Krótka odpowiedź: HIPAA (1996, z zasadami dotyczącymi prywatności, bezpieczeństwa i powiadamiania o naruszeniach) dotyczy objętych podmiotów, planów ubezpieczeniowych, izb rozliczeniowych w ochronie zdrowia i świadczeniodawców, którzy wystawiają rachunki elektronicznie, a także ich współpracowników biznesowych; chroni chronione informacje zdrowotne, które posiadają, i określa, jakie użycia są dozwolone bez autoryzacji osoby. RODO (2016) dotyczy każdego administratora lub podmiotu przetwarzającego dane osobowe osób w UE, przy czym dane dotyczące zdrowia stanowią kategorię specjalną; wymaga podstawy prawnej każdego użycia i przyznaje osobom egzekwowalne prawa. Praktyczna różnica dla produktu: aplikacja zdrowotna dla konsumentów w USA jest zazwyczaj poza zakresem HIPAA i podlega zamiast tego regulacjom FTC i prawom stanowym; ta sama aplikacja w UE jest objęta RODO od pierwszego użytkownika. Produkt obsługujący oba rynki musi być zbudowany z myślą o szerokim zakresie RODO i jednocześnie o szczegółowych zabezpieczeniach HIPAA.
Porównanie
HIPAA reguluje podmioty objęte przepisami i ich partnerów biznesowych w USA zajmujących się chronionymi informacjami o stanie zdrowia, podczas gdy RODO reguluje każdego administratora lub procesora danych mieszkańców UE. HIPAA zezwala na wykorzystanie danych do celów leczenia, płatności i działalności bez autoryzacji i daje 60 dni na zgłoszenie naruszenia; RODO wymaga podstawy prawnej dla każdego celu, przyznaje prawo do usunięcia i przenoszenia danych oraz daje 72 godziny.
| HIPAA (USA) | RODO (UE) | |
|---|---|---|
| Kto podlega regulacji | Objęte podmioty i współpracownicy biznesowi | Każdy administrator lub podmiot przetwarzający dane mieszkańców UE, niezależnie od lokalizacji |
| Jakie dane | Chronione informacje zdrowotne (PHI): identyfikowalne dane zdrowotne posiadane przez objęty podmiot | Wszystkie dane osobowe; dane dotyczące zdrowia stanowią kategorię specjalną (artykuł 9) |
| Aplikacje zdrowotne dla konsumentów | Poza zakresem HIPAA, chyba że działają na rzecz objętego podmiotu; obowiązują ustawa FTC, zasada FTC dotycząca powiadamiania o naruszeniach zdrowia oraz prawa stanowe | Objęte RODO; zwykle podstawą jest wyraźna zgoda |
| Podstawa prawna użycia | Dozwolone użycia bez autoryzacji: leczenie, płatności, operacje, a także wymienione wyjątki; w przeciwnym razie autoryzacja | Podstawa z artykułu 6 i wyjątek z artykułu 9(2) dla każdego celu |
| Minimalna konieczność / minimalizacja | Standard minimalnej konieczności | Zasada minimalizacji danych (artykuł 5) |
| Prawa osoby | Dostęp (30 dni), poprawka, rozliczenie ujawnień, ograniczenia | Dostęp (1 miesiąc), sprostowanie, usunięcie, przenoszenie, sprzeciw, ograniczenie, cofnięcie zgody |
| Deidentyfikacja | Safe Harbor (18 identyfikatorów) lub ustalenie przez eksperta | Anonimizacja (nie są już danymi osobowymi) vs pseudonimizacja (nadal są danymi osobowymi) |
| Bezpieczeństwo | Zasada bezpieczeństwa: zabezpieczenia administracyjne, fizyczne, techniczne; analiza ryzyka; specyfikacje adresowalne vs wymagane | Artykuł 32: odpowiednie środki do ryzyka; brak ustalonej listy |
| Powiadomienie o naruszeniu | Osoby i HHS w ciągu 60 dni od odkrycia (media, jeśli 500+ w stanie); roczny rejestr mniejszych naruszeń | Władza w ciągu 72 godzin; osoby bez zbędnej zwłoki, gdy ryzyko jest wysokie |
| Umowy | Umowa o współpracy biznesowej (BAA) | Umowa z podmiotem przetwarzającym (artykuł 28) |
| Role nadzorcze | Inspektor ochrony prywatności i inspektor bezpieczeństwa | Inspektor ochrony danych, jeśli jest wymagany (artykuł 37) |
| Ocena wpływu | Analiza ryzyka w ramach zasady bezpieczeństwa | Ocenę skutków dla ochrony danych (DPIA) zgodnie z artykułem 35 |
| Transfer międzynarodowy | Brak ograniczeń w samej HIPAA | Rozdział V: adekwatność, SCC, Data Privacy Framework |
| Egzekwowanie | Biuro Praw Obywatelskich HHS; prokuratorzy generalni stanów | Krajowe organy ochrony danych; EDPB |
| Kary | Wielopoziomowe kary cywilne, skorygowane o inflację, w przybliżeniu do 2 milionów dolarów za przepis rocznie; kary karne | Do 20 milionów euro lub 4% światowego obrotu |
Różnica w zakresie, w praktyce
W praktyce HIPAA ma zastosowanie do aplikacji zdrowotnej tylko wtedy, gdy działa ona na rzecz podmiotu objętego przepisami, jako partner biznesowy na podstawie umowy BAA; aplikacja konsumencka, którą wybiera pacjent, jest poza zakresem HIPAA i podlega regulacjom FTC oraz stanowym. W UE ta sama aplikacja jest administratorem danych RODO od pierwszego użytkownika.
Szpital w USA korzystający z platformy FHIR w chmurze: szpital jest objętym podmiotem, platforma współpracownikiem biznesowym na mocy umowy BAA, oba podlegają HIPAA. Konsument w USA przesyłający własne wyniki badań do aplikacji: HIPAA nie dotyczy aplikacji; obowiązuje FTC (praktyki wprowadzające w błąd i zasada FTC dotycząca powiadamiania o naruszeniach zdrowia, zaktualizowana w 2024 r. w celu wyraźnego objęcia aplikacji zdrowotnych), podobnie jak prawa stanowe, takie jak My Health My Data Act w stanie Waszyngton (2023), który wymaga zgody na gromadzenie danych zdrowotnych konsumentów i zakazuje geofencing wokół placówek medycznych, oraz przepisy dotyczące zdrowia zawarte w California CPRA, prawach Nevady i Connecticut. Pacjent w UE robiący to samo: aplikacja jest administratorem w rozumieniu RODO z obowiązkami wynikającymi z artykułu 9 od pierwszego dnia. Zobacz Artykuł 9 RODO dotyczący danych zdrowotnych.
Różnica w podstawie prawnej
HIPAA i RODO wychodzą z przeciwnych punktów widzenia w kwestii podstawy prawnej. HIPAA zezwala podmiotom objętym przepisami na wykorzystywanie chronionych informacji o stanie zdrowia do celów leczenia, płatności i operacji opieki zdrowotnej bez autoryzacji, wymagając pisemnej autoryzacji do innych zastosowań. RODO zabrania przetwarzania danych o stanie zdrowia, chyba że ma zastosowanie wyjątek z art. 9 ust. 2, więc domyślnie nic nie jest dozwolone, a zgoda musi być wyraźna, szczegółowa i odwołalna.
HIPAA zaczyna od dozwolonych użyć: objęty podmiot może używać i ujawniać PHI w celach leczenia, płatności i operacji opieki zdrowotnej bez pytania, a także w celach związanych z interesem publicznym; wszystko inne wymaga pisemnej autoryzacji. RODO zaczyna od zakazu (dla danych zdrowotnych) z wyjątkami; nic nie jest dozwolone "domyślnie", a zgoda, gdy jest używana, musi być wyraźna, szczegółowa i odwołalna. Instynkt zespołu produktowego w USA, że "operacje" obejmują analizę danych, nie przenosi się; w UE analiza danych zdrowotnych wymaga zgody lub anonimizacji.
Różnica w prawach
W zakresie praw indywidualnych HIPAA i RODO przyznają dostęp i możliwość poprawy, ale RODO dodaje prawo do usunięcia, przenoszenia danych w formacie czytelnym maszynowo, sprzeciwu i prawo do wycofania zgody, których HIPAA jako takie nie posiada. Produkt stworzony z myślą o prawach RODO, z funkcjami eksportu, usuwania i cofania zgody w produkcie, z naddatkiem spełnia prawa dostępu HIPAA.
Zasady dotyczące blokowania informacji z ustawy Cures Act i prawo dostępu do elektronicznych chronionych informacji o stanie zdrowia (ePHI) za pośrednictwem API przybliżają pacjentów w USA do przenoszenia danych.
Bezpieczeństwo i naruszenia
Zasada Bezpieczeństwa HIPAA jest preskryptywna, z wymaganą analizą ryzyka, nazwanymi zabezpieczeniami administracyjnymi, fizycznymi i technicznymi, politykami, szkoleniami i kontrolami audytu; Artykuł 32 RODO jest oparty na wynikach, wymagając środków odpowiednich do ryzyka, zazwyczaj wykazywanych za pomocą ISO 27001. Terminy zgłaszania naruszeń znacznie się różnią: 60 dni dla osób fizycznych i HHS w HIPAA, 72 godziny dla organu nadzorczego w RODO.
Zasada bezpieczeństwa HIPAA jest szczegółowa: analiza ryzyka, nazwane zabezpieczenia, polityki, szkolenia, kontrola audytu i proponowana aktualizacja na rok 2025, która uczyniłaby szyfrowanie i uwierzytelnianie wieloskładnikowe obowiązkowymi zamiast adresowalnymi. Artykuł 32 RODO jest oparty na wynikach: odpowiedni do ryzyka, z szyfrowaniem i pseudonimizacją wymienionymi jako przykłady; ISO 27001 jest zwykłym sposobem jego wykazania. Terminy powiadomień o naruszeniach znacznie się różnią: 60 dni dla osób i HHS w ramach HIPAA, 72 godziny dla władzy w ramach RODO. Wspólny podręcznik postępowania w przypadku incydentów jest pisany z myślą o krótszym terminie. Zobacz ISO 27001 vs ISO 27799.
Deidentyfikacja
Safe Harbor HIPAA usuwa 18 wymienionych identyfikatorów, a dane nie są już PHI; ustalenie przez eksperta certyfikuje bardzo niskie ryzyko ponownej identyfikacji. RODO nie ma listy: dane są anonimowe tylko wtedy, gdy nikt nie może ich rozsądnie ponownie zidentyfikować, a dane spseudonimizowane pozostają danymi osobowymi. Wyniki Safe Harbor często nie spełniają kryteriów RODO, zwłaszcza w przypadku dat i rzadkich schorzeń. Zobacz Deidentyfikacja danych zdrowotnych.
Budowanie dla obu
Produkt obsługujący zarówno USA, jak i UE najlepiej zaprojektować najpierw zgodnie z RODO (zgoda na cel, prawa w produkcie, DPIA, 72-godzinny plan działania w przypadku naruszenia, opcja hostingu w UE), z nałożonymi na to preskryptywnymi artefaktami HIPAA: dokumentem analizy ryzyka, szablonem BAA, politykami Zasady Bezpieczeństwa, procedurą zgłaszania naruszeń w ciągu 60 dni i zapisami ze szkoleń pracowników.
Projektuj zgodnie z RODO (zgoda na cel, prawa w produkcie, DPIA, podręcznik postępowania na 72 godziny, opcja hostingu w UE) i nałóż szczegółowe artefakty HIPAA (dokument analizy ryzyka, szablon BAA, zestaw polityk zasady bezpieczeństwa, procedurę powiadamiania o naruszeniach na 60 dni, rejestry szkoleń pracowników). Przechowuj dane z USA i UE w oddzielnych regionach, ponieważ transfery RODO i niektóre prawa stanowe w USA zwracają uwagę na lokalizację. Anpheros jest zbudowany w ten sposób: najpierw RODO jako europejska firma, z platformą zdolną do działania jako współpracownik biznesowy na mocy umowy BAA dla klientów z USA. Witryna dla deweloperów dokumentuje RODO dla deweloperów i bezpieczeństwo.
Ta strona wyjaśnia przepisy dla zespołów produktowych i inżynieryjnych. Nie stanowi porady prawnej; teksty zamieszczone w sekcji Źródła są wiążące, a decyzje w Twojej sprawie podejmuje Twój inspektor ochrony danych, jednostka notyfikowana lub radca prawny. Ostatnia weryfikacja: październik 2026.
Powiązane strony
- Artykuł 9 RODO dotyczący danych zdrowotnych
- Deidentyfikacja danych zdrowotnych
- ISO 27001 vs ISO 27799
- Wyjaśnienie TEFCA i QHIN
- Mapa regulacji danych zdrowotnych
- RODO dla deweloperów (witryna dla deweloperów)
Źródła
- HHS: HIPAA dla profesjonalistów (Zasady dotyczące prywatności, bezpieczeństwa, powiadamiania o naruszeniach)
- HHS: Zasada powiadamiania o naruszeniach
- Zasada FTC dotycząca powiadamiania o naruszeniach zdrowia (16 CFR Part 318)
- Stan Waszyngton: My Health My Data Act (HB 1155)
- Rozporządzenie (UE) 2016/679 (RODO), EUR-Lex
- Komisja Europejska: Ramy ochrony danych UE-USA
Najczęstsze pytania
Czy aplikacja zgodna z HIPAA jest automatycznie zgodna z RODO?
Nie. Zgodność z HIPAA nic nie mówi o podstawie prawnej, jakości zgody, usunięciu, przenoszeniu, DPIA, DPO ani transferach. Obejmuje podzbiór oczekiwań dotyczących bezpieczeństwa RODO i inny reżim powiadamiania o naruszeniach.
Czy HIPAA dotyczy mojej aplikacji, jeśli lekarz ją poleci?
Nie samo w sobie. HIPAA ma zastosowanie, jeśli aplikacja działa na rzecz objętego podmiotu na mocy umowy o współpracy biznesowej (na przykład zintegrowana z przepływem pracy kliniki na prośbę kliniki). Aplikacja wybrana i kontrolowana przez pacjenta jest poza zakresem HIPAA i podlega przepisom FTC i stanowym.
Którego terminu powiadomienia o naruszeniu należy przestrzegać w przypadku wspólnego incydentu w UE i USA?
Oba: 72 godziny dla władz UE w przypadku danych mieszkańców UE, 60 dni dla osób i HHS w przypadku PHI, plus wszelkie terminy stanowe (często od 30 do 60 dni) i 60 dni zgodnie z zasadą FTC dla aplikacji zdrowotnych dla konsumentów. Podręczniki postępowania są pisane z myślą o najkrótszym terminie.
Czy dane zdrowotne z UE mogą być przetwarzane w USA?
Tak, z narzędziem transferu z rozdziału V: Ramy ochrony danych UE-USA dla certyfikowanych firm lub standardowe klauzule umowne z oceną wpływu transferu. Wielu europejskich klientów nadal wymaga hostingu w UE jako warunku umownego.
Wypróbuj za darmo w sandboksie
Pierwsze wywołanie FHIR w 5 minut. API HL7 FHIR R4 z wbudowaną zgodą pacjenta: wypróbuj w piaskownicy, a następnie połącz własną aplikację lub system kliniczny.
Za darmo · 30 syntetycznych pacjentów · bez karty
Anpheros tworzy dokumentację medyczną, nad którą pacjent ma kontrolę i którą może udostępniać dowolnej klinice, na platformie HL7 FHIR R4, z siedzibą w UE. Te przewodniki pomogą Ci zrozumieć i uporządkować informacje o Twoim zdrowiu; nie zastępują one wizyty u lekarza.
O Anpheros →