Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

RGPD y datos de salud para desarrolladores

Datos de salud del Artículo 9 como tareas de ingeniería: base legal, DPA, residencia en la UE, seguridad, acceso y supresión, DPIA — mapeado a lo que cubre Anpheros. HIPAA: BAA bajo petición. No es asesoramiento legal.

Bajo el GDPR, los datos de salud son una categoría especial de datos personales (Artículo 9): su procesamiento está prohibido a menos que se aplique una de una breve lista de condiciones, como el consentimiento explícito de la persona o la prestación de atención médica, y requiere salvaguardias más sólidas que los datos personales ordinarios. Para los equipos de software, esto se traduce en decisiones de diseño concretas: una base legal documentada, un acuerdo de procesador con cada proveedor que toque los datos, residencia de datos en la UE o una transferencia legal, control de acceso y registro, y formas de dar a las personas sus datos y eliminarlos. Esta página mapea esos requisitos al trabajo de ingeniería y muestra qué partes ya cubre una plataforma de datos de salud como Anpheros. Es una guía técnica, no asesoramiento legal.

GDPR for health data — the developer checklist, and what Anpheros covers

Legal basis under Article 9Explicit consent or a healthcare basis; yours to decide and document

Processor agreement (Art. 28)Signed DPA before production data

Data in the EUGoogle Cloud europe-west4 (Netherlands)

Access control and logs (Art. 32)Per-project isolation, consent, an access log the patient sees

Rights of access and erasureExport the whole record as FHIR ($everything); delete through the API (soft delete, history kept)

Impact assessment (Art. 35)Your DPIA; the platform documents its own measures

Los requisitos, como tareas de ingeniería

Requisito GDPR	Qué significa en código y operaciones	En Anpheros
Base legal del Artículo 9	Decida y registre por qué procesa datos de salud (consentimiento explícito, atención médica, salud pública, investigación…)	A su decisión y documentación; el acceso por parte de otras aplicaciones se realiza a través de consentimiento OAuth explícito, y cada concesión registra el propósito declarado por la aplicación
Acuerdo de procesador del Artículo 28	Firme un acuerdo de procesamiento de datos con cada procesador	El acceso a producción requiere un DPA firmado
Transferencias del Capítulo V	Mantenga los datos en la UE/EEE, o utilice un mecanismo de transferencia legal	Almacenado y procesado en la UE (Google Cloud `europe-west4`, Países Bajos)
Seguridad del Artículo 32	Cifrado, control de acceso, aislamiento, registro, resiliencia	Aislamiento por proyecto, IDs de pacientes emparejados, documentos cifrados con una clave gestionada por el cliente, un registro de acceso
Derecho de acceso del Artículo 15	Proporcione a la persona una copia de sus datos	`Patient/$everything` (registro FHIR completo) y `$summary` (IPS)
Derecho de supresión del Artículo 17	Elimine cuando finalice la base o la persona lo solicite	Elimine a través de la API; las eliminaciones son lógicas y se conservan versiones para auditoría — planifique cómo su política de retención las maneja
Protección de datos por diseño del Artículo 25	Recopile solo lo que necesita; limite quién puede verlo	Los ámbitos SMART y los filtros de categoría limitan lo que cada aplicación lee
Registros de tratamiento del Artículo 30	Documente qué trata y por qué	Procedencia en cada escritura: autor, organización, sistema de origen
Notificación de violación del Artículo 33	Detecte e informe en 72 horas	Su proceso de incidentes; la plataforma registra cada acceso
DPIA del Artículo 35	Evalúe el tratamiento de alto riesgo antes de comenzar	A su cargo redactarlo; la plataforma documenta sus propias medidas

El consentimiento no es la única base legal

El consentimiento explícito (Artículo 9(2)(a)) es común para las aplicaciones de pacientes, pero las clínicas suelen basarse en la prestación de atención médica (Artículo 9(2)(h)) y los proyectos de investigación en el Artículo 9(2)(j) con la ley nacional. Elija la base por propósito, regístrela y no solicite un consentimiento que no vaya a cumplir: el consentimiento debe ser tan fácil de retirar como de otorgar. En Anpheros, una persona revoca el acceso de una aplicación desde la página de consentimiento y la siguiente solicitud falla.

El Espacio Europeo de Datos Sanitarios se suma al RGPD

El Reglamento (UE) 2025/327 (EHDS) mantiene el RGPD y añade derechos y formatos: las personas obtienen acceso electrónico a sus datos prioritarios (resumen del paciente, recetas, resultados de laboratorio, imágenes, informes de alta) y pueden compartirlos, y los sistemas de HCE deben admitir el formato de intercambio europeo. Consulte EHDS para desarrolladores.

¿Y HIPAA?

El GDPR se aplica a las personas en la UE; HIPAA se aplica a las entidades cubiertas y sus asociados comerciales en los EE. UU. Anpheros está diseñado para el GDPR y la residencia de datos en la UE, y los mismos controles sirven para HIPAA: Anpheros actúa como un Asociado Comercial para clínicas de EE. UU., con un acuerdo de asociado comercial (BAA) y una región de datos de EE. UU. disponible bajo solicitud para clientes de producción. Las salvaguardas de HIPAA se enumeran en la página de seguridad.

Preguntas frecuentes

¿Son los datos de salud datos de categorías especiales según el RGPD?

Sí. El Artículo 9 enumera los datos relativos a la salud entre las categorías especiales; su tratamiento requiere una de las condiciones del Artículo 9(2) además de una base legal del Artículo 6.

¿Necesito consentimiento explícito para procesar datos de salud?

No siempre. El consentimiento explícito es una condición; otras incluyen la prestación de atención sanitaria o social, la salud pública y la investigación científica conforme a la legislación nacional. Elija y documente la que se ajuste a cada propósito.

¿Deben almacenarse los datos de salud en la UE?

El RGPD no exige el almacenamiento en la UE, pero las transferencias fuera del EEE necesitan un mecanismo legal (una decisión de adecuación o salvaguardias apropiadas). Mantener los datos en la UE evita esa cuestión; algunas normativas nacionales son más estrictas.

¿Cumple Anpheros con el RGPD?

Anpheros está diseñado para el RGPD: residencia de datos en la UE, un acuerdo de procesamiento de datos para producción, consentimiento controlado por el paciente, aislamiento entre aplicaciones y un registro de acceso que el paciente puede leer. El cumplimiento de su producto también depende de su propia base legal, documentación y procesos.

Relacionado

Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card