Коротка відповідь: згідно з GDPR, дані, що стосуються здоров'я, є особливою категорією. Стаття 9(1) забороняє їх обробку; Стаття 9(2) перелічує винятки, які знімають цю заборону. Для команди продукту важливими є чотири: (a) явна згода особи, (h) надання медичної допомоги професіоналом, який зобов'язаний дотримуватися таємниці, або під його відповідальністю, (i) громадське здоров'я та (j) наукові дослідження із заходами захисту згідно зі Статтею 89. Виняток зі Статті 9 потрібен на додаток до звичайної правової підстави згідно зі Статтею 6, а не замість неї. Обробка даних про здоров'я у великих масштабах також вимагає Оцінки впливу на захист даних (DPIA) (Стаття 35) та призначення інспектора із захисту даних (DPO) (Стаття 37).
Що вважається даними про здоров'я
Згідно з GDPR, дані, що стосуються здоров'я, є персональними даними, пов'язаними з фізичним або психічним здоров'ям особи, включно з наданням медичних послуг, які розкривають інформацію про стан її здоров'я (Стаття 4(15)). У широкому розумінні це охоплює лабораторні показники, діагнози, ліки, записи про прийоми та лікарняні, а також будь-які дані, з яких можна зробити висновок про стан здоров'я.
Стаття 4(15) визначає дані, що стосуються здоров'я, як персональні дані, пов'язані з фізичним або психічним здоров'ям особи, включаючи надання послуг з охорони здоров'я, які розкривають інформацію про стан її здоров'я. Рекомендація 35 та судова практика трактують це широко: лабораторний показник, діагноз, ліки, візит до лікаря, лікарняний лист, кількість кроків у поєднанні із захворюванням серця, пошук симптому, пов'язаний з обліковим записом. Дані, які розкривають стан здоров'я, є даними про здоров'я, навіть якщо вони не були зібрані як такі. Суд ЄС підтвердив у 2022 році (OT, C-184/20), що дані, з яких можна вивести факт особливої категорії, самі по собі є даними особливої категорії.
Винятки, що мають значення
Винятки зі Статті 9(2) GDPR, які є найважливішими для продуктів у сфері охорони здоров'я, це: явна згода (a), яку використовують споживчі медичні додатки та записи під контролем пацієнта; надання медичної допомоги (h), яке використовують клініки та їхні постачальники програмного забезпечення під професійною таємницею; громадське здоров'я (i); наукові дослідження (j) із заходами захисту згідно зі Статтею 89; та значний суспільний інтерес (g), на який спирається EHDS для вторинного використання.
| Стаття 9(2) | Хто зазвичай використовує | Умови |
|---|---|---|
| (a) Явна згода | Споживчі медичні додатки, оздоровчі послуги, записи під контролем пацієнта | Добровільно надана, конкретна, інформована, недвозначна, шляхом чіткої ствердної дії, яку так само легко відкликати, як і надати; не об'єднана з послугою, якщо послуга не потребує цих даних |
| (c) Життєво важливі інтереси | Екстрений доступ | Тільки коли особа фізично або юридично не може надати згоду |
| (h) Надання медичної допомоги | Клініки, лікарні, сімейні лікарі, їхні постачальники програмного забезпечення як обробники | Необхідно для діагностики, догляду, лікування або управління системами охорони здоров'я, відповідно до законодавства ЄС або національного законодавства чи договору з професіоналом, і під професійною таємницею (Стаття 9(3)) |
| (i) Громадське здоров'я | Органи громадського здоров'я, фармаконагляд | На основі закону, що передбачає відповідні заходи |
| (j) Дослідження, статистика, архівування | Дослідницькі інститути, реєстри, платформи для досліджень | На основі закону, пропорційно, із заходами захисту згідно зі Статтею 89 (псевдонімізація, мінімізація) |
| (g) Суттєвий суспільний інтерес | Національні інфраструктури даних про здоров'я | На основі закону; EHDS покладається на це для вторинного використання |
Особистий медичний запис під контролем пацієнта працює на основі (a): особа вирішує, що зберігати і з ким ділитися. Клініка, яка записує дані в цей запис, працює на основі (h) для власної обробки, а згода пацієнта регулює обмін даними. Платформа, яка обслуговує обох, є обробником для клініки (договір за Статтею 28) і контролером для облікового запису, який вона пропонує особі. Запис цього, за кожною операцією обробки, є основою записів, що вимагаються Статтею 30.
Згода, яка дійсно має силу
Явна згода на обробку даних про здоров'я згідно з GDPR є дійсною лише тоді, коли вона є окремою, конкретною заявою для кожної мети, наданою чіткими ствердними діями, з інформацією про отримувачів, зафіксована із зазначенням часу та методу, і може бути відкликана так само легко, як і надана. Попередньо позначені прапорці, об'єднані цілі та додатки, непридатні для використання без згоди на аналітику, були визнані недійсними.
Регулятори неодноразово визнавали недієвою згоду для медичних додатків з одних і тих самих причин: попередньо встановлені прапорці; згода, запитувана на все одразу; неможливість використовувати додаток без згоди на аналітику; тексти згоди, які не називають отримувачів; відсутність шляху відкликання. Валідна явна згода на дані про здоров'я означає окрему, конкретну заяву ("Я погоджуюся, щоб Anpheros зберігав лабораторні результати, які я завантажую"), гранульовану за метою (зберігання; обмін із зазначеною клінікою; анонімізована статистика), з записом про те, коли і як вона була надана, та перемикач, який негайно відкликає її для майбутньої обробки. Дані дітей потребують згоди власника батьківських прав, з віковими порогами, встановленими кожною державою-членом між 13 і 16 роками.
Таємниця, Стаття 9(3)
Стаття 9(3) GDPR встановлює умову таємниці для винятку щодо надання медичної допомоги: дані про здоров'я можуть оброблятися відповідно до Статті 9(2)(h) лише особою, яка підпадає під дію професійної таємниці згідно з законодавством ЄС або національним законодавством, або під її відповідальністю, або іншою особою, яка підпадає під аналогічне зобов'язання щодо таємниці.
Постачальники програмного забезпечення для клінік виконують це за договором: угода про обробку даних накладає зобов'язання щодо конфіденційності на персонал, який має доступ, а доступ реєструється.
Окрім Статті 9
Виняток зі Статті 9(2) не є єдиним зобов'язанням GDPR щодо даних про здоров'я. Обробка також потребує підстави згідно зі Статтею 6, зазвичай оцінки впливу на захист даних (DPIA) згідно зі Статтею 35 та призначення відповідального за захист даних (DPO) згідно зі Статтею 37, обмежень щодо автоматизованих рішень згідно зі Статтею 22, інструменту з Глави V для передачі даних за межі ЄС, 72-годинного повідомлення про порушення та національних законів про медичні записи.
- Стаття 6 все ще застосовується: договір (6(1)(b)) для надання послуги, яку запитала особа, згода (6(1)(a)), юридичне зобов'язання, суспільне завдання або законні інтереси, які не можуть бути використані для скасування Статті 9.
- Стаття 35 DPIA є обов'язковою для великомасштабної обробки особливих категорій; більшість медичних додатків та всі платформи підпадають під це. Див. DPIA для медичного додатка.
- Стаття 37 DPO є обов'язковою для основної діяльності, що полягає у великомасштабній обробці особливих категорій.
- Стаття 22 обмежує рішення, що базуються виключно на автоматизованій обробці зі значними наслідками, що включає автоматизовану сортування або визначення права на отримання послуг; дані про здоров'я можуть використовуватися для них лише за явною згодою або правовою підставою в законі, із заходами захисту.
- Стаття 44 і далі: передача за межі ЄС потребує адекватності (ЄС-США Рамкова угода про конфіденційність даних для сертифікованих компаній США), стандартних договірних положень з оцінкою впливу передачі або іншого інструменту Глави V. Розміщення в ЄС усуває питання для даних у стані спокою; персонал підтримки за кордоном – ні.
- Статті 33–34: повідомлення про порушення до органу протягом 72 годин та до осіб, коли ризик високий, що для даних про здоров'я зазвичай так і є.
- Національне законодавство додає рівні: закони про медичну таємницю, закони про медичні записи, терміни зберігання, а в деяких країнах – специфічні правила для медичних додатків (сертифікація хостингу HDS у Франції, рамкова програма DiGA у Німеччині).
EHDS зверху
Регламент Європейського простору даних про здоров'я (2025/327) не змінює Статтю 9. Він додає права на доступ та перенесення даних про здоров'я у спільному форматі, зобов'язання для систем електронних медичних записів та систему дозволів для вторинного використання, яка спирається на Статтю 9(2)(g), (h), (i) та (j) з власними заходами захисту та опт-аутом. Див. Ваші медичні дані в ЄС.
В Anpheros
Anpheros обробляє дані про здоров'я за явною згодою особи для запису, який вона веде (Стаття 9(2)(a)), за метою та з можливістю відкликання в додатку, а також як обробник для клінік, які записують дані в цей запис на основі власної підстави за Статтею 9(2)(h). Кожен доступ з боку клініки вимагає схвалення особи щодо обсягу та тривалості та відображається в її журналі доступу. Див. Платформа згоди пацієнта та Хто переглядав мою медичну картку?.
Ця сторінка пояснює регулювання для команд продукту та інженерії. Це не юридична консультація; тексти, посилання на які наведено в розділі "Джерела", є авторитетними, і ваш інспектор із захисту даних, уповноважений орган або юрисконсульт приймають рішення у вашому випадку. Останній перегляд: жовтень 2026 року.
Пов'язані сторінки
- DPIA для медичного додатка: контрольний список та шаблон
- Ваші медичні дані в ЄС: GDPR, EHDS та ваші права
- HIPAA проти GDPR
- Деідентифікація даних про здоров'я
- Платформа згоди пацієнта
- Карта регулювання даних про здоров'я
- GDPR для розробників (сайт розробника)
Джерела
- Стаття 9 GDPR, EUR-Lex
- Стаття 4(15) та Рекомендація 35 GDPR, EUR-Lex
- EDPB: Настанови 05/2020 щодо згоди
- CJEU, C-184/20 (OT v Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Настанови щодо обробки даних про здоров'я для досліджень у контексті COVID-19 (03/2020)
- Регламент (ЄС) 2025/327 (EHDS), EUR-Lex
Поширені запитання
Чи є кількість кроків даними про здоров'я?
Сама по собі, зазвичай ні. У поєднанні з іншими даними, які розкривають стан здоров'я (діагноз, програма реабілітації, захворювання серця), або оброблені для виведення такого стану, вона стає даними, що стосуються здоров'я. Регулятори розглядають мету та виведення, а не лише сирі дані.
Чи можу я використовувати законні інтереси для даних про здоров'я?
Ні. Законні інтереси є підставою згідно зі Статтею 6; дані про здоров'я додатково потребують винятку згідно зі Статтею 9(2), і жоден з них не є законними інтересами. Аналітика даних про здоров'я потребує згоди або анонімізації.
Чи потрібна клініці згода пацієнта на ведення записів?
Не згідно з GDPR: вона обробляє дані на підставі Статті 9(2)(h) та національного законодавства про охорону здоров'я. Згода стає актуальною, коли дані використовуються для чогось іншого (обмін із додатком, дослідження, маркетинг) або коли національне законодавство цього вимагає.
Як довго можна зберігати дані про здоров'я?
GDPR говорить, що не довше, ніж це необхідно; національні закони про медичні записи встановлюють конкретні терміни зберігання для клінічних записів (часто від 10 до 30 років). Особистий запис, який контролює особа, зберігається стільки, скільки вона цього бажає, і видаляється за запитом.
Спробуйте безкоштовно в пісочниці
Перший запит FHIR за 5 хвилин. API стандарту HL7 FHIR R4 з вбудованою згодою пацієнта: спробуйте в пісочниці, а потім підключіть власну програму чи клінічну систему.
Безкоштовно · 30 синтетичних пацієнтів · без картки
Anpheros створює медичну карту, яку пацієнт контролює та може ділитися з будь-якою клінікою, на платформі HL7 FHIR R4, розташованій в ЄС. Ці посібники допоможуть вам зрозуміти та організувати своє здоров'я; вони не замінюють вашого лікаря.
Про Anpheros →