Kısa cevap: HIPAA (1996, Gizlilik, Güvenlik ve İhlal Bildirim Kuralları ile birlikte) kapsamındaki kuruluşlar, sağlık planları, sağlık bilgileri temizleme merkezleri ve elektronik fatura kesen sağlayıcılar ile bunların iş ortakları için geçerlidir; tuttukları korunan sağlık bilgilerini korur ve kişinin izni olmadan hangi kullanımların mümkün olduğunu belirtir. GDPR (2016) ise AB'deki kişilerin kişisel verilerini işleyen herhangi bir denetleyici veya işlemci için geçerlidir, sağlık verileri özel bir kategori olarak ele alınır; her kullanım için bir yasal dayanak gerektirir ve kişilere uygulanabilir haklar tanır. Bir ürün için pratik fark şudur: ABD'deki bir tüketici sağlığı uygulaması genellikle HIPAA kapsamı dışındadır ve bunun yerine FTC ve eyalet yasaları tarafından düzenlenir; AB'deki aynı uygulama ise ilk kullanıcıdan itibaren GDPR kapsamındadır. Her ikisine de hizmet veren bir ürün, GDPR'nin genişliğini ve HIPAA'nın kuralcı güvenlik önlemlerini aynı anda karşılayacak şekilde tasarlanmalıdır.
Yan yana karşılaştırma
Yan yana, HIPAA ABD'deki kapsanan kuruluşları ve korunan sağlık bilgilerini işleyen iş ortaklarını düzenlerken, GDPR AB sakinlerinin verilerini işleyen herhangi bir denetleyici veya işlemciyi düzenler. HIPAA, yetkilendirme olmaksızın tedavi, ödeme ve operasyon kullanımlarına izin verir ve ihlal bildirimi için 60 gün tanır; GDPR ise her amaç için yasal bir dayanak gerektirir, silme ve taşınabilirlik hakkı verir ve 72 saat süre tanır.
| HIPAA (ABD) | GDPR (AB) | |
|---|---|---|
| Kimler düzenlenir | Kapsamındaki kuruluşlar ve iş ortakları | AB'de ikamet edenlerin verilerini işleyen herhangi bir denetleyici veya işlemci, nerede olursa olsun |
| Hangi veriler | Korunan sağlık bilgileri (PHI): Kapsamındaki bir kuruluş tarafından tutulan tanımlanabilir sağlık verileri | Tüm kişisel veriler; sağlık verileri özel bir kategoridir (Madde 9) |
| Tüketici sağlığı uygulamaları | Kapsamındaki bir kuruluş adına hareket etmediği sürece HIPAA kapsamı dışındadır; FTC Yasası, FTC Sağlık İhlal Bildirim Kuralı, eyalet yasaları geçerlidir | GDPR kapsamındadır; açık rıza genellikle yasal dayanaktır |
| Kullanım için yasal dayanak | İzin verilen kullanımlar (izin olmadan): tedavi, ödeme, operasyonlar ve listelenen istisnalar; aksi takdirde izin gereklidir | Her amaç için bir Madde 6 dayanağı ve bir Madde 9(2) istisnası |
| Gerekli minimum / en aza indirme | Gerekli minimum standardı | Veri en aza indirme ilkesi (Madde 5) |
| Bireysel haklar | Erişim (30 gün), düzeltme, açıklama dökümü, kısıtlamalar | Erişim (1 ay), düzeltme, silme, taşınabilirlik, itiraz, kısıtlama, rızanın geri çekilmesi |
| Kimliksizleştirme | Güvenli Liman (18 tanımlayıcı) veya uzman belirlemesi | Anonimleştirme (artık kişisel veri değil) ve takma ad kullanma (hala kişisel veri) |
| Güvenlik | Güvenlik Kuralı: idari, fiziksel, teknik güvenlik önlemleri; risk analizi; ele alınabilir ve zorunlu özellikler | Madde 32: riske uygun önlemler; sabit bir liste yok |
| İhlal bildirimi | Keşiften sonra 60 gün içinde bireylere ve HHS'ye (500+ kişi bir eyalette ise medyaya); daha küçük ihlaller için yıllık kayıt | Yüksek risk olduğunda yetkili makama 72 saat içinde; bireylere gereksiz gecikme olmaksızın |
| Sözleşmeler | İş ortağı sözleşmesi (BAA) | İşlemci sözleşmesi (Madde 28) |
| Gözetim rolleri | Gizlilik görevlisi ve güvenlik görevlisi | Gerekli olduğu durumlarda veri koruma görevlisi (Madde 37) |
| Etki değerlendirmesi | Güvenlik Kuralı kapsamında risk analizi | Madde 35 kapsamında DPIA (Veri Koruma Etki Değerlendirmesi) |
| Uluslararası transfer | HIPAA'nın kendisinde kısıtlama yok | Bölüm V: yeterlilik, SCC'ler (Standart Sözleşme Maddeleri), Veri Gizliliği Çerçevesi |
| Uygulama | HHS Sivil Haklar Ofisi; eyalet başsavcıları | Ulusal veri koruma otoriteleri; EDPB (Avrupa Veri Koruma Kurulu) |
| Cezalar | Aşamalı sivil cezalar, enflasyona göre ayarlanmış, yaklaşık olarak madde başına yılda 2 milyon dolara kadar; cezai yaptırımlar | 20 milyon €'ya veya dünya çapındaki cironun %4'üne kadar |
Uygulamadaki kapsam farkı
Uygulamada, HIPAA bir sağlık uygulamasına yalnızca bir kapsanan kuruluş adına, bir BAA kapsamında iş ortağı olarak hareket ettiğinde uygulanır; bir hastanın seçtiği tüketici uygulaması HIPAA kapsamı dışındadır ve FTC ve eyalet yasaları tarafından düzenlenir. AB'de aynı uygulama, ilk kullanıcıdan itibaren bir GDPR denetleyicisidir.
Bir ABD hastanesinin bulut tabanlı bir FHIR platformu kullanması: hastane kapsamındaki bir kuruluştur, platform ise bir BAA kapsamında iş ortağıdır, her ikisi de HIPAA'ya tabidir. Bir ABD'li tüketicinin kendi laboratuvar raporlarını bir uygulamaya yüklemesi: HIPAA uygulamaya uygulanmaz; bunun yerine FTC (aldatıcı uygulamalar ve 2024'te sağlık uygulamalarını açıkça kapsayacak şekilde güncellenen Sağlık İhlal Bildirim Kuralı) ve Washington'ın My Health My Data Act (2023) gibi eyalet yasaları (tüketici sağlığı verilerinin toplanması için rıza gerektirir ve sağlık tesisleri etrafında coğrafi sınırlama yasağı getirir) ve Kaliforniya CPRA, Nevada ve Connecticut yasalarının sağlık hükümleri geçerlidir. AB'deki bir hastanın aynı şeyi yapması: uygulama, ilk günden itibaren Madde 9 yükümlülükleriyle GDPR kapsamında bir denetleyicidir. GDPR Madde 9 sağlık verileri için bölümüne bakınız.
Yasal dayanak farkı
HIPAA ve GDPR, yasal dayanak konusunda zıt noktalardan başlar. HIPAA, kapsanan kuruluşların korunan sağlık bilgilerini tedavi, ödeme ve sağlık hizmetleri operasyonları için yetkilendirme olmaksızın kullanmalarına izin verir ve diğer kullanımlar için yazılı yetkilendirme gerektirir. GDPR, Madde 9(2) istisnası geçerli olmadıkça sağlık verilerinin işlenmesini yasaklar, bu nedenle varsayılan olarak hiçbir şey izin verilmez ve onay açık, belirli ve geri alınabilir olmalıdır.
HIPAA, izin verilen kullanımlar ile başlar: kapsamındaki bir kuruluş, tedavi, ödeme ve sağlık hizmetleri operasyonları için PHI'yi sormadan kullanabilir ve açıklayabilir, ayrıca halkla ilişkiler amaçlı bir dizi kullanım için de geçerlidir; bunların dışındaki her şey yazılı izin gerektirir. GDPR ise istisnalarla birlikte bir yasaklama (sağlık verileri için) ile başlar; "varsayılan olarak" hiçbir şey izin verilmez ve rıza kullanıldığında açık, belirli ve geri alınabilir olmalıdır. Bir ABD ürün ekibinin "operasyonlar"ın analitikleri kapsadığı yönündeki içgörüsü aktarılmaz; AB'de sağlık verileri üzerindeki analitikler rıza veya anonimleştirme gerektirir.
Haklar farkı
Bireysel haklar konusunda, hem HIPAA hem de GDPR erişim ve düzeltme hakkı tanır, ancak GDPR silme, makine tarafından okunabilir formatta taşınabilirlik, itiraz hakkı ve rızayı geri çekme hakkı ekler ki bu haklar HIPAA'da bu şekilde bulunmaz. GDPR'nin hakları için oluşturulmuş, ürün içinde dışa aktarma, silme ve geri alma özelliklerine sahip bir ürün, HIPAA'nın erişim haklarını fazlasıyla karşılar.
Cures Act'in bilgi engelleme kuralları ve API'ler aracılığıyla elektronik PHI'ye erişim hakkı, ABD'li hastaları taşınabilirliğe doğru yönlendiriyor.
Güvenlik ve ihlaller
HIPAA'nın Güvenlik Kuralı, zorunlu bir risk analizi, adlandırılmış idari, fiziksel ve teknik güvenceler, politikalar, eğitim ve denetim kontrolleri ile belirtilmiştir; GDPR'nin Madde 32'si sonuç odaklıdır ve genellikle ISO 27001 aracılığıyla gösterilen, riske uygun önlemler alınmasını ister. İhlal bildirim süreleri keskin bir şekilde farklıdır: HIPAA kapsamında bireylere ve HHS'ye 60 gün, GDPR kapsamında yetkililere 72 saat.
HIPAA'nın Güvenlik Kuralı kuralcıdır: risk analizi, belirtilen güvenlik önlemleri, politikalar, eğitim, denetim kontrolleri ve şifreleme ve çok faktörlü kimlik doğrulamanın ele alınabilir olmaktan çıkarılıp zorunlu hale getirilmesini öngören 2025 tarihli önerilen bir güncelleme. GDPR'nin Madde 32'si sonuç odaklıdır: riske uygun, şifreleme ve takma ad kullanmanın örnek olarak belirtildiği; ISO 27001 genellikle bunu göstermenin yoludur. İhlal zaman çizelgeleri keskin bir şekilde farklıdır: HIPAA kapsamında bireylere ve HHS'ye 60 gün, GDPR kapsamında yetkili makama 72 saat. Ortak bir olay müdahale planı daha kısa süreyi dikkate alır. ISO 27001 vs ISO 27799 bölümüne bakınız.
Kimliksizleştirme
HIPAA'nın Güvenli Liman yöntemi 18 tanımlayıcıyı kaldırır ve veri artık PHI değildir; uzman belirlemesi ise yeniden kimliklendirme riskinin çok düşük olduğunu onaylar. GDPR'nin bir listesi yoktur: veri, makul bir şekilde yeniden kimliklendirilemiyorsa anonimdir ve takma ad kullanılmış veri kişisel veri olarak kalır. Güvenli Liman çıktısı genellikle GDPR'nin standardını karşılamaz, özellikle tarihler ve nadir görülen durumlar söz konusu olduğunda. Sağlık verilerinin kimliksizleştirilmesi bölümüne bakınız.
Her ikisi için de geliştirme
Hem ABD hem de AB'ye hizmet veren bir ürün, öncelikle GDPR'ye göre tasarlanmalıdır (amaç başına onay, üründe haklar, DPIA, 72 saatlik ihlal eylem planı, AB barındırma seçeneği) ve üzerine HIPAA'nın belirtilen belgeleri eklenmelidir: bir risk analizi belgesi, bir BAA şablonu, Güvenlik Kuralı politikaları, 60 günlük ihlal prosedürü ve iş gücü eğitim kayıtları.
GDPR'ye göre tasarım yapın (amaç başına rıza, üründeki haklar, DPIA, 72 saatlik müdahale planı, AB barındırma seçeneği) ve üzerine HIPAA'nın kuralcı belgelerini ekleyin (risk analizi belgesi, BAA şablonu, Güvenlik Kuralı politika seti, 60 günlük ihlal prosedürü, iş gücü eğitim kayıtları). ABD ve AB verilerini ayrılabilir bölgelerde tutun, çünkü GDPR transferleri ve bazı ABD eyalet yasaları konumu dikkate alır. Anpheros bu şekilde geliştirilmiştir: bir Avrupa şirketi olarak GDPR öncelikli, platform ABD müşterileri için bir BAA kapsamında iş ortağı olarak çalışabilmektedir. Geliştirici sitesi geliştiriciler için GDPR ve güvenlik konularını belgeler.
Bu sayfa ürün ve mühendislik ekipleri için düzenlemeleri açıklamaktadır. Yasal tavsiye niteliğinde değildir; Kaynaklar altında bağlantısı verilen metinler yetkilidir ve sizin veri koruma görevliniz, bildirimli kuruluşunuz veya danışmanınız sizin durumunuz için karar verir. Son gözden geçirme: Ekim 2026.
İlgili sayfalar
- GDPR Madde 9 sağlık verileri için
- Sağlık verilerinin kimliksizleştirilmesi
- ISO 27001 vs ISO 27799
- TEFCA ve QHIN'ler açıklandı
- Sağlık verileri düzenleme haritası
- Geliştiriciler için GDPR (geliştirici sitesi)
Kaynaklar
- HHS: Profesyoneller için HIPAA (Gizlilik, Güvenlik, İhlal Bildirim Kuralları)
- HHS: İhlal Bildirim Kuralı
- FTC Sağlık İhlal Bildirim Kuralı (16 CFR Bölüm 318)
- Washington Eyaleti: My Health My Data Act (HB 1155)
- Tüzük (AB) 2016/679 (GDPR), EUR-Lex
- Avrupa Komisyonu: AB-ABD Veri Gizliliği Çerçevesi
Sık sorulan sorular
HIPAA uyumlu bir uygulama otomatik olarak GDPR uyumlu mudur?
Hayır. HIPAA uyumluluğu, yasal dayanak, rıza kalitesi, silme, taşınabilirlik, DPIA'lar, DPO'lar veya transferler hakkında bir şey söylemez. GDPR'nin güvenlik beklentilerinin bir alt kümesini ve farklı bir ihlal rejimini kapsar.
Bir doktor tavsiye ederse HIPAA uygulamama geçer mi?
Tek başına değil. Uygulama, bir iş ortağı sözleşmesi kapsamında (örneğin, kliniğin isteği üzerine kliniğin iş akışına entegre edilerek) kapsamındaki bir kuruluş adına hareket ederse HIPAA geçerlidir. Hastanın seçtiği ve kontrol ettiği bir uygulama HIPAA kapsamı dışındadır ve FTC ve eyalet kurallarına tabidir.
Ortak bir AB-ABD olayı için hangi ihlal süresini takip etmeliyim?
Her ikisi de: AB'deki sakinlerin verileri için AB yetkilisine 72 saat, PHI için bireylere ve HHS'ye 60 gün, ayrıca herhangi bir eyalet süresi (genellikle 30 ila 60 gün) ve tüketici sağlığı uygulamaları için FTC kuralının 60 günü. Müdahale planları en kısa süreye göre hazırlanır.
AB sağlık verileri ABD'de işlenebilir mi?
Evet, Bölüm V transfer aracı ile: sertifikalı şirketler için AB-ABD Veri Gizliliği Çerçevesi veya bir transfer etki değerlendirmesi ile standart sözleşme maddeleri. Ancak birçok Avrupalı müşteri, sözleşmesel bir koşul olarak AB barındırmayı talep etmektedir.
Sandbox'ta ücretsiz deneyin
İlk FHIR çağrınız 5 dakikada. Hasta izniyle yerleşik HL7 FHIR R4 API: sandbox'ta deneyin, ardından kendi uygulamanızı veya klinik sisteminizi bağlayın.
Ücretsiz · 30 sentetik hasta · kart gerekmez
Anpheros, hasta kontrolünde olan ve herhangi bir klinik ile paylaşılabilecek, AB merkezli bir HL7 FHIR R4 platformu üzerinde tıbbi kayıtlar oluşturur. Bu rehberler, sağlığınızı anlamanıza ve düzenlemenize yardımcı olur; doktorunuzun yerini tutmaz.
Anpheros Hakkında →