简短回答： HIPAA（1996年，包含隐私、安全和违约通知规则）适用于受保护实体、健康计划、医疗保健清算所以及以电子方式进行账单的提供商，以及它们的业务伙伴；它保护它们持有的受保护健康信息，并规定了在未经个人授权的情况下允许的使用方式。GDPR（2016年）适用于处理欧盟居民个人数据的任何控制者或处理者，其中健康数据被视为特殊类别；它要求每次使用都有合法依据，并赋予个人可强制执行的权利。对产品而言，实际区别是：在美国，消费者健康应用程序通常不属于HIPAA管辖，而是受FTC和州法律管辖；而在欧盟，同样的应用程序从第一个用户开始就属于GDPR管辖。一个同时服务于两者的产品必须同时满足GDPR的广泛要求和HIPAA的规定性安全措施。
并排对比
并排来看，HIPAA 管辖处理受保护健康信息的美国涵盖实体和业务伙伴，而 GDPR 管辖欧盟居民数据的任何控制者或处理者。HIPAA 允许在未经授权的情况下用于治疗、支付和运营，并给予 60 天的违约通知期；GDPR 要求每个目的都有合法依据，授予删除权和可携带权，并给予 72 小时。
| HIPAA (美国) | GDPR (欧盟) | |
|---|---|---|
| 受监管对象 | 受保护实体和业务伙伴 | 欧盟居民数据的任何控制者或处理者，无论身在何处 |
| 数据范围 | 受保护健康信息 (PHI)：受保护实体持有的可识别健康数据 | 所有个人数据；健康数据是特殊类别（第9条） |
| 消费者健康应用程序 | 不属于HIPAA管辖，除非代表受保护实体行事；适用FTC法案、FTC健康违约通知规则、州法律 | 属于GDPR管辖；明确同意是通常的依据 |
| 使用的合法依据 | 未经授权允许的使用：治疗、支付、运营，以及列出的例外情况；否则需要授权 | 每次使用的第6条依据和第9(2)条例外 |
| 最低必要性/最小化 | 最低必要性标准 | 数据最小化原则（第5条） |
| 个人权利 | 访问（30天）、修正、披露记录、限制 | 访问（1个月）、纠正、删除、可移植性、反对、限制、撤销同意 |
| 去标识化 | 安全港（18个标识符）或专家认定 | 匿名化（不再是个人数据）与假名化（仍是个人数据） |
| 安全性 | 安全规则：行政、物理、技术保障措施；风险分析；可处理与必需的规范 | 第32条：根据风险采取适当措施；无固定列表 |
| 违约通知 | 在发现后的60天内通知个人和HHS（如果涉及500人以上则通知媒体）；较小违约事件的年度记录 | 在72小时内通知主管机关；高风险时毫不延迟地通知个人 |
| 合同 | 业务伙伴协议 (BAA) | 处理者合同（第28条） |
| 监督角色 | 隐私官和安全官 | 需要时的数据保护官（第37条） |
| 影响评估 | 安全规则下的风险分析 | 第35条下的DPIA |
| 国际传输 | HIPAA本身无限制 | 第V章：充分性、SCCs、数据隐私框架 |
| 执法 | HHS民权办公室；州总检察长 | 国家数据保护机构；EDPB |
| 罚款 | 分级民事罚款，经通胀调整，每项规定每年最高约200万美元；刑事处罚 | 最高2000万欧元或全球营业额的4% |
实际中的范围差异
在实践中，HIPAA 仅在健康应用程序代表涵盖实体作为业务伙伴（根据 BAA)行事时才适用；患者选择的消费者应用程序不受 HIPAA 管辖，而是受 FTC 和州法律管辖。在欧盟，同一个应用程序从第一个用户开始就成为 GDPR 控制者。
一家使用云端FHIR平台的美国医院：该医院是受保护实体，该平台是BAA下的业务伙伴，两者均受HIPAA管辖。一位美国消费者将自己的实验室报告上传到应用程序：HIPAA不适用于该应用程序；FTC适用（关于欺骗性行为，以及更新于2024年的健康违约通知规则，明确涵盖健康应用程序），州法律也适用，例如华盛顿州的My Health My Data Act（2023年），该法案要求收集消费者健康数据需获得同意，并禁止在医疗机构周围进行地理围栏，以及加州CPRA、内华达州和康涅狄格州法律的健康条款。一位欧盟患者做同样的事情：该应用程序是GDPR下的控制者，从第一天起就承担第9条的义务。请参阅GDPR第9条关于健康数据。
合法依据差异
HIPAA 和 GDPR 在合法依据方面起点相反。HIPAA 允许涵盖实体在未经授权的情况下使用受保护健康信息进行治疗、支付和医疗保健运营，而其他用途则需要书面授权。GDPR 禁止处理健康数据，除非适用《通用数据保护条例》第 9(2) 条的例外情况，因此默认情况下不允许任何操作，并且必须获得明确、具体且可撤销的同意。
HIPAA从允许的使用开始：受保护实体可以为治疗、支付和医疗保健运营而使用和披露PHI，无需征求同意，也可以为一系列公共利益目的而使用和披露；其他所有情况都需要书面授权。GDPR则从禁止（针对健康数据）开始，并附带例外情况；“默认情况下”没有任何内容是被允许的，并且同意（如果使用）必须是明确的、具体的和可撤销的。美国产品团队认为“运营”涵盖分析的直觉在欧盟不适用；在欧盟，对健康数据的分析需要同意或匿名化。
权利差异
在个人权利方面，HIPAA 和 GDPR 都授予访问和更正权，但 GDPR 还增加了删除权、机器可读格式的可携带权、反对权以及撤销同意权，而 HIPAA 缺乏这些权利。为 GDPR 的权利而构建的产品，在产品中包含导出、删除和撤销功能，可以轻松满足 HIPAA 的访问权。
《治愈法案》的信息阻塞规则以及通过 API 访问电子 PHI 的权利，正推动美国患者走向数据可携带。
安全与违约
HIPAA 的安全规则是规定性的，要求进行风险分析，指定行政、物理和技术保障措施、政策、培训和审计控制；GDPR 的第 32 条是基于结果的，要求采取适合风险的措施，通常通过 ISO 27001 来证明。违约通知期限差异很大：HIPAA 要求在 60 天内通知个人和 HHS，GDPR 要求在 72 小时内通知主管机关。
HIPAA的安全规则是规定性的：需要风险分析、指定的安全措施、政策、培训、审计控制，以及一项2025年拟议的更新，该更新将强制要求加密和多因素身份验证，而不是作为可选项。GDPR的第32条是结果导向的：根据风险采取适当措施，并以加密和假名化作为示例；ISO 27001是通常的证明方式。违约通知时间截然不同：HIPAA要求在60天内通知个人和HHS，GDPR要求在72小时内通知主管机关。联合事件应急预案会遵循最短的期限。请参阅ISO 27001 vs ISO 27799。
去标识化
HIPAA的安全港移除了18个列出的标识符，数据不再是PHI；专家认定则证明重新识别的风险非常小。GDPR没有列表：只有当没有人能够合理地重新识别数据时，数据才被视为匿名，而假名化数据仍然是个人数据。安全港的输出通常不符合GDPR的标准，尤其是在涉及日期和罕见病症时。请参阅健康数据去标识化。
为两者而构建
服务于美国和欧盟的产品最好首先按照 GDPR 进行设计（按目的征得同意、产品中的权利、DPIA、72 小时违约事件处理手册、欧盟托管选项)，然后在上面添加 HIPAA 的规定性文件：风险分析文档、BAA 模板、安全规则政策、60 天违约事件处理程序和员工培训记录。
按照GDPR进行设计（按目的征求同意、产品中包含权利、DPIA、72小时应急预案、欧盟托管选项），并在其上叠加HIPAA的规定性文件（风险分析文档、BAA模板、安全规则政策集、60天违约程序、员工培训记录）。将美国和欧盟的数据保存在可分离的区域，因为GDPR传输和一些美国州法律都关心地理位置。Anpheros就是这样构建的：作为一家欧洲公司，以GDPR为先，平台能够作为业务伙伴，为美国客户提供BAA服务。开发者网站记录了面向开发者的GDPR和安全性。
本页面面向产品和工程团队解释法规。它不构成法律建议；下方“来源”链接的文本具有权威性，您的数据保护官、通知机构或法律顾问将决定您的具体情况。最后审阅：2026年10月。
相关页面
来源
- HHS: HIPAA for professionals (Privacy, Security, Breach Notification Rules)
- HHS: Breach Notification Rule
- FTC Health Breach Notification Rule (16 CFR Part 318)
- Washington State: My Health My Data Act (HB 1155)
- Regulation (EU) 2016/679 (GDPR), EUR-Lex
- European Commission: EU-US Data Privacy Framework
常见问题
一个符合HIPAA的应用程序会自动符合GDPR吗？
不。HIPAA合规性不涉及合法依据、同意质量、删除、可移植性、DPIA、DPO或传输。它涵盖了GDPR安全期望的一部分，以及不同的违约制度。
如果医生推荐我的应用程序，HIPAA是否适用于它？
不直接适用。如果应用程序代表受保护实体，并根据业务伙伴协议（例如，应诊所要求集成到诊所工作流程中）行事，则HIPAA适用。患者自行选择和控制的应用程序不属于HIPAA管辖，而是受FTC和州法律管辖。
对于联合的欧盟-美国事件，我应该遵循哪个违约截止日期？
两者都遵循：对于欧盟居民的数据，在72小时内通知欧盟主管机关；对于PHI，在60天内通知个人和HHS，此外还有任何州级截止日期（通常为30至60天）以及FTC规则对消费者健康应用程序的60天规定。应急预案会按照最短的期限编写。
欧盟健康数据可以在美国处理吗？
可以，但需要使用第V章的传输工具：经认证公司的欧盟-美国数据隐私框架，或带有传输影响评估的标准合同条款。然而，许多欧洲客户仍然要求将欧盟托管作为合同条件。
在沙盒中免费试用
5 分钟完成第一次 FHIR 调用. 一个内置患者授权的 HL7 FHIR R4 API：先在沙盒中试用，然后连接您自己的应用或诊所系统。
免费 · 30 位合成患者 · 无需信用卡
Anpheros 致力于打造一个由患者掌控的医疗记录，并可在欧盟的 HL7 FHIR R4 平台上与任何诊所共享。这些指南旨在帮助您理解和整理您的健康信息，但不能替代您的医生。
关于 Anpheros →