Krátka odpoveď: softvér, ktorý pracuje s údajmi o zdraví, podlieha štyrom rodinám pravidiel naraz. Ochrana údajov hovorí, čo môžete robiť s osobnými údajmi o zdraví: článok 9 GDPR v EÚ, HIPAA a súbor zákonov jednotlivých štátov v USA. Pravidlá zdravotného systému hovoria, ako sa údaje musia presúvať a zdieľať: Európsky priestor pre zdravotné údaje (EHDS) v EÚ, TEFCA, USCDI a pravidlá o blokovaní informácií v USA. Bezpečnosť výrobkov sa uplatňuje, keď softvér robí niečo lekárske: Nariadenie o zdravotníckych pomôckach (MDR) a Nariadenie o diagnostických zdravotníckych pomôckach in vitro (IVDR) v EÚ, pravidlá FDA v USA, pričom IEC 62304 a ISO 13485 sú technické a kvalitatívne normy za nimi. Bezpečnosť stanovuje základ, ktorý musí každý splniť: ISO 27001 a 27799, NIS2 pre kritické sektory, pravidlo HIPAA o bezpečnosti. Identita (eIDAS a Európska digitálna peňaženka, NHS login, národné preukazy totožnosti) sa prelína všetkými štyrmi.
Mapa
Mapa regulácií týkajúcich sa zdravotníckych údajov zoskupuje pravidlá pre softvér, ktorý spracúva zdravotnícke údaje, do rodín: ochrana údajov (GDPR článok 9, HIPAA, zákony štátov USA), pravidlá zdravotného systému (EHDS, Cures Act, TEFCA), bezpečnosť produktov (MDR, IVDR, FDA), inžinierske a kvalitatívne normy (IEC 62304, ISO 13485), bezpečnosť (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) a identita (eIDAS 2).
| Rodina | Pravidlo | Vzťahuje sa na | Čo žiada |
|---|---|---|---|
| Ochrana údajov | GDPR, čl. 9 a čl. 35 | Každý, kto spracúva údaje o zdraví obyvateľov EÚ | Právny základ z čl. 9 ods. 2, DPIA, DPO pre rozsiahle spracovanie, práva, oznámenie o porušení do 72 hodín |
| Ochrana údajov | HIPAA (Pravidlá o ochrane súkromia, bezpečnosti, porušení) | Pokryté subjekty v USA a ich obchodní partneri | Povolené použitia, ochranné opatrenia, oznámenie o porušení; nezahŕňa väčšinu spotrebiteľských aplikácií |
| Ochrana údajov | Zákony USA (CCPA/CPRA, Washington My Health My Data…) | Firmy, ktoré spravujú údaje obyvateľov | Súhlas pre údaje o zdraví spotrebiteľov, práva na vymazanie, obmedzenia predaja |
| Zdravotný systém | EHDS, Nariadenie (EÚ) 2025/327 | Systémy EHR, wellness aplikácie s nárokom na interoperabilitu, držitelia údajov, orgány pre prístup k údajom o zdraví | Prístup a prenosnosť pacienta v európskom formáte výmeny, povinné MyHealth@EU, povolenia na sekundárne použitie |
| Zdravotný systém | Zákon o 21. storočí Cures Act, pravidlá ONC HTI, TEFCA | Certifikované zdravotnícke IT v USA, poskytovatelia, siete | API FHIR, údaje USCDI, žiadne blokovanie informácií, celoštátna výmena |
| Bezpečnosť výrobkov | MDR 2017/745, IVDR 2017/746 | Softvér s lekárskym účelom pre pacientov v EÚ | Klasifikácia, posúdenie zhody, klinické hodnotenie, dohľad po uvedení na trh, označenie CE |
| Bezpečnosť výrobkov | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Softvér ako zdravotnícka pomôcka pre USA | Predpredajná cesta podľa triedy, systém kvality, dokumentácia kybernetickej bezpečnosti |
| Inžinierstvo | IEC 62304, IEC 82304-1, ISO 14971 | Tímy softvéru pre zdravotnícke pomôcky | Životný cyklus softvéru podľa triedy bezpečnosti, riadenie rizík |
| Kvalita | ISO 13485 | Výrobcovia pomôcok | Systém manažérstva kvality pokrývajúci návrh, výrobu, sťažnosti |
| Bezpečnosť | ISO/IEC 27001, ISO 27799, ISO 27701 | Akákoľvek organizácia; usmernenia špecifické pre zdravotníctvo | Systém manažérstva informačnej bezpečnosti, zdravotnícke kontroly, rozšírenie ochrany súkromia |
| Bezpečnosť | NIS2, smernica 2022/2555 | Poskytovatelia zdravotnej starostlivosti, výrobcovia pomôcok, poskytovatelia cloudových a digitálnych služieb nad prahové hodnoty veľkosti | Opatrenia na riadenie rizík, hlásenie incidentov do 24/72 hodín, zodpovednosť manažmentu |
| Bezpečnosť | Pravidlo HIPAA o bezpečnosti | Pokryté subjekty v USA a obchodní partneri | Administratívne, fyzické a technické ochranné opatrenia; analýza rizík |
| Identita | eIDAS 2 a Európska digitálna peňaženka | Služby, ktoré overujú totožnosť občanov EÚ | Prijatie peňaženky pre silnú identifikáciu od rokov 2026–2027 |
Kto je v rozsahu čoho
Ktoré pravidlá týkajúce sa zdravotníckych údajov sa uplatňujú, závisí od toho, čo softvér robí. Spotrebiteľská aplikácia bez zdravotných tvrdení podlieha GDPR článku 9, DPIA a bezpečnostným postupom; pridanie interpretácie z nej robí zdravotnícke zariadenie podľa MDR; platforma FHIR je spracovateľom GDPR a niekedy podlieha NIS2; nemocnica spĺňa všetky tieto požiadavky plus NIS2 ako základná entita.
- Spotrebiteľská zdravotná aplikácia bez lekárskych tvrdení (denník príznakov, záznam laboratórnych výsledkov): GDPR článok 9 s výslovným súhlasom, DPIA, bezpečnostná prax na úrovni ISO 27001 a označenie wellness aplikácie EHDS, ak tvrdí, že sa pripája k systémom EHR. Nie je to zdravotnícka pomôcka, pokiaľ jej zamýšľaný účel zostáva nelekársky. V USA: pravidlá FTC a zákony o ochrane súkromia v oblasti zdravia jednotlivých štátov, nie HIPAA.
- Tá istá aplikácia s funkciou interpretácie („váš výsledok naznačuje…“): zdravotnícka pomôcka podľa pravidla 11 MDR, zvyčajne trieda IIa, s podporou IEC 62304 a ISO 13485. Pozri Je zdravotná aplikácia zdravotníckou pomôckou? a Triedy SaMD.
- Predajca platformy alebo integrácie FHIR: GDPR ako spracovateľ (zmluvy podľa článku 28), ISO 27001, prípadne NIS2 ako poskytovateľ digitálnej infraštruktúry alebo ICT služieb, povinnosti EHDS, ak je súčasťou systému EHR, HIPAA ako obchodný partner v USA.
- Nemocnica: všetko vyššie uvedené ako správca a prevádzkovateľ, plus NIS2 ako základný subjekt, národné zákony o zdravotných záznamoch a termíny EHDS na pripojenie k národnej infraštruktúre.
- Výskumná platforma: GDPR článok 9 ods. 2 písm. j) a článok 89, kapitola EHDS o sekundárnom použití (povolenia od orgánu pre prístup k údajom o zdraví, bezpečné prostredia na spracovanie) a normy anonymizácie. Pozri Sekundárne použitie údajov o zdraví.
V akom poradí
K dodržiavaniu pravidiel pre zdravotnícke údaje je najlepšie pristupovať v pevnom poradí: najprv napíšte zamýšľaný účel, pretože ten rozhoduje, či je softvér zdravotníckym zariadením; potom ochrana údajov (právny základ, DPIA, zmluvy so spracovateľmi); potom bezpečnostná základňa podľa ISO 27001; potom požiadavky na interoperabilitu, ako sú FHIR a EHDS alebo USCDI; potom postup pre zariadenia, ak nejaký existuje; nakoniec cezhraničné otázky.
- Písomne rozhodnite o zamýšľanom účele. Určuje, či ste zdravotnícka pomôcka, a všetko ostatné z toho vyplýva.
- Najprv ochrana údajov: právny základ, DPIA, zmluvy so spracovateľmi, DPO. Tieto sú potrebné pred prvým skutočným používateľom, v každom scenári. Pozri GDPR článok 9 pre údaje o zdraví a DPIA pre zdravotnú aplikáciu.
- Základná úroveň bezpečnosti: ISMS podľa ISO 27001, prispôsobený zdravotníckym kontrolám ISO 27799; toto tiež zodpovedá väčšine NIS2 a pravidlu HIPAA o bezpečnosti. Pozri ISO 27001 vs ISO 27799 a NIS2 pre nemocnice a predajcov.
- Mandáty interoperability: FHIR a formát výmeny vášho trhu (EHDS, USCDI/US Core), aby produkt nebol vylúčený z národnej infraštruktúry. Pozri Vysvetlenie USCDI a Vysvetlenie TEFCA.
- Cesta zdravotníckej pomôcky, ak existuje: klasifikácia, systém kvality, životný cyklus, notifikovaný orgán alebo cesta FDA. Počítajte s rokom.
- Cezhraničné: rozdiely medzi HIPAA a GDPR pri obsluhe oboch trhov (HIPAA vs GDPR), mechanizmy prenosu, umiestnenie hostingu.
Kde Anpheros stojí
Anpheros Daily je osobný zdravotný záznam s deklarovaným nelekárskym zamýšľaným účelom: ukladá, zobrazuje a zdieľa, a neinterpretuje ani nedoporučuje. Anpheros Platform je backend FHIR R4 ponúkaný klinikám a vývojárom ako spracovateľ podľa článku 28 GDPR, s kontrolou súhlasu pacienta a záznamami o prístupe. Stránky o regulácii v tomto klastri popisujú pravidlá tak, ako sa vzťahujú na akýkoľvek produkt tohto druhu; stránka o transparentnosti popisuje, ako ich Anpheros aplikuje na seba.
Táto stránka vysvetľuje reguláciu pre produktové a inžinierske tímy. Nie je to právne poradenstvo; záväzné sú texty uvedené v zdrojoch a pre váš prípad rozhoduje váš poverenec pre ochranu údajov, notifikovaný orgán alebo právny zástupca. Posledná revízia: október 2026.
Súvisiace stránky
- Je zdravotná aplikácia zdravotníckou pomôckou? EU MDR pravidlo 11
- Vaše lekárske údaje v EÚ: GDPR, EHDS a vaše práva
- GDPR článok 9 pre údaje o zdraví
- DPIA pre zdravotnú aplikáciu
- HIPAA vs GDPR
- NIS2 pre nemocnice a predajcov zdravotníckych technológií
- Štandardy interoperability v zdravotníctve: mapa
- GDPR pre vývojárov (stránka pre vývojárov)
- Národné elektronické zdravotné záznamy v Európe a USA
- MyHealth@EU a cezhraničný súhrn pacienta
- AI Act EÚ a zdravotnícka AI
- Sekundárne použitie údajov o zdraví
- Bezpečnosť a identita v zdravotných aplikáciách
Zdroje
- Nariadenie (EÚ) 2016/679 (GDPR), EUR-Lex
- Nariadenie (EÚ) 2025/327 (Európsky priestor pre zdravotné údaje), EUR-Lex
- Nariadenie (EÚ) 2017/745 (MDR), EUR-Lex
- Nariadenie (EÚ) 2017/746 (IVDR), EUR-Lex
- Smernica (EÚ) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA pre profesionálov
- ASTP/ONC: Trusted Exchange Framework and Common Agreement
- ISO/IEC 27001:2022
Časté otázky
Vzťahuje sa GDPR na americkú spoločnosť s používateľmi z EÚ?
Áno, podľa článku 3 ods. 2, akonáhle ponúka služby osobám v EÚ alebo monitoruje ich správanie, bez ohľadu na to, kde sa servery nachádzajú. Potom potrebuje zástupcu v EÚ, právny základ podľa článku 9 a mechanizmus zákonného prenosu.
Je HIPAA prísnejšia ako GDPR?
Ani jedna nie je striktne prísnejšia. HIPAA má užší rozsah (len pokryté subjekty a obchodní partneri) a je predpisovejšia ohľadom ochranných opatrení; GDPR je širšia (každý, kto spracúva údaje obyvateľov EÚ), založená na právach a vyžaduje právny základ pre každé použitie. Produkt na oboch trhoch musí spĺňať oboje.
NHR nahradí EHDS GDPR pre údaje o zdraví?
Nie. EHDS vychádza z GDPR a pridáva povinnosti pre systémy EHR, prístup pacienta, cezhraničnú výmenu a sekundárne použitie. GDPR zostáva základom pre každú operáciu spracovania.
Kde začať, ak nemám tím pre dodržiavanie predpisov?
Napíšte zamýšľaný účel, vykonajte DPIA pomocou šablóny, prijmite základnú úroveň bezpečnosti v štýle ISO 27001 a používajte FHIR s profilmi vášho trhu. Tieto štyri kroky pokrývajú väčšinu toho, čo bude požadovať prvá kontrola alebo prvý nemocničný zákazník.
Vyskúšajte zadarmo v sandboxe
Prvé volanie FHIR za 5 minút. API podľa štandardu HL7 FHIR R4 s integrovaným súhlasom pacienta: vyskúšajte si ho v sandboxe a potom pripojte svoju vlastnú aplikáciu alebo klinický systém.
Zadarmo · 30 syntetických pacientov · bez karty
Anpheros vyvíja zdravotný záznam, ktorý pacient ovláda a môže zdieľať s akoukoľvek klinikou, na platforme HL7 FHIR R4, so sídlom v EÚ. Tieto návody vám pomôžu pochopiť a usporiadať si svoje zdravie; nenahrádzajú vášho lekára.
O Anpherose →