Krátka odpoveď: HIPAA (1996, s pravidlami o ochrane súkromia, bezpečnosti a oznamovaní porušení) sa vzťahuje na kryté subjekty, zdravotné poisťovne, zdravotnícke zúčtovacie centrá a poskytovateľov, ktorí fakturujú elektronicky, a na ich obchodných zástupcov; chráni chránené zdravotné informácie, ktoré držia, a uvádza, ktoré použitia sú povolené bez súhlasu osoby. GDPR (2016) sa vzťahuje na akéhokoľvek správcu alebo spracovateľa, ktorý spracúva osobné údaje osôb v EÚ, pričom zdravotné údaje sú špeciálnou kategóriou; vyžaduje právny základ pre každé použitie a dáva osobám vynútiteľné práva. Praktický rozdiel pre produkt: spotrebiteľská zdravotná aplikácia v USA je zvyčajne mimo HIPAA a namiesto toho sa riadi FTC a štátnymi zákonmi; tá istá aplikácia v EÚ je od prvého používateľa v rámci GDPR. Produkt slúžiaci obom musí byť postavený tak, aby spĺňal šírku GDPR a predpísané bezpečnostné opatrenia HIPAA súčasne.
Vedľa seba
HIPAA reguluje americké subjekty, na ktoré sa vzťahujú predpisy, a ich obchodných partnerov, ktorí nakladajú s chránenými zdravotnými informáciami, zatiaľ čo GDPR reguluje akéhokoľvek správcu alebo spracovateľa údajov obyvateľov EÚ. HIPAA umožňuje použitie na liečbu, platby a prevádzku bez povolenia a poskytuje 60 dní na oznámenie o porušení; GDPR vyžaduje právny základ pre každý účel, udeľuje právo na výmaz a prenositeľnosť a poskytuje 72 hodín.
| HIPAA (USA) | GDPR (EÚ) | |
|---|---|---|
| Kto je regulovaný | Kryté subjekty a obchodní zástupcovia | Akýkoľvek správca alebo spracovateľ údajov obyvateľov EÚ, kdekoľvek |
| Aké údaje | Chránené zdravotné informácie (PHI): identifikovateľné zdravotné údaje držané krytým subjektom | Všetky osobné údaje; zdravotné údaje sú špeciálnou kategóriou (článok 9) |
| Spotrebiteľské zdravotné aplikácie | Mimo HIPAA, pokiaľ nekonajú v mene krytého subjektu; platí zákon FTC, pravidlo FTC o oznamovaní porušení zdravotných údajov, štátne zákony | V rámci GDPR; obvyklým základom je výslovný súhlas |
| Právny základ pre použitie | Povolené použitie bez súhlasu: liečba, platba, prevádzka, plus uvedené výnimky; inak súhlas | Základ podľa článku 6 a výnimka podľa článku 9 ods. 2 pre každý účel |
| Minimálne nevyhnutné / minimalizácia | Štandard minimálne nevyhnutného | Zásada minimalizácie údajov (článok 5) |
| Práva jednotlivca | Prístup (30 dní), oprava, účtovanie o zverejnení, obmedzenia | Prístup (1 mesiac), oprava, výmaz, prenosnosť, námietka, obmedzenie, odvolanie súhlasu |
| Deidentifikácia | Bezpečnostný prístav (18 identifikátorov) alebo odborné určenie | Anonymizácia (už nie osobné údaje) vs. pseudonymizácia (stále osobné údaje) |
| Bezpečnosť | Pravidlo o bezpečnosti: administratívne, fyzické, technické bezpečnostné opatrenia; analýza rizík; riešiteľné vs. požadované špecifikácie | Článok 32: primerané opatrenia vo vzťahu k riziku; žiadny pevný zoznam |
| Oznámenie o porušení | Jednotlivci a HHS do 60 dní od objavenia (médiá, ak 500+ v štáte); ročný záznam pre menšie porušenia | Orgán do 72 hodín; jednotlivci bez zbytočného odkladu, ak je vysoké riziko |
| Zmluvy | Dohoda o obchodnom zástupcovi (BAA) | Zmluva so spracovateľom (článok 28) |
| Dohľadové úlohy | Poverenec pre ochranu súkromia a poverenec pre bezpečnosť | Poverenec pre ochranu údajov, ak je to potrebné (článok 37) |
| Hodnotenie vplyvu | Analýza rizík podľa pravidla o bezpečnosti | DPIA podľa článku 35 |
| Medzinárodný prenos | Žiadne obmedzenie v samotnom HIPAA | Kapitola V: primeranosť, SCC, Rámec pre ochranu súkromia údajov |
| Vymáhanie | Úrad pre občianske práva HHS; štátni generálni prokurátori | Národné orgány na ochranu údajov; EDPB |
| Pokuty | Stupňované civilné pokuty, upravené o infláciu, približne do 2 miliónov USD za ustanovenie za rok; trestné sankcie | Až 20 miliónov EUR alebo 4 % celosvetového obratu |
Rozdiel v rozsahu, v praxi
V praxi sa HIPAA vzťahuje na zdravotnú aplikáciu iba vtedy, keď koná v mene subjektu, na ktorý sa vzťahujú predpisy, ako obchodný partner na základe dohody BAA; spotrebiteľská aplikácia, ktorú si pacient vyberie, je mimo pôsobnosti HIPAA a regulovaná FTC a štátnymi zákonmi. V EÚ je tá istá aplikácia od prvého používateľa správcom podľa GDPR.
Nemocnica v USA používajúca cloudovú platformu FHIR: nemocnica je krytý subjekt, platforma obchodný zástupca na základe BAA, obe podliehajú HIPAA. Spotrebiteľ v USA nahrávajúci svoje vlastné laboratórne správy do aplikácie: HIPAA sa na aplikáciu nevzťahuje; platí FTC (klamlivé praktiky a pravidlo FTC o oznamovaní porušení zdravotných údajov, aktualizované v roku 2024, aby explicitne pokrývalo zdravotné aplikácie), rovnako ako štátne zákony, ako je My Health My Data Act (2023) štátu Washington, ktorý vyžaduje súhlas so zberom spotrebiteľských zdravotných údajov a zakazuje geofencing okolo zdravotníckych zariadení, a zdravotné ustanovenia zákona California CPRA, zákonov Nevady a Connecticutu. Pacient v EÚ robí to isté: aplikácia je správcom podľa GDPR s povinnosťami podľa článku 9 od prvého dňa. Pozri GDPR článok 9 pre zdravotné údaje.
Rozdiel v právnom základe
HIPAA a GDPR vychádzajú z opačných bodov týkajúcich sa právneho základu. HIPAA umožňuje subjektom, na ktoré sa vzťahujú predpisy, používať chránené zdravotné informácie na liečbu, platby a zdravotné operácie bez povolenia, pričom vyžaduje písomné povolenie na iné použitie. GDPR zakazuje spracovanie zdravotných údajov, pokiaľ sa neuplatňuje výnimka podľa článku 9 ods. 2, takže predvolene nie je povolené nič a súhlas musí byť výslovný, konkrétny a odvolateľný.
HIPAA vychádza z povolených použití: krytý subjekt môže používať a zverejňovať PHI na liečbu, platbu a zdravotnícke operácie bez opýtania sa a na zoznam účelov verejného záujmu; všetko ostatné vyžaduje písomný súhlas. GDPR vychádza zo zákazu (pre zdravotné údaje) s výnimkami; nič nie je povolené "predvolene" a súhlas, ak sa používa, musí byť výslovný, konkrétny a odvolateľný. Inštinkt amerického produktového tímu, že "prevádzka" zahŕňa analytiku, sa neprenáša; v EÚ analytika zdravotných údajov vyžaduje súhlas alebo anonymizáciu.
Rozdiel v právach
Pokiaľ ide o práva jednotlivca, HIPAA aj GDPR udeľujú prístup a opravu, ale GDPR pridáva právo na výmaz, prenositeľnosť v strojovo čitateľnom formáte, námietku a právo odvolať súhlas, ktoré HIPAA ako také nemá. Produkt vytvorený pre práva GDPR s exportom, výmazom a odvolaním v produkte s rezervou spĺňa práva HIPAA na prístup.
Pravidlá Cures Act týkajúce sa blokovania informácií a právo na prístup k elektronickým chráneným zdravotným informáciám prostredníctvom API posúvajú pacientov v USA smerom k prenositeľnosti.
Bezpečnosť a porušenia
Bezpečnostné pravidlo HIPAA je predpisové, s požadovanou analýzou rizík, pomenovanými administratívnymi, fyzickými a technickými bezpečnostnými opatreniami, politikami, školeniami a kontrolami auditu; článok 32 GDPR je založený na výsledkoch a žiada opatrenia primerané riziku, zvyčajne preukázané prostredníctvom ISO 27001. Lehoty na oznámenie o porušení sa ostro líšia: 60 dní jednotlivcom a HHS podľa HIPAA, 72 hodín orgánu podľa GDPR.
Pravidlo o bezpečnosti HIPAA je predpísané: analýza rizík, pomenované bezpečnostné opatrenia, politiky, školenia, auditné kontroly a navrhovaná aktualizácia z roku 2025, ktorá by urobila šifrovanie a viacfaktorovú autentifikáciu povinnými namiesto riešiteľnými. Článok 32 GDPR je založený na výsledkoch: primerané riziku, pričom šifrovanie a pseudonymizácia sú uvedené ako príklady; ISO 27001 je obvyklý spôsob, ako to preukázať. Časové rámce porušení sa ostro líšia: 60 dní jednotlivcom a HHS podľa HIPAA, 72 hodín orgánu podľa GDPR. Spoločný prevádzkový poriadok pre incidenty používa kratší časový limit. Pozri ISO 27001 vs ISO 27799.
Deidentifikácia
Bezpečnostný prístav HIPAA odstraňuje 18 uvedených identifikátorov a údaje už nie sú PHI; odborné určenie certifikuje veľmi malé riziko reidentifikácie. GDPR nemá zoznam: údaje sú anonymné iba vtedy, ak ich nikto nemôže primerane reidentifikovať a pseudonymizované údaje zostávajú osobnými údajmi. Výstup bezpečnostného prístavu často nespĺňa kritériá GDPR, najmä s dátumami a zriedkavými stavmi. Pozri Deidentifikácia zdravotných údajov.
Budovanie pre obe
Produkt slúžiaci pre USA aj EÚ je najlepšie navrhnutý najprv podľa GDPR (súhlas na účel, práva v produkte, DPIA, 72-hodinový plán riešenia porušení, možnosť hostingu v EÚ) s predpisovými artefaktmi HIPAA pridanými navrch: dokumentácia analýzy rizík, vzor dohody BAA, politiky bezpečnostného pravidla, postup pri porušení pravidiel do 60 dní a záznamy o školení zamestnancov.
Navrhujte podľa GDPR (súhlas na účel, práva v produkte, DPIA, 72-hodinový prevádzkový poriadok, možnosť hostingu v EÚ) a na vrch pridajte predpísané artefakty HIPAA (dokumentácia analýzy rizík, šablóna BAA, súbor politík pravidla o bezpečnosti, 60-dňový postup pri porušení, záznamy o školení zamestnancov). Uchovávajte americké a EÚ údaje v oddeliteľných regiónoch, pretože prenosy GDPR a niektoré štátne zákony USA sa obidva týkajú umiestnenia. Anpheros je postavený týmto spôsobom: ako európska spoločnosť s prioritou GDPR, s platformou schopnou pôsobiť ako obchodný zástupca pod BAA pre zákazníkov z USA. Stránka pre vývojárov dokumentuje GDPR pre vývojárov a bezpečnosť.
Táto stránka vysvetľuje reguláciu pre produktové a inžinierske tímy. Nie je to právne poradenstvo; záväzné sú texty uvedené v zdrojoch a o vašom prípade rozhoduje váš poverenec pre ochranu údajov, notifikovaný orgán alebo právny zástupca. Posledná revízia: október 2026.
Súvisiace stránky
- GDPR článok 9 pre zdravotné údaje
- Deidentifikácia zdravotných údajov
- ISO 27001 vs ISO 27799
- TEFCA a QHINy vysvetlené
- Mapa regulácie zdravotných údajov
- GDPR pre vývojárov (stránka pre vývojárov)
Zdroje
- HHS: HIPAA pre profesionálov (Pravidlá o ochrane súkromia, bezpečnosti, oznamovaní porušení)
- HHS: Pravidlo o oznamovaní porušení
- Pravidlo FTC o oznamovaní porušení zdravotných údajov (16 CFR Part 318)
- Štát Washington: My Health My Data Act (HB 1155)
- Nariadenie (EÚ) 2016/679 (GDPR), EUR-Lex
- Európska komisia: Rámec EÚ-USA pre ochranu súkromia údajov
Časté otázky
Je aplikácia vyhovujúca HIPAA automaticky vyhovujúca GDPR?
Nie. Súlad s HIPAA nehovorí nič o právnom základe, kvalite súhlasu, výmaze, prenosnosti, DPIA, DPO alebo prenosoch. Pokrýva podmnožinu očakávaní GDPR týkajúcich sa bezpečnosti a iný režim porušení.
Vzťahuje sa HIPAA na moju aplikáciu, ak ju odporučí lekár?
Nie sama o sebe. HIPAA sa vzťahuje, ak aplikácia koná v mene krytého subjektu na základe dohody o obchodnom zástupcovi (napríklad integrovaná do pracovného postupu kliniky na žiadosť kliniky). Aplikácia, ktorú si pacient vyberie a ovláda, je mimo HIPAA a riadi sa pravidlami FTC a štátnymi pravidlami.
Ktorý termín pre porušenie mám dodržiavať pri spoločnom incidente v EÚ a USA?
Oboje: 72 hodín orgánu EÚ pre údaje obyvateľov EÚ, 60 dní jednotlivcom a HHS pre PHI, plus akékoľvek štátne termíny (často 30 až 60 dní) a 60 dní podľa pravidla FTC pre spotrebiteľské zdravotné aplikácie. Prevádzkové poriadky sú napísané podľa najkratšieho.
Môžu sa zdravotné údaje z EÚ spracovávať v USA?
Áno, s nástrojom na prenos podľa kapitoly V: Rámec EÚ-USA pre ochranu súkromia údajov pre certifikované spoločnosti, alebo štandardnými zmluvnými doložkami s hodnotením vplyvu prenosu. Mnohí európski zákazníci napriek tomu vyžadujú hosting v EÚ ako zmluvnú podmienku.
Vyskúšajte zadarmo v sandboxe
Prvé volanie FHIR za 5 minút. API podľa štandardu HL7 FHIR R4 s integrovaným súhlasom pacienta: vyskúšajte si ho v sandboxe a potom pripojte svoju vlastnú aplikáciu alebo klinický systém.
Zadarmo · 30 syntetických pacientov · bez karty
Anpheros vyvíja zdravotný záznam, ktorý pacient ovláda a môže zdieľať s akoukoľvek klinikou, na platforme HL7 FHIR R4, so sídlom v EÚ. Tieto návody vám pomôžu pochopiť a usporiadať si svoje zdravie; nenahrádzajú vášho lekára.
O Anpherose →