ अधिकार हैं, और आपका डेटा सुरक्षा अधिकारी, अधिसूचित निकाय या वकील आपके मामले के लिए निर्णय लेता है। अंतिम समीक्षा: अक्टूबर 2026।

संबंधित पृष्ठ

• स्वास्थ्य ऐप के लिए DPIA: चेकलिस्ट और टेम्पलेट
• यूरोपीय संघ में आपका चिकित्सा डेटा: GDPR, EHDS और आपके अधिकार
• HIPAA बनाम GDPR
• स्वास्थ्य डेटा का डी-पहचान
• रोगी सहमति मंच
• स्वास्थ्य डेटा विनियमन मानचित्र
• डेवलपर्स के लिए GDPR (डेवलपर साइट)

स्रोत

• GDPR अनुच्छेद 9, EUR-Lex
• GDPR अनुच्छेद 4(15) और प्रस्तावना 35, EUR-Lex
• EDPB: सहमति पर दिशानिर्देश 05/2020
• CJEU, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
• EDPB: COVID-19 संदर्भ में अनुसंधान के लिए स्वास्थ्य डेटा के प्रसंस्करण पर दिशानिर्देश (03/2020)
• विनियमन (EU) 2025/327 (EHDS), EUR-Lex

अक्सर पूछे जाने वाले प्रश्न

क्या एक कदम गणना स्वास्थ्य डेटा है?

अपने आप में, आमतौर पर नहीं। अन्य डेटा के साथ संयुक्त जो स्वास्थ्य स्थिति को प्रकट करता है (एक निदान, एक पुनर्वास कार्यक्रम, एक हृदय स्थिति), या एक का अनुमान लगाने के लिए संसाधित किया जाता है, यह स्वास्थ्य संबंधी डेटा बन जाता है। नियामक कच्चे क्षेत्र के बजाय उद्देश्य और अनुमान को देखते हैं।

क्या मैं स्वास्थ्य डेटा के लिए वैध हितों का उपयोग कर सकता हूं?

नहीं। वैध हित एक अनुच्छेद 6 आधार है; स्वास्थ्य डेटा को अतिरिक्त रूप से अनुच्छेद 9(2) अपवाद की आवश्यकता होती है, और उनमें से कोई भी वैध हित नहीं है। स्वास्थ्य डेटा पर एनालिटिक्स के लिए सहमति या गुमनामी की आवश्यकता होती है।

क्या क्लिनिक को रिकॉर्ड रखने के लिए रोगी की सहमति की आवश्यकता है?

GDPR के तहत नहीं: यह अनुच्छेद 9(2)(एच) और राष्ट्रीय स्वास्थ्य कानून के तहत संसाधित करता है। सहमति तब प्रासंगिक हो जाती है जब डेटा का उपयोग किसी और चीज़ के लिए किया जाता है (किसी ऐप, अनुसंधान, विपणन के साथ साझा करना) या जब राष्ट्रीय कानून इसकी आवश्यकता होती है।

स्वास्थ्य डेटा कब तक रखा जा सकता है?

GDPR कहता है कि आवश्यकता से अधिक समय तक नहीं; राष्ट्रीय स्वास्थ्य-रिकॉर्ड कानून नैदानिक ​​रिकॉर्ड के लिए ठोस प्रतिधारण अवधि निर्धारित करते हैं (अक्सर 10 से 30 वर्ष)। व्यक्ति द्वारा नियंत्रित एक व्यक्तिगत रिकॉर्ड तब तक रखा जाता है जब तक वे इसे चाहते हैं, और अनुरोध पर हटा दिया जाता है।

Anpheros Platform

सैंडबॉक्स में मुफ़्त आज़माएँ

5 मिनट में आपकी पहली FHIR कॉल. एक HL7 FHIR R4 API जिसमें मरीज़ की सहमति शामिल है: सैंडबॉक्स में आज़माएं, फिर अपना ऐप या क्लिनिक सिस्टम कनेक्ट करें।

मुफ़्त सैंडबॉक्स बनाएँडेवलपर गाइड पढ़ें →

मुफ़्त · 30 सिंथेटिक मरीज़ · कोई कार्ड नहीं

द्वारा लिखित

Anpheros टीम

Anpheros एक मेडिकल रिकॉर्ड बनाता है जिसे मरीज़ नियंत्रित कर सकता है और किसी भी क्लिनिक के साथ साझा कर सकता है, यह EU में स्थित HL7 FHIR R4 प्लेटफ़ॉर्म पर आधारित है। ये गाइड आपको अपने स्वास्थ्य को समझने और व्यवस्थित करने में मदद करते हैं; ये आपके डॉक्टर का विकल्प नहीं हैं।

Anpheros के बारे में →