简短回答： 涉及健康数据的软件需要同时遵守四类规则。数据保护规定了您可以如何处理个人健康数据：在欧盟是 GDPR 的第 9 条，在美国是 HIPAA 和各州法律的组合。医疗系统规则规定了数据如何移动和共享：在欧盟是欧洲健康数据空间 (EHDS)，在美国是 TEFCA、USCDI 和信息阻碍规则。产品安全适用于软件具有医疗用途的情况：在欧盟是医疗器械法规 (MDR) 和体外诊断器械法规 (IVDR)，在美国是 FDA 的规定，其背后的工程和质量标准是 IEC 62304 和 ISO 13485。安全设定了每个人都必须达到的基线：ISO 27001 和 27799，针对关键行业的 NIS2，以及 HIPAA 安全规则。身份（eIDAS 和欧盟数字身份钱包、NHS 登录、国家身份证）贯穿所有这四类。
概览图
健康数据法规图将处理健康数据的软件规则归类为几类：数据保护（GDPR 第 9 条、HIPAA、美国州法律)、健康系统规则（EHDS、Cures Act、TEFCA)、产品安全（MDR、IVDR、FDA)、工程和质量标准（IEC 62304、ISO 13485)、安全（ISO 27001、ISO 27799、NIS2、HIPAA 安全规则)和身份（eIDAS 2)。
| 类别 | 规则 | 适用对象 | 要求内容 |
|---|---|---|---|
| 数据保护 | GDPR，第 9 条和第 35 条 | 任何处理欧盟居民健康数据的行为 | 第 9(2) 条规定的合法依据，数据保护影响评估 (DPIA)，大规模处理需指定数据保护官 (DPO)，用户权利，72 小内的数据泄露通知 |
| 数据保护 | HIPAA（隐私、安全、数据泄露规则） | 美国受保护实体及其业务伙伴 | 允许的用途、保护措施、数据泄露通知；不涵盖大多数消费者应用程序 |
| 数据保护 | 美国州法律（CCPA/CPRA、华盛顿州我的健康我的数据等） | 处理居民数据的企业 | 消费者健康数据的同意、删除权、销售限制 |
| 医疗系统 | EHDS，法规 (EU) 2025/327 | 电子健康记录 (EHR) 系统、声称互操作性的健康应用程序、数据持有者、健康数据访问机构 | 患者访问和可移植性（采用欧洲交换格式），强制性的 MyHealth@EU，二次使用许可 |
| 医疗系统 | 21 世纪治愈法案、ONC HTI 规则、TEFCA | 美国认证的健康 IT、提供商、网络 | FHIR API、USCDI 数据、无信息阻碍、全国性交换 |
| 产品安全 | MDR 2017/745、IVDR 2017/746 | 针对欧盟患者的医疗用途软件 | 分类、符合性评估、临床评估、上市后监督、CE 标志 |
| 产品安全 | FDA（21 CFR 820/QMSR、510(k)、De Novo、PMA） | 针对美国的医疗器械软件 | 按类别划分的上市前途径、质量体系、网络安全文档 |
| 工程 | IEC 62304、IEC 82304-1、ISO 14971 | 医疗器械软件团队 | 按安全类别划分的软件生命周期、风险管理 |
| 质量 | ISO 13485 | 器械制造商 | 涵盖设计、生产、投诉的质量管理体系 |
| 安全 | ISO/IEC 27001、ISO 27799、ISO 27701 | 任何组织；针对医疗行业的指导 | 信息安全管理体系、医疗控制措施、隐私扩展 |
| 安全 | NIS2，指令 2022/2555 | 达到规模门槛的医疗保健提供商、器械制造商、云和数字服务提供商 | 风险措施、24/72 小内事件报告、管理层责任 |
| 安全 | HIPAA 安全规则 | 美国受保护实体和业务伙伴 | 行政、物理和技术保护措施；风险分析 |
| 身份 | eIDAS 2 和欧盟数字身份钱包 | 验证欧盟公民身份的服务 | 从 2026-2027 年起接受钱包进行强身份验证 |
谁需要遵守什么
哪些健康数据规则适用取决于软件的功能。一款不包含医疗声明的消费者应用程序需要遵守 GDPR 第 9 条、DPIA 和安全实践；如果添加了医疗解读功能，则该应用程序将成为 MDR 下的医疗设备；FHIR 平台是 GDPR 的数据处理者，有时也受 NIS2 管辖；医院则需要遵守所有这些规定，并且作为关键实体，还需要遵守 NIS2。
- 不涉及医疗声明的消费者健康应用程序（症状日记、实验室报告记录）：GDPR 第 9 条（需明确同意）、DPIA、ISO 27001 级别的安全实践，如果声称连接到 EHR 系统，则需 EHDS 健康应用程序标签。只要其预期用途保持非医疗性质，就不是医疗器械。在美国：FTC 规则和州健康隐私法，而非 HIPAA。
- 具有解释功能的同一应用程序（“您的结果表明……”）：根据 MDR 第 11 条属于医疗器械，通常为 IIa 类，以 IEC 62304 和 ISO 13485 为依据。请参阅 健康应用程序是否是医疗器械？ 和 SaMD 分类。
- FHIR 平台或集成供应商：GDPR 作为数据处理者（第 28 条合同）、ISO 27001、可能作为数字基础设施或 ICT 服务提供商的 NIS2、作为 EHR 系统一部分时的 EHDS 义务、在美国作为业务伙伴时的 HIPAA。
- 医院：作为数据控制者和运营商，上述所有内容，外加作为关键实体的 NIS2、国家健康记录法以及连接到国家基础设施的 EHDS 截止日期。
- 研究平台：GDPR 第 9(2)(j) 条和第 89 条、EHDS 二次使用章节（需获得健康数据访问机构的许可、安全处理环境），以及匿名化标准。请参阅 健康数据二次使用。
按什么顺序进行
健康数据合规性最好按固定顺序进行：首先明确预期用途，因为它决定了软件是否为医疗设备；然后是数据保护（法律依据、DPIA、数据处理者合同)；然后是符合 ISO 27001 的安全基线；然后是互操作性要求，例如 FHIR 和 EHDS 或 USCDI；如果适用，然后是医疗设备路径；最后是跨境问题。
- 书面确定预期用途。这将决定您是否是医疗器械，以及其他一切都将由此而定。
- 首先是数据保护：合法依据、DPIA、数据处理者合同、DPO。在任何情况下，在第一个真实用户出现之前都需要这些。请参阅 GDPR 第 9 条关于健康数据 和 健康应用程序的 DPIA。
- 安全基线：遵循 ISO 27001 的 ISMS，并映射到 27799 的医疗控制措施；这也能满足 NIS2 和 HIPAA 安全规则的大部分要求。请参阅 ISO 27001 与 ISO 27799 和 面向医院和供应商的 NIS2。
- 互操作性要求：FHIR 和您所在市场的交换格式（EHDS、USCDI/US Core），以确保产品不会被排除在国家基础设施之外。请参阅 USCDI 解释 和 TEFCA 解释。
- 器械路径（如果适用）：分类、质量体系、生命周期、通知机构或 FDA 途径。预留一年时间。
- 跨境问题：服务于两个市场时的 HIPAA 与 GDPR 差异（HIPAA 与 GDPR）、传输机制、托管位置。
Anpheros 的立场
Anpheros Daily 是一款个人健康记录，其声明的预期用途是非医疗性的：它存储、显示和共享数据，但不进行解释或推荐。Anpheros Platform 是一个 FHIR R4 后端，作为数据处理者根据 GDPR 第 28 条提供给诊所和开发人员，并具备患者控制的同意和访问日志。本集群中的法规页面描述了适用于任何此类产品的规则；透明度页面 描述了 Anpheros 如何将其应用于自身。
本页面为产品和工程团队解释了相关法规。它不构成法律建议；来源下的文本具有权威性，您的数据保护官、通知机构或法律顾问将决定您的具体情况。最后审阅日期：2026 年 10 月。
相关页面
- 健康应用程序是否是医疗器械？欧盟 MDR 第 11 条
- 您在欧盟的医疗数据：GDPR、EHDS 和您的权利
- GDPR 第 9 条关于健康数据
- 健康应用程序的 DPIA
- HIPAA 与 GDPR
- 面向医院和健康科技供应商的 NIS2
- 医疗保健互操作性标准：概览图
- 面向开发者的 GDPR（开发者网站）
- 欧洲和美国的国家电子健康记录
- MyHealth@EU 和跨境患者摘要
- 欧盟人工智能法案与健康人工智能
- 健康数据二次使用
- 健康应用程序中的安全与身份
来源
- 法规 (EU) 2016/679 (GDPR)，EUR-Lex
- 法规 (EU) 2025/327 (欧洲健康数据空间)，EUR-Lex
- 法规 (EU) 2017/745 (MDR)，EUR-Lex
- 法规 (EU) 2017/746 (IVDR)，EUR-Lex
- 指令 (EU) 2022/2555 (NIS2)，EUR-Lex
- HHS：面向专业人士的 HIPAA
- ASTP/ONC：可信交换框架和通用协议
- ISO/IEC 27001:2022
常见问题
GDPR 是否适用于拥有欧盟用户的美国公司？
是的，根据第 3(2) 条，只要它向欧盟境内的人员提供服务或监控他们的行为，无论服务器在哪里。然后，它需要一个欧盟代表、第 9 条规定的合法依据以及合法的传输机制。
HIPAA 比 GDPR 更严格吗？
两者都不是严格意义上的更严格。HIPAA 的范围更窄（仅限于受保护实体和业务伙伴）并且对保护措施的要求更具体；GDPR 的范围更广（涵盖任何处理欧盟居民数据的行为），以权利为基础，并要求每次使用都有合法依据。同时服务于两个市场的产品必须同时满足两者。
EHDS 是否取代了 GDPR 关于健康数据？
不。EHDS 以 GDPR 为基础，并增加了对 EHR 系统、患者访问、跨境交换和二次使用的要求。GDPR 仍然是每次处理操作的基础。
如果我没有合规团队，我应该从哪里开始？
书面确定预期用途，使用模板运行 DPIA，采用类似 ISO 27001 的安全基线，并使用符合您市场规范的 FHIR。这四个步骤涵盖了首次审计或首个医院客户将询问的大部分内容。
在沙盒中免费试用
5 分钟完成第一次 FHIR 调用. 一个内置患者授权的 HL7 FHIR R4 API：先在沙盒中试用，然后连接您自己的应用或诊所系统。
免费 · 30 位合成患者 · 无需信用卡
Anpheros 致力于打造一个由患者掌控的医疗记录，并可在欧盟的 HL7 FHIR R4 平台上与任何诊所共享。这些指南旨在帮助您理解和整理您的健康信息，但不能替代您的医生。
关于 Anpheros →