Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

GDPR a zdravotní data pro vývojáře

Zdravotní data podle článku 9 jako inženýrské úkoly: právní základ, DPA, pobyt v EU, zabezpečení, přístup a výmaz, DPIA — namapováno na to, co Anpheros pokrývá. HIPAA: BAA na vyžádání. Nejedná se o právní poradenství.

Podle GDPR jsou zdravotní data zvláštní kategorií osobních údajů (článek 9): jejich zpracování je zakázáno, pokud se neuplatní jedna z krátkého seznamu podmínek, jako je výslovný souhlas osoby nebo poskytování zdravotní péče, a vyžadují silnější ochranu než běžné osobní údaje. Pro softwarové týmy se to promítá do konkrétních návrhových rozhodnutí: zdokumentovaný právní základ, dohoda o zpracování údajů s každým dodavatelem, který se dat dotýká, rezidence dat v EU nebo zákonný přenos, řízení přístupu a logování a způsoby, jak lidem poskytnout jejich data a smazat je. Tato stránka mapuje tyto požadavky na inženýrskou práci a ukazuje, které části již pokrývá platforma pro zdravotní data, jako je Anpheros. Jedná se o technické pokyny, nikoli o právní radu.

GDPR for health data — the developer checklist, and what Anpheros covers

Legal basis under Article 9Explicit consent or a healthcare basis; yours to decide and document

Processor agreement (Art. 28)Signed DPA before production data

Data in the EUGoogle Cloud europe-west4 (Netherlands)

Access control and logs (Art. 32)Per-project isolation, consent, an access log the patient sees

Rights of access and erasureExport the whole record as FHIR ($everything); delete through the API (soft delete, history kept)

Impact assessment (Art. 35)Your DPIA; the platform documents its own measures

Požadavky jako inženýrské úkoly

Požadavek GDPR	Co to znamená v kódu a operacích	V Anpheros
Právní základ podle článku 9	Rozhodněte a zaznamenejte, proč zpracováváte zdravotní údaje (výslovný souhlas, zdravotní péče, veřejné zdraví, výzkum…)	Na vás záleží rozhodnutí a dokumentace; přístup jinými aplikacemi probíhá prostřednictvím výslovného souhlasu OAuth a každé udělení zaznamenává účel deklarovaný aplikací
Dohoda o zpracování podle článku 28	Podepište dohodu o zpracování údajů s každým zpracovatelem	Přístup do produkčního prostředí vyžaduje podepsanou DPA
Přenosy podle kapitoly V	Uchovávejte údaje v EU/EEA nebo použijte zákonný mechanismus přenosu	Uloženo a zpracováno v EU (Google Cloud `europe-west4`, Nizozemsko)
Bezpečnost podle článku 32	Šifrování, řízení přístupu, izolace, logování, odolnost	Izolace na projekt, párové identifikátory pacientů, šifrované dokumenty s klíčem spravovaným zákazníkem, log přístupu
Právo na přístup podle článku 15	Poskytněte osobě kopii jejích údajů	`Patient/$everything` (úplný FHIR záznam) a `$summary` (IPS)
Právo na výmaz podle článku 17	Smažte, když skončí právní základ nebo o to osoba požádá	Smazání prostřednictvím API; smazání jsou měkká a verze jsou uchovávány pro audit – naplánujte, jak se s nimi vypořádá vaše politika uchovávání
Ochrana údajů od návrhu podle článku 25	Shromažďujte pouze to, co potřebujete; omezte, kdo k tomu může mít přístup	Rozsahy SMART a filtry kategorií omezují, co každá aplikace čte
Záznamy o zpracování podle článku 30	Dokumentujte, co zpracováváte a proč	Provenience při každém zápisu: autor, organizace, zdrojový systém
Oznámení o narušení podle článku 33	Detekujte a oznamte do 72 hodin	Váš proces pro incidenty; platforma loguje každý přístup
DPIA podle článku 35	Vyhodnoťte vysoce rizikové zpracování před jeho zahájením	Na vás je napsat; platforma dokumentuje svá vlastní opatření

Souhlas není jediným právním základem

Explicitní souhlas (článek 9(2)(a)) je běžný pro klientské aplikace, ale kliniky se obvykle spoléhají na poskytování zdravotní péče (článek 9(2)(h)) a výzkumné projekty na základě článku 9(2)(j) s národním právem. Zvolte základ pro každý účel, zaznamenejte jej a nepožadujte souhlas, který nebudete dodržovat: souhlas musí být stejně snadné odvolat jako udělit. V Anpheros osoba odvolá přístup aplikace ze stránky souhlasu a další požadavek selže.

Evropský prostor pro zdraví podporuje GDPR

Nařízení (EU) 2025/327 (EHDS) zachovává GDPR a přidává práva a formáty: lidé získají elektronický přístup ke svým prioritním datům (souhrn pacienta, předpisy, laboratorní výsledky, snímky, propouštěcí zprávy) a mohou je sdílet, a systémy EHR musí podporovat evropský výměnný formát. Viz EHDS pro vývojáře.

A HIPAA?

GDPR se vztahuje na osoby v EU; HIPAA se vztahuje na kryté subjekty a jejich obchodní partnery v USA. Anpheros je navržen pro GDPR a rezidenci dat v EU a stejné kontroly slouží i pro HIPAA: Anpheros funguje jako obchodní partner pro americké kliniky, s dohodou o obchodním partnerství (BAA) a americkým datovým regionem dostupným na vyžádání pro produkční zákazníky. Zabezpečení HIPAA jsou uvedena na stránce zabezpečení.

Často kladené dotazy

Jsou zdravotní údaje zvláštní kategorií údajů podle GDPR?

Ano. Článek 9 uvádí údaje týkající se zdraví mezi zvláštními kategoriemi; jejich zpracování vyžaduje jednu z podmínek článku 9(2) navíc k právnímu základu podle článku 6.

Potřebuji pro zpracování zdravotních údajů výslovný souhlas?

Ne vždy. Výslovný souhlas je jednou z podmínek; další zahrnují poskytování zdravotní nebo sociální péče, ochranu veřejného zdraví a vědecký výzkum podle vnitrostátního práva. Vyberte a zdokumentujte tu, která odpovídá každému účelu.

Musí být zdravotní údaje uloženy v EU?

GDPR nevyžaduje uložení v EU, ale přenosy mimo EHP vyžadují právní mechanismus (rozhodnutí o odpovídající ochraně nebo vhodná opatření). Ponechání dat v EU se této otázce vyhýbá; některá vnitrostátní pravidla jsou přísnější.

Je Anpheros v souladu s GDPR?

Anpheros je navržen pro GDPR: rezidence dat v EU, dohoda o zpracování dat pro produkci, souhlas ovládaný pacientem, izolace mezi aplikacemi a protokol přístupu, který si pacient může přečíst. Soulad vašeho produktu závisí také na vašem vlastním právním základu, dokumentaci a procesech.

Související

Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card