Risposta breve: L'HIPAA (1996, con le norme sulla privacy, sulla sicurezza e sulla notifica delle violazioni) si applica alle entità coperte, ai piani sanitari, agli intermediari sanitari e ai fornitori che fatturano elettronicamente, e ai loro associati commerciali; protegge le informazioni sanitarie protette che detengono e stabilisce quali usi sono consentiti senza l'autorizzazione della persona. Il GDPR (2016) si applica a qualsiasi titolare del trattamento o responsabile del trattamento che gestisce dati personali di persone nell'UE, con i dati sanitari come categoria speciale; richiede una base giuridica per ogni utilizzo e conferisce alle persone diritti esecutivi. La differenza pratica per un prodotto: un'app di salute per i consumatori negli Stati Uniti è solitamente al di fuori dell'HIPAA e regolamentata dalla FTC e dalle leggi statali; la stessa app nell'UE è soggetta al GDPR dal primo utente. Un prodotto che serve entrambi deve essere costruito contemporaneamente per l'ampiezza del GDPR e le salvaguardie prescrittive dell'HIPAA.
Confronto affiancato
A confronto, l'HIPAA regola le entità coperte e gli associati in partecipazione statunitensi che gestiscono informazioni sanitarie protette, mentre il GDPR regola qualsiasi titolare o responsabile del trattamento dei dati dei residenti nell'UE. L'HIPAA consente utilizzi per trattamento, pagamento e operazioni senza autorizzazione e concede 60 giorni per la notifica di violazione; il GDPR richiede una base giuridica per ogni finalità, concede la cancellazione e la portabilità, e concede 72 ore.
| HIPAA (USA) | GDPR (UE) | |
|---|---|---|
| Chi è regolamentato | Entità coperte e associati commerciali | Qualsiasi titolare o responsabile del trattamento dei dati di residenti UE, ovunque |
| Quali dati | Informazioni sanitarie protette (PHI): dati sanitari identificabili detenuti da un'entità coperta | Tutti i dati personali; i dati sanitari sono una categoria speciale (Articolo 9) |
| App di salute per i consumatori | Al di fuori dell'HIPAA a meno che non agisca per conto di un'entità coperta; si applicano l'FTC Act, l'FTC Health Breach Notification Rule e le leggi statali | Soggetto al GDPR; il consenso esplicito è la base usuale |
| Base giuridica per l'uso | Usi consentiti senza autorizzazione: trattamento, pagamento, operazioni, più eccezioni elencate; altrimenti autorizzazione | Una base ai sensi dell'Articolo 6 e un'eccezione ai sensi dell'Articolo 9(2) per ogni finalità |
| Minimo necessario / minimizzazione | Standard del minimo necessario | Principio di minimizzazione dei dati (Articolo 5) |
| Diritti individuali | Accesso (30 giorni), rettifica, rendiconto delle divulgazioni, restrizioni | Accesso (1 mese), rettifica, cancellazione, portabilità, opposizione, restrizione, revoca del consenso |
| De-identificazione | Safe Harbor (18 identificatori) o determinazione di un esperto | Anonimizzazione (non più dati personali) vs pseudonimizzazione (ancora dati personali) |
| Sicurezza | Norma sulla sicurezza: salvaguardie amministrative, fisiche e tecniche; analisi dei rischi; specifiche "addressable" vs "required" | Articolo 32: misure appropriate al rischio; nessun elenco fisso |
| Notifica delle violazioni | Individui e HHS entro 60 giorni dalla scoperta (media se 500+ in uno stato); registro annuale per violazioni minori | Autorità entro 72 ore; individui senza indebito ritardo in caso di rischio elevato |
| Contratti | Accordo tra associati commerciali (BAA) | Contratto con il responsabile del trattamento (Articolo 28) |
| Ruoli di supervisione | Responsabile della privacy e responsabile della sicurezza | Responsabile della protezione dei dati ove richiesto (Articolo 37) |
| Valutazione d'impatto | Analisi dei rischi ai sensi della norma sulla sicurezza | DPIA ai sensi dell'Articolo 35 |
| Trasferimento internazionale | Nessuna restrizione nell'HIPAA stesso | Capitolo V: adeguatezza, SCC, Data Privacy Framework |
| Applicazione | Ufficio per i diritti civili dell'HHS; procuratori generali degli stati | Autorità nazionali per la protezione dei dati; EDPB |
| Sanzioni | Sanzioni civili a più livelli, adeguate all'inflazione, circa fino a 2 milioni di dollari per disposizione all'anno; sanzioni penali | Fino a 20 milioni di euro o il 4% del fatturato mondiale |
La differenza di ambito, in pratica
In pratica, l'HIPAA si applica a un'app sanitaria solo quando agisce per conto di un'entità coperta, come associato in partecipazione ai sensi di un BAA; un'app consumer scelta da un paziente è al di fuori dell'HIPAA e regolata dalla FTC e dalle leggi statali. Nell'UE la stessa app è un titolare del trattamento GDPR fin dal primo utente.
Un ospedale statunitense che utilizza una piattaforma FHIR basata su cloud: l'ospedale è un'entità coperta, la piattaforma un associato commerciale ai sensi di un BAA, entrambi soggetti all'HIPAA. Un consumatore negli Stati Uniti che carica i propri referti di laboratorio su un'app: l'HIPAA non si applica all'app; la FTC sì (pratiche ingannevoli e l'Health Breach Notification Rule, aggiornata nel 2024 per coprire esplicitamente le app sanitarie), così come le leggi statali come il My Health My Data Act dello stato di Washington (2023), che richiede il consenso per la raccolta di dati sanitari dei consumatori e vieta il geofencing attorno alle strutture sanitarie, e le disposizioni sanitarie del California CPRA, delle leggi del Nevada e del Connecticut. Un paziente nell'UE che fa lo stesso: l'app è un titolare del trattamento ai sensi del GDPR con obblighi ai sensi dell'Articolo 9 fin dal primo giorno. Vedere Articolo 9 del GDPR per i dati sanitari.
La differenza di base giuridica
L'HIPAA e il GDPR partono da punti opposti sulla base giuridica. L'HIPAA consente alle entità coperte di utilizzare le informazioni sanitarie protette per il trattamento, il pagamento e le operazioni sanitarie senza autorizzazione, richiedendo un'autorizzazione scritta per altri usi. Il GDPR vieta il trattamento dei dati sanitari a meno che non si applichi un'eccezione ai sensi dell'articolo 9, paragrafo 2, pertanto nulla è permesso per impostazione predefinita e il consenso deve essere esplicito, specifico e revocabile.
L'HIPAA parte dagli usi consentiti: un'entità coperta può utilizzare e divulgare le PHI per il trattamento, il pagamento e le operazioni sanitarie senza chiedere, e per un elenco di scopi di interesse pubblico; tutto il resto richiede un'autorizzazione scritta. Il GDPR parte da un divieto (per i dati sanitari) con eccezioni; nulla è consentito "di default", e il consenso, quando utilizzato, deve essere esplicito, specifico e revocabile. L'istinto di un team di prodotto statunitense che "operazioni" copre l'analisi dei dati non è trasferibile; nell'UE, l'analisi dei dati sanitari richiede il consenso o l'anonimizzazione.
La differenza di diritti
Per quanto riguarda i diritti individuali, sia l'HIPAA che il GDPR concedono l'accesso e la correzione, ma il GDPR aggiunge la cancellazione, la portabilità in formato leggibile da macchina, l'opposizione e il diritto di revocare il consenso, che l'HIPAA non possiede come tali. Un prodotto costruito per i diritti del GDPR, con esportazione, cancellazione e revoca nel prodotto, soddisfa i diritti di accesso dell'HIPAA con margine.
Le regole di "information blocking" del Cures Act e il diritto di accesso alle informazioni sanitarie elettroniche protette (ePHI) tramite API avvicinano i pazienti statunitensi alla portabilità.
Sicurezza e violazioni
La Security Rule dell'HIPAA è prescrittiva, con un'analisi dei rischi richiesta, salvaguardie amministrative, fisiche e tecniche nominate, politiche, formazione e controlli di audit; l'articolo 32 del GDPR è basato sui risultati, richiedendo misure appropriate al rischio, solitamente dimostrate tramite ISO 27001. Le scadenze per le violazioni differiscono nettamente: 60 giorni agli individui e all'HHS secondo l'HIPAA, 72 ore all'autorità secondo il GDPR.
La norma sulla sicurezza dell'HIPAA è prescrittiva: analisi dei rischi, salvaguardie nominate, politiche, formazione, controlli di audit e un aggiornamento proposto per il 2025 che renderebbe la crittografia e l'autenticazione a più fattori obbligatorie anziché "addressable". L'Articolo 32 del GDPR è basato sui risultati: appropriato al rischio, con la crittografia e la pseudonimizzazione nominate come esempi; l'ISO 27001 è il modo usuale per dimostrarlo. Le tempistiche delle violazioni differiscono nettamente: 60 giorni agli individui e all'HHS ai sensi dell'HIPAA, 72 ore all'autorità ai sensi del GDPR. Un piano di emergenza congiunto utilizza il termine più breve. Vedere ISO 27001 vs ISO 27799.
De-identificazione
Il Safe Harbor dell'HIPAA rimuove 18 identificatori elencati e i dati non sono più PHI; la determinazione di un esperto certifica un rischio di re-identificazione molto basso. Il GDPR non ha un elenco: i dati sono anonimi solo se nessuno può ragionevolmente re-identificarli, e i dati pseudonimizzati rimangono dati personali. L'output del Safe Harbor spesso non soddisfa il livello del GDPR, specialmente con date e condizioni rare. Vedere De-identificazione dei dati sanitari.
Costruire per entrambi
Un prodotto che serve sia gli Stati Uniti che l'UE è meglio progettato prima per il GDPR (consenso per finalità, diritti nel prodotto, DPIA, piano di gestione delle violazioni a 72 ore, opzione di hosting nell'UE) con gli artefatti prescrittivi dell'HIPAA sovrapposti: un documento di analisi dei rischi, un modello di BAA, politiche della Security Rule, una procedura di violazione a 60 giorni e registri di formazione del personale.
Progettare secondo il GDPR (consenso per finalità, diritti nel prodotto, DPIA, piano di emergenza di 72 ore, opzione di hosting nell'UE) e sovrapporre gli artefatti prescrittivi dell'HIPAA (documento di analisi dei rischi, modello BAA, set di politiche della norma sulla sicurezza, procedura di violazione di 60 giorni, registri di formazione del personale). Mantenere i dati statunitensi ed europei in regioni separabili, poiché i trasferimenti del GDPR e alcune leggi statali statunitensi si preoccupano entrambi della posizione. Anpheros è costruito in questo modo: GDPR-first come azienda europea, con la piattaforma in grado di operare come associato commerciale ai sensi di un BAA per i clienti statunitensi. Il sito per sviluppatori documenta GDPR per sviluppatori e sicurezza.
Questa pagina spiega la regolamentazione per i team di prodotto e ingegneria. Non costituisce consulenza legale; i testi collegati nelle Fonti fanno fede, e il tuo responsabile della protezione dei dati, organismo notificato o consulente decide per il tuo caso. Ultima revisione: Ottobre 2026.
Pagine correlate
- Articolo 9 del GDPR per i dati sanitari
- De-identificazione dei dati sanitari
- ISO 27001 vs ISO 27799
- TEFCA e QHIN spiegati
- Mappa della regolamentazione dei dati sanitari
- GDPR per sviluppatori (sito per sviluppatori)
Fonti
- HHS: HIPAA per professionisti (Norme su Privacy, Sicurezza, Notifica delle Violazioni)
- HHS: Norma sulla notifica delle violazioni
- FTC Health Breach Notification Rule (16 CFR Part 318)
- Stato di Washington: My Health My Data Act (HB 1155)
- Regolamento (UE) 2016/679 (GDPR), EUR-Lex
- Commissione Europea: Quadro UE-USA sulla privacy dei dati
Domande frequenti
Un'app conforme all'HIPAA è automaticamente conforme al GDPR?
No. La conformità all'HIPAA non dice nulla sulla base giuridica, sulla qualità del consenso, sulla cancellazione, sulla portabilità, sulle DPIA, sui DPO o sui trasferimenti. Copre un sottoinsieme delle aspettative di sicurezza del GDPR e un regime di violazione diverso.
L'HIPAA si applica alla mia app se un medico la raccomanda?
Non di per sé. L'HIPAA si applica se l'app agisce per conto di un'entità coperta ai sensi di un accordo tra associati commerciali (ad esempio, integrata nel flusso di lavoro della clinica su richiesta della clinica). Un'app scelta e controllata dal paziente è al di fuori dell'HIPAA e soggetta alle normative FTC e statali.
Quale scadenza per le violazioni devo seguire per un incidente congiunto UE-USA?
Entrambe: 72 ore all'autorità UE per i dati dei residenti UE, 60 giorni agli individui e all'HHS per le PHI, più eventuali scadenze statali (spesso da 30 a 60 giorni) e i 60 giorni della norma FTC per le app sanitarie per i consumatori. I piani di emergenza sono scritti per il termine più breve.
I dati sanitari UE possono essere elaborati negli Stati Uniti?
Sì, con uno strumento di trasferimento ai sensi del Capitolo V: il Quadro UE-USA sulla privacy dei dati per le aziende certificate, o clausole contrattuali standard con una valutazione d'impatto sul trasferimento. Molti clienti europei richiedono comunque l'hosting nell'UE come condizione contrattuale.
Provalo gratis nella sandbox
La tua prima chiamata FHIR in 5 minuti. Un'API HL7 FHIR R4 con il consenso del paziente integrato: provala nella sandbox, poi collega la tua app o il sistema della tua clinica.
Gratis · 30 pazienti sintetici · senza carta
Anpheros sviluppa una cartella clinica che il paziente controlla e può condividere con qualsiasi studio medico, su una piattaforma HL7 FHIR R4, con sede in UE. Queste guide ti aiutano a comprendere e organizzare la tua salute; non sostituiscono il tuo medico.
Chi siamo →