Краткий ответ: программное обеспечение, работающее с медицинскими данными, подчиняется сразу четырем группам правил. Защита данных определяет, что можно делать с персональными медицинскими данными: Статья 9 GDPR в ЕС, HIPAA и совокупность законов штатов в США. Правила системы здравоохранения регулируют, как данные должны перемещаться и передаваться: European Health Data Space (EHDS) в ЕС, TEFCA, USCDI и правила, препятствующие блокированию информации, в США. Безопасность продукции применяется, когда программное обеспечение выполняет медицинские функции: Medical Device Regulation (MDR) и In Vitro Diagnostic Regulation (IVDR) в ЕС, правила FDA в США, а также стандарты IEC 62304 и ISO 13485 как инженерные стандарты и стандарты качества. Безопасность устанавливает базовый уровень, который должны соблюдать все: ISO 27001 и 27799, NIS2 для критически важных секторов, HIPAA Security Rule. Идентификация (eIDAS и EU Digital Identity Wallet, NHS login, национальные удостоверения личности) затрагивает все четыре области.
Карта правил
Карта правил для обработки медицинских данных объединяет требования к программному обеспечению в несколько групп: защита данных (статья 9 GDPR, HIPAA, законы штатов США), правила медицинских систем (EHDS, Cures Act, TEFCA), безопасность продукции (MDR, IVDR, FDA), стандарты разработки и качества (IEC 62304, ISO 13485), безопасность (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) и идентификация (eIDAS 2).
| Группа правил | Правило | Применимо к | Требования |
|---|---|---|---|
| Защита данных | GDPR, Ст. 9 и Ст. 35 | Любой, кто обрабатывает медицинские данные жителей ЕС | Правовое основание из Ст. 9(2), DPIA, DPO для крупномасштабной обработки, права, уведомление об утечке в течение 72 часов |
| Защита данных | HIPAA (Правила конфиденциальности, безопасности, уведомления об утечках) | Американские подпадающие под действие закона организации и их бизнес-партнеры | Разрешенные виды использования, меры защиты, уведомление об утечках; не распространяется на большинство потребительских приложений |
| Защита данных | Законы штатов США (CCPA/CPRA, Washington My Health My Data…) | Компании, обрабатывающие данные жителей штатов | Согласие на обработку медицинских данных потребителей, права на удаление, ограничения на продажу |
| Система здравоохранения | EHDS, Регламент (ЕС) 2025/327 | Системы электронных медицинских карт (EHR), приложения для здоровья, претендующие на интероперабельность, держатели данных, органы доступа к медицинским данным | Доступ и переносимость данных пациента в европейском формате обмена, обязательный MyHealth@EU, разрешения на вторичное использование |
| Система здравоохранения | Закон о 21 веке (21st Century Cures Act), правила ONC HTI, TEFCA | Сертифицированные в США медицинские ИТ-системы, поставщики услуг, сети | FHIR API, данные USCDI, отсутствие блокирования информации, общенациональный обмен |
| Безопасность продукции | MDR 2017/745, IVDR 2017/746 | Программное обеспечение медицинского назначения для пациентов в ЕС | Классификация, оценка соответствия, клиническая оценка, постмаркетинговый надзор, маркировка CE |
| Безопасность продукции | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Программное обеспечение как медицинское изделие для США | Путь до выхода на рынок по классам, система качества, документация по кибербезопасности |
| Инженерия | IEC 62304, IEC 82304-1, ISO 14971 | Команды разработчиков программного обеспечения для медицинских изделий | Жизненный цикл программного обеспечения по классу безопасности, управление рисками |
| Качество | ISO 13485 | Производители медицинских изделий | Система менеджмента качества, охватывающая проектирование, производство, обработку жалоб |
| Безопасность | ISO/IEC 27001, ISO 27799, ISO 27701 | Любая организация; руководство для сферы здравоохранения | Система менеджмента информационной безопасности, элементы управления для сферы здравоохранения, расширение для конфиденциальности |
| Безопасность | NIS2, Директива 2022/2555 | Поставщики медицинских услуг, производители медицинских изделий, поставщики облачных и цифровых услуг, превышающие пороговые значения размера | Меры по управлению рисками, отчетность об инцидентах в течение 24/72 часов, ответственность руководства |
| Безопасность | HIPAA Security Rule | Американские подпадающие под действие закона организации и бизнес-партнеры | Административные, физические и технические меры защиты; анализ рисков |
| Идентификация | eIDAS 2 и EU Digital Identity Wallet | Сервисы, проверяющие личность граждан ЕС | Принятие кошелька для надежной идентификации с 2026–2027 годов |
Кто подпадает под действие каких правил
Какие правила обработки медицинских данных применимы, зависит от функций программного обеспечения. Приложение для пользователей без медицинских заявлений подпадает под действие статьи 9 GDPR, требует оценки воздействия на защиту данных (DPIA) и соблюдения практики безопасности; добавление интерпретации превращает его в медицинское изделие согласно MDR; платформа FHIR является обработчиком данных по GDPR и иногда подпадает под действие NIS2; больница соблюдает все эти правила, а также NIS2 как критически важная организация.
- Потребительское приложение для здоровья без медицинских заявлений (дневник симптомов, запись результатов анализов): GDPR Статья 9 с явным согласием, DPIA, уровень безопасности на уровне ISO 27001, а также маркировка EHDS для приложений для здоровья, если оно претендует на подключение к системам EHR. Не является медицинским изделием, пока его предполагаемое назначение остается немедицинским. В США: правила FTC и законы штатов о конфиденциальности данных о здоровье, а не HIPAA.
- То же приложение с функцией интерпретации («ваш результат предполагает…»): медицинское изделие согласно Правилу 11 MDR, обычно класс IIa, с поддержкой IEC 62304 и ISO 13485. См. Является ли приложение для здоровья медицинским изделием? и Классы SaMD.
- Поставщик платформы или интеграции FHIR: GDPR как обработчик (контракты по Статье 28), ISO 27001, возможно, NIS2 как поставщик цифровой инфраструктуры или ИКТ-услуг, обязательства EHDS при участии в системе EHR, HIPAA как бизнес-партнер в США.
- Больница: все вышеперечисленное как контролер и оператор, плюс NIS2 как существенный субъект, национальные законы о медицинских записях и сроки EHDS для подключения к национальной инфраструктуре.
- Исследовательская платформа: GDPR Статья 9(2)(j) и Статья 89, раздел EHDS о вторичном использовании (разрешения от органа доступа к медицинским данным, безопасные среды обработки) и стандарты анонимизации. См. Вторичное использование медицинских данных.
В каком порядке
К соблюдению правил обработки медицинских данных лучше всего подходить в определенном порядке: сначала определите предполагаемое назначение, так как оно решает, является ли программное обеспечение медицинским изделием; затем защита данных (правовое основание, DPIA, договоры с обработчиками); затем базовый уровень безопасности согласно ISO 27001; затем требования к интероперабельности, такие как FHIR и EHDS или USCDI; затем, при необходимости, путь медицинского изделия; и, наконец, трансграничные вопросы.
- Определите предполагаемое назначение в письменной форме. Это определяет, является ли ваше приложение медицинским изделием, и от этого зависит все остальное.
- Сначала защита данных: правовое основание, DPIA, контракты с обработчиками, DPO. Это необходимо до первого реального пользователя, в любом сценарии. См. GDPR Статья 9 для медицинских данных и DPIA для приложения для здоровья.
- Базовый уровень безопасности: ISMS в соответствии с ISO 27001, сопоставленная с элементами управления для сферы здравоохранения из 27799; это также отвечает большинству требований NIS2 и HIPAA Security Rule. См. ISO 27001 против ISO 27799 и NIS2 для больниц и поставщиков.
- Требования к интероперабельности: FHIR и формат обмена вашего рынка (EHDS, USCDI/US Core), чтобы продукт не был исключен из национальной инфраструктуры. См. Объяснение USCDI и Объяснение TEFCA.
- Путь медицинского изделия, если применимо: классификация, система качества, жизненный цикл, путь через нотифицированный орган или FDA. Заложите год.
- Трансграничные вопросы: различия между HIPAA и GDPR при обслуживании обоих рынков (HIPAA против GDPR), механизмы передачи данных, местоположение хостинга.
Позиция Anpheros
Anpheros Daily — это персональная медицинская карта с заявленным немедицинским назначением: она хранит, отображает и передает данные, но не интерпретирует и не дает рекомендаций. Anpheros Platform — это бэкенд FHIR R4, предлагаемый клиникам и разработчикам как обработчик в соответствии со Статьей 28 GDPR, с контролем со стороны пациента и журналами доступа. Страницы с описанием нормативных актов в этом разделе описывают правила, применимые к любому продукту такого рода; страница прозрачности описывает, как Anpheros применяет их к себе.
Эта страница объясняет нормативные требования для команд по продуктам и инженерии. Это не юридическая консультация; тексты, на которые есть ссылки в разделе «Источники», являются авторитетными, и ваш специалист по защите данных, нотифицированный орган или юрист принимает решение по вашему случаю. Последнее обновление: октябрь 2026 г.
Связанные страницы
- Является ли приложение для здоровья медицинским изделием? EU MDR Правило 11
- Ваши медицинские данные в ЕС: GDPR, EHDS и ваши права
- GDPR Статья 9 для медицинских данных
- DPIA для приложения для здоровья
- HIPAA против GDPR
- NIS2 для больниц и поставщиков медицинских технологий
- Стандарты интероперабельности в здравоохранении: карта
- GDPR для разработчиков (сайт для разработчиков)
- Национальные электронные медицинские карты в Европе и США
- MyHealth@EU и трансграничное резюме пациента
- EU AI Act и ИИ в здравоохранении
- Вторичное использование медицинских данных
- Безопасность и идентификация в приложениях для здоровья
Источники
- Регламент (ЕС) 2016/679 (GDPR), EUR-Lex
- Регламент (ЕС) 2025/327 (European Health Data Space), EUR-Lex
- Регламент (ЕС) 2017/745 (MDR), EUR-Lex
- Регламент (ЕС) 2017/746 (IVDR), EUR-Lex
- Директива (ЕС) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA для профессионалов
- ASTP/ONC: Trusted Exchange Framework and Common Agreement
- ISO/IEC 27001:2022
Частые вопросы
Применяется ли GDPR к американской компании с пользователями из ЕС?
Да, согласно Статье 3(2), как только компания предлагает услуги людям в ЕС или отслеживает их поведение, независимо от того, где находятся серверы. В этом случае ей требуется представитель в ЕС, правовое основание согласно Статье 9 и механизм законной передачи данных.
Строже ли HIPAA, чем GDPR?
Ни один из них не является строго строже. HIPAA имеет более узкую сферу применения (только подпадающие под действие закона организации и бизнес-партнеры) и более предписывающий в отношении мер защиты; GDPR шире (любой, кто обрабатывает данные жителей ЕС), основан на правах и требует правового основания для каждого использования. Продукт, работающий на обоих рынках, должен соответствовать обоим.
Заменяет ли EHDS GDPR для медицинских данных?
Нет. EHDS основывается на GDPR и добавляет обязательства для систем EHR, доступа пациентов, трансграничного обмена и вторичного использования. GDPR остается основой для каждой операции по обработке данных.
С чего начать, если у меня нет команды по соблюдению нормативных требований?
Напишите предполагаемое назначение, проведите DPIA с использованием шаблона, примите базовый уровень безопасности в стиле ISO 27001 и используйте FHIR с профилями вашего рынка. Эти четыре шага охватывают большую часть того, что спросят при первой проверке или от первого больничного клиента.
Попробуйте бесплатно в песочнице
Первый запрос FHIR за 5 минут. API HL7 FHIR R4 с встроенным согласием пациента: попробуйте в песочнице, затем подключите свое приложение или систему клиники.
Бесплатно · 30 синтетических пациентов · без карты
Anpheros создает медицинскую карту, которую пациент контролирует и может делиться с любой клиникой, на платформе HL7 FHIR R4, базирующейся в ЕС. Эти руководства помогут вам понять и организовать свое здоровье; они не заменяют вашего врача.
О Anpheros →