Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

डेवलपर्स के लिए GDPR और स्वास्थ्य डेटा

आर्टिकल 9 स्वास्थ्य डेटा को इंजीनियरिंग कार्यों के रूप में: कानूनी आधार, DPA, EU निवास, सुरक्षा, एक्सेस और मिटाना, DPIA — Anpheros क्या कवर करता है, इससे मैप किया गया। HIPAA: अनुरोध पर BAA। कानूनी सलाह नहीं।

GDPR के तहत, स्वास्थ्य डेटा व्यक्तिगत डेटा की एक विशेष श्रेणी है (अनुच्छेद 9): इसे संसाधित करना निषिद्ध है जब तक कि कुछ शर्तों की एक छोटी सूची लागू न हो, जैसे कि व्यक्ति की स्पष्ट सहमति या स्वास्थ्य देखभाल का प्रावधान, और इसे सामान्य व्यक्तिगत डेटा की तुलना में मजबूत सुरक्षा की आवश्यकता होती है। सॉफ्टवेयर टीमों के लिए यह ठोस डिजाइन निर्णयों में बदल जाता है: एक प्रलेखित कानूनी आधार, डेटा को छूने वाले प्रत्येक विक्रेता के साथ एक प्रोसेसर समझौता, EU डेटा निवास या एक वैध हस्तांतरण, एक्सेस कंट्रोल और लॉगिंग, और लोगों को उनका डेटा देने और उसे मिटाने के तरीके। यह पृष्ठ उन आवश्यकताओं को इंजीनियरिंग कार्य से मैप करता है और दिखाता है कि Anpheros जैसे स्वास्थ्य डेटा प्लेटफ़ॉर्म द्वारा कौन से हिस्से पहले से ही कवर किए गए हैं। यह तकनीकी मार्गदर्शन है, कानूनी सलाह नहीं।

GDPR for health data — the developer checklist, and what Anpheros covers

Legal basis under Article 9Explicit consent or a healthcare basis; yours to decide and document

Processor agreement (Art. 28)Signed DPA before production data

Data in the EUGoogle Cloud europe-west4 (Netherlands)

Access control and logs (Art. 32)Per-project isolation, consent, an access log the patient sees

Rights of access and erasureExport the whole record as FHIR ($everything); delete through the API (soft delete, history kept)

Impact assessment (Art. 35)Your DPIA; the platform documents its own measures

आवश्यकताएँ, इंजीनियरिंग कार्यों के रूप में

GDPR आवश्यकता	कोड और संचालन में इसका क्या मतलब है	Anpheros में
अनुच्छेद 9 कानूनी आधार	तय करें और रिकॉर्ड करें कि आप स्वास्थ्य डेटा को क्यों प्रोसेस करते हैं (स्पष्ट सहमति, स्वास्थ्य सेवा, सार्वजनिक स्वास्थ्य, अनुसंधान…)	तय करने और दस्तावेज़ बनाने के लिए आपका; अन्य ऐप्स द्वारा एक्सेस स्पष्ट OAuth सहमति के माध्यम से होता है, और प्रत्येक ग्रांट ऐप द्वारा घोषित उद्देश्य को रिकॉर्ड करता है
अनुच्छेद 28 प्रोसेसर समझौता	प्रत्येक प्रोसेसर के साथ डेटा प्रोसेसिंग समझौता पर हस्ताक्षर करें	प्रोडक्शन एक्सेस के लिए हस्ताक्षरित DPA की आवश्यकता होती है
अध्याय V स्थानांतरण	डेटा को EU/EEA में रखें, या एक वैध स्थानांतरण तंत्र का उपयोग करें	EU (Google Cloud `europe-west4`, नीदरलैंड्स) में संग्रहीत और संसाधित
अनुच्छेद 32 सुरक्षा	एन्क्रिप्शन, एक्सेस कंट्रोल, आइसोलेशन, लॉगिंग, रेजिलिएंस	प्रति-प्रोजेक्ट आइसोलेशन, पेयरवाइज पेशेंट आईडी, ग्राहक-प्रबंधित कुंजी के साथ एन्क्रिप्टेड दस्तावेज़, एक एक्सेस लॉग
अनुच्छेद 15 एक्सेस का अधिकार	व्यक्ति को उनके डेटा की एक प्रति दें	`Patient/$everything` (पूर्ण FHIR रिकॉर्ड) और `$summary` (IPS)
अनुच्छेद 17 मिटाने का अधिकार	आधार समाप्त होने पर या व्यक्ति के पूछने पर हटा दें	API के माध्यम से हटाएं; डिलीट सॉफ्ट होते हैं और ऑडिट के लिए संस्करण रखे जाते हैं — योजना बनाएं कि आपकी रिटेंशन पॉलिसी उन्हें कैसे संभालती है
अनुच्छेद 25 डिज़ाइन द्वारा डेटा सुरक्षा	केवल वही एकत्र करें जिसकी आपको आवश्यकता है; सीमित करें कि कौन इसे देख सकता है	SMART स्कोप और श्रेणी फ़िल्टर सीमित करते हैं कि प्रत्येक ऐप क्या पढ़ता है
अनुच्छेद 30 प्रोसेसिंग के रिकॉर्ड	दस्तावेज़ करें कि आप क्या प्रोसेस करते हैं और क्यों	हर राइट पर प्रोवेनेंस: लेखक, संगठन, स्रोत सिस्टम
अनुच्छेद 33 ब्रीच नोटिफिकेशन	72 घंटे के भीतर पता लगाएं और रिपोर्ट करें	आपकी घटना प्रक्रिया; प्लेटफ़ॉर्म हर एक्सेस को लॉग करता है
अनुच्छेद 35 DPIA	शुरू करने से पहले उच्च-जोखिम वाले प्रोसेसिंग का आकलन करें	लिखने के लिए आपका; प्लेटफ़ॉर्म अपने स्वयं के उपायों का दस्तावेज़ करता है

सहमति ही एकमात्र कानूनी आधार नहीं है

स्पष्ट सहमति (अनुच्छेद 9(2)(a)) रोगी ऐप्स के लिए आम है, लेकिन क्लीनिक आमतौर पर स्वास्थ्य सेवा (अनुच्छेद 9(2)(h)) और राष्ट्रीय कानून के साथ अनुच्छेद 9(2)(j) पर अनुसंधान परियोजनाओं पर भरोसा करते हैं। उद्देश्य के अनुसार आधार चुनें, इसे रिकॉर्ड करें, और ऐसी सहमति न मांगें जिसका आप सम्मान नहीं करेंगे: सहमति वापस लेना उतना ही आसान होना चाहिए जितना कि देना। Anpheros में, एक व्यक्ति सहमति पृष्ठ से किसी एप्लिकेशन की पहुंच को रद्द कर देता है और अगला अनुरोध विफल हो जाता है।

यूरोपीय स्वास्थ्य डेटा स्पेस जीडीपीआर में वृद्धि करता है

विनियम (ईयू) 2025/327 (EHDS) जीडीपीआर को बनाए रखता है और अधिकार और प्रारूप जोड़ता है: लोगों को अपने प्राथमिकता डेटा (रोगी सारांश, नुस्खे, प्रयोगशाला परिणाम, चित्र, डिस्चार्ज रिपोर्ट) तक इलेक्ट्रॉनिक पहुंच मिलती है और वे इसे साझा कर सकते हैं, और ईएचआर सिस्टम को यूरोपीय विनिमय प्रारूप का समर्थन करना चाहिए। डेवलपर्स के लिए EHDS देखें।

और HIPAA?

GDPR यूरोपीय संघ के लोगों पर लागू होता है; HIPAA अमेरिका में कवर किए गए संस्थाओं और उनके व्यावसायिक सहयोगियों पर लागू होता है। Anpheros को GDPR और EU डेटा निवास के लिए बनाया गया है, और वही नियंत्रण HIPAA की सेवा करते हैं: Anpheros अमेरिकी क्लीनिकों के लिए एक व्यावसायिक सहयोगी (Business Associate) के रूप में कार्य करता है, जिसमें एक व्यावसायिक सहयोगी समझौता (BAA) और उत्पादन ग्राहकों के लिए अनुरोध पर एक अमेरिकी डेटा क्षेत्र उपलब्ध है। HIPAA सुरक्षा उपाय सुरक्षा पृष्ठ पर सूचीबद्ध हैं।

अक्सर पूछे जाने वाले प्रश्न (Frequently asked questions)

क्या स्वास्थ्य डेटा GDPR के तहत विशेष श्रेणी का डेटा है?

हाँ। अनुच्छेद 9 विशेष श्रेणियों में स्वास्थ्य संबंधी डेटा को सूचीबद्ध करता है; इसे संसाधित करने के लिए अनुच्छेद 6 के कानूनी आधार के अतिरिक्त अनुच्छेद 9(2) की एक शर्त की आवश्यकता होती है।

क्या मुझे स्वास्थ्य डेटा संसाधित करने के लिए स्पष्ट सहमति की आवश्यकता है?

हमेशा नहीं। स्पष्ट सहमति एक शर्त है; अन्य में राष्ट्रीय कानून के तहत स्वास्थ्य या सामाजिक देखभाल, सार्वजनिक स्वास्थ्य और वैज्ञानिक अनुसंधान का प्रावधान शामिल है। प्रत्येक उद्देश्य के लिए उपयुक्त एक को चुनें और उसका दस्तावेजीकरण करें।

क्या स्वास्थ्य डेटा EU में संग्रहीत होना चाहिए?

GDPR EU भंडारण की आवश्यकता नहीं है, लेकिन EEA के बाहर स्थानांतरण के लिए एक वैध तंत्र (पर्याप्तता निर्णय या उचित सुरक्षा उपाय) की आवश्यकता होती है। डेटा को EU में रखने से यह प्रश्न टल जाता है; कुछ राष्ट्रीय नियम अधिक सख्त हैं।

क्या Anpheros GDPR अनुपालक है?

Anpheros को GDPR के लिए डिज़ाइन किया गया है: EU डेटा निवास, उत्पादन के लिए डेटा प्रसंस्करण समझौता, रोगी द्वारा नियंत्रित सहमति, अनुप्रयोगों के बीच अलगाव और एक एक्सेस लॉग जिसे रोगी पढ़ सकता है। आपके उत्पाद की अनुपालनता आपके स्वयं के कानूनी आधार, दस्तावेज़ीकरण और प्रक्रियाओं पर भी निर्भर करती है।