संक्षिप्त उत्तर: स्वास्थ्य डेटा से संबंधित सॉफ़्टवेयर चार नियमों के परिवारों के अधीन होता है। डेटा सुरक्षा बताता है कि आप व्यक्तिगत स्वास्थ्य डेटा के साथ क्या कर सकते हैं: यूरोपीय संघ में GDPR का अनुच्छेद 9, अमेरिका में HIPAA और विभिन्न राज्य कानून। स्वास्थ्य-प्रणाली नियम बताते हैं कि डेटा को कैसे स्थानांतरित और साझा किया जाना चाहिए: यूरोपीय संघ में यूरोपीय स्वास्थ्य डेटा स्पेस (EHDS), अमेरिका में TEFCA, USCDI और सूचना-अवरोधन नियम। उत्पाद सुरक्षा तब लागू होती है जब सॉफ़्टवेयर कुछ चिकित्सीय करता है: यूरोपीय संघ में चिकित्सा उपकरण विनियमन (MDR) और इन विट्रो डायग्नोस्टिक विनियमन (IVDR), अमेरिका में FDA नियम, और इनके पीछे इंजीनियरिंग और गुणवत्ता मानक के रूप में IEC 62304 और ISO 13485। सुरक्षा वह आधार निर्धारित करती है जिसे हर किसी को पूरा करना होगा: ISO 27001 और 27799, महत्वपूर्ण क्षेत्रों के लिए NIS2, HIPAA सुरक्षा नियम। पहचान (eIDAS और यूरोपीय संघ डिजिटल पहचान वॉलेट, NHS लॉगिन, राष्ट्रीय आईडी) इन चारों में व्याप्त है।
नक्शा
स्वास्थ्य डेटा विनियमन नक्शा स्वास्थ्य डेटा को संभालने वाले सॉफ़्टवेयर के नियमों को परिवारों में समूहित करता है: डेटा सुरक्षा (GDPR अनुच्छेद 9, HIPAA, अमेरिकी राज्य कानून), स्वास्थ्य-प्रणाली नियम (EHDS, Cures Act, TEFCA), उत्पाद सुरक्षा (MDR, IVDR, FDA), इंजीनियरिंग और गुणवत्ता मानक (IEC 62304, ISO 13485), सुरक्षा (ISO 27001, ISO 27799, NIS2, HIPAA सुरक्षा नियम) और पहचान (eIDAS 2)।
| परिवार | नियम | लागू होता है | क्या पूछता है |
|---|---|---|---|
| डेटा सुरक्षा | GDPR, अनुच्छेद 9 और अनुच्छेद 35 | यूरोपीय संघ के निवासियों के स्वास्थ्य डेटा को संसाधित करने वाला कोई भी व्यक्ति | अनुच्छेद 9(2) से एक कानूनी आधार, एक DPIA, बड़े पैमाने पर प्रसंस्करण के लिए एक DPO, अधिकार, 72 घंटे में उल्लंघन की सूचना |
| डेटा सुरक्षा | HIPAA (गोपनीयता, सुरक्षा, उल्लंघन नियम) | अमेरिकी कवर किए गए निकाय और उनके व्यावसायिक सहयोगी | अनुमत उपयोग, सुरक्षा उपाय, उल्लंघन की सूचना; अधिकांश उपभोक्ता ऐप्स को कवर नहीं करता है |
| डेटा सुरक्षा | अमेरिकी राज्य कानून (CCPA/CPRA, वाशिंगटन माय हेल्थ माय डेटा…) | निवासियों के डेटा को संभालने वाले व्यवसाय | उपभोक्ता स्वास्थ्य डेटा के लिए सहमति, विलोपन अधिकार, बिक्री प्रतिबंध |
| स्वास्थ्य प्रणाली | EHDS, विनियमन (EU) 2025/327 | EHR सिस्टम, इंटरऑपरेबिलिटी का दावा करने वाले वेलनेस ऐप, डेटा धारक, स्वास्थ्य डेटा एक्सेस निकाय | यूरोपीय विनिमय प्रारूप में रोगी पहुंच और पोर्टेबिलिटी, अनिवार्य MyHealth@EU, द्वितीयक-उपयोग परमिट |
| स्वास्थ्य प्रणाली | 21वीं सदी के क्योर एक्ट, ONC HTI नियम, TEFCA | अमेरिकी प्रमाणित स्वास्थ्य आईटी, प्रदाता, नेटवर्क | FHIR API, USCDI डेटा, कोई सूचना अवरोधन नहीं, राष्ट्रव्यापी विनिमय |
| उत्पाद सुरक्षा | MDR 2017/745, IVDR 2017/746 | यूरोपीय संघ के रोगियों के लिए चिकित्सीय उद्देश्य वाला सॉफ़्टवेयर | वर्गीकरण, अनुरूपता मूल्यांकन, नैदानिक मूल्यांकन, बाजार के बाद की निगरानी, CE अंकन |
| उत्पाद सुरक्षा | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | अमेरिका के लिए चिकित्सा उपकरण के रूप में सॉफ़्टवेयर | वर्ग के अनुसार पूर्व-बाजार मार्ग, गुणवत्ता प्रणाली, साइबर सुरक्षा प्रलेखन |
| इंजीनियरिंग | IEC 62304, IEC 82304-1, ISO 14971 | चिकित्सा उपकरण सॉफ़्टवेयर टीमें | सुरक्षा वर्ग के अनुसार सॉफ़्टवेयर जीवनचक्र, जोखिम प्रबंधन |
| गुणवत्ता | ISO 13485 | उपकरण निर्माता | डिजाइन, उत्पादन, शिकायतों को कवर करने वाली एक गुणवत्ता प्रबंधन प्रणाली |
| सुरक्षा | ISO/IEC 27001, ISO 27799, ISO 27701 | कोई भी संगठन; स्वास्थ्य-विशिष्ट मार्गदर्शन | एक सूचना सुरक्षा प्रबंधन प्रणाली, स्वास्थ्य नियंत्रण, गोपनीयता विस्तार |
| सुरक्षा | NIS2, निर्देश 2022/2555 | स्वास्थ्य सेवा प्रदाता, उपकरण निर्माता, आकार सीमा से ऊपर के क्लाउड और डिजिटल प्रदाता | जोखिम उपाय, 24/72 घंटे में घटना रिपोर्टिंग, प्रबंधन दायित्व |
| सुरक्षा | HIPAA सुरक्षा नियम | अमेरिकी कवर किए गए निकाय और व्यावसायिक सहयोगी | प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपाय; जोखिम विश्लेषण |
| पहचान | eIDAS 2 और यूरोपीय संघ डिजिटल पहचान वॉलेट | यूरोपीय संघ के नागरिकों की पहचान सत्यापित करने वाली सेवाएं | 2026-2027 से मजबूत पहचान के लिए वॉलेट की स्वीकृति |
कौन किसमें शामिल है
कौन से स्वास्थ्य डेटा नियम लागू होते हैं, यह इस बात पर निर्भर करता है कि सॉफ़्टवेयर क्या करता है। बिना किसी चिकित्सीय दावे वाला उपभोक्ता ऐप GDPR अनुच्छेद 9, एक DPIA और सुरक्षा अभ्यास के दायरे में आता है; व्याख्या जोड़ने पर यह MDR के तहत एक चिकित्सा उपकरण बन जाता है; एक FHIR प्लेटफ़ॉर्म GDPR प्रोसेसर है और कभी-कभी NIS2 के दायरे में भी आता है; एक अस्पताल इन सभी के साथ-साथ एक आवश्यक इकाई के रूप में NIS2 का भी पालन करता है।
- बिना किसी चिकित्सीय दावे वाला उपभोक्ता स्वास्थ्य ऐप (लक्षणों की डायरी, लैब रिपोर्ट का रिकॉर्ड): GDPR अनुच्छेद 9 स्पष्ट सहमति के साथ, एक DPIA, ISO 27001 स्तर पर सुरक्षा अभ्यास, और यदि यह EHR सिस्टम से जुड़ने का दावा करता है तो EHDS वेलनेस-ऐप लेबल। एक चिकित्सा उपकरण नहीं है, जब तक कि इसका इच्छित उद्देश्य गैर-चिकित्सीय बना रहे। अमेरिका में: HIPAA के बजाय FTC नियम और राज्य स्वास्थ्य-गोपनीयता कानून।
- व्याख्या सुविधा के साथ वही ऐप ("आपका परिणाम बताता है…"): MDR नियम 11 के तहत एक चिकित्सा उपकरण, आमतौर पर वर्ग IIa, जिसके पीछे IEC 62304 और ISO 13485 है। क्या स्वास्थ्य ऐप एक चिकित्सा उपकरण है? और SaMD वर्ग देखें।
- एक FHIR प्लेटफ़ॉर्म या एकीकरण विक्रेता: GDPR एक प्रोसेसर के रूप में (अनुच्छेद 28 अनुबंध), ISO 27001, संभवतः एक डिजिटल बुनियादी ढांचा या ICT सेवा प्रदाता के रूप में NIS2, जब यह EHR सिस्टम का हिस्सा हो तो EHDS दायित्व, अमेरिका में एक व्यावसायिक सहयोगी के रूप में HIPAA।
- एक अस्पताल: नियंत्रक और ऑपरेटर के रूप में उपरोक्त सभी, साथ ही एक आवश्यक इकाई के रूप में NIS2, राष्ट्रीय स्वास्थ्य-रिकॉर्ड कानून, और राष्ट्रीय बुनियादी ढांचे से जुड़ने के लिए EHDS समय सीमा।
- एक अनुसंधान मंच: GDPR अनुच्छेद 9(2)(j) और अनुच्छेद 89, EHDS द्वितीयक-उपयोग अध्याय (स्वास्थ्य डेटा एक्सेस निकाय से परमिट, सुरक्षित प्रसंस्करण वातावरण), और गुमनामी मानक। स्वास्थ्य डेटा का द्वितीयक उपयोग देखें।
किस क्रम में
स्वास्थ्य डेटा अनुपालन को एक निश्चित क्रम में सबसे अच्छी तरह से पूरा किया जाता है: पहले इच्छित उद्देश्य लिखें, क्योंकि यह तय करता है कि सॉफ़्टवेयर एक चिकित्सा उपकरण है या नहीं; फिर डेटा सुरक्षा (कानूनी आधार, DPIA, प्रोसेसर अनुबंध); फिर ISO 27001 के अनुसार एक सुरक्षा आधार रेखा; फिर इंटरऑपरेबिलिटी जनादेश जैसे FHIR और EHDS या USCDI; फिर, यदि कोई हो, तो डिवाइस मार्ग; अंत में सीमा पार प्रश्न।
- लिखित रूप में इच्छित उद्देश्य तय करें। यह निर्धारित करता है कि क्या आप एक चिकित्सा उपकरण हैं, और बाकी सब कुछ उसी से अनुसरण करता है।
- पहले डेटा सुरक्षा: कानूनी आधार, DPIA, प्रोसेसर अनुबंध, DPO। ये हर परिदृश्य में, पहले वास्तविक उपयोगकर्ता से पहले आवश्यक हैं। स्वास्थ्य डेटा के लिए GDPR अनुच्छेद 9 और स्वास्थ्य ऐप के लिए DPIA देखें।
- सुरक्षा आधार: ISO 27001 के अनुसार एक ISMS, 27799 के स्वास्थ्य नियंत्रणों के अनुरूप; यह NIS2 और HIPAA सुरक्षा नियम के अधिकांश का भी उत्तर देता है। ISO 27001 बनाम ISO 27799 और अस्पतालों और विक्रेताओं के लिए NIS2 देखें।
- इंटरऑपरेबिलिटी जनादेश: FHIR और आपके बाजार का विनिमय प्रारूप (EHDS, USCDI/US Core) ताकि उत्पाद राष्ट्रीय बुनियादी ढांचे से बाहर न हो। USCDI समझाया गया और TEFCA समझाया गया देखें।
- उपकरण मार्ग, यदि कोई हो: वर्गीकरण, गुणवत्ता प्रणाली, जीवनचक्र, अधिसूचित निकाय या FDA मार्ग। एक वर्ष का बजट बनाएं।
- सीमा पार: दोनों बाजारों की सेवा करते समय HIPAA बनाम GDPR अंतर (HIPAA बनाम GDPR), स्थानांतरण तंत्र, होस्टिंग स्थान।
Anpheros कहाँ खड़ा है
Anpheros Daily एक व्यक्तिगत स्वास्थ्य रिकॉर्ड है जिसका एक घोषित गैर-चिकित्सीय इच्छित उद्देश्य है: यह संग्रहीत करता है, दिखाता है और साझा करता है, और यह व्याख्या या अनुशंसा नहीं करता है। Anpheros Platform GDPR अनुच्छेद 28 के तहत एक प्रोसेसर के रूप में क्लीनिकों और डेवलपर्स को पेश किया गया एक FHIR R4 बैकएंड है, जिसमें रोगी-नियंत्रित सहमति और एक्सेस लॉग हैं। इस क्लस्टर में विनियमन पृष्ठ ऐसे किसी भी उत्पाद पर लागू होने वाले नियमों का वर्णन करते हैं; पारदर्शिता पृष्ठ बताता है कि Anpheros उन्हें स्वयं पर कैसे लागू करता है।
यह पृष्ठ उत्पाद और इंजीनियरिंग टीमों के लिए विनियमन की व्याख्या करता है। यह कानूनी सलाह नहीं है; स्रोतों के तहत लिंक किए गए पाठ ही प्राधिकारी हैं, और आपका डेटा सुरक्षा अधिकारी, अधिसूचित निकाय या वकील आपके मामले के लिए निर्णय लेते हैं। अंतिम समीक्षा: अक्टूबर 2026।
संबंधित पृष्ठ
- क्या स्वास्थ्य ऐप एक चिकित्सा उपकरण है? यूरोपीय संघ MDR नियम 11
- यूरोपीय संघ में आपका चिकित्सा डेटा: GDPR, EHDS और आपके अधिकार
- स्वास्थ्य डेटा के लिए GDPR अनुच्छेद 9
- स्वास्थ्य ऐप के लिए DPIA
- HIPAA बनाम GDPR
- अस्पतालों और स्वास्थ्य-तकनीक विक्रेताओं के लिए NIS2
- स्वास्थ्य सेवा इंटरऑपरेबिलिटी मानक: नक्शा
- डेवलपर्स के लिए GDPR (डेवलपर साइट)
- यूरोप और अमेरिका में राष्ट्रीय इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड
- MyHealth@EU और सीमा पार रोगी सारांश
- यूरोपीय संघ AI अधिनियम और स्वास्थ्य AI
- स्वास्थ्य डेटा का द्वितीयक उपयोग
- स्वास्थ्य ऐप्स में सुरक्षा और पहचान
स्रोत
- विनियमन (EU) 2016/679 (GDPR), EUR-Lex
- विनियमन (EU) 2025/327 (यूरोपीय स्वास्थ्य डेटा स्पेस), EUR-Lex
- विनियमन (EU) 2017/745 (MDR), EUR-Lex
- विनियमन (EU) 2017/746 (IVDR), EUR-Lex
- निर्देश (EU) 2022/2555 (NIS2), EUR-Lex
- HHS: पेशेवरों के लिए HIPAA
- ASTP/ONC: विश्वसनीय विनिमय ढांचा और सामान्य समझौता
- ISO/IEC 27001:2022
अक्सर पूछे जाने वाले प्रश्न
क्या GDPR एक अमेरिकी कंपनी पर लागू होता है जिसके यूरोपीय संघ के उपयोगकर्ता हैं?
हाँ, अनुच्छेद 3(2) के तहत, जैसे ही यह यूरोपीय संघ में लोगों को सेवाएं प्रदान करता है या उनके व्यवहार की निगरानी करता है, भले ही सर्वर कहीं भी हों। फिर इसे एक यूरोपीय संघ के प्रतिनिधि, अनुच्छेद 9 के तहत एक कानूनी आधार और एक वैध स्थानांतरण तंत्र की आवश्यकता होती है।
क्या HIPAA GDPR से अधिक सख्त है?
न तो सख्ती से अधिक सख्त है। HIPAA दायरे में संकीर्ण है (केवल कवर किए गए निकाय और व्यावसायिक सहयोगी) और सुरक्षा उपायों के बारे में अधिक निर्देशात्मक है; GDPR व्यापक है (यूरोपीय संघ के निवासियों के डेटा को संसाधित करने वाला कोई भी व्यक्ति), अधिकार-आधारित है और प्रत्येक उपयोग के लिए कानूनी आधार की आवश्यकता होती है। दोनों बाजारों में एक उत्पाद को दोनों को पूरा करना होगा।
क्या EHDS स्वास्थ्य डेटा के लिए GDPR को प्रतिस्थापित करता है?
नहीं। EHDS GDPR पर आधारित है और EHR सिस्टम, रोगी पहुंच, सीमा पार विनिमय और द्वितीयक उपयोग के लिए अतिरिक्त दायित्व जोड़ता है। GDPR प्रत्येक प्रसंस्करण संचालन के लिए आधार बना रहता है।
यदि मेरे पास कोई अनुपालन टीम नहीं है तो मुझे कहाँ से शुरू करना चाहिए?
इच्छित उद्देश्य लिखें, एक टेम्पलेट के साथ एक DPIA चलाएं, ISO 27001-शैली सुरक्षा आधार अपनाएं, और अपने बाजार के प्रोफाइल के साथ FHIR का उपयोग करें। ये चार कदम अधिकांश वह कवर करते हैं जो पहली ऑडिट या पहला अस्पताल ग्राहक पूछेगा।
सैंडबॉक्स में मुफ़्त आज़माएँ
5 मिनट में आपकी पहली FHIR कॉल. एक HL7 FHIR R4 API जिसमें मरीज़ की सहमति शामिल है: सैंडबॉक्स में आज़माएं, फिर अपना ऐप या क्लिनिक सिस्टम कनेक्ट करें।
मुफ़्त · 30 सिंथेटिक मरीज़ · कोई कार्ड नहीं
Anpheros एक मेडिकल रिकॉर्ड बनाता है जिसे मरीज़ नियंत्रित कर सकता है और किसी भी क्लिनिक के साथ साझा कर सकता है, यह EU में स्थित HL7 FHIR R4 प्लेटफ़ॉर्म पर आधारित है। ये गाइड आपको अपने स्वास्थ्य को समझने और व्यवस्थित करने में मदद करते हैं; ये आपके डॉक्टर का विकल्प नहीं हैं।
Anpheros के बारे में →