Rövid válasz: az egészségügyi adatokat érintő szoftvereknek egyszerre négy szabálycsaládnak kell megfelelniük. Az adatvédelem szabályozza, hogy mit tehet személyes egészségügyi adatokkal: az EU-ban a GDPR 9. cikke, az USA-ban a HIPAA és az állami törvények mozaikja. Az egészségügyi rendszerek szabályai meghatározzák, hogyan kell az adatokat mozgatni és megosztani: az EU-ban az Európai Egészségügyi Adattér (EHDS), az USA-ban a TEFCA, a USCDI és az információ-blokkolási szabályok. A termékbiztonság akkor érvényes, ha a szoftver orvosi célokat szolgál: az EU-ban az Orvostechnikai Eszközökről szóló Rendelet (MDR) és az In Vitro Diagnosztikai Eszközökről szóló Rendelet (IVDR), az USA-ban az FDA szabályai, mögöttük az IEC 62304 és az ISO 13485 mérnöki és minőségi szabványokkal. A biztonság határozza meg az alapvető követelményeket, amelyeket mindenkinek teljesítenie kell: ISO 27001 és 27799, NIS2 a kritikus szektorok számára, a HIPAA biztonsági szabályzata. Az identitás (eIDAS és az EU Digitális Identitás Tárca, NHS login, nemzeti személyazonosítók) mind a négy területen átível.
A térkép
Az egészségügyi adatok szabályozási térképe a szabályokat csoportosítja az egészségügyi adatokat kezelő szoftverekre: adatvédelem (GDPR 9. cikk, HIPAA, amerikai állami törvények), egészségügyi rendszerekre vonatkozó szabályok (EHDS, Cures Act, TEFCA), termékbiztonság (MDR, IVDR, FDA), mérnöki és minőségi szabványok (IEC 62304, ISO 13485), biztonság (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) és azonosítás (eIDAS 2).
| Család | Szabály | Mire vonatkozik | Mit kér |
|---|---|---|---|
| Adatvédelem | GDPR, 9. és 35. cikk | Bárki, aki EU-s lakosok egészségügyi adatait feldolgozza | Jogi alap a 9. cikk (2) bekezdése alapján, Adatvédelmi hatásvizsgálat (DPIA), Adatvédelmi tisztviselő (DPO) nagy léptékű feldolgozás esetén, jogok, adatvédelmi incidens bejelentése 72 órán belül |
| Adatvédelem | HIPAA (Adatvédelmi, Biztonsági, Incidensszabályok) | USA-beli érintett szervezetek és üzleti partnereik | Engedélyezett felhasználások, biztosítékok, incidens bejelentése; nem vonatkozik a legtöbb fogyasztói alkalmazásra |
| Adatvédelem | USA állami törvények (CCPA/CPRA, Washington My Health My Data…) | Az állampolgárok adatait kezelő vállalkozások | Hozzájárulás a fogyasztói egészségügyi adatokhoz, törlési jogok, értékesítési korlátozások |
| Egészségügyi rendszer | EHDS, (EU) 2025/327 rendelet | EHR rendszerek, wellness alkalmazások, amelyek az interoperabilitást ígérik, adattartók, egészségügyi adatokhoz való hozzáférést biztosító szervek | Beteg-hozzáférés és hordozhatóság az európai csereformátumban, kötelező MyHealth@EU, másodlagos felhasználási engedélyek |
| Egészségügyi rendszer | 21st Century Cures Act, ONC HTI szabályok, TEFCA | USA-beli tanúsított egészségügyi IT, szolgáltatók, hálózatok | FHIR API-k, USCDI adatok, információ-blokkolás tilalma, országos csere |
| Termékbiztonság | MDR 2017/745, IVDR 2017/746 | Orvosi célú szoftverek EU-s betegek számára | Osztályozás, megfelelőségértékelés, klinikai értékelés, piacfelügyelet, CE jelölés |
| Termékbiztonság | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Orvostechnikai eszközként funkcionáló szoftverek az USA-ban | Előzetes piacra viteli út osztály szerint, minőségbiztosítási rendszer, kiberbiztonsági dokumentáció |
| Mérnöki munka | IEC 62304, IEC 82304-1, ISO 14971 | Orvostechnikai eszköz szoftverfejlesztő csapatok | Szoftver életciklus biztonsági osztály szerint, kockázatkezelés |
| Minőség | ISO 13485 | Eszközgyártók | Minőségirányítási rendszer, amely lefedi a tervezést, gyártást, panaszokat |
| Biztonság | ISO/IEC 27001, ISO 27799, ISO 27701 | Bármely szervezet; egészségügyi specifikus útmutatás | Információbiztonsági irányítási rendszer, egészségügyi kontrollok, adatvédelmi kiterjesztés |
| Biztonság | NIS2, 2022/2555 irányelv | Egészségügyi szolgáltatók, eszközgyártók, felhő- és digitális szolgáltatók méretküszöb felett | Kockázatkezelési intézkedések, incidens jelentés 24/72 órán belül, vezetői felelősség |
| Biztonság | HIPAA Biztonsági Szabályzat | USA-beli érintett szervezetek és üzleti partnereik | Adminisztratív, fizikai és technikai biztosítékok; kockázatelemzés |
| Identitás | eIDAS 2 és az EU Digitális Identitás Tárca | Az EU polgárok identitását ellenőrző szolgáltatások | A tárca elfogadása erős azonosításhoz 2026–2027-től |
Ki mire terjed ki
Az, hogy mely egészségügyi adatokra vonatkozó szabályok érvényesek, attól függ, mit csinál a szoftver. Egy orvosi állításokat nem tartalmazó fogyasztói alkalmazás a GDPR 9. cikkére, egy DPIA-ra és biztonsági gyakorlatra vonatkozik; ha értelmezést ad hozzá, akkor az MDR hatálya alá tartozó orvosi eszközzé válik; egy FHIR platform GDPR-feldolgozó, és néha a NIS2 hatálya alá tartozik; egy kórház mindezeket, plusz a NIS2-t is magára vállalja, mint alapvető entitás.
- Orvosi állításokat nem tartalmazó fogyasztói egészségügyi alkalmazás (tünetnapló, laboreredmények rögzítése): GDPR 9. cikk, kifejezett hozzájárulással, DPIA, ISO 27001 szintű biztonsági gyakorlat, és az EHDS wellness-alkalmazás címkéje, ha EHR rendszerekhez való kapcsolódást ígér. Nem orvostechnikai eszköz, amíg a szándékolt célja nem orvosi marad. Az USA-ban: FTC szabályok és állami egészségügyi adatvédelmi törvények, nem a HIPAA.
- Ugyanaz az alkalmazás értelmező funkcióval („az eredménye arra utal…”): orvostechnikai eszköz az MDR 11. szabálya szerint, általában IIa. osztályú, mögötte IEC 62304 és ISO 13485. Lásd: Is a health app a medical device? és SaMD classes.
- FHIR platform vagy integrációs szolgáltató: GDPR adatfeldolgozóként (28. cikk szerinti szerződések), ISO 27001, esetleg NIS2 digitális infrastruktúra vagy ICT szolgáltatóként, EHDS kötelezettségek, ha EHR rendszer része, HIPAA üzleti partnerként az USA-ban.
- Kórház: minden fent említett kötelezettség, mint adatkezelő és üzemeltető, plusz NIS2 mint alapvető entitás, nemzeti egészségügyi nyilvántartási törvények, és az EHDS határidők a nemzeti infrastruktúrához való csatlakozáshoz.
- Kutatási platform: GDPR 9. cikk (2)(j) és 89. cikk, EHDS másodlagos felhasználási fejezet (engedélyek egészségügyi adat-hozzáférési szervtől, biztonságos feldolgozási környezetek), és anonimizálási szabványok. Lásd: Secondary use of health data.
Milyen sorrendben
Az egészségügyi adatok megfelelőségét a legjobb egy rögzített sorrendben megközelíteni: először írja le a szándékolt célt, mert ez dönti el, hogy a szoftver orvosi eszköz-e; majd az adatvédelmet (jogi alap, DPIA, adatfeldolgozói szerződések); majd egy biztonsági alapvonalat az ISO 27001 szerint; majd az interoperabilitási előírásokat, mint például a FHIR és az EHDS vagy az USCDI; majd az eszközök útvonalát, ha van; végül a határokon átnyúló kérdéseket.
- Írásban határozza meg a szándékolt célt. Ez határozza meg, hogy orvostechnikai eszköznek minősül-e, és minden más ebből következik.
- Először az adatvédelem: jogi alap, DPIA, adatfeldolgozói szerződések, DPO. Ezekre az első valós felhasználó előtt, minden forgatókönyvben szükség van. Lásd: GDPR Article 9 for health data és DPIA for a health app.
- Biztonsági alap: egy ISMS az ISO 27001 szerint, a 27799 egészségügyi kontrolljaihoz igazítva; ez válaszol a NIS2 és a HIPAA Biztonsági Szabályzat nagy részére is. Lásd: ISO 27001 vs ISO 27799 és NIS2 for hospitals and vendors.
- Interoperabilitási kötelezettségek: FHIR és a piac (EHDS, USCDI/US Core) csereformátuma, hogy a termék ne maradjon ki a nemzeti infrastruktúrából. Lásd: USCDI explained és TEFCA explained.
- Eszköz útvonal, ha van: osztályozás, minőségbiztosítási rendszer, életciklus, bejelentett szervezet vagy FDA út. Költségvetés egy évre.
- Határon túli: HIPAA vs GDPR különbségek mindkét piac kiszolgálásakor (HIPAA vs GDPR), átviteli mechanizmusok, tárhely helye.
Hol tart az Anpheros
Az Anpheros Daily egy személyes egészségügyi nyilvántartás, amelynek szándékolt célja nem orvosi: tárol, megjelenít és megoszt, és nem értelmez vagy ajánl. Az Anpheros Platform egy FHIR R4 backend, amelyet klinikák és fejlesztők számára kínálnak adatfeldolgozóként a GDPR 28. cikke alapján, beteg által ellenőrzött hozzájárulással és hozzáférési naplókkal. Ebben a klaszterben a szabályozási oldalak ismertetik az ilyen jellegű termékekre vonatkozó szabályokat; az átláthatósági oldal leírja, hogyan alkalmazza az Anpheros ezeket önmagára.
Ez az oldal a termék- és mérnöki csapatok számára magyarázza el a szabályozást. Nem jogi tanács; a Források alatt linkelt szövegek az irányadóak, és az Ön adatvédelmi tisztviselője, bejelentett szervezet vagy jogi tanácsadója dönt az Ön esetében. Utolsó felülvizsgálat: 2026. október.
Kapcsolódó oldalak
- Is a health app a medical device? EU MDR Rule 11
- Your medical data in the EU: GDPR, EHDS and your rights
- GDPR Article 9 for health data
- DPIA for a health app
- HIPAA vs GDPR
- NIS2 for hospitals and health-tech vendors
- Healthcare interoperability standards: the map
- GDPR for developers (developer site)
- National electronic health records in Europe and the US
- MyHealth@EU and the cross-border patient summary
- The EU AI Act and health AI
- Secondary use of health data
- Security and identity in health apps
Források
- Regulation (EU) 2016/679 (GDPR), EUR-Lex
- Regulation (EU) 2025/327 (European Health Data Space), EUR-Lex
- Regulation (EU) 2017/745 (MDR), EUR-Lex
- Regulation (EU) 2017/746 (IVDR), EUR-Lex
- Directive (EU) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA for professionals
- ASTP/ONC: Trusted Exchange Framework and Common Agreement
- ISO/IEC 27001:2022
Gyakori kérdések
Vonatkozik a GDPR egy amerikai cégre EU-s felhasználókkal?
Igen, a 3. cikk (2) bekezdése alapján, amint szolgáltatásokat kínál az EU-ban tartózkodó személyeknek, vagy figyeli a viselkedésüket, függetlenül attól, hogy hol vannak a szerverek. Ekkor szüksége van egy EU-s képviselőre, egy jogi alapra a 9. cikk alapján, és egy törvényes átviteli mechanizmusra.
Szigorúbb a HIPAA, mint a GDPR?
Egyik sem szigorúbb a másiknál. A HIPAA szűkebb körű (csak érintett szervezetekre és üzleti partnerekre vonatkozik), és részletesebb a biztosítékok tekintetében; a GDPR szélesebb körű (bárki, aki EU-s lakosok adatait feldolgozza), jogalapú, és minden felhasználáshoz jogi alapot követel meg. Egy mindkét piacon jelen lévő terméknek mindkettőnek meg kell felelnie.
Az EHDS helyettesíti a GDPR-t az egészségügyi adatokra?
Nem. Az EHDS a GDPR-ra épül, és további kötelezettségeket ír elő az EHR rendszerekre, a beteg-hozzáférésre, a határon túli cserére és a másodlagos felhasználásra. A GDPR továbbra is minden adatfeldolgozási művelet alapja.
Hol kezdjem, ha nincs compliance csapatom?
Írja le a szándékolt célt, futtasson egy DPIA-t sablonnal, fogadjon el egy ISO 27001-szerű biztonsági alapot, és használjon FHIR-t a piac profiljaival. Ez a négy lépés lefedi a legtöbb olyan dolgot, amit egy első audit vagy egy első kórházi ügyfél kérni fog.
Próbálja ki ingyen a sandboxban
Az első FHIR-hívás 5 perc alatt. Egy HL7 FHIR R4 API, amely tartalmazza a beteg beleegyezését: próbáld ki a sandboxban, majd csatlakoztasd saját alkalmazásodat vagy klinikai rendszeredet.
Ingyenes · 30 szintetikus beteg · kártya nélkül
Az Anpheros egy olyan egészségügyi nyilvántartást épít, amelyet a beteg irányít, és megoszthat bármelyik klinikával, egy EU-ban működő HL7 FHIR R4 platformon. Ezek az útmutatók segítenek megérteni és rendszerezni az egészségügyi adataidat; nem helyettesítik az orvosodat.
Tudj meg többet az Anpherosról →