Răspuns scurt: HIPAA (1996, cu Regulile privind confidențialitatea, securitatea și notificarea încălcărilor) se aplică entităților acoperite, planurilor de sănătate, caselor de compensare medicală și furnizorilor care facturează electronic, precum și asociaților lor de afaceri; protejează informațiile protejate de sănătate pe care le dețin și specifică ce utilizări sunt permise fără autorizarea persoanei. GDPR (2016) se aplică oricărui controlor sau procesator care prelucrează date personale ale persoanelor din UE, având datele de sănătate ca o categorie specială; necesită o bază legală pentru fiecare utilizare și acordă persoanelor drepturi executorii. Diferența practică pentru un produs: o aplicație de sănătate pentru consumatori din SUA este de obicei în afara HIPAA și reglementată de FTC și legile statale, în schimb; aceeași aplicație din UE este în cadrul GDPR de la primul utilizator. Un produs care deservește ambele trebuie construit pentru a acoperi atât amploarea GDPR, cât și salvgardările prescriptive ale HIPAA simultan.
Comparativ
În paralel, HIPAA reglementează entitățile acoperite din SUA și asociații de afaceri care gestionează informații protejate de sănătate, în timp ce GDPR reglementează orice controlor sau procesator de date ale rezidenților UE. HIPAA permite utilizări pentru tratament, plată și operațiuni fără autorizare și acordă 60 de zile pentru notificarea încălcărilor; GDPR necesită o bază legală pentru fiecare scop, acordă ștergerea și portabilitatea și acordă 72 de ore.
| HIPAA (SUA) | GDPR (UE) | |
|---|---|---|
| Cine este reglementat | Entități acoperite și asociați de afaceri | Orice controlor sau procesator de date ale rezidenților UE, oriunde |
| Ce date | Informații protejate de sănătate (PHI): date de sănătate identificabile deținute de o entitate acoperită | Toate datele personale; datele de sănătate sunt o categorie specială (Articolul 9) |
| Aplicații de sănătate pentru consumatori | În afara HIPAA, cu excepția cazului în care acționează în numele unei entități acoperite; se aplică Legea FTC, Regula FTC privind notificarea încălcării datelor de sănătate, legile statale | În cadrul GDPR; consimțământul explicit este baza obișnuită |
| Bază legală pentru utilizare | Utilizări permise fără autorizare: tratament, plată, operațiuni, plus excepții enumerate; autorizare în caz contrar | O bază conform Articolului 6 și o excepție conform Articolului 9(2) pentru fiecare scop |
| Minim necesar / minimizare | Standardul minim necesar | Principiul minimizării datelor (Articolul 5) |
| Drepturi individuale | Acces (30 de zile), amendare, contabilitatea dezvăluirilor, restricții | Acces (1 lună), rectificare, ștergere, portabilitate, obiecție, restricție, retragerea consimțământului |
| De-identificare | Safe Harbor (18 identificatori) sau determinare expertă | Anonimizare (nu mai sunt date personale) vs. pseudonimizare (încă date personale) |
| Securitate | Regula de Securitate: salvgardări administrative, fizice, tehnice; analiză de risc; specificații abordabile vs. obligatorii | Articolul 32: măsuri adecvate riscului; fără listă fixă |
| Notificarea încălcărilor | Persoane și HHS în termen de 60 de zile de la descoperire (presă dacă sunt peste 500 într-un stat); jurnal anual pentru încălcări mai mici | Autoritate în termen de 72 de ore; persoane fără întârziere nejustificată în caz de risc ridicat |
| Contracte | Acord de asociat de afaceri (BAA) | Contract cu procesatorul (Articolul 28) |
| Roluri de supraveghere | Ofițer de confidențialitate și ofițer de securitate | Ofițer pentru protecția datelor, acolo unde este necesar (Articolul 37) |
| Evaluarea impactului | Analiză de risc conform Regulii de Securitate | DPIA conform Articolului 35 |
| Transfer internațional | Nicio restricție în HIPAA în sine | Capitolul V: adecvare, SCC-uri, Cadrul UE-SUA privind confidențialitatea datelor |
| Aplicare | Biroul pentru Drepturi Civile al HHS; procurori generali ai statelor | Autorități naționale de protecție a datelor; EDPB |
| Amenzi | Penalități civile pe niveluri, ajustate la inflație, aproximativ până la 2 milioane USD per prevedere pe an; penalități penale | Până la 20 de milioane EUR sau 4% din cifra de afaceri mondială |
Diferența de scop, în practică
În practică, HIPAA se aplică unei aplicații de sănătate doar atunci când acționează pentru o entitate acoperită, ca asociat de afaceri sub un BAA; o aplicație pentru consumatori pe care un pacient o alege este în afara HIPAA și reglementată de FTC și legile statale. În UE, aceeași aplicație este un controlor GDPR de la primul utilizator.
Un spital din SUA care utilizează o platformă FHIR în cloud: spitalul este o entitate acoperită, platforma un asociat de afaceri în baza unui BAA, ambele sub HIPAA. Un consumator din SUA care își încarcă propriile rapoarte de laborator într-o aplicație: HIPAA nu se aplică aplicației; FTC se aplică (practici înșelătoare și Regula FTC privind notificarea încălcării datelor de sănătate, actualizată în 2024 pentru a acoperi explicit aplicațiile de sănătate), la fel și legile statale precum My Health My Data Act din Washington (2023), care necesită consimțământ pentru colectarea datelor de sănătate ale consumatorilor și interzice geofencing-ul în jurul facilităților medicale, precum și prevederile de sănătate ale CPRA din California, legile din Nevada și Connecticut. Un pacient din UE care face același lucru: aplicația este un controlor sub GDPR cu obligații conform Articolului 9 de la prima zi. Vezi Articolul 9 GDPR pentru datele de sănătate.
Diferența de bază legală
HIPAA și GDPR pornesc de la puncte opuse în ceea ce privește baza legală. HIPAA permite entităților acoperite să utilizeze informații protejate de sănătate pentru tratament, plată și operațiuni de îngrijire a sănătății fără autorizare, necesitând autorizare scrisă pentru alte utilizări. GDPR interzice prelucrarea datelor de sănătate, cu excepția cazului în care se aplică o excepție conform Articolului 9(2), astfel încât nimic nu este permis implicit, iar consimțământul trebuie să fie explicit, specific și revocabil.
HIPAA începe de la utilizări permise: o entitate acoperită poate utiliza și dezvălui PHI pentru tratament, plată și operațiuni de sănătate fără a cere permisiunea, și pentru o listă de scopuri de interes public; tot restul necesită o autorizare scrisă. GDPR începe de la o interdicție (pentru datele de sănătate) cu excepții; nimic nu este permis „implicit”, iar consimțământul, acolo unde este utilizat, trebuie să fie explicit, specific și revocabil. Instinctul unei echipe de produs din SUA că „operațiuni” acoperă analizele nu se transferă; în UE, analizele pe datele de sănătate necesită consimțământ sau anonimizare.
Diferența de drepturi
În ceea ce privește drepturile individuale, atât HIPAA, cât și GDPR acordă acces și corecție, dar GDPR adaugă ștergerea, portabilitatea într-un format lizibil de mașină, obiecția și dreptul de a retrage consimțământul, pe care HIPAA nu le are ca atare. Un produs construit pentru drepturile GDPR, cu export, ștergere și revocare în produs, satisface drepturile de acces HIPAA cu marjă.
Regulile de blocare a informațiilor din Cures Act și dreptul de acces la PHI electronic prin API-uri mișcă pacienții din SUA către portabilitate.
Securitate și încălcări
Regula de Securitate a HIPAA este prescriptivă, cu o analiză de risc obligatorie, denumită garanții administrative, fizice și tehnice, politici, instruire și controale de audit; Articolul 32 din GDPR este bazat pe rezultate, solicitând măsuri adecvate riscului, de obicei demonstrate prin ISO 27001. Termenele de notificare a încălcărilor diferă brusc: 60 de zile către persoane fizice și HHS conform HIPAA, 72 de ore către autoritate conform GDPR.
Regula de Securitate HIPAA este prescriptivă: o analiză de risc, salvgardări numite, politici, instruire, controale de audit și o actualizare propusă pentru 2025 care ar face criptarea și autentificarea multi-factor obligatorii, în loc de abordabile. Articolul 32 din GDPR este bazat pe rezultate: adecvat riscului, cu criptarea și pseudonimizarea numite ca exemple; ISO 27001 este modul obișnuit de a demonstra acest lucru. Termenele pentru încălcări diferă brusc: 60 de zile către persoane și HHS sub HIPAA, 72 de ore către autoritate sub GDPR. Un plan de intervenție comun folosește ceasul cel mai scurt. Vezi ISO 27001 vs ISO 27799.
De-identificare
Safe Harbor din HIPAA elimină 18 identificatori listați, iar datele nu mai sunt PHI; determinarea expertă certifică un risc de re-identificare foarte mic. GDPR nu are o listă: datele sunt anonime doar dacă nimeni nu le poate re-identifica în mod rezonabil, iar datele pseudonimizate rămân date personale. Rezultatul Safe Harbor adesea nu atinge pragul GDPR, în special cu date și afecțiuni rare. Vezi De-identificarea datelor de sănătate.
Construirea pentru ambele
Un produs care deservește atât SUA, cât și UE este cel mai bine proiectat mai întâi conform GDPR (consimțământ per scop, drepturi în produs, DPIA, plan de acțiune pentru încălcări în 72 de ore, opțiune de găzduire în UE), cu artefactele prescriptive ale HIPAA stratificate deasupra: un document de analiză a riscurilor, un șablon BAA, politici conform Regulii de Securitate, o procedură de încălcare în 60 de zile și înregistrări de instruire a personalului.
Proiectați conform GDPR (consimțământ per scop, drepturi în produs, DPIA, plan de intervenție de 72 de ore, opțiune de găzduire în UE) și stratificați artefactele prescriptive ale HIPAA deasupra (document de analiză de risc, șablon BAA, set de politici conform Regulii de Securitate, procedură de încălcare de 60 de zile, înregistrări de instruire a forței de muncă). Păstrați datele din SUA și UE în regiuni separabile, deoarece transferurile GDPR și unele legi ale statelor din SUA se preocupă de locație. Anpheros este construit în acest fel: GDPR-first ca o companie europeană, cu platforma capabilă să funcționeze ca asociat de afaceri sub un BAA pentru clienții din SUA. Site-ul pentru dezvoltatori documentează GDPR pentru dezvoltatori și securitate.
Această pagină explică reglementările pentru echipele de produs și inginerie. Nu este un sfat juridic; textele legate sub Surse sunt autoritatea, iar ofițerul dvs. pentru protecția datelor, organismul notificat sau consilierul decide pentru cazul dvs. Ultima revizuire: Octombrie 2026.
Pagini conexe
- Articolul 9 GDPR pentru datele de sănătate
- De-identificarea datelor de sănătate
- ISO 27001 vs ISO 27799
- TEFCA și QHIN-urile explicate
- Hartă a reglementărilor privind datele de sănătate
- GDPR pentru dezvoltatori (site pentru dezvoltatori)
Surse
- HHS: HIPAA pentru profesioniști (Regulile privind confidențialitatea, securitatea, notificarea încălcărilor)
- HHS: Regula privind notificarea încălcărilor
- Regula FTC privind notificarea încălcării datelor de sănătate (16 CFR Partea 318)
- Statul Washington: My Health My Data Act (HB 1155)
- Regulamentul (UE) 2016/679 (GDPR), EUR-Lex
- Comisia Europeană: Cadrul UE-SUA privind confidențialitatea datelor
Întrebări frecvente
O aplicație conformă HIPAA este automat conformă GDPR?
Nu. Conformitatea HIPAA nu spune nimic despre baza legală, calitatea consimțământului, ștergerea, portabilitatea, DPIA-urile, DPO-urile sau transferurile. Acoperă un subset al așteptărilor de securitate GDPR și un regim diferit de încălcări.
Se aplică HIPAA aplicației mele dacă un medic o recomandă?
Nu de la sine. HIPAA se aplică dacă aplicația acționează în numele unei entități acoperite în baza unui acord de asociat de afaceri (de exemplu, integrată în fluxul de lucru al clinicii la cererea clinicii). O aplicație pe care pacientul o alege și o controlează este în afara HIPAA și sub regulile FTC și statale.
Ce termen limită pentru încălcări urmez pentru un incident comun UE–SUA?
Ambele: 72 de ore către autoritatea UE pentru datele rezidenților UE, 60 de zile către persoane și HHS pentru PHI, plus orice termene limită statale (adesea 30 până la 60 de zile) și cele 60 de zile ale regulii FTC pentru aplicațiile de sănătate pentru consumatori. Planurile de intervenție sunt scrise la cel mai scurt termen.
Pot fi procesate datele de sănătate din UE în SUA?
Da, cu un instrument de transfer conform Capitolului V: Cadrul UE-SUA privind confidențialitatea datelor pentru companiile certificate sau clauze contractuale standard cu o evaluare a impactului transferului. Cu toate acestea, mulți clienți europeni solicită găzduirea în UE ca o condiție contractuală.
Încearcă gratuit în sandbox
Primul apel FHIR în 5 minute. Un API HL7 FHIR R4 cu consimțământul pacientului integrat: încearcă-l în sandbox, apoi conectează-ți propria aplicație sau sistemul clinicii.
Gratuit · 30 de pacienți sintetici · fără card
Anpheros construiește un dosar medical pe care pacientul îl controlează și îl poate da oricărei clinici, pe o platformă HL7 FHIR R4, cu sediul în UE. Ghidurile te ajută să-ți înțelegi și să-ți organizezi sănătatea; nu înlocuiesc medicul.
Despre Anpheros →