短く言うと： 健康データを扱うソフトウェアは、同時に4つのルール群に対応する必要があります。データ保護は、個人健康データをどう扱えるかを定めています。EUではGDPR第9条、米国ではHIPAAと州法がこれにあたります。医療システムルールは、データの移動と共有の方法を定めています。EUでは欧州健康データ空間（EHDS）、米国ではTEFCA、USCDI、情報ブロック禁止ルールがこれにあたります。製品安全は、ソフトウェアが医療目的で使用される場合に適用されます。EUでは医療機器規則（MDR）と体外診断用医療機器規則（IVDR）、米国ではFDAの規則がこれにあたり、その基盤となる技術・品質基準としてIEC 62304とISO 13485があります。セキュリティは、すべての人が満たすべき基本的な基準を定めています。ISO 27001と27799、重要インフラ向けNIS2、HIPAAセキュリティルールがこれにあたります。ID（eIDASとEUデジタルIDウォレット、NHSログイン、国民ID）は、これら4つすべてにまたがります。
マップ
ヘルスデータ規制マップは、ヘルスデータを扱うソフトウェアに関するルールをファミリーに分類します。データ保護（GDPR第9条、HIPAA、米国州法）、ヘルスシステムルール（EHDS、Cures Act、TEFCA）、製品安全（MDR、IVDR、FDA）、エンジニアリングおよび品質基準（IEC 62304、ISO 13485）、セキュリティ（ISO 27001、ISO 27799、NIS2、HIPAAセキュリティルール）、そしてID（eIDAS 2）です。
| ファミリー | ルール | 対象 | 要求事項 |
|---|---|---|---|
| データ保護 | GDPR、第9条および第35条 | EU居住者の健康データを処理するすべての人 | 第9条(2)に基づく法的根拠、DPIA、大規模処理の場合はDPO、権利、72時間以内の侵害通知 |
| データ保護 | HIPAA（プライバシー、セキュリティ、侵害通知ルール） | 米国の対象事業者およびその業務委託先 | 許可された利用、保護措置、侵害通知。ほとんどの消費者向けアプリは対象外。 |
| データ保護 | 米国州法（CCPA/CPRA、ワシントン州マイヘルス・マイデータなど） | 居住者のデータを扱う事業者 | 消費者の健康データに関する同意、削除権、販売制限 |
| ヘルスシステム | EHDS、規則（EU）2025/327 | EHRシステム、相互運用性を主張するウェルネスアプリ、データ保有者、健康データアクセス機関 | 欧州交換フォーマットでの患者アクセスとポータビリティ、必須のMyHealth@EU、二次利用許可 |
| ヘルスシステム | 21世紀Cures Act、ONC HTIルール、TEFCA | 米国の認定ヘルスIT、プロバイダー、ネットワーク | FHIR API、USCDIデータ、情報ブロック禁止、全国規模の交換 |
| 製品安全 | MDR 2017/745、IVDR 2017/746 | EU患者向けの医療目的ソフトウェア | 分類、適合性評価、臨床評価、市販後監視、CEマーキング |
| 製品安全 | FDA（21 CFR 820/QMSR、510(k)、De Novo、PMA） | 米国向けの医療機器としてのソフトウェア | クラス別の市販前審査パスウェイ、品質システム、サイバーセキュリティ文書 |
| エンジニアリング | IEC 62304、IEC 82304-1、ISO 14971 | 医療機器ソフトウェアチーム | 安全クラス別のソフトウェアライフサイクル、リスク管理 |
| 品質 | ISO 13485 | 医療機器メーカー | 設計、製造、苦情を網羅する品質マネジメントシステム |
| セキュリティ | ISO/IEC 27001、ISO 27799、ISO 27701 | すべての組織；医療分野に特化したガイダンス | 情報セキュリティマネジメントシステム、医療管理策、プライバシー拡張 |
| セキュリティ | NIS2、指令2022/2555 | 医療機関、医療機器メーカー、クラウドおよびデジタルプロバイダー（規模のしきい値を超える場合） | リスク対策、24/72時間以内のインシデント報告、経営責任 |
| セキュリティ | HIPAAセキュリティルール | 米国の対象事業者および業務委託先 | 管理的、物理的、技術的な保護措置；リスク分析 |
| ID | eIDAS 2およびEUデジタルIDウォレット | EU市民のIDを確認するサービス | 2026～2027年からの強力な本人確認のためのウォレットの受け入れ |
何の対象となるか
どのヘルスデータルールが適用されるかは、ソフトウェアの機能によって異なります。医療上の主張をしない一般消費者向けアプリは、GDPR第9条、DPIA、セキュリティ対策の対象となります。解釈を加えると医療機器としてMDRの対象となり、FHIRプラットフォームはGDPRの処理者であり、場合によってはNIS2の対象となります。病院は、これらのすべてに加え、重要インフラ事業者としてNIS2の対象となります。
- 医療上の主張をしない消費者向け健康アプリ（症状の日記、検査結果の記録）：GDPR第9条（明示的な同意）、DPIA、ISO 27001レベルのセキュリティ対策、EHRシステムとの連携を主張する場合はEHDSウェルネスアプリラベル。医療機器ではない（意図された目的が非医療に留まる限り）。米国では、HIPAAではなくFTCの規則と州の健康プライバシー法。
- 同じアプリに解釈機能が付いた場合（「あなたの結果は～を示唆しています…」）：MDR規則11に基づく医療機器、通常はクラスIIa、IEC 62304とISO 13485が背景にある。 健康アプリは医療機器か？ および SaMDクラス を参照。
- FHIRプラットフォームまたは統合ベンダー：GDPR（処理者として、第28条契約）、ISO 27001、デジタルインフラストラクチャまたはICTサービスプロバイダーとしてのNIS2の可能性、EHRシステムの一部である場合のEHDS義務、米国でのHIPAA（業務委託先として）。
- 病院：上記のすべてを管理者および運用者として、さらにNIS2（重要エンティティとして）、国の健康記録法、および国のインフラストラクチャへの接続に関するEHDSの期限。
- 研究プラットフォーム：GDPR第9条(2)(j)および第89条、EHDS二次利用章（健康データアクセス機関からの許可、安全な処理環境）、匿名化基準。 健康データの二次利用 を参照。
順序
ヘルスデータのコンプライアンスは、以下の順序で進めるのが最善です。まず、ソフトウェアが医療機器に該当するかどうかを決定する意図された目的を記述します。次に、データ保護（法的根拠、DPIA、処理委託契約）を検討します。その後、ISO 27001に沿ったセキュリティの基本方針を定めます。続いて、FHIRやEHDS、USCDIなどの相互運用性に関する義務を考慮します。もしあれば、医療機器としてのルートに進みます。最後に、国境を越える問題に対処します。
- 意図された目的を文書で決定する。これにより、医療機器であるかどうかが決まり、他のすべてがそれに続く。
- まずデータ保護：法的根拠、DPIA、処理者契約、DPO。これらは、すべてのシナリオで、最初の実際のユーザーの前に必要となる。GDPR第9条（健康データ向け） および DPIA（健康アプリ向け） を参照。
- セキュリティの基本：ISO 27001に沿ったISMSで、27799の医療管理策にマッピングする。これはNIS2とHIPAAセキュリティルールのほとんどにも対応する。ISO 27001 vs ISO 27799 および NIS2（病院およびベンダー向け） を参照。
- 相互運用性の義務：FHIRと市場の交換フォーマット（EHDS、USCDI/US Core）により、製品が国のインフラストラクチャから締め出されないようにする。USCDIの説明 および TEFCAの説明 を参照。
- 該当する場合、医療機器ルート：分類、品質システム、ライフサイクル、通知機関またはFDAパスウェイ。1年を予算に計上する。
- クロスボーダー：両市場にサービスを提供する際のHIPAAとGDPRの違い（HIPAA vs GDPR）、転送メカニズム、ホスティング場所。
Anpherosの立ち位置
Anpheros Dailyは、医療目的ではないと明記された個人健康記録です。データの保存、表示、共有を行い、解釈や推奨は行いません。Anpheros Platformは、GDPR第28条に基づく処理者としてクリニックや開発者に提供されるFHIR R4バックエンドであり、患者が管理する同意とアクセスログを備えています。このクラスターの規制ページでは、このような製品に適用されるルールを説明しています。透明性ページ では、Anpherosがそれらをどのように適用しているかを説明しています。
このページは、製品およびエンジニアリングチーム向けの規制について説明しています。これは法的助言ではありません。情報源の下にリンクされているテキストが権威であり、あなたのデータ保護担当者、通知機関、または顧問があなたのケースを決定します。最終レビュー：2026年10月。
関連ページ
- 健康アプリは医療機器か？ EU MDR規則11
- EUにおけるあなたの医療データ：GDPR、EHDS、あなたの権利
- GDPR第9条（健康データ向け）
- DPIA（健康アプリ向け）
- HIPAA vs GDPR
- NIS2（病院およびヘルスケアテクノロジーベンダー向け）
- ヘルスケア相互運用性標準：マップ
- 開発者向けGDPR（開発者サイト）
- ヨーロッパと米国の国民的電子健康記録
- MyHealth@EUと国境を越えた患者要約
- EU AI法と健康AI
- 健康データの二次利用
- 健康アプリにおけるセキュリティとID
情報源
- 規則（EU）2016/679（GDPR）、EUR-Lex
- 規則（EU）2025/327（欧州健康データ空間）、EUR-Lex
- 規則（EU）2017/745（MDR）、EUR-Lex
- 規則（EU）2017/746（IVDR）、EUR-Lex
- 指令（EU）2022/2555（NIS2）、EUR-Lex
- HHS：専門家向けHIPAA
- ASTP/ONC：信頼された交換フレームワークと共通契約
- ISO/IEC 27001:2022
よくある質問
EUユーザーがいる米国企業にもGDPRは適用されますか？
はい、第3条(2)に基づき、EU内の個人にサービスを提供したり、その行動を監視したりする場合、サーバーの場所に関わらず適用されます。その場合、EU代表者、第9条に基づく法的根拠、および合法的な転送メカニズムが必要となります。
HIPAAはGDPRよりも厳しいですか？
どちらかが厳密に厳しいわけではありません。HIPAAは範囲が狭く（対象事業者および業務委託先のみ）、保護措置についてより詳細に規定されています。GDPRは範囲が広く（EU居住者のデータを処理するすべての人）、権利ベースであり、すべての利用について法的根拠を必要とします。両方の市場で製品を提供する場合は、両方を満たす必要があります。
EHDSは健康データに関するGDPRに取って代わりますか？
いいえ。EHDSはGDPRを基盤とし、EHRシステム、患者アクセス、国境を越えた交換、二次利用に関する義務を追加します。GDPRは、すべての処理操作の基盤として残ります。
コンプライアンスチームがいない場合、どこから始めればよいですか？
意図された目的を文書化し、テンプレートを使用してDPIAを実行し、ISO 27001スタイルのセキュリティ基本方針を採用し、市場のプロファイルを持つFHIRを使用してください。これらの4つのステップで、最初の監査または最初の病院顧客が求めることのほとんどをカバーできます。
サンドボックスで無料で試す
5分で最初のFHIR呼び出し. 患者さんの同意が組み込まれたHL7 FHIR R4 APIです。サンドボックスでお試しいただき、ご自身のアプリやクリニックのシステムを接続してください。
無料・合成患者30人・カード不要
Anpherosは、患者が管理し、あらゆるクリニックと共有できる医療記録を、EUを拠点とするHL7 FHIR R4プラットフォーム上で構築しています。これらのガイドは、ご自身の健康を理解し整理するのに役立ちますが、医師の代わりになるものではありません。
Anpherosについて →