Kısa cevap: sağlık verilerine dokunan yazılımlar dört kural ailesine aynı anda yanıt verir. Veri koruma, kişisel sağlık verileriyle ne yapabileceğinizi söyler: AB'de GDPR'nin 9. Maddesi, ABD'de HIPAA ve eyalet yasalarının bir karmaşası. Sağlık sistemi kuralları, verilerin nasıl hareket etmesi ve paylaşılması gerektiğini söyler: AB'de Avrupa Sağlık Veri Alanı (EHDS), ABD'de TEFCA, USCDI ve bilgi engelleme kuralları. Ürün güvenliği, yazılım tıbbi bir şey yaptığında geçerlidir: AB'de Tıbbi Cihaz Yönetmeliği (MDR) ve İn Vitro Tanı Yönetmeliği (IVDR), ABD'de FDA kuralları, arkalarındaki mühendislik ve kalite standartları olarak IEC 62304 ve ISO 13485 ile birlikte. Güvenlik, herkesin uyması gereken temeli belirler: ISO 27001 ve 27799, kritik sektörler için NIS2, HIPAA Güvenlik Kuralı. Kimlik (eIDAS ve AB Dijital Kimlik Cüzdanı, NHS girişi, ulusal kimlikler) dördünün de tamamını kapsar.
Harita
Sağlık verileri düzenleme haritası, sağlık verilerini işleyen yazılımlara ilişkin kuralları şu kategorilere ayırır: veri koruma (GDPR Madde 9, HIPAA, ABD eyalet yasaları), sağlık sistemi kuralları (EHDS, Cures Act, TEFCA), ürün güvenliği (MDR, IVDR, FDA), mühendislik ve kalite standartları (IEC 62304, ISO 13485), güvenlik (ISO 27001, ISO 27799, NIS2, HIPAA Güvenlik Kuralı) ve kimlik (eIDAS 2).
| Aile | Kural | Kapsam | Ne İster |
|---|---|---|---|
| Veri koruma | GDPR, Madde 9 ve Madde 35 | AB ikamet edenlerin sağlık verilerini işleyen herkes | Madde 9(2)'den yasal bir dayanak, bir DPIA, büyük ölçekli işlemler için bir DPO, haklar, 72 saat içinde ihbar bildirimi |
| Veri koruma | HIPAA (Gizlilik, Güvenlik, İhlal Kuralları) | ABD'deki kapsanan kuruluşlar ve iş ortakları | İzin verilen kullanımlar, güvenceler, ihbar bildirimi; çoğu tüketici uygulamasını kapsamaz |
| Veri koruma | ABD eyalet yasaları (CCPA/CPRA, Washington My Health My Data…) | Sakinlerin verilerini işleyen işletmeler | Tüketici sağlık verileri için onay, silme hakları, satış kısıtlamaları |
| Sağlık sistemi | EHDS, Yönetmelik (AB) 2025/327 | EHS sistemleri, birlikte çalışabilirlik iddia eden sağlık uygulamaları, veri sahipleri, sağlık verilerine erişim kurumları | Avrupa değişim formatında hasta erişimi ve taşınabilirliği, zorunlu MyHealth@EU, ikincil kullanım izinleri |
| Sağlık sistemi | 21. Yüzyıl Cures Yasası, ONC HTI kuralları, TEFCA | ABD sertifikalı sağlık BT, sağlayıcılar, ağlar | FHIR API'leri, USCDI verileri, bilgi engelleme yok, ülke çapında değişim |
| Ürün güvenliği | MDR 2017/745, IVDR 2017/746 | AB hastaları için tıbbi amaçlı yazılım | Sınıflandırma, uygunluk değerlendirmesi, klinik değerlendirme, pazar sonrası gözetim, CE işareti |
| Ürün güvenliği | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | ABD için tıbbi cihaz olarak yazılım | Sınıfa göre ön pazarlama yolu, kalite sistemi, siber güvenlik belgeleri |
| Mühendislik | IEC 62304, IEC 82304-1, ISO 14971 | Tıbbi cihaz yazılım ekipleri | Güvenlik sınıfına göre yazılım yaşam döngüsü, risk yönetimi |
| Kalite | ISO 13485 | Cihaz üreticileri | Tasarım, üretim, şikayetleri kapsayan bir kalite yönetim sistemi |
| Güvenlik | ISO/IEC 27001, ISO 27799, ISO 27701 | Herhangi bir kuruluş; sağlık odaklı rehberlik | Bir bilgi güvenliği yönetim sistemi, sağlık kontrolleri, gizlilik uzantısı |
| Güvenlik | NIS2, Direktif 2022/2555 | Sağlık hizmeti sağlayıcıları, cihaz üreticileri, bulut ve dijital sağlayıcılar (boyut eşiklerinin üzerinde) | Risk önlemleri, 24/72 saat içinde olay raporlaması, yönetim sorumluluğu |
| Güvenlik | HIPAA Güvenlik Kuralı | ABD'deki kapsanan kuruluşlar ve iş ortakları | İdari, fiziksel ve teknik güvenceler; risk analizi |
| Kimlik | eIDAS 2 ve AB Dijital Kimlik Cüzdanı | AB vatandaşlarının kimliğini doğrulayan hizmetler | 2026-2027'den itibaren güçlü kimlik doğrulama için cüzdanın kabulü |
Kim ne için kapsama giriyor
Hangi sağlık verisi kurallarının geçerli olacağı, yazılımın ne yaptığına bağlıdır. Tıbbi iddiaları olmayan bir tüketici uygulaması, GDPR Madde 9, bir DPIA ve güvenlik uygulamasına tabidir; yorum eklemek onu MDR kapsamında tıbbi cihaz yapar; bir FHIR platformu GDPR işlemcisi ve bazen NIS2 kapsamındadır; bir hastane, tüm bunları ve ayrıca temel bir kuruluş olarak NIS2'yi kapsar.
- Tıbbi iddiaları olmayan bir tüketici sağlık uygulaması (semptom günlüğü, laboratuvar raporlarının kaydı): GDPR Madde 9 açık onay ile, bir DPIA, ISO 27001 seviyesinde güvenlik uygulaması ve EHS sistemlerine bağlanma iddiası varsa EHDS sağlık uygulaması etiketi. Tıbbi olmayan amaçları kaldığı sürece tıbbi bir cihaz değildir. ABD'de: HIPAA yerine FTC kuralları ve eyalet sağlık gizlilik yasaları.
- Yorumlama özelliği olan aynı uygulama ("sonucunuz şunu gösteriyor…"): MDR Kural 11 kapsamında bir tıbbi cihaz, genellikle sınıf IIa, arkasında IEC 62304 ve ISO 13485 ile. Bir sağlık uygulaması tıbbi cihaz mıdır? ve SaMD sınıfları bölümlerine bakın.
- Bir FHIR platformu veya entegrasyon satıcısı: GDPR işlemci olarak (Madde 28 sözleşmeleri), ISO 27001, muhtemelen bir dijital altyapı veya BT hizmet sağlayıcısı olarak NIS2, bir EHS sisteminin parçası olduğunda EHDS yükümlülükleri, ABD'de iş ortağı olarak HIPAA.
- Bir hastane: yukarıdakilerin tamamı denetleyici ve işletmeci olarak, ayrıca birincil varlık olarak NIS2, ulusal sağlık kayıt yasaları ve ulusal altyapıya bağlanma için EHDS son teslim tarihleri.
- Bir araştırma platformu: GDPR Madde 9(2)(j) ve Madde 89, EHDS ikincil kullanım bölümü (sağlık verilerine erişim kurumundan izinler, güvenli işlem ortamları) ve anonimleştirme standartları. Sağlık verilerinin ikincil kullanımı bölümüne bakın.
Hangi sırayla
Sağlık verisi uyumluluğuna en iyi şekilde belirli bir sırayla yaklaşılır: önce amaçlanan amaç yazılır, çünkü bu yazılımın tıbbi cihaz olup olmadığına karar verir; ardından veri koruma (yasal dayanak, DPIA, işlemci sözleşmeleri); ardından ISO 27001'e göre bir güvenlik temeli; ardından FHIR ve EHDS veya USCDI gibi birlikte çalışabilirlik zorunlulukları; ardından varsa tıbbi cihaz yolu; son olarak sınır ötesi sorular.
- Amaçlanan amacı yazılı olarak belirleyin. Tıbbi cihaz olup olmadığınızı belirler ve diğer her şey bundan sonra gelir.
- Önce veri koruma: yasal dayanak, DPIA, işlemci sözleşmeleri, DPO. Bunlar, her senaryoda ilk gerçek kullanıcıdan önce gereklidir. Sağlık verileri için GDPR Madde 9 ve Sağlık uygulaması için DPIA bölümlerine bakın.
- Güvenlik temeli: ISO 27001'e göre bir ISMS, 27799'un sağlık kontrollerine eşlenmiş; bu aynı zamanda NIS2 ve HIPAA Güvenlik Kuralı'nın çoğunu da yanıtlar. ISO 27001 vs ISO 27799 ve Hastane ve satıcılar için NIS2 bölümlerine bakın.
- Birlikte çalışabilirlik zorunlulukları: FHIR ve pazarınızın değişim formatı (EHDS, USCDI/US Core), böylece ürün ulusal altyapıdan dışlanmaz. USCDI'nin açıklaması ve TEFCA'nın açıklaması bölümlerine bakın.
- Cihaz yolu, varsa: sınıflandırma, kalite sistemi, yaşam döngüsü, yetkilendirilmiş kuruluş veya FDA yolu. Bir yıl bütçe ayırın.
- Sınır ötesi: her iki pazara da hizmet verirken HIPAA ve GDPR farklılıkları (HIPAA vs GDPR), transfer mekanizmaları, barındırma konumu.
Anpheros nerede duruyor
Anpheros Daily, belirtilen tıbbi olmayan bir amaçla tasarlanmış kişisel bir sağlık kaydıdır: saklar, gösterir ve paylaşır, yorumlama veya tavsiye yapmaz. Anpheros Platform, GDPR Madde 28 kapsamında işlemci olarak kliniklere ve geliştiricilere sunulan bir FHIR R4 arka ucudur, hasta kontrollü onay ve erişim günlükleri ile. Bu kümedeki düzenleme sayfaları, bu tür herhangi bir ürüne nasıl uygulandıklarını açıklar; şeffaflık sayfası Anpheros'un bunları kendine nasıl uyguladığını açıklar.
Bu sayfa ürün ve mühendislik ekipleri için düzenlemeleri açıklar. Yasal tavsiye değildir; Kaynaklar altında bağlantılı metinler yetkilidir ve veri koruma görevliniz, yetkilendirilmiş kuruluş veya danışmanınız sizin durumunuz için karar verir. Son gözden geçirme: Ekim 2026.
İlgili sayfalar
- Bir sağlık uygulaması tıbbi cihaz mıdır? AB MDR Kural 11
- AB'de tıbbi verileriniz: GDPR, EHDS ve haklarınız
- Sağlık verileri için GDPR Madde 9
- Sağlık uygulaması için DPIA
- HIPAA vs GDPR
- Hastane ve sağlık teknolojisi satıcıları için NIS2
- Sağlık hizmetlerinde birlikte çalışabilirlik standartları: harita
- Geliştiriciler için GDPR (geliştirici sitesi)
- Avrupa ve ABD'deki ulusal elektronik sağlık kayıtları
- MyHealth@EU ve sınır ötesi hasta özeti
- AB Yapay Zeka Yasası ve sağlık yapay zekası
- Sağlık verilerinin ikincil kullanımı
- Sağlık uygulamalarında güvenlik ve kimlik
Kaynaklar
- Yönetmelik (AB) 2016/679 (GDPR), EUR-Lex
- Yönetmelik (AB) 2025/327 (Avrupa Sağlık Veri Alanı), EUR-Lex
- Yönetmelik (AB) 2017/745 (MDR), EUR-Lex
- Yönetmelik (AB) 2017/746 (IVDR), EUR-Lex
- Direktif (AB) 2022/2555 (NIS2), EUR-Lex
- HHS: Profesyoneller için HIPAA
- ASTP/ONC: Güvenilir Değişim Çerçevesi ve Ortak Anlaşma
- ISO/IEC 27001:2022
Sık sorulan sorular
GDPR, AB kullanıcısı olan bir ABD şirketi için geçerli mi?
Evet, Madde 3(2) uyarınca, sunucuların nerede olduğuna bakılmaksızın AB'deki kişilere hizmet sunduğu veya davranışlarını izlediği anda geçerlidir. O zaman bir AB temsilcisine, Madde 9 kapsamında yasal bir dayanağa ve yasal bir transfer mekanizmasına ihtiyacı vardır.
HIPAA, GDPR'dan daha mı katı?
Hangisinin daha katı olduğu söylenemez. HIPAA daha dar kapsamlıdır (sadece kapsanan kuruluşlar ve iş ortakları) ve güvenceler konusunda daha ayrıntılıdır; GDPR daha geniştir (AB ikamet edenlerin verilerini işleyen herkes), hak temellidir ve her kullanım için yasal bir dayanak gerektirir. Her iki pazara da hizmet veren bir ürün her ikisine de uymalıdır.
EHDS, sağlık verileri için GDPR'ın yerini mi alıyor?
Hayır. EHDS, GDPR üzerine inşa edilir ve EHS sistemleri, hasta erişimi, sınır ötesi değişim ve ikincil kullanım için ek yükümlülükler getirir. GDPR, her işlem operasyonu için temel olmaya devam eder.
Bir uyumluluk ekibim yoksa nereden başlamalıyım?
Amaçlanan amacı yazın, bir şablonla DPIA çalıştırın, ISO 27001 tarzı bir güvenlik temeli benimseyin ve pazarınızın profilleriyle FHIR kullanın. Bu dört adım, ilk denetimin veya ilk hastane müşterisinin soracağı şeylerin çoğunu kapsar.
Sandbox'ta ücretsiz deneyin
İlk FHIR çağrınız 5 dakikada. Hasta izniyle yerleşik HL7 FHIR R4 API: sandbox'ta deneyin, ardından kendi uygulamanızı veya klinik sisteminizi bağlayın.
Ücretsiz · 30 sentetik hasta · kart gerekmez
Anpheros, hasta kontrolünde olan ve herhangi bir klinik ile paylaşılabilecek, AB merkezli bir HL7 FHIR R4 platformu üzerinde tıbbi kayıtlar oluşturur. Bu rehberler, sağlığınızı anlamanıza ve düzenlemenize yardımcı olur; doktorunuzun yerini tutmaz.
Anpheros Hakkında →