स्वास्थ्य डेटा के लिए HIPAA बनाम GDPR: दोनों बाजारों की सेवा करने से पहले उत्पाद टीमों को जानने योग्य अंतर

संक्षिप्त उत्तर: HIPAA (1996, गोपनीयता, सुरक्षा और उल्लंघन अधिसूचना नियमों के साथ) कवर्ड एंटिटीज़, स्वास्थ्य योजनाओं, स्वास्थ्य सेवा क्लियरिंगहाउस और इलेक्ट्रॉनिक रूप से बिलिंग करने वाले प्रदाताओं पर लागू होता है, और उनके व्यावसायिक सहयोगियों पर भी; यह उनके द्वारा रखे गए संरक्षित स्वास्थ्य जानकारी की रक्षा करता है और बताता है कि व्यक्ति की अनुमति के बिना कौन से उपयोग की अनुमति है। GDPR (2016) यूरोपीय संघ में लोगों के व्यक्तिगत डेटा को संभालने वाले किसी भी नियंत्रक या प्रोसेसर पर लागू होता है, जिसमें स्वास्थ्य डेटा एक विशेष श्रेणी के रूप में शामिल है; इसके लिए प्रत्येक उपयोग के लिए एक कानूनी आधार की आवश्यकता होती है और लोगों को लागू करने योग्य अधिकार मिलते हैं। एक उत्पाद के लिए व्यावहारिक अंतर: अमेरिका में एक उपभोक्ता स्वास्थ्य ऐप आमतौर पर HIPAA के बाहर होता है और इसके बजाय FTC और राज्य कानूनों द्वारा विनियमित होता है; यूरोपीय संघ में वही ऐप पहले उपयोगकर्ता से ही GDPR के अंतर्गत आता है। दोनों की सेवा करने वाले उत्पाद को एक साथ GDPR की व्यापकता और HIPAA के निर्देशात्मक सुरक्षा उपायों के लिए बनाया जाना चाहिए।

अगल-बगल

HIPAA अमेरिकी कवर की गई संस्थाओं और व्यावसायिक सहयोगियों को नियंत्रित करता है जो संरक्षित स्वास्थ्य जानकारी को संभालते हैं, जबकि GDPR यूरोपीय संघ के निवासियों के डेटा के किसी भी नियंत्रक या प्रोसेसर को नियंत्रित करता है। HIPAA उपचार, भुगतान और संचालन के उपयोगों को बिना प्राधिकरण के अनुमति देता है और उल्लंघन की सूचना के लिए 60 दिन देता है; GDPR प्रत्येक उद्देश्य के लिए एक कानूनी आधार की आवश्यकता होती है, मिटाने और पोर्टेबिलिटी प्रदान करता है, और 72 घंटे देता है।

व्यवहार में दायरे का अंतर

व्यवहार में, HIPAA स्वास्थ्य ऐप पर केवल तभी लागू होता है जब वह BAA के तहत एक व्यावसायिक सहयोगी के रूप में कवर की गई इकाई के लिए कार्य करता है; एक उपभोक्ता ऐप जिसे रोगी चुनता है वह HIPAA के बाहर है और FTC और राज्य कानूनों द्वारा विनियमित है। यूरोपीय संघ में वही ऐप पहले उपयोगकर्ता से GDPR नियंत्रक है।

एक क्लाउड FHIR प्लेटफ़ॉर्म का उपयोग करने वाला एक अमेरिकी अस्पताल: अस्पताल एक कवर्ड एंटिटी है, प्लेटफ़ॉर्म एक BAA के तहत एक व्यावसायिक सहयोगी है, दोनों HIPAA के अंतर्गत हैं। एक अमेरिकी उपभोक्ता अपने स्वयं के लैब रिपोर्ट को एक ऐप पर अपलोड कर रहा है: HIPAA ऐप पर लागू नहीं होता है; FTC करता है (भ्रामक प्रथाएं, और स्वास्थ्य उल्लंघन अधिसूचना नियम, 2024 में स्वास्थ्य ऐप्स को स्पष्ट रूप से कवर करने के लिए अद्यतन किया गया), जैसा कि वाशिंगटन के My Health My Data Act (2023) जैसे राज्य कानून करते हैं, जिसके लिए उपभोक्ता स्वास्थ्य डेटा एकत्र करने के लिए सहमति की आवश्यकता होती है और स्वास्थ्य सुविधाओं के आसपास जियोफेंसिंग पर प्रतिबंध लगाता है, और कैलिफ़ोर्निया CPRA, नेवादा और कनेक्टिकट कानूनों के स्वास्थ्य प्रावधान। ऐसा ही करने वाला यूरोपीय संघ का एक मरीज: ऐप पहले दिन से ही अनुच्छेद 9 दायित्वों के साथ GDPR के तहत एक नियंत्रक है। GDPR अनुच्छेद 9 स्वास्थ्य डेटा के लिए देखें।

कानूनी आधार का अंतर

HIPAA और GDPR कानूनी आधार पर विपरीत बिंदुओं से शुरू होते हैं। HIPAA कवर की गई संस्थाओं को अन्य उपयोगों के लिए लिखित प्राधिकरण की आवश्यकता के बिना उपचार, भुगतान और स्वास्थ्य सेवा संचालन के लिए संरक्षित स्वास्थ्य जानकारी का उपयोग करने की अनुमति देता है। GDPR स्वास्थ्य डेटा के प्रसंस्करण को तब तक प्रतिबंधित करता है जब तक कि अनुच्छेद 9(2) का कोई अपवाद लागू न हो, इसलिए डिफ़ॉल्ट रूप से कुछ भी अनुमत नहीं है और सहमति स्पष्ट, विशिष्ट और वापस लेने योग्य होनी चाहिए।

HIPAA अनुमत उपयोगों से शुरू होता है: एक कवर्ड एंटिटी उपचार, भुगतान और स्वास्थ्य सेवा संचालन के लिए PHI का उपयोग और खुलासा बिना पूछे कर सकती है, और सार्वजनिक-हित के उद्देश्यों की एक सूची के लिए; बाकी सब कुछ के लिए एक लिखित प्राधिकरण की आवश्यकता होती है। GDPR निषेध (स्वास्थ्य डेटा के लिए) अपवादों के साथ शुरू होता है; कुछ भी "डिफ़ॉल्ट रूप से" अनुमत नहीं है, और सहमति, जहां उपयोग की जाती है, स्पष्ट, विशिष्ट और वापस लेने योग्य होनी चाहिए। एक अमेरिकी उत्पाद टीम की प्रवृत्ति कि "संचालन" एनालिटिक्स को कवर करता है, स्थानांतरित नहीं होती है; यूरोपीय संघ में, स्वास्थ्य डेटा पर एनालिटिक्स के लिए सहमति या अनामीकरण की आवश्यकता होती है।

अधिकारों का अंतर

व्यक्तिगत अधिकारों पर, HIPAA और GDPR दोनों पहुंच और सुधार प्रदान करते हैं, लेकिन GDPR में मिटाना, मशीन-पठनीय प्रारूप में पोर्टेबिलिटी, आपत्ति और सहमति वापस लेने का अधिकार शामिल है, जो HIPAA में ऐसा नहीं है। GDPR के अधिकारों के लिए बनाया गया एक उत्पाद, जिसमें उत्पाद में निर्यात, हटाना और वापस लेना शामिल है, HIPAA के पहुंच अधिकारों को मार्जिन के साथ संतुष्ट करता है।

Cures Act के सूचना-अवरोधन नियम और APIs के माध्यम से इलेक्ट्रॉनिक PHI तक पहुंच का अधिकार अमेरिकी रोगियों को पोर्टेबिलिटी की ओर ले जाता है।

सुरक्षा और उल्लंघन

HIPAA का सुरक्षा नियम अनिवार्य है, जिसमें एक आवश्यक जोखिम विश्लेषण, नामित प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपाय, नीतियां, प्रशिक्षण और ऑडिट नियंत्रण शामिल हैं; GDPR का अनुच्छेद 32 परिणाम-आधारित है, जो जोखिम के लिए उपयुक्त उपाय पूछता है, जिसे आमतौर पर ISO 27001 के माध्यम से दिखाया जाता है। उल्लंघन की समय सीमाएँ बहुत भिन्न होती हैं: HIPAA के तहत व्यक्तियों और HHS के लिए 60 दिन, GDPR के तहत प्राधिकरण के लिए 72 घंटे।

HIPAA का सुरक्षा नियम निर्देशात्मक है: एक जोखिम विश्लेषण, नामित सुरक्षा उपाय, नीतियां, प्रशिक्षण, ऑडिट नियंत्रण, और 2025 का प्रस्तावित अद्यतन जो एन्क्रिप्शन और मल्टी-फैक्टर प्रमाणीकरण को पता लगाने योग्य के बजाय अनिवार्य बना देगा। GDPR का अनुच्छेद 32 परिणाम-आधारित है: जोखिम के लिए उपयुक्त, एन्क्रिप्शन और छद्मनामीकरण को उदाहरण के रूप में नामित किया गया है; ISO 27001 इसे दिखाने का सामान्य तरीका है। उल्लंघन की समय-सीमाएँ तीक्ष्ण रूप से भिन्न होती हैं: HIPAA के तहत व्यक्तियों और HHS के लिए 60 दिन, GDPR के तहत प्राधिकरण के लिए 72 घंटे। एक संयुक्त घटना रनबुक छोटी घड़ी का उपयोग करती है। ISO 27001 बनाम ISO 27799 देखें।

डी-पहचान

HIPAA का सुरक्षित हार्बर 18 सूचीबद्ध पहचानकर्ताओं को हटा देता है और डेटा अब PHI नहीं रहता है; विशेषज्ञ निर्धारण पुनः पहचान के बहुत छोटे जोखिम को प्रमाणित करता है। GDPR में कोई सूची नहीं है: डेटा केवल तभी गुमनाम होता है जब कोई भी उचित रूप से इसे फिर से पहचान नहीं सकता है, और छद्मनामीकृत डेटा व्यक्तिगत डेटा बना रहता है। सुरक्षित हार्बर आउटपुट अक्सर GDPR के बार को पूरा नहीं करता है, खासकर तिथियों और दुर्लभ स्थितियों के साथ। स्वास्थ्य डेटा का डी-पहचान देखें।

दोनों के लिए निर्माण

अमेरिका और यूरोपीय संघ दोनों की सेवा करने वाले उत्पाद को पहले GDPR के अनुसार सबसे अच्छा डिज़ाइन किया गया है (प्रति उद्देश्य सहमति, उत्पाद में अधिकार, DPIA, 72-घंटे का उल्लंघन रनबुक, यूरोपीय संघ होस्टिंग विकल्प) HIPAA के अनिवार्य कलाकृतियों को शीर्ष पर परत किया गया है: एक जोखिम विश्लेषण दस्तावेज़, एक BAA टेम्पलेट, सुरक्षा नियम नीतियां, एक 60-दिवसीय उल्लंघन प्रक्रिया और कार्यबल प्रशिक्षण रिकॉर्ड।

GDPR (प्रति उद्देश्य सहमति, उत्पाद में अधिकार, DPIA, 72-घंटे का रनबुक, यूरोपीय संघ होस्टिंग विकल्प) के लिए डिज़ाइन करें और HIPAA के निर्देशात्मक कलाकृतियों को ऊपर से परत करें (जोखिम विश्लेषण दस्तावेज़, BAA टेम्पलेट, सुरक्षा नियम नीति सेट, 60-दिन उल्लंघन प्रक्रिया, कार्यबल प्रशिक्षण रिकॉर्ड)। अमेरिकी और यूरोपीय संघ के डेटा को अलग-अलग क्षेत्रों में रखें, क्योंकि GDPR स्थानांतरण और कुछ अमेरिकी राज्य कानून दोनों स्थान के बारे में परवाह करते हैं। Anpheros इस तरह से बनाया गया है: एक यूरोपीय कंपनी के रूप में GDPR-प्रथम, प्लेटफ़ॉर्म अमेरिकी ग्राहकों के लिए BAA के तहत एक व्यावसायिक सहयोगी के रूप में काम करने में सक्षम है। डेवलपर साइट डेवलपर्स के लिए GDPR और सुरक्षा का दस्तावेजीकरण करती है।

यह पृष्ठ उत्पाद और इंजीनियरिंग टीमों के लिए विनियमन की व्याख्या करता है। यह कानूनी सलाह नहीं है; स्रोतों के तहत लिंक किए गए पाठ अधिकार हैं, और आपका डेटा संरक्षण अधिकारी, अधिसूचित निकाय या वकील आपके मामले के लिए निर्णय लेता है। अंतिम समीक्षा: अक्टूबर 2026।

संबंधित पृष्ठ

• GDPR अनुच्छेद 9 स्वास्थ्य डेटा के लिए
• स्वास्थ्य डेटा का डी-पहचान
• ISO 27001 बनाम ISO 27799
• TEFCA और QHINs की व्याख्या
• स्वास्थ्य डेटा विनियमन मानचित्र
• डेवलपर्स के लिए GDPR (डेवलपर साइट)

स्रोत

• HHS: पेशेवरों के लिए HIPAA (गोपनीयता, सुरक्षा, उल्लंघन अधिसूचना नियम)
• HHS: उल्लंघन अधिसूचना नियम
• FTC स्वास्थ्य उल्लंघन अधिसूचना नियम (16 CFR भाग 318)
• वाशिंगटन राज्य: My Health My Data Act (HB 1155)
• विनियमन (ईयू) 2016/679 (GDPR), EUR-Lex
• यूरोपीय आयोग: EU-US डेटा गोपनीयता ढांचा

अक्सर पूछे जाने वाले प्रश्न

क्या HIPAA-अनुरूप ऐप स्वचालित रूप से GDPR-अनुरूप है?

नहीं। HIPAA अनुपालन कानूनी आधार, सहमति की गुणवत्ता, विलोपन, पोर्टेबिलिटी, DPIAs, DPOs या स्थानांतरण के बारे में कुछ नहीं कहता है। यह GDPR की सुरक्षा अपेक्षाओं के एक उपसमूह और एक अलग उल्लंघन व्यवस्था को कवर करता है।

क्या HIPAA मेरे ऐप पर लागू होता है यदि कोई डॉक्टर इसकी सिफारिश करता है?

अपने आप नहीं। HIPAA लागू होता है यदि ऐप एक कवर्ड एंटिटी की ओर से एक व्यावसायिक सहयोगी समझौते के तहत कार्य करता है (उदाहरण के लिए, क्लिनिक के अनुरोध पर क्लिनिक के वर्कफ़्लो में एकीकृत)। एक ऐप जिसे रोगी चुनता है और नियंत्रित करता है वह HIPAA के बाहर है, और FTC और राज्य नियमों के अंतर्गत है।

संयुक्त यूरोपीय संघ-अमेरिका की घटना के लिए मुझे किस उल्लंघन की समय सीमा का पालन करना चाहिए?

दोनों: यूरोपीय संघ के निवासियों के डेटा के लिए यूरोपीय संघ के प्राधिकरण को 72 घंटे, PHI के लिए व्यक्तियों और HHS को 60 दिन, साथ ही कोई भी राज्य समय सीमा (अक्सर 30 से 60 दिन) और उपभोक्ता स्वास्थ्य ऐप्स के लिए FTC नियम के 60 दिन। रनबुक सबसे छोटी समय सीमा के अनुसार लिखे जाते हैं।

क्या यूरोपीय संघ के स्वास्थ्य डेटा को अमेरिका में संसाधित किया जा सकता है?

हाँ, अध्याय V स्थानांतरण उपकरण के साथ: प्रमाणित कंपनियों के लिए EU-US डेटा गोपनीयता ढांचा, या स्थानांतरण प्रभाव मूल्यांकन के साथ मानक संविदात्मक खंड। फिर भी कई यूरोपीय ग्राहक अनुबंध की शर्त के रूप में यूरोपीय संघ होस्टिंग की आवश्यकता करते हैं।

Anpheros Platform

सैंडबॉक्स में मुफ़्त आज़माएँ

5 मिनट में आपकी पहली FHIR कॉल. एक HL7 FHIR R4 API जिसमें मरीज़ की सहमति शामिल है: सैंडबॉक्स में आज़माएं, फिर अपना ऐप या क्लिनिक सिस्टम कनेक्ट करें।

मुफ़्त सैंडबॉक्स बनाएँडेवलपर गाइड पढ़ें →

मुफ़्त · 30 सिंथेटिक मरीज़ · कोई कार्ड नहीं

द्वारा लिखित

Anpheros टीम

Anpheros एक मेडिकल रिकॉर्ड बनाता है जिसे मरीज़ नियंत्रित कर सकता है और किसी भी क्लिनिक के साथ साझा कर सकता है, यह EU में स्थित HL7 FHIR R4 प्लेटफ़ॉर्म पर आधारित है। ये गाइड आपको अपने स्वास्थ्य को समझने और व्यवस्थित करने में मदद करते हैं; ये आपके डॉक्टर का विकल्प नहीं हैं।

Anpheros के बारे में →