Rövid válasz: A HIPAA (1996, az Adatvédelmi, Biztonsági és Adatszegélyezési Szabályokkal) a fedezett entitásokra, egészségbiztosítókra, egészségügyi elszámolási központokra és elektronikusan számlázó szolgáltatókra, valamint az ő üzleti partnereikre vonatkozik; védi az általuk tárolt védett egészségügyi információkat, és meghatározza, mely felhasználások engedélyezettek a személy engedélye nélkül. A GDPR (2016) az EU-ban tartózkodó személyek személyes adatait kezelő bármely adatkezelőre vagy adatfeldolgozóra vonatkozik, az egészségügyi adatokat különleges kategóriába sorolva; minden felhasználáshoz jogi alapot követel meg, és érvényesíthető jogokat biztosít az embereknek. A termék gyakorlati különbsége: egy amerikai fogyasztói egészségügyi alkalmazás általában nem tartozik a HIPAA hatálya alá, helyette az FTC és az állami törvények szabályozzák; ugyanaz az alkalmazás az EU-ban az első felhasználótól kezdve a GDPR hatálya alá tartozik. Mindkettőt kiszolgáló terméket egyszerre kell a GDPR kiterjedtségére és a HIPAA előíró biztonsági intézkedéseire felépíteni.
Egymás mellett
Az Egyesült Államokban a HIPAA szabályozza a védett egészségügyi információkat kezelő, az úgynevezett „covered entity” és üzleti partnerek tevékenységét, míg az EU-ban a GDPR szabályozza az európai lakosok adatait kezelő adatkezelőket vagy adatfeldolgozókat. A HIPAA engedélyezi a kezelés, fizetés és működési célú felhasználást engedély nélkül, és 60 napot ad a jogsértés bejelentésére; a GDPR minden célra jogalapot követel meg, biztosítja a törléshez és hordozhatósághoz való jogot, és 72 órát ad.
| HIPAA (USA) | GDPR (EU) | |
|---|---|---|
| Ki van szabályozva | Fedezett entitások és üzleti partnerek | Bármely EU-ban élő személy adatait kezelő adatkezelő vagy adatfeldolgozó, bárhol |
| Milyen adatok | Védett egészségügyi információ (PHI): azonosítható egészségügyi adatok, amelyeket fedezett entitás tart nyilván | Minden személyes adat; az egészségügyi adatok különleges kategóriát képeznek (9. cikk) |
| Fogyasztói egészségügyi alkalmazások | A HIPAA hatályán kívül, hacsak nem fedezett entitás nevében jár el; az FTC törvény, az FTC egészségügyi adatszegélyezési értesítési szabályzata, állami törvények vonatkoznak rájuk | A GDPR hatálya alá tartoznak; az általános alap az explicit hozzájárulás |
| Jogi alap a felhasználáshoz | Engedélyezett felhasználások engedély nélkül: kezelés, fizetés, működés, valamint felsorolt kivételek; egyébként engedély szükséges | Minden célra egy 6. cikk szerinti alap és egy 9. cikk (2) bekezdése szerinti kivétel |
| Minimális szükséges / minimalizálás | Minimális szükséges szabvány | Adatminimalizálási elv (5. cikk) |
| Egyéni jogok | Hozzáférés (30 nap), módosítás, elszámolás a közzétételekről, korlátozások | Hozzáférés (1 hónap), helyesbítés, törlés, hordozhatóság, kifogás, korlátozás, hozzájárulás visszavonása |
| Azonosítás megszüntetése | Safe Harbor (18 azonosító) vagy szakértői meghatározás | Anonimizálás (már nem személyes adatok) vs. pszeudonimizálás (még mindig személyes adatok) |
| Biztonság | Biztonsági szabályzat: adminisztratív, fizikai, technikai biztonsági intézkedések; kockázatelemzés; megvalósítható vs. kötelező specifikációk | 32. cikk: a kockázatnak megfelelő intézkedések; nincs fix lista |
| Adatszegélyezési értesítés | Egyének és a HHS 60 napon belül a felfedezéstől (média, ha 500+ egy államban); éves nyilvántartás kisebb adatszegélyezésekről | Hatóság 72 órán belül; egyének indokolatlan késedelem nélkül, ha magas kockázat |
| Szerződések | Üzleti partneri megállapodás (BAA) | Adatfeldolgozási szerződés (28. cikk) |
| Felügyeleti szerepek | Adatvédelmi tisztviselő és biztonsági tisztviselő | Adatvédelmi tisztviselő, ahol szükséges (37. cikk) |
| Hatásvizsgálat | Kockázatelemzés a Biztonsági Szabályzat alapján | DPIA a 35. cikk alapján |
| Nemzetközi átvitel | A HIPAA maga nem tartalmaz korlátozást | V. fejezet: megfelelőség, SCC-k, Adatvédelmi Keretrendszer |
| Végrehajtás | HHS Polgári Jogi Hivatala; állami főügyészek | Nemzeti adatvédelmi hatóságok; EDPB |
| Bírságok | Lépcsőzetes polgári bírságok, inflációhoz igazítva, nagyjából legfeljebb 2 millió dollár rendelkezésenként évente; büntetőjogi szankciók | Legfeljebb 20 millió euró vagy a világméretű forgalom 4%-a |
A hatály különbsége, gyakorlatban
Gyakorlatban a HIPAA csak akkor vonatkozik egy egészségügyi alkalmazásra, ha az egy „covered entity” nevében, üzleti partnerként, BAA (Business Associate Agreement) keretében jár el; a páciens által választott fogyasztói alkalmazás a HIPAA hatályán kívül esik, és az FTC (Federal Trade Commission) és állami törvények szabályozzák. Az EU-ban ugyanaz az alkalmazás az első felhasználótól kezdve GDPR adatkezelőnek minősül.
Egy amerikai kórház, amely egy felhő alapú FHIR platformot használ: a kórház fedezett entitás, a platform üzleti partner egy BAA keretében, mindkettő a HIPAA hatálya alá tartozik. Egy amerikai fogyasztó, aki saját laboreredményeit tölti fel egy alkalmazásba: a HIPAA nem vonatkozik az alkalmazásra; az FTC igen ( megtévesztő gyakorlatok, és az Egészségügyi Adatszegélyezési Értesítési Szabályzat, amelyet 2024-ben frissítettek, hogy kifejezetten kiterjedjen az egészségügyi alkalmazásokra), akárcsak az állami törvények, mint például a washingtoni My Health My Data Act (2023), amely hozzájárulást követel a fogyasztói egészségügyi adatok gyűjtéséhez, és megtiltja a geofencinget az egészségügyi létesítmények körül, valamint a kaliforniai CPRA, a nevadai és connecticuti törvények egészségügyi rendelkezései. Egy EU-beli beteg, aki ugyanezt teszi: az alkalmazás adatkezelő a GDPR hatálya alá tartozik, a 9. cikk szerinti kötelezettségekkel az első naptól kezdve. Lásd: GDPR 9. cikk az egészségügyi adatokról.
A jogi alap különbsége
A HIPAA és a GDPR ellentétes pontokról indulnak a jogalap tekintetében. A HIPAA megengedi a „covered entity”-knek a védett egészségügyi információk engedély nélküli felhasználását kezelési, fizetési és egészségügyi műveletek céljából, más felhasználásokhoz írásbeli engedélyt kérve. A GDPR megtiltja az egészségügyi adatok feldolgozását, hacsak nem alkalmazható a 9. cikk (2) bekezdésében foglalt kivétel, így alapértelmezés szerint semmi sem megengedett, és az engedélynek kifejezettnek, specifikusnak és visszavonhatónak kell lennie.
A HIPAA a engedélyezett felhasználásokból indul ki: egy fedezett entitás az egészségügyi kezelés, fizetés és egészségügyi működés céljából engedély nélkül használhatja és közzéteheti a PHI-t, valamint nyilvános érdekű célokra; minden más írásbeli engedélyt igényel. A GDPR a tilalomból (az egészségügyi adatokra vonatkozóan) indul ki kivételekkel; semmi sem engedélyezett "alapértelmezetten", és a hozzájárulás, ahol használják, legyen explicit, specifikus és visszavonható. Egy amerikai termékcsapat azon ösztöne, hogy az "üzemeltetés" magában foglalja az analitikát, nem vihető át; az EU-ban az egészségügyi adatok analitikája hozzájárulást vagy anonimizálást igényel.
A jogok különbsége
Az egyéni jogokat illetően mind a HIPAA, mind a GDPR hozzáférést és helyesbítést biztosít, de a GDPR hozzáadja a törléshez, géppel olvasható formátumban történő hordozhatósághoz, kifogáshoz és az engedély visszavonásához való jogot, amelyek a HIPAA-ból hiányoznak. Egy GDPR jogokra épülő termék, amely tartalmazza az exportálást, törlést és visszavonást, elegendő mértékben teljesíti a HIPAA hozzáférési jogait.
A Cures Act információmegosztást korlátozó szabályai és az API-kon keresztüli elektronikus PHI (Protected Health Information) hozzáférési jog a pácienseket az Egyesült Államokban a hordozhatóság felé terelik.
Biztonság és adatszegélyezések
A HIPAA biztonsági szabályzata előíró jellegű, kötelező kockázatelemzéssel, megnevezett adminisztratív, fizikai és technikai biztosítékokkal, irányelvekkel, képzéssel és auditvezérléssel rendelkezik; a GDPR 32. cikke eredményalapú, a kockázatnak megfelelő intézkedéseket kér, amelyet általában az ISO 27001 tanúsítvány mutat be. A jogsértések bejelentési határideje élesen eltér: 60 nap az egyének és a HHS (Health and Human Services) felé a HIPAA szerint, 72 óra a hatóság felé a GDPR szerint.
A HIPAA Biztonsági Szabályzata előíró jellegű: kockázatelemzés, megnevezett biztonsági intézkedések, irányelvek, képzés, auditvezérlők, és egy 2025-ös tervezett frissítés, amely a titkosítást és a többtényezős hitelesítést kötelezővé tenné a megvalósítható helyett. A GDPR 32. cikke eredményorientált: a kockázatnak megfelelő, titkosítással és pszeudonimizálással mint példákkal; az ISO 27001 a szokásos módja ennek igazolására. Az adatszegélyezési határidők élesen eltérnek: 60 nap az egyének és a HHS felé a HIPAA alapján, 72 óra a hatóság felé a GDPR alapján. Egy közös incidens forgatókönyv a rövidebb határidőt követi. Lásd: ISO 27001 vs ISO 27799.
Azonosítás megszüntetése
A HIPAA Safe Harbor 18 felsorolt azonosítót távolít el, és az adatok már nem PHI; az szakértői meghatározás nagyon alacsony újraazonosítási kockázatot tanúsít. A GDPR nem tartalmaz listát: az adat csak akkor anonim, ha senki sem tudja ésszerűen újra azonosítani, és a pszeudonimizált adatok személyes adatok maradnak. A Safe Harbor kimenete gyakran nem felel meg a GDPR követelményeinek, különösen a dátumok és ritka állapotok esetében. Lásd: Az egészségügyi adatok azonosításának megszüntetése.
Építés mindkettőre
Egy olyan termék, amely mind az Egyesült Államokat, mind az EU-t szolgálja, ideális esetben először a GDPR szerint készül el (engedély célonként, jogok a termékben, DPIA (Data Protection Impact Assessment), 72 órás jogsértési eljárás, EU-s tárhely opció), erre épülnek rá a HIPAA előíró jellegű elemei: kockázatelemzési dokumentum, BAA sablon, Biztonsági Szabályzat irányelvek, 60 napos jogsértési eljárás és munkavállalói képzési nyilvántartások.
Tervezés a GDPR szerint (hozzájárulás célonként, jogok a termékben, DPIA, 72 órás forgatókönyv, EU-s tárhely opció), és erre építse rá a HIPAA előíró dokumentumait (kockázatelemzési dokumentum, BAA sablon, Biztonsági Szabályzat irányelvek, 60 napos adatszegélyezési eljárás, munkaerő képzési nyilvántartások). Tartsa az amerikai és EU-s adatokat külön régiókban, mert mind a GDPR átvitelek, mind egyes amerikai állami törvények figyelmet fordítanak a helyszínre. Az Anpheros így épült: GDPR-központú, európai cégként, a platform képes üzleti partnerként működni egy BAA keretében amerikai ügyfelek számára. A fejlesztői webhely dokumentálja a GDPR-t fejlesztőknek és a biztonságot.
Ez az oldal a termék- és mérnöki csapatok számára szóló szabályozást magyarázza el. Ez nem jogi tanácsadás; a Források alatt linkelt szövegek az irányadóak, és az Ön adatvédelmi tisztviselője, bejelentett szerve vagy tanácsadója dönt az Ön esetében. Utolsó felülvizsgálat: 2026. október.
Kapcsolódó oldalak
- GDPR 9. cikk az egészségügyi adatokról
- Az egészségügyi adatok azonosításának megszüntetése
- ISO 27001 vs ISO 27799
- A TEFCA és a QHIN-ek magyarázata
- Egészségügyi adatszabályozási térkép
- GDPR fejlesztőknek (fejlesztői webhely)
Források
- HHS: HIPAA szakembereknek (Adatvédelmi, Biztonsági, Adatszegélyezési Értesítési Szabályzatok)
- HHS: Adatszegélyezési Értesítési Szabályzat
- FTC Egészségügyi Adatszegélyezési Értesítési Szabályzat (16 CFR Part 318)
- Washington Állam: My Health My Data Act (HB 1155)
- 2016/679 (GDPR) rendelet, EUR-Lex
- Európai Bizottság: EU-USA Adatvédelmi Keretrendszer
Gyakori kérdések
Egy HIPAA-kompatibilis alkalmazás automatikusan GDPR-kompatibilis?
Nem. A HIPAA megfelelőség nem mond semmit a jogi alapokról, a hozzájárulás minőségéről, a törlésről, a hordozhatóságról, a DPIA-król, a DPO-król vagy az átvitelekről. A GDPR biztonsági elvárásainak egy részét és egy eltérő adatszegélyezési rendszert fed le.
A HIPAA vonatkozik az alkalmazásomra, ha egy orvos ajánlja azt?
Nem önmagában. A HIPAA akkor vonatkozik, ha az alkalmazás egy fedezett entitás nevében jár el egy üzleti partneri megállapodás keretében (például a klinika kérésére integrálva a klinika munkafolyamatába). Egy olyan alkalmazásra, amelyet a beteg választ és irányít, nem vonatkozik a HIPAA, hanem az FTC és az állami szabályok.
Melyik adatszegélyezési határidőt követem egy közös EU-USA incidens esetén?
Mindkettőt: 72 óra az EU hatóság felé az EU-ban élő lakosok adataiért, 60 nap az egyének és a HHS felé a PHI-ért, plusz bármely állami határidő (gyakran 30-60 nap) és az FTC szabály 60 napja a fogyasztói egészségügyi alkalmazásokra. A forgatókönyvek a legrövidebb határidőhöz igazodnak.
Feldolgozhatók-e EU-s egészségügyi adatok az USA-ban?
Igen, egy V. fejezet szerinti átviteli eszközzel: az EU-USA Adatvédelmi Keretrendszer a tanúsított vállalatok számára, vagy standard szerződéses záradékok átviteli hatásvizsgálattal. Sok európai ügyfél továbbra is ragaszkodik az EU-s tárhelyhez, mint szerződéses feltételhez.
Próbálja ki ingyen a sandboxban
Az első FHIR-hívás 5 perc alatt. Egy HL7 FHIR R4 API, amely tartalmazza a beteg beleegyezését: próbáld ki a sandboxban, majd csatlakoztasd saját alkalmazásodat vagy klinikai rendszeredet.
Ingyenes · 30 szintetikus beteg · kártya nélkül
Az Anpheros egy olyan egészségügyi nyilvántartást épít, amelyet a beteg irányít, és megoszthat bármelyik klinikával, egy EU-ban működő HL7 FHIR R4 platformon. Ezek az útmutatók segítenek megérteni és rendszerezni az egészségügyi adataidat; nem helyettesítik az orvosodat.
Tudj meg többet az Anpherosról →