Rövid válasz: az GDPR értelmében az egészségügyi adatok különleges kategóriába tartoznak. A 9. cikk (1) bekezdése megtiltja ezek feldolgozását; a 9. cikk (2) bekezdése felsorolja azokat a kivételeket, amelyek feloldják ezt a tilalmat. Egy termékcsapat számára négy kivétel fontos: (a) az érintett kifejezett hozzájárulása, (h) egészségügyi ellátás nyújtása titoktartási kötelezettség alatt álló szakember által vagy annak felelősségére, (i) közegészségügy, és (j) tudományos kutatás a 89. cikk szerinti garanciák mellett. A 9. cikk szerinti kivételre van szükség a 6. cikk szerinti általános jogalap mellett, nem helyette. Az egészségügyi adatok nagymértékű feldolgozása adatvédelmi hatásvizsgálatot (DPIA) (35. cikk) és adatvédelmi tisztviselő kinevezését (37. cikk) is szükségessé teszi.
Mi számít egészségügyi adatnak?
Az általános adatvédelmi rendelet (GDPR) értelmében az egészségügyi adatok olyan személyes adatok, amelyek egy személy fizikai vagy mentális egészségére vonatkoznak, beleértve az egészségügyi szolgáltatások nyújtását is, és amelyek egészségi állapotukra vonatkozó információkat tárnak fel (4. cikk (15)). Tág értelemben lefedi a laboratóriumi értékeket, diagnózisokat, gyógyszereket, időpontokat és betegszabadság-igazolásokat, valamint minden olyan adatot, amelyből egészségi állapot következtethető le.
A 4. cikk (15) bekezdése az egészségügyi adatoknak az érintett fizikai vagy mentális egészségére vonatkozó személyes adatokat tekinti, beleértve az egészségügyi szolgáltatások nyújtását is, amelyek az egészségi állapotukra vonatkozó információkat tárnak fel. A 35. preambulum és az ítélkezési gyakorlat tág értelemben értelmezi ezt: egy laboreredmény, egy diagnózis, egy gyógyszer, egy orvosi időpont, egy táppénzes papír, egy lépésszámláló egy szívbetegséggel kombinálva, egy tünetre irányuló keresés egy fiókhoz kötve. Az az adat, amely feltárja az egészségi állapotot, egészségügyi adatnak minősül, még akkor is, ha nem így gyűjtötték. Az Európai Unió Bírósága 2022-ben (OT, C-184/20. sz. ügy) megerősítette, hogy az olyan adat, amelyből egy különleges kategóriájú tény következtethető, maga is különleges kategóriájú adatnak minősül.
A fontos kivételek
A GDPR 9. cikkének (2) bekezdésében szereplő, az egészségügyi termékek szempontjából legfontosabb kivételek az egyértelmű hozzájárulás (a), amelyet a fogyasztói egészségügyi alkalmazások és a betegek által ellenőrzött nyilvántartások használnak; az egészségügyi ellátás nyújtása (h), amelyet klinikák és szoftverszállítóik használnak szakmai titoktartás mellett; a közegészségügy (i); a tudományos kutatás (j) a 89. cikkben foglalt biztosítékokkal; és a jelentős közérdek (g), amelyre az EHDS támaszkodik a másodlagos felhasználás során.
| 9. cikk (2) | Ki használja jellemzően | Feltételek |
|---|---|---|
| (a) Kifejezett hozzájárulás | Fogyasztói egészségügyi alkalmazások, wellness szolgáltatások, beteg által irányított nyilvántartások | Szabadon megadott, konkrét, tájékozott, egyértelmű, világos pozitív cselekedettel adott, visszavonása ugyanolyan könnyű, mint megadása; nem köthető össze a szolgáltatással, hacsak a szolgáltatás nem igényli az adatokat |
| (c) Életfontosságú érdekek | Vészhelyzeti hozzáférés | Csak akkor, ha az érintett fizikailag vagy jogilag nem képes hozzájárulni |
| (h) Egészségügyi ellátás nyújtása | Klinikák, kórházak, háziorvosok, szoftverszállítóik mint adatfeldolgozók | Szükséges a diagnózishoz, gondozáshoz, kezeléshez vagy egészségügyi rendszerek kezeléséhez, uniós vagy nemzeti jog vagy szakemberrel kötött szerződés alapján, és a szakmai titoktartás (9. cikk (3)) hatálya alá tartozik |
| (i) Közegészségügy | Közegészségügyi hatóságok, gyógyszerbiztonsági felügyelet | Törvényen alapul, amely megfelelő intézkedéseket ír elő |
| (j) Kutatás, statisztika, archiválás | Kutatóintézetek, nyilvántartások, kutatást lehetővé tevő platformok | Törvényen alapul, arányos, a 89. cikk szerinti garanciákkal (pszeudonimizálás, minimalizálás) |
| (g) Jelentős közérdek | Nemzeti egészségügyi adat infrastruktúrák | Törvényen alapul; az EHDS másodlagos felhasználásra támaszkodik rá |
A beteg által irányított személyes egészségügyi nyilvántartás (a) ponton alapul: az illető eldönti, mit tárol, és kivel osztja meg. Egy ilyen nyilvántartásba író klinika a saját feldolgozása tekintetében (h) ponton alapul, és a megosztást a beteg hozzájárulása szabályozza. Egy mindkettőt kiszolgáló platform a klinika számára adatfeldolgozó (28. cikk szerinti szerződés), és az illetőnek kínált számla tekintetében adatkezelő. Ezt feldolgozási műveletenként leírni a 30. cikk szerinti nyilvántartások lényege.
Valóban érvényes hozzájárulás
Az egészségügyi adatokra vonatkozó, a GDPR szerinti egyértelmű hozzájárulás csak akkor érvényes, ha az célonként különálló, konkrét nyilatkozat, egyértelmű, megerősítő cselekedettel történik, a címzettekről tájékoztat, idővel és módszerrel rögzítik, és ugyanolyan könnyen visszavonható, mint ahogyan megadták. Az előre bepipált négyzetek, a csoportosított célok és az analitikához való hozzájárulás nélkül használhatatlan alkalmazások mind érvénytelennek minősültek.
A hatóságok ismételten ugyanazokkal az okokkal érvénytelenítették az egészségügyi alkalmazásokra vonatkozó hozzájárulásokat: előre bejelölt négyzetek; egyszerre mindenre kért hozzájárulás; az alkalmazás használatának lehetetlensége az analitikához való hozzájárulás nélkül; a címzetteket meg nem nevező hozzájárulási szövegek; visszavonási lehetőség hiánya. Az egészségügyi adatokra vonatkozó érvényes kifejezett hozzájárulás azt jelenti, hogy egy külön, konkrét nyilatkozat ("Hozzájárulok, hogy az Anpheros tárolja az általam feltöltött laboreredményeket"), célonként granulált (tárolás; megosztás egy megnevezett klinikával; anonimizált statisztikák), a megadás időpontjának és módjának nyilvántartásával, valamint egy olyan kapcsolóval, amely a jövőbeli feldolgozásra azonnali hatállyal visszavonja azt. A gyermekek adataihoz a szülői felügyeletet gyakorló személy hozzájárulása szükséges, a tagállamok által 13 és 16 év között meghatározott életkori küszöbökkel.
Titoktartás, 9. cikk (3)
A GDPR 9. cikkének (3) bekezdése rögzíti az egészségügyi ellátási kivétel titoktartási feltételét: az egészségügyi adatokat a 9. cikk (2) bekezdésének (h) pontja alapján csak az EU vagy nemzeti jog szerinti szakmai titoktartásra kötelezett szakember, vagy azzal egyenértékű titoktartási kötelezettség alá tartozó más személy, illetve az ő felelősségére lehet feldolgozni.
A klinikák szoftverszállítói ezt szerződéssel teljesítik: az adatfeldolgozói megállapodás titoktartást ír elő az hozzáféréssel rendelkező személyzet számára, és az hozzáférést naplózzák.
A 9. cikkeken túl
A 9. cikk (2) bekezdésében szereplő kivétel nem az egyetlen GDPR-kötelezettség az egészségügyi adatokra nézve. A feldolgozáshoz 6. cikk szerinti jogalapra is szükség van, általában adatvédelmi hatásvizsgálatra a 35. cikk szerint és adatvédelmi tisztviselőre a 37. cikk szerint, automatizált döntések korlátozására a 22. cikk szerint, az EU-n kívüli átutalásokhoz a V. fejezetben meghatározott eszközt, 72 órán belüli adatvédelmi incidens bejelentést, valamint nemzeti egészségügyi nyilvántartási törvényeket.
- A 6. cikk továbbra is alkalmazandó: szerződés (6. cikk (1)(b)) az általuk kért szolgáltatás nyújtásához, hozzájárulás (6. cikk (1)(a)), jogi kötelezettség, közfeladat vagy jogos érdekek, amelyek nem használhatók a 9. cikk felülírására.
- 35. cikk szerinti DPIA kötelező a különleges kategóriák nagymértékű feldolgozása esetén; a legtöbb egészségügyi alkalmazás és minden platform ide tartozik. Lásd: DPIA egészségügyi alkalmazáshoz.
- 37. cikk szerinti DPO kötelező a különleges kategóriák nagymértékű feldolgozásából álló alapvető tevékenységek esetén.
- 22. cikk korlátozza a jelentős hatással bíró, kizárólag automatizált feldolgozáson alapuló döntéseket, ami magában foglalja az automatizált triage-t vagy jogosultságot; az egészségügyi adatok csak kifejezett hozzájárulással vagy törvényben meghatározott jogalappal, garanciák mellett használhatók fel ezekre.
- 44. cikk és azt követő: az EU-n kívüli adattovábbításokhoz megfelelőség (EU–USA Adatvédelmi Keretrendszer a minősített amerikai vállalatok számára), standard szerződéses záradékok adattovábbítási hatásvizsgálattal, vagy más V. fejezetbeli eszköz szükséges. Az EU-n belüli tárhely biztosítja a kérdés elkerülését az adatok tárolása során; a külföldi támogató személyzet nem.
- 33–34. cikk: adatvédelmi incidens bejelentése az illetékes hatóságnak 72 órán belül, és az érintetteknek, ha a kockázat magas, ami az egészségügyi adatok esetében általában így van.
- Nemzeti jog további rétegeket ad hozzá: orvosi titoktartási törvények, egészségügyi nyilvántartási törvények, megőrzési időszakok, és egyes országokban speciális szabályok az egészségügyi alkalmazásokra (Franciaország HDS tárhely tanúsítása, Németország DiGA keretrendszere).
Az EHDS ráadásként
Az Európai Egészségügyi Adattérről szóló rendelet (2025/327) nem változtatja meg a 9. cikket. Jogokat ad az egészségügyi adatokhoz való hozzáféréshez és hordozhatóságához közös formátumban, kötelezettségeket ír elő az EHR rendszerekre, és engedélyezési rendszert hoz létre a másodlagos felhasználásra, amely a 9. cikk (2)(g), (h), (i) és (j) bekezdésein alapul, saját garanciáival és egy opt-out lehetőséggel. Lásd: Az Ön egészségügyi adatai az EU-ban.
Az Anpherosnál
Az Anpheros az érintett kifejezett hozzájárulása alapján dolgozza fel az egészségügyi adatokat az általa vezetett nyilvántartásban (9. cikk (2)(a)), célonként és az alkalmazásban visszavonhatóan, valamint adatfeldolgozóként olyan klinikák számára, amelyek a saját 9. cikk (2)(h) jogalapjuk alapján írnak ebbe a nyilvántartásba. Minden klinikai hozzáférés az érintett jóváhagyását igényli egy hatókörre és időtartamra, és megjelenik a hozzáférési naplójában. Lásd: Beteg hozzájárulási platform és Ki nézte meg az orvosi nyilvántartásomat?.
Ez az oldal a termék- és mérnöki csapatok számára magyarázza el a szabályozást. Nem jogi tanácsadás; a Források alatt linkelt szövegek az irányadóak, és az Ön adatvédelmi tisztviselője, bejelentett szerve vagy tanácsadója dönt az Ön esetében. Utolsó felülvizsgálat: 2026. október.
Kapcsolódó oldalak
- DPIA egészségügyi alkalmazáshoz: ellenőrző lista és sablon
- Az Ön egészségügyi adatai az EU-ban: GDPR, EHDS és az Ön jogai
- HIPAA vs GDPR
- Egészségügyi adatok azonosításának megszüntetése
- Beteg hozzájárulási platform
- Egészségügyi adatvédelmi szabályozási térkép
- GDPR fejlesztőknek (fejlesztői webhely)
Források
- GDPR 9. cikk, EUR-Lex
- GDPR 4. cikk (15) bekezdés és 35. preambulum, EUR-Lex
- EDPB: Irányelvek 05/2020 a hozzájárulásról
- EUB, C-184/20 (OT kontra Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Irányelvek az egészségügyi adatok kutatási célú feldolgozásáról a COVID-19 kontextusában (03/2020)
- 2025/327/EU rendelet (EHDS), EUR-Lex
Gyakori kérdések
A lépésszámláló egészségügyi adatnak számít?
Önmagában általában nem. Más adatokkal kombinálva, amelyek feltárnak egy egészségi állapotot (diagnózis, rehabilitációs program, szívbetegség), vagy amelyekből ilyen következtethető, egészségügyi adatnak minősül. A hatóságok a célt és a következtetést vizsgálják, nem csak a nyers mezőt.
Használhatok-e jogos érdekeket egészségügyi adatokhoz?
Nem. A jogos érdekek egy 6. cikk szerinti jogalap; az egészségügyi adatokhoz emellett szükség van egy 9. cikk (2) bekezdés szerinti kivételre, és egyik sem a jogos érdek. Az egészségügyi adatokon végzett analitika hozzájárulást vagy anonimizálást igényel.
Szüksége van-e a klinikának a beteg hozzájárulására a nyilvántartások vezetéséhez?
Nem az GDPR alapján: a 9. cikk (2)(h) bekezdés és a nemzeti egészségügyi jogszabályok alapján dolgozza fel az adatokat. A hozzájárulás akkor válik relevánssá, ha az adatokat valami másra használják (megosztás egy alkalmazással, kutatás, marketing), vagy ha a nemzeti jog ezt előírja.
Meddig tárolhatók az egészségügyi adatok?
Az GDPR szerint nem tovább, mint szükséges; a nemzeti egészségügyi nyilvántartási törvények konkrét megőrzési időszakokat határoznak meg a klinikai nyilvántartásokra (gyakran 10-30 év). A beteg által irányított személyes nyilvántartást addig tárolják, amíg azt szeretné, és kérésre törlik.
Próbálja ki ingyen a sandboxban
Az első FHIR-hívás 5 perc alatt. Egy HL7 FHIR R4 API, amely tartalmazza a beteg beleegyezését: próbáld ki a sandboxban, majd csatlakoztasd saját alkalmazásodat vagy klinikai rendszeredet.
Ingyenes · 30 szintetikus beteg · kártya nélkül
Az Anpheros egy olyan egészségügyi nyilvántartást épít, amelyet a beteg irányít, és megoszthat bármelyik klinikával, egy EU-ban működő HL7 FHIR R4 platformon. Ezek az útmutatók segítenek megérteni és rendszerezni az egészségügyi adataidat; nem helyettesítik az orvosodat.
Tudj meg többet az Anpherosról →