Коротка відповідь: HIPAA (1996, з Правилами щодо конфіденційності, безпеки та повідомлення про порушення) застосовується до підконтрольних суб'єктів, планів медичного страхування, клірингових палат охорони здоров'я та постачальників, які виставляють рахунки в електронному вигляді, а також до їхніх ділових партнерів; він захищає захищену медичну інформацію, яку вони зберігають, і визначає, які види використання дозволені без дозволу особи. GDPR (2016) застосовується до будь-якого контролера або обробника, який обробляє персональні дані осіб в ЄС, причому медичні дані є особливою категорією; він вимагає правової підстави для кожного використання та надає особам права, що підлягають виконанню. Практична різниця для продукту: споживчий додаток для здоров'я в США зазвичай поза межами HIPAA і регулюється Законом про Федеральну торгову комісію (FTC) та законами штатів; той самий додаток в ЄС підпадає під дію GDPR з першого користувача. Продукт, який обслуговує обидва ринки, повинен бути розроблений одночасно з урахуванням широти GDPR та конкретних заходів безпеки HIPAA.
Порівняння
Поруч, HIPAA регулює американські організації, що підпадають під дію закону, та їхніх бізнес-партнерів, які обробляють захищену медичну інформацію, тоді як GDPR регулює будь-якого контролера чи обробника даних мешканців ЄС. HIPAA дозволяє використання для лікування, оплати та операцій без дозволу та надає 60 днів для повідомлення про порушення; GDPR вимагає правової підстави для кожної мети, надає право на видалення та переносимість, а також встановлює 72 години.
| HIPAA (США) | GDPR (ЄС) | |
|---|---|---|
| Хто регулюється | Підконтрольні суб'єкти та ділові партнери | Будь-який контролер або обробник даних мешканців ЄС, де б вони не знаходилися |
| Які дані | Захищена медична інформація (PHI): ідентифіковані медичні дані, що зберігаються підконтрольним суб'єктом | Усі персональні дані; медичні дані є особливою категорією (Стаття 9) |
| Споживчі додатки для здоров'я | Поза межами HIPAA, якщо не діють від імені підконтрольного суб'єкта; застосовуються Закон про FTC, Правило FTC про повідомлення про порушення здоров'я та закони штатів | Підпадають під дію GDPR; явна згода є звичайною підставою |
| Правова підстава для використання | Дозволені види використання без дозволу: лікування, оплата, операції, а також перелічені винятки; в іншому випадку потрібен дозвіл | Підстава за Статтею 6 та виняток за Статтею 9(2) для кожної мети |
| Мінімальна необхідність / мінімізація | Стандарт мінімальної необхідності | Принцип мінімізації даних (Стаття 5) |
| Права особи | Доступ (30 днів), виправлення, облік розкриття, обмеження | Доступ (1 місяць), виправлення, видалення, переносимість, заперечення, обмеження, відкликання згоди |
| Деідентифікація | Safe Harbor (18 ідентифікаторів) або експертне визначення | Анонімізація (більше не є персональними даними) проти псевдонімізації (все ще персональні дані) |
| Безпека | Правило безпеки: адміністративні, фізичні, технічні заходи безпеки; аналіз ризиків; адресні проти обов'язкових специфікацій | Стаття 32: відповідні заходи відповідно до ризику; немає фіксованого списку |
| Повідомлення про порушення | Особи та HHS протягом 60 днів після виявлення (ЗМІ, якщо 500+ у штаті); щорічний журнал для менших порушень | Орган протягом 72 годин; особи без невиправданої затримки, коли ризик високий |
| Контракти | Угода про ділового партнера (BAA) | Контракт з обробником (Стаття 28) |
| Наглядові ролі | Співробітник з питань конфіденційності та співробітник з питань безпеки | Співробітник із захисту даних, де це вимагається (Стаття 37) |
| Оцінка впливу | Аналіз ризиків згідно з Правилом безпеки | DPIA згідно зі Статтею 35 |
| Міжнародна передача | Жодних обмежень у самому HIPAA | Розділ V: адекватність, SCC, Data Privacy Framework |
| Виконання | Управління з цивільних прав HHS; генеральні прокурори штатів | Національні органи із захисту даних; EDPB |
| Штрафи | Багаторівневі цивільні штрафи, скориговані на інфляцію, приблизно до 2 мільйонів доларів США за положення на рік; кримінальні штрафи | До 20 мільйонів євро або 4% світового обороту |
Різниця в обсязі, на практиці
На практиці HIPAA застосовується до медичного додатку лише тоді, коли він діє від імені організації, що підпадає під дію закону, як бізнес-партнер за угодою BAA; споживчий додаток, який обирає пацієнт, знаходиться поза межами HIPAA і регулюється FTC та законами штатів. В ЄС той самий додаток є контролером GDPR з першого користувача.
Лікарня в США, яка використовує хмарну платформу FHIR: лікарня є підконтрольним суб'єктом, платформа — діловим партнером згідно з BAA, обидва підпадають під дію HIPAA. Споживач у США, який завантажує свої лабораторні звіти в додаток: HIPAA не застосовується до додатка; FTC застосовується (недобросовісні практики та Правило FTC про повідомлення про порушення здоров'я, оновлене у 2024 році для явного охоплення додатків для здоров'я), як і закони штатів, такі як My Health My Data Act штату Вашингтон (2023), який вимагає згоди на збір даних про здоров'я споживачів та забороняє геофенсинг навколо медичних закладів, а також положення про охорону здоров'я Каліфорнійського CPRA, законів Невади та Коннектикуту. Пацієнт в ЄС, який робить те саме: додаток є контролером згідно з GDPR з зобов'язаннями за Статтею 9 з першого дня. Див. Стаття 9 GDPR щодо медичних даних.
Різниця в правовій підставі
HIPAA та GDPR виходять з протилежних точок щодо правової підстави. HIPAA дозволяє організаціям, що підпадають під дію закону, використовувати захищену медичну інформацію для лікування, оплати та медичних операцій без дозволу, вимагаючи письмового дозволу для інших видів використання. GDPR забороняє обробку медичних даних, якщо не застосовується виняток згідно зі статтею 9(2), тому за замовчуванням нічого не дозволено, а згода має бути явною, конкретною та відкличною.
HIPAA починається з дозволених видів використання: підконтрольний суб'єкт може використовувати та розкривати PHI для лікування, оплати та медичних операцій без запиту, а також для переліку цілей суспільного інтересу; все інше потребує письмового дозволу. GDPR починається з заборони (для медичних даних) з винятками; ніщо не дозволено "за замовчуванням", а згода, коли вона використовується, повинна бути явною, конкретною та відкличною. Інстинкт американської команди розробників, що "операції" охоплюють аналітику, не переноситься; в ЄС аналітика медичних даних потребує згоди або анонімізації.
Різниця в правах
Щодо прав індивідів, HIPAA та GDPR надають доступ та виправлення, але GDPR додає видалення, переносимість у машиночитаному форматі, заперечення та право відкликати згоду, чого в HIPAA як такого немає. Продукт, створений для прав GDPR, з експортом, видаленням та відкликом у продукті, із запасом задовольняє права доступу HIPAA.
Правила щодо блокування інформації згідно з Cures Act та право доступу до електронної захищеної медичної інформації через API наближають американських пацієнтів до переносимості.
Безпека та порушення
Правило безпеки HIPAA є предписальним, з обов'язковим аналізом ризиків, названими адміністративними, фізичними та технічними засобами захисту, політиками, навчанням та контрольними аудитами; стаття 32 GDPR є орієнтованою на результат, вимагаючи заходів, відповідних ризику, що зазвичай демонструється через ISO 27001. Терміни повідомлення про порушення різко відрізняються: 60 днів для осіб та HHS згідно з HIPAA, 72 години для органу згідно з GDPR.
Правило безпеки HIPAA є конкретним: аналіз ризиків, названі заходи безпеки, політики, навчання, аудиторський контроль та запропоноване оновлення 2025 року, яке зробить шифрування та багатофакторну автентифікацію обов'язковими, а не адресними. Стаття 32 GDPR є орієнтованою на результат: відповідні заходи відповідно до ризику, причому шифрування та псевдонімізація названі як приклади; ISO 27001 є звичайним способом її демонстрації. Терміни повідомлення про порушення різко відрізняються: 60 днів особам та HHS згідно з HIPAA, 72 години органу згідно з GDPR. Спільний план дій щодо інцидентів написаний за найкоротшим терміном. Див. ISO 27001 проти ISO 27799.
Деідентифікація
Safe Harbor HIPAA видаляє 18 перелічених ідентифікаторів, і дані більше не є PHI; експертне визначення сертифікує дуже низький ризик повторної ідентифікації. GDPR не має списку: дані є анонімними лише тоді, коли ніхто не може їх розумно повторно ідентифікувати, а псевдонімізовані дані залишаються персональними даними. Результат Safe Harbor часто не відповідає вимогам GDPR, особливо щодо дат та рідкісних станів. Див. Деідентифікація медичних даних.
Розробка для обох
Продукт, що обслуговує як США, так і ЄС, найкраще розробляти спочатку відповідно до GDPR (згода за мету, права в продукті, DPIA, план дій щодо порушень за 72 години, опція розміщення в ЄС), а потім додати предписані артефакти HIPAA: документ аналізу ризиків, шаблон BAA, політики Правила безпеки, процедуру повідомлення про порушення за 60 днів та записи про навчання персоналу.
Розробляйте з урахуванням GDPR (згода за мету, права в продукті, DPIA, план дій на 72 години, опція розміщення в ЄС) та накладайте зверху конкретні артефакти HIPAA (документ аналізу ризиків, шаблон BAA, набір політик Правила безпеки, процедура повідомлення про порушення за 60 днів, записи про навчання персоналу). Зберігайте дані США та ЄС у роздільних регіонах, оскільки передача даних GDPR та деякі закони штатів США також враховують місцезнаходження. Anpheros розроблений таким чином: спочатку GDPR як європейська компанія, з платформою, здатною працювати як діловий партнер за BAA для клієнтів із США. Сайт для розробників документує GDPR для розробників та безпеку.
Ця сторінка пояснює регулювання для команд продуктів та інженерів. Це не юридична консультація; тексти, посилання на які наведено в розділі "Джерела", є авторитетними, а ваш співробітник із захисту даних, уповноважений орган або юрист приймає рішення у вашому випадку. Останній перегляд: жовтень 2026 року.
Пов'язані сторінки
- Стаття 9 GDPR щодо медичних даних
- Деідентифікація медичних даних
- ISO 27001 проти ISO 27799
- TEFCA та QHIN пояснено
- Карта регулювання медичних даних
- GDPR для розробників (сайт для розробників)
Джерела
- HHS: HIPAA для професіоналів (Правила щодо конфіденційності, безпеки, повідомлення про порушення)
- HHS: Правило повідомлення про порушення
- Правило FTC про повідомлення про порушення здоров'я (16 CFR Part 318)
- Штат Вашингтон: My Health My Data Act (HB 1155)
- Регламент (ЄС) 2016/679 (GDPR), EUR-Lex
- Європейська комісія: Рамки конфіденційності даних ЄС-США
Поширені запитання
Чи є додаток, що відповідає HIPAA, автоматично GDPR-відповідним?
Ні. Відповідність HIPAA нічого не говорить про правову підставу, якість згоди, видалення, переносимість, DPIA, DPO чи передачу даних. Вона охоплює частину очікувань щодо безпеки GDPR та інший режим порушень.
Чи застосовується HIPAA до мого додатка, якщо лікар його рекомендує?
Не само по собі. HIPAA застосовується, якщо додаток діє від імені підконтрольного суб'єкта за угодою про ділового партнера (наприклад, інтегрований у робочий процес клініки за запитом клініки). Додаток, який пацієнт обирає та контролює, знаходиться поза межами HIPAA і регулюється правилами FTC та штатів.
Який термін повідомлення про порушення я повинен дотримуватися для спільного інциденту в ЄС та США?
Обидва: 72 години до органу ЄС щодо даних мешканців ЄС, 60 днів особам та HHS щодо PHI, плюс будь-які терміни штатів (часто від 30 до 60 днів) та 60 днів згідно з правилом FTC для споживчих додатків для здоров'я. Плани дій розробляються за найкоротшим терміном.
Чи можуть медичні дані ЄС оброблятися в США?
Так, за допомогою інструменту передачі з Розділу V: Рамки конфіденційності даних ЄС-США для сертифікованих компаній або стандартних договірних положень з оцінкою впливу передачі. Однак багато європейських клієнтів все одно вимагають розміщення в ЄС як договірної умови.
Спробуйте безкоштовно в пісочниці
Перший запит FHIR за 5 хвилин. API стандарту HL7 FHIR R4 з вбудованою згодою пацієнта: спробуйте в пісочниці, а потім підключіть власну програму чи клінічну систему.
Безкоштовно · 30 синтетичних пацієнтів · без картки
Anpheros створює медичну карту, яку пацієнт контролює та може ділитися з будь-якою клінікою, на платформі HL7 FHIR R4, розташованій в ЄС. Ці посібники допоможуть вам зрозуміти та організувати своє здоров'я; вони не замінюють вашого лікаря.
Про Anpheros →