Răspuns scurt: software-ul care manipulează datele de sănătate răspunde la patru familii de reguli simultan. Protecția datelor spune ce puteți face cu datele personale de sănătate: Articolul 9 din GDPR în UE, HIPAA și un ansamblu de legi statale în SUA. Regulile sistemului de sănătate spun cum trebuie să circule și să fie partajate datele: European Health Data Space (EHDS) în UE, TEFCA, USCDI și regulile de blocare a informațiilor în SUA. Siguranța produsului se aplică atunci când software-ul face ceva medical: Medical Device Regulation (MDR) și In Vitro Diagnostic Regulation (IVDR) în UE, regulile FDA în SUA, cu IEC 62304 și ISO 13485 ca standarde de inginerie și calitate din spate. Securitatea stabilește nivelul de bază pe care toată lumea trebuie să-l atingă: ISO 27001 și 27799, NIS2 pentru sectoare critice, HIPAA Security Rule. Identitatea (eIDAS și EU Digital Identity Wallet, NHS login, ID-uri naționale) se aplică tuturor celor patru.
Harta
Harta reglementărilor privind datele de sănătate grupează regulile pentru software-ul care gestionează datele de sănătate în familii: protecția datelor (Articolul 9 din GDPR, HIPAA, legi ale statelor din SUA), reguli ale sistemului de sănătate (EHDS, Cures Act, TEFCA), siguranța produselor (MDR, IVDR, FDA), standarde de inginerie și calitate (IEC 62304, ISO 13485), securitate (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) și identitate (eIDAS 2).
| Familie | Regulă | Se aplică la | Ce cere |
|---|---|---|---|
| Protecția datelor | GDPR, Art. 9 și Art. 35 | Oricine prelucrează datele de sănătate ale rezidenților din UE | O bază legală din Art. 9(2), un DPIA, un DPO pentru prelucrarea la scară largă, drepturi, notificare breșă în 72 h |
| Protecția datelor | HIPAA (Privacy, Security, Breach Rules) | Entități acoperite de HIPAA din SUA și asociații lor de afaceri | Utilizări permise, garanții, notificare breșă; nu acoperă majoritatea aplicațiilor pentru consumatori |
| Protecția datelor | Legi statale din SUA (CCPA/CPRA, Washington My Health My Data…) | Afaceri care gestionează datele rezidenților | Consimțământ pentru datele de sănătate ale consumatorilor, drepturi de ștergere, restricții de vânzare |
| Sistem de sănătate | EHDS, Regulamentul (UE) 2025/327 | Sisteme EHR, aplicații de wellness care pretind interoperabilitate, deținători de date, organisme de acces la datele de sănătate | Accesul și portabilitatea pacienților în formatul european de schimb, MyHealth@EU obligatoriu, permise de utilizare secundară |
| Sistem de sănătate | 21st Century Cures Act, reguli ONC HTI, TEFCA | IT de sănătate certificat în SUA, furnizori, rețele | API-uri FHIR, date USCDI, fără blocare a informațiilor, schimb la nivel național |
| Siguranța produsului | MDR 2017/745, IVDR 2017/746 | Software cu scop medical pentru pacienții din UE | Clasificare, evaluarea conformității, evaluare clinică, supraveghere post-piață, marcaj CE |
| Siguranța produsului | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Software ca dispozitiv medical pentru SUA | Cale de pre-piață pe clasă, sistem de calitate, documentație de securitate cibernetică |
| Inginerie | IEC 62304, IEC 82304-1, ISO 14971 | Echipe de software pentru dispozitive medicale | Ciclul de viață al software-ului pe clasă de siguranță, managementul riscurilor |
| Calitate | ISO 13485 | Producători de dispozitive | Un sistem de management al calității care acoperă proiectarea, producția, reclamațiile |
| Securitate | ISO/IEC 27001, ISO 27799, ISO 27701 | Orice organizație; ghidare specifică sănătății | Un sistem de management al securității informației, controale de sănătate, extensie de confidențialitate |
| Securitate | NIS2, Directiva 2022/2555 | Furnizori de servicii medicale, producători de dispozitive, furnizori de cloud și digital peste pragurile de mărime | Măsuri de risc, raportare incidente în 24/72 h, răspunderea conducerii |
| Securitate | HIPAA Security Rule | Entități acoperite de HIPAA din SUA și asociații de afaceri | Garanții administrative, fizice și tehnice; analiză de risc |
| Identitate | eIDAS 2 și EU Digital Identity Wallet | Servicii care verifică identitatea cetățenilor UE | Acceptarea portofelului pentru identificare puternică din 2026–2027 |
Cine este vizat de ce
Ce reguli privind datele de sănătate se aplică depinde de ceea ce face software-ul. O aplicație pentru consumatori, fără afirmații medicale, răspunde la Articolul 9 din GDPR, la un DPIA și la practici de securitate; adăugarea de interpretare o transformă într-un dispozitiv medical conform MDR; o platformă FHIR este un procesor GDPR și uneori sub incidența NIS2; un spital se supune tuturor acestora, plus NIS2 ca entitate esențială.
- O aplicație de sănătate pentru consumatori, fără afirmații medicale (un jurnal de simptome, o înregistrare a analizelor de laborator): GDPR Articolul 9 cu consimțământ explicit, un DPIA, practică de securitate la nivel ISO 27001 și eticheta EHDS pentru aplicații de wellness dacă pretinde că se conectează la sistemele EHR. Nu este un dispozitiv medical, atâta timp cât scopul său intenționat rămâne non-medical. În SUA: regulile FTC și legile statale privind confidențialitatea sănătății, mai degrabă decât HIPAA.
- Aceeași aplicație cu o funcție de interpretare („rezultatul dvs. sugerează…”): un dispozitiv medical conform Regulii 11 din MDR, de obicei clasa IIa, cu IEC 62304 și ISO 13485 în spate. Vezi Este o aplicație de sănătate un dispozitiv medical? și Clasele SaMD.
- Un furnizor de platforme sau integrare FHIR: GDPR ca procesator (contracte Articolul 28), ISO 27001, posibil NIS2 ca furnizor de infrastructură digitală sau servicii ICT, obligații EHDS atunci când face parte dintr-un sistem EHR, HIPAA ca asociat de afaceri în SUA.
- Un spital: tot ce este mai sus ca și controlor și operator, plus NIS2 ca entitate esențială, legi naționale privind dosarele medicale și termenele EHDS pentru conectarea la infrastructura națională.
- O platformă de cercetare: GDPR Articolul 9(2)(j) și Articolul 89, capitolul EHDS privind utilizarea secundară (permise de la un organism de acces la datele de sănătate, medii de procesare securizate) și standarde de anonimizare. Vezi Utilizarea secundară a datelor de sănătate.
În ce ordine
Conformitatea privind datele de sănătate este cel mai bine abordată într-o ordine fixă: mai întâi se scrie scopul intenționat, deoarece acesta decide dacă software-ul este un dispozitiv medical; apoi protecția datelor (temei legal, DPIA, contracte cu procesatorii); apoi o bază de securitate conform ISO 27001; apoi mandatele de interoperabilitate, cum ar fi FHIR și EHDS sau USCDI; apoi calea dispozitivului, dacă este cazul; în final, întrebările transfrontaliere.
- Decideți scopul intenționat în scris. Acesta determină dacă sunteți un dispozitiv medical, iar tot restul urmează din aceasta.
- Protecția datelor mai întâi: bază legală, DPIA, contracte cu procesatorii, DPO. Acestea sunt necesare înainte de primul utilizator real, în orice scenariu. Vezi GDPR Articolul 9 pentru datele de sănătate și DPIA pentru o aplicație de sănătate.
- Nivelul de bază de securitate: un ISMS conform ISO 27001, cartografiat pe controalele de sănătate din 27799; acesta răspunde, de asemenea, majorității cerințelor NIS2 și HIPAA Security Rule. Vezi ISO 27001 vs ISO 27799 și NIS2 pentru spitale și furnizori.
- Mandate de interoperabilitate: FHIR și formatul de schimb al pieței dvs. (EHDS, USCDI/US Core) astfel încât produsul să nu fie exclus din infrastructura națională. Vezi USCDI explicat și TEFCA explicat.
- Traseul dispozitivului, dacă este cazul: clasificare, sistem de calitate, ciclu de viață, organism notificat sau cale FDA. Alocați un an.
- Transfrontalier: diferențe HIPAA vs GDPR la deservirea ambelor piețe (HIPAA vs GDPR), mecanisme de transfer, locația de găzduire.
Unde se poziționează Anpheros
Anpheros Daily este un dosar medical personal cu un scop intenționat declarat non-medical: stochează, afișează și partajează, și nu interpretează sau recomandă. Anpheros Platform este un backend FHIR R4 oferit clinicilor și dezvoltatorilor ca procesator conform Articolului 28 din GDPR, cu consimțământul controlat de pacient și jurnale de acces. Pagina de reglementări din acest cluster descrie regulile așa cum se aplică oricărui produs de acest gen; pagina de transparență descrie cum Anpheros le aplică sie însuși.
Această pagină explică reglementările pentru echipele de produs și inginerie. Nu constituie consultanță juridică; textele legate sub Surse sunt autoritatea, iar ofițerul dvs. de protecție a datelor, organismul notificat sau consilierul decide pentru cazul dvs. Ultima revizuire: Octombrie 2026.
Pagini conexe
- Este o aplicație de sănătate un dispozitiv medical? EU MDR Regula 11
- Datele dvs. medicale în UE: GDPR, EHDS și drepturile dvs.
- GDPR Articolul 9 pentru datele de sănătate
- DPIA pentru o aplicație de sănătate
- HIPAA vs GDPR
- NIS2 pentru spitale și furnizori de tehnologie medicală
- Standarde de interoperabilitate în domeniul sănătății: harta
- GDPR pentru dezvoltatori (site pentru dezvoltatori)
- Dosare medicale electronice naționale în Europa și SUA
- MyHealth@EU și rezumatul pacientului transfrontalier
- EU AI Act și AI în sănătate
- Utilizarea secundară a datelor de sănătate
- Securitate și identitate în aplicațiile de sănătate
Surse
- Regulamentul (UE) 2016/679 (GDPR), EUR-Lex
- Regulamentul (UE) 2025/327 (European Health Data Space), EUR-Lex
- Regulamentul (UE) 2017/745 (MDR), EUR-Lex
- Regulamentul (UE) 2017/746 (IVDR), EUR-Lex
- Directiva (UE) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA pentru profesioniști
- ASTP/ONC: Trusted Exchange Framework and Common Agreement
- ISO/IEC 27001:2022
Întrebări frecvente
Se aplică GDPR unei companii din SUA cu utilizatori din UE?
Da, conform Articolului 3(2), imediat ce oferă servicii persoanelor din UE sau le monitorizează comportamentul, indiferent unde se află serverele. Apoi necesită un reprezentant în UE, o bază legală conform Articolului 9 și un mecanism de transfer legal.
Este HIPAA mai strict decât GDPR?
Niciunul nu este strict mai strict. HIPAA are un domeniu de aplicare mai restrâns (doar entități acoperite și asociați de afaceri) și este mai prescriptiv în ceea ce privește garanțiile; GDPR este mai larg (oricine prelucrează datele rezidenților din UE), bazat pe drepturi și necesită o bază legală pentru fiecare utilizare. Un produs care vizează ambele piețe trebuie să le respecte pe amândouă.
Înlocuiește EHDS GDPR pentru datele de sănătate?
Nu. EHDS se bazează pe GDPR și adaugă obligații pentru sistemele EHR, accesul pacienților, schimbul transfrontalier și utilizarea secundară. GDPR rămâne baza pentru fiecare operațiune de prelucrare.
De unde încep dacă nu am o echipă de conformitate?
Scrieți scopul intenționat, rulați un DPIA cu un șablon, adoptați un nivel de bază de securitate de tip ISO 27001 și utilizați FHIR cu profilurile pieței dvs. Acești patru pași acoperă majoritatea cerințelor unei prime auditări sau ale unui prim client spitalicesc.
Încearcă gratuit în sandbox
Primul apel FHIR în 5 minute. Un API HL7 FHIR R4 cu consimțământul pacientului integrat: încearcă-l în sandbox, apoi conectează-ți propria aplicație sau sistemul clinicii.
Gratuit · 30 de pacienți sintetici · fără card
Anpheros construiește un dosar medical pe care pacientul îl controlează și îl poate da oricărei clinici, pe o platformă HL7 FHIR R4, cu sediul în UE. Ghidurile te ajută să-ți înțelegi și să-ți organizezi sănătatea; nu înlocuiesc medicul.
Despre Anpheros →