Краткий ответ: HIPAA (1996 г., с правилами о конфиденциальности, безопасности и уведомлении об утечках) применяется к покрываемым субъектам, планам медицинского страхования, медицинским клиринговым палатам и поставщикам услуг, выставляющим счета в электронном виде, а также к их деловым партнерам; он защищает защищенную медицинскую информацию, которую они хранят, и определяет, какие виды использования разрешены без согласия человека. GDPR (2016 г.) применяется к любому контролеру или обработчику, обрабатывающему персональные данные лиц в ЕС, причем медицинские данные являются особой категорией; он требует правового основания для каждого использования и предоставляет людям юридически enforceable права. Практическое отличие для продукта: потребительское приложение для здоровья в США обычно не подпадает под действие HIPAA и вместо этого регулируется FTC и законами штатов; то же приложение в ЕС подпадает под действие GDPR с первого пользователя. Продукт, обслуживающий оба региона, должен быть разработан с учетом широты GDPR и предписывающих мер безопасности HIPAA одновременно.
Сравнение бок о бок
HIPAA регулирует деятельность американских организаций и их партнеров, работающих с защищенной медицинской информацией, а GDPR — любые организации или обработчики данных жителей ЕС. HIPAA разрешает использование данных для лечения, оплаты и операционной деятельности без специального разрешения и дает 60 дней на уведомление об утечке; GDPR требует законного основания для каждой цели, предоставляет право на удаление и переносимость данных, а также устанавливает срок в 72 часа.
| HIPAA (США) | GDPR (ЕС) | |
|---|---|---|
| Кто регулируется | Покрываемые субъекты и деловые партнеры | Любой контролер или обработчик данных жителей ЕС, где бы он ни находился |
| Какие данные | Защищенная медицинская информация (PHI): идентифицируемые медицинские данные, хранящиеся у покрываемого субъекта | Все персональные данные; медицинские данные являются особой категорией (Статья 9) |
| Потребительские приложения для здоровья | Не подпадают под действие HIPAA, если не действуют от имени покрываемого субъекта; применяются Закон FTC, Правило FTC о уведомлении об утечках данных в сфере здравоохранения, законы штатов | Подпадают под действие GDPR; обычным основанием является явное согласие |
| Правовое основание для использования | Разрешенные виды использования без согласия: лечение, оплата, операции, а также перечисленные исключения; в противном случае требуется согласие | Основание по Статье 6 и исключение по Статье 9(2) для каждой цели |
| Минимально необходимое / минимизация | Стандарт минимально необходимого | Принцип минимизации данных (Статья 5) |
| Права физических лиц | Доступ (30 дней), исправление, учет раскрытия информации, ограничения | Доступ (1 месяц), исправление, удаление, переносимость, возражение, ограничение, отзыв согласия |
| Деидентификация | Safe Harbor (18 идентификаторов) или определение экспертом | Анонимизация (больше не персональные данные) против псевдонимизации (все еще персональные данные) |
| Безопасность | Правило безопасности: административные, физические, технические меры безопасности; анализ рисков; решаемые против обязательных спецификаций | Статья 32: соответствующие меры в зависимости от риска; нет фиксированного списка |
| Уведомление об утечке | Физические лица и HHS в течение 60 дней с момента обнаружения (СМИ, если 500+ в штате); ежегодный журнал для мелких утечек | Орган в течение 72 часов; физические лица без неоправданной задержки при высоком риске |
| Контракты | Соглашение о деловом партнерстве (BAA) | Контракт с обработчиком (Статья 28) |
| Роли надзора | Сотрудник по конфиденциальности и сотрудник по безопасности | Инспектор по защите данных, где это требуется (Статья 37) |
| Оценка воздействия | Анализ рисков в соответствии с Правилом безопасности | DPIA в соответствии со Статьей 35 |
| Международная передача | Нет ограничений в самом HIPAA | Глава V: адекватность, SCC, Data Privacy Framework |
| Правоприменение | Управление по гражданским правам HHS; генеральные прокуроры штатов | Национальные органы по защите данных; EDPB |
| Штрафы | Многоуровневые гражданские штрафы, скорректированные с учетом инфляции, примерно до 2 миллионов долларов США за положение в год; уголовные наказания | До 20 миллионов евро или 4% мирового оборота |
Разница в объеме, на практике
На практике HIPAA применяется к медицинскому приложению только тогда, когда оно действует от имени американской организации как ее партнер по договору BAA. Приложение для потребителей, которое выбирает пациент, не подпадает под действие HIPAA и регулируется FTC и законами штатов. В ЕС такое же приложение с первого пользователя становится контролером данных по GDPR.
Больница в США, использующая облачную платформу FHIR: больница является покрываемым субъектом, платформа — деловым партнером в соответствии с BAA, оба подпадают под действие HIPAA. Потребитель в США, загружающий свои лабораторные отчеты в приложение: HIPAA не применяется к приложению; FTC применяется (обманные практики и Правило FTC о уведомлении об утечках данных в сфере здравоохранения, обновленное в 2024 году для явного охвата приложений для здоровья), как и законы штатов, такие как My Health My Data Act штата Вашингтон (2023 г.), который требует согласия на сбор данных о здоровье потребителей и запрещает геозонирование вокруг медицинских учреждений, а также положения о здоровье Калифорнийского CPRA, законов Невады и Коннектикута. Пациент в ЕС делает то же самое: приложение является контролером в соответствии с GDPR с обязательствами по Статье 9 с первого дня. См. Статья 9 GDPR для медицинских данных.
Разница в правовом основании
HIPAA и GDPR исходят из противоположных точек зрения на законное основание. HIPAA разрешает организациям использовать защищенную медицинскую информацию для лечения, оплаты и операционной деятельности в сфере здравоохранения без специального разрешения, требуя письменного разрешения для других целей. GDPR запрещает обработку медицинских данных, если не применяется исключение согласно статье 9(2), поэтому по умолчанию ничего не разрешено, и согласие должно быть явным, конкретным и отзываемым.
HIPAA исходит из разрешенных видов использования: покрываемый субъект может использовать и раскрывать PHI для лечения, оплаты и медицинских операций без запроса, а также для списка целей общественного интереса; все остальное требует письменного согласия. GDPR исходит из запрета (для медицинских данных) с исключениями; ничего не разрешено "по умолчанию", и согласие, где оно используется, должно быть явным, конкретным и отзываемым. Инстинкт американской продуктовой команды, что "операции" охватывают аналитику, не переносится; в ЕС аналитика медицинских данных требует согласия или анонимизации.
Разница в правах
В отношении прав отдельных лиц HIPAA и GDPR предоставляют доступ и исправление данных, но GDPR добавляет право на удаление, переносимость в машиночитаемом формате, возражение и право отозвать согласие, которых в HIPAA нет. Продукт, разработанный с учетом прав GDPR, с функциями экспорта, удаления и отзыва в самом продукте, с запасом удовлетворяет права HIPAA на доступ.
Правила Закона Cures о запрете предоставления информации и право на доступ к электронной защищенной медицинской информации через API приближают американских пациентов к переносимости данных.
Безопасность и утечки
Правило безопасности HIPAA является предписывающим: оно требует анализа рисков, определяет административные, физические и технические меры защиты, политики, обучение и средства контроля аудита; статья 32 GDPR ориентирована на результат, требуя мер, соответствующих риску, обычно демонстрируемых через ISO 27001. Сроки уведомления об утечках резко различаются: 60 дней для физических лиц и HHS по HIPAA, 72 часа для органа по GDPR.
Правило безопасности HIPAA предписывающее: анализ рисков, указанные меры безопасности, политики, обучение, аудиторский контроль и предлагаемое обновление 2025 года, которое сделает шифрование и многофакторную аутентификацию обязательными, а не решаемыми. Статья 32 GDPR ориентирована на результат: соответствующая риску, с шифрованием и псевдонимизацией, названными в качестве примеров; ISO 27001 является обычным способом демонстрации этого. Сроки уведомления об утечках резко различаются: 60 дней для физических лиц и HHS по HIPAA, 72 часа для органа по GDPR. Совместный план действий при инцидентах использует более короткий срок. См. ISO 27001 против ISO 27799.
Деидентификация
Safe Harbor HIPAA удаляет 18 перечисленных идентификаторов, и данные больше не являются PHI; определение экспертом подтверждает очень низкий риск повторной идентификации. GDPR не имеет списка: данные анонимны только в том случае, если никто не может разумно повторно идентифицировать их, а псевдонимизированные данные остаются персональными данными. Результат Safe Harbor часто не соответствует требованиям GDPR, особенно в отношении дат и редких состояний. См. Деидентификация медицинских данных.
Создание для обоих
Продукт, обслуживающий как США, так и ЕС, лучше всего разрабатывать в первую очередь с учетом GDPR (согласие по каждой цели, права в продукте, DPIA, план действий при утечке за 72 часа, вариант размещения данных в ЕС), а затем добавлять предписывающие элементы HIPAA: документ анализа рисков, шаблон BAA, политики Правила безопасности, процедуру уведомления об утечке за 60 дней и записи об обучении персонала.
Разрабатывайте с учетом GDPR (согласие на каждую цель, права в продукте, DPIA, план действий при инцидентах за 72 часа, вариант размещения в ЕС) и накладывайте предписывающие артефакты HIPAA сверху (документ анализа рисков, шаблон BAA, набор политик Правила безопасности, процедура уведомления об утечках за 60 дней, записи об обучении персонала). Храните данные США и ЕС в отдельных регионах, поскольку GDPR-передачи и некоторые законы штатов США заботятся о местоположении. Anpheros разработан таким образом: в первую очередь GDPR как европейская компания, с платформой, способной работать как деловой партнер по BAA для клиентов из США. Сайт для разработчиков документирует GDPR для разработчиков и безопасность.
Эта страница объясняет регулирование для продуктовых и инженерных команд. Это не юридическая консультация; тексты, приведенные в разделе "Источники", являются авторитетными, и ваш инспектор по защите данных, уведомленный орган или юрист принимает решение в вашем случае. Последний обзор: октябрь 2026 г.
Связанные страницы
- Статья 9 GDPR для медицинских данных
- Деидентификация медицинских данных
- ISO 27001 против ISO 27799
- TEFCA и QHINs объяснены
- Карта регулирования медицинских данных
- GDPR для разработчиков (сайт для разработчиков)
Источники
- HHS: HIPAA для профессионалов (Правила конфиденциальности, безопасности, уведомления об утечках)
- HHS: Правило уведомления об утечках
- Правило FTC о уведомлении об утечках данных в сфере здравоохранения (16 CFR Part 318)
- Штат Вашингтон: My Health My Data Act (HB 1155)
- Регламент (ЕС) 2016/679 (GDPR), EUR-Lex
- Европейская комиссия: Рамки конфиденциальности данных ЕС-США
Частые вопросы
Является ли приложение, соответствующее HIPAA, автоматически соответствующим GDPR?
Нет. Соответствие HIPAA ничего не говорит о правовом основании, качестве согласия, удалении, переносимости, DPIA, DPO или передачах. Оно охватывает подмножество ожиданий GDPR по безопасности и другой режим уведомления об утечках.
Применяется ли HIPAA к моему приложению, если его рекомендует врач?
Само по себе нет. HIPAA применяется, если приложение действует от имени покрываемого субъекта в рамках соглашения о деловом партнерстве (например, интегрировано в рабочий процесс клиники по запросу клиники). Приложение, которое пациент выбирает и контролирует, не подпадает под действие HIPAA, а регулируется правилами FTC и штатов.
Какого срока уведомления об утечке я должен придерживаться при совместном инциденте в ЕС и США?
Оба: 72 часа для органа ЕС в отношении данных жителей ЕС, 60 дней для физических лиц и HHS в отношении PHI, плюс любые сроки штатов (часто от 30 до 60 дней) и 60 дней по правилу FTC для потребительских приложений для здоровья. Планы действий при инцидентах составляются с учетом самого короткого срока.
Могут ли медицинские данные ЕС обрабатываться в США?
Да, с использованием инструмента передачи по Главе V: Рамки конфиденциальности данных ЕС-США для сертифицированных компаний или стандартных договорных положений с оценкой воздействия на передачу данных. Тем не менее, многие европейские клиенты требуют размещения в ЕС в качестве договорного условия.
Попробуйте бесплатно в песочнице
Первый запрос FHIR за 5 минут. API HL7 FHIR R4 с встроенным согласием пациента: попробуйте в песочнице, затем подключите свое приложение или систему клиники.
Бесплатно · 30 синтетических пациентов · без карты
Anpheros создает медицинскую карту, которую пациент контролирует и может делиться с любой клиникой, на платформе HL7 FHIR R4, базирующейся в ЕС. Эти руководства помогут вам понять и организовать свое здоровье; они не заменяют вашего врача.
О Anpheros →