Статья 9 GDPR для медицинских данных: правовые основания

Краткий ответ: согласно GDPR, данные, касающиеся здоровья, относятся к особой категории. Статья 9(1) запрещает их обработку; Статья 9(2) перечисляет исключения, снимающие этот запрет. Для продуктовой команды важны четыре пункта: (a) явное согласие субъекта данных, (h) предоставление медицинских услуг профессионалом, связанным профессиональной тайной, или под его ответственностью, (i) общественное здравоохранение и (j) научные исследования с гарантиями, предусмотренными Статьей 89. Исключение по Статье 9 требуется в дополнение к обычной правовой основе по Статье 6, а не вместо нее. Обработка данных о здоровье в больших масштабах также требует оценки воздействия на защиту данных (DPIA) (Статья 35) и назначения должностного лица по защите данных (DPO) (Статья 37).

Что считается данными о здоровье

Согласно GDPR, данные, касающиеся здоровья, — это персональные данные, связанные с физическим или психическим здоровьем человека, включая предоставление медицинских услуг, которые раскрывают информацию о его состоянии здоровья (Статья 4(15)). В широком смысле это охватывает лабораторные показатели, диагнозы, лекарства, записи о приеме и больничные листы, а также любые данные, на основании которых можно сделать вывод о состоянии здоровья.

Статья 4(15) определяет данные, касающиеся здоровья, как персональные данные, относящиеся к физическому или психическому здоровью лица, включая предоставление медицинских услуг, которые раскрывают информацию о его состоянии здоровья. В Регламенте 35 и судебной практике это понятие трактуется широко: лабораторные показатели, диагноз, лекарства, запись к врачу, больничный лист, количество шагов в сочетании с сердечным заболеванием, поиск симптома, связанный с учетной записью. Данные, которые раскрывают состояние здоровья, являются данными о здоровье, даже если они не были собраны как таковые. Суд ЕС подтвердил в 2022 году (OT, C-184/20), что данные, из которых можно вывести факт из особой категории, сами по себе являются данными особой категории.

Важные исключения

Исключения из Статьи 9(2) GDPR, наиболее важные для продуктов в сфере здравоохранения, включают явное согласие (a), используемое потребительскими приложениями для здоровья и записями, контролируемыми пациентом; предоставление медицинских услуг (h), используемое клиниками и их поставщиками программного обеспечения под условием профессиональной тайны; общественное здравоохранение (i); научные исследования (j) с гарантиями по Статье 89; и существенный общественный интерес (g), на который опирается EHDS для вторичного использования.

Статья 9(2)	Кто обычно использует	Условия
(a) Явное согласие	Потребительские приложения для здоровья, велнес-сервисы, записи под контролем пациента	Свободно данное, конкретное, информированное, недвусмысленное, путем явного положительного действия, легко отзываемое; не объединяется с услугой, если услуга не требует этих данных
(c) Жизненно важные интересы	Экстренный доступ	Только когда лицо физически или юридически неспособно дать согласие
(h) Предоставление медицинских услуг	Клиники, больницы, врачи общей практики, поставщики их программного обеспечения как обработчики	Необходимо для диагностики, ухода, лечения или управления системами здравоохранения, в соответствии с законодательством ЕС или национальным законодательством или договором с профессионалом, и под условием профессиональной тайны (Статья 9(3))
(i) Общественное здравоохранение	Органы общественного здравоохранения, фармаконадзор	На основе закона, предусматривающего соответствующие меры
(j) Исследования, статистика, архивирование	Исследовательские институты, реестры, платформы, способствующие исследованиям	На основе закона, пропорционально, с гарантиями по Статье 89 (псевдонимизация, минимизация)
(g) Существенный общественный интерес	Национальные инфраструктуры данных здравоохранения	На основе закона; EHDS полагается на него для вторичного использования

Личный медицинский профиль, контролируемый пациентом, работает на основе (a): человек решает, что хранить и с кем делиться. Клиника, записывающая данные в этот профиль, работает на основе (h) для своей собственной обработки, а согласие пациента регулирует обмен данными. Платформа, обслуживающая обе стороны, является обработчиком для клиники (договор по Статье 28) и контролером для учетной записи, которую она предлагает пользователю. Запись этого, для каждой операции обработки, является основой записей, требуемых Статьей 30.

Согласие, которое действительно имеет силу

Явное согласие на обработку данных о здоровье согласно GDPR действительно только в том случае, если оно представляет собой отдельное, конкретное заявление для каждой цели, сделанное явным положительным действием, с информацией о получателях, зафиксированное с указанием времени и способа, и может быть отозвано так же легко, как и дано. Предварительно отмеченные галочки, объединенные цели и приложения, непригодные к использованию без согласия на аналитику, были признаны недействительными.

Регулирующие органы неоднократно признавали недействительным согласие для приложений для здоровья по тем же причинам: предварительно отмеченные галочки; согласие, запрашиваемое для всего сразу; невозможность использовать приложение без согласия на аналитику; тексты согласия, не указывающие получателей; отсутствие возможности отзыва. Действительное явное согласие на обработку данных о здоровье означает отдельное, конкретное заявление ("Я согласен, что Anpheros хранит лабораторные результаты, которые я загружаю"), гранулированное по назначению (хранение; обмен с указанной клиникой; анонимизированная статистика), с записью о том, когда и как оно было дано, и переключателем, который отзывает его с немедленным эффектом для будущей обработки. Для данных детей требуется согласие законного представителя, с возрастными порогами, установленными каждым государством-членом между 13 и 16 годами.

Тайна, Статья 9(3)

Статья 9(3) GDPR устанавливает условие конфиденциальности для исключения, касающегося медицинских услуг: данные о здоровье могут обрабатываться в соответствии со Статьей 9(2)(h) только лицом, подпадающим под действие профессиональной тайны в соответствии с законодательством ЕС или национальным законодательством, или под его ответственность, либо другим лицом, на которое распространяется эквивалентное обязательство конфиденциальности.

Поставщики программного обеспечения для клиник выполняют это требование по договору: соглашение с обработчиком налагает обязательство конфиденциальности на сотрудников, имеющих доступ, и доступ регистрируется.

Помимо Статьи 9

Исключение по Статье 9(2) — это не единственное обязательство GDPR в отношении данных о здоровье. Обработка также требует основания по Статье 6, обычно оценки воздействия на защиту данных (DPIA) согласно Статье 35 и назначения сотрудника по защите данных согласно Статье 37, ограничений на автоматизированные решения согласно Статье 22, инструмента Главы V для передачи данных за пределы ЕС, уведомления об утечке в течение 72 часов и национальных законов о медицинских записях.

Статья 6 по-прежнему применяется: договор (6(1)(b)) для предоставления услуги, запрошенной лицом, согласие (6(1)(a)), юридическое обязательство, общественная задача или законные интересы, которые не могут быть использованы для отмены Статьи 9.
Статья 35 DPIA является обязательной для крупномасштабной обработки специальных категорий; большинство приложений для здоровья и все платформы подпадают под это. См. DPIA для приложения для здоровья.
Статья 37 DPO является обязательной для основной деятельности, состоящей из крупномасштабной обработки специальных категорий.
Статья 22 ограничивает решения, основанные исключительно на автоматизированной обработке, имеющей значительные последствия, включая автоматизированную сортировку или определение права на получение услуги; данные о здоровье могут использоваться для них только с явным согласием или правовым основанием в законе, с гарантиями.
Статья 44 и далее: передача данных за пределы ЕС требует адекватности (Рамочное соглашение ЕС-США о конфиденциальности данных для сертифицированных американских компаний), стандартных договорных положений с оценкой воздействия передачи или другого инструмента Главы V. Размещение данных в ЕС избегает этого вопроса для данных в состоянии покоя; персонал поддержки за рубежом — нет.
Статья 33–34: уведомление об утечке в орган в течение 72 часов и субъектам данных, когда риск высок, что для данных о здоровье обычно и бывает.
Национальное законодательство добавляет уровни: законы о медицинской тайне, законы о медицинских записях, сроки хранения, а в некоторых странах — специальные правила для приложений для здоровья (сертификация хостинга HDS во Франции, рамки DiGA в Германии).

EHDS сверху

Регламент Европейского пространства данных здравоохранения (2025/327) не изменяет Статью 9. Он добавляет права на доступ и переносимость данных о здоровье в общем формате, обязательства для систем электронных медицинских карт и систему разрешений для вторичного использования, которая опирается на Статью 9(2)(g), (h), (i) и (j) с собственными гарантиями и возможностью отказа. См. Ваши медицинские данные в ЕС.

В Anpheros

Anpheros обрабатывает данные о здоровье на основе явного согласия пользователя для ведения его записей (Статья 9(2)(a)), по назначению и с возможностью отзыва в приложении, а также в качестве обработчика для клиник, которые записывают данные в эти записи на основании их собственного основания по Статье 9(2)(h). Каждый доступ со стороны клиники требует одобрения пользователя на определенный объем и продолжительность и отображается в его журнале доступа. См. Платформа согласия пациента и Кто просматривал мою медицинскую карту?.

Эта страница объясняет нормативные требования для продуктовых и инженерных команд. Это не юридическая консультация; тексты, на которые ссылаются в разделе "Источники", являются авторитетными, и ваше должностное лицо по защите данных, уведомленный орган или юрист принимают решения по вашему случаю. Последний обзор: октябрь 2026 г.

Связанные страницы

Источники

Частые вопросы

Является ли подсчет шагов данными о здоровье?

Сам по себе, обычно нет. В сочетании с другими данными, раскрывающими состояние здоровья (диагноз, программа реабилитации, сердечное заболевание) или обрабатываемый для его вывода, он становится данными, касающимися здоровья. Регулирующие органы смотрят на цель и вывод, а не только на исходное поле.

Могу ли я использовать законные интересы для данных о здоровье?

Нет. Законные интересы — это основание по Статье 6; данные о здоровье дополнительно требуют исключения по Статье 9(2), и ни одно из них не является законными интересами. Аналитика данных о здоровье требует согласия или анонимизации.

Нужна ли клинике согласие пациента на ведение записей?

Не по GDPR: она обрабатывает данные на основании Статьи 9(2)(h) и национального законодательства о здравоохранении. Согласие становится актуальным, когда данные используются для чего-то другого (обмен с приложением, исследования, маркетинг) или когда национальное законодательство этого требует.

Как долго могут храниться данные о здоровье?

GDPR предусматривает, что не дольше, чем это необходимо; национальные законы о медицинских записях устанавливают конкретные сроки хранения для клинических записей (часто от 10 до 30 лет). Личный профиль, контролируемый пользователем, хранится столько, сколько он хочет, и удаляется по запросу.

Anpheros Platform

Попробуйте бесплатно в песочнице

Первый запрос FHIR за 5 минут. API HL7 FHIR R4 с встроенным согласием пациента: попробуйте в песочнице, затем подключите свое приложение или систему клиники.

Создать бесплатную песочницу Читать руководства для разработчиков →

Бесплатно · 30 синтетических пациентов · без карты

Это руководство носит информационный характер и не заменяет консультацию врача. Решения о своём здоровье принимайте вместе с врачом. В экстренной ситуации звоните по местному номеру экстренной помощи (112 в Европе).

Автор

Команда Anpheros

Anpheros создает медицинскую карту, которую пациент контролирует и может делиться с любой клиникой, на платформе HL7 FHIR R4, базирующейся в ЕС. Эти руководства помогут вам понять и организовать свое здоровье; они не заменяют вашего врача.

О Anpheros →