Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

GDPR és egészségügyi adatok fejlesztőknek

9. cikk szerinti egészségügyi adatok mint mérnöki feladatok: jogalap, DPA, EU lakóhely, biztonság, hozzáférés és törlés, DPIA – leképezve arra, amit az Anpheros fed.

A GDPR értelmében az egészségügyi adat különleges kategóriájú személyes adat (9. cikk): feldolgozása tilos, kivéve, ha a feltételek rövid listájának valamelyike érvényesül, mint például az érintett személy kifejezett hozzájárulása vagy az egészségügyi ellátás nyújtása, és erősebb védelmet igényel, mint a hétköznapi személyes adatok. Szoftvercsapatok számára ez konkrét tervezési döntésekké válik: dokumentált jogalap, adatfeldolgozási megállapodás minden olyan beszállítóval, amely érinti az adatokat, EU-s adattartózkodási hely vagy jogszerű átvitel, hozzáférés-vezérlés és naplózás, valamint az adatok átadásának és törlésének módjai. Ez az oldal ezeket a követelményeket a mérnöki munkához rendeli, és megmutatja, hogy egy egészségügyi adatformátum, mint az Anpheros, mely részeket már lefed. Ez technikai útmutató, nem jogi tanácsadás.

GDPR for health data — the developer checklist, and what Anpheros covers

Legal basis under Article 9Explicit consent or a healthcare basis; yours to decide and document

Processor agreement (Art. 28)Signed DPA before production data

Data in the EUGoogle Cloud europe-west4 (Netherlands)

Access control and logs (Art. 32)Per-project isolation, consent, an access log the patient sees

Rights of access and erasureExport the whole record as FHIR ($everything); delete through the API (soft delete, history kept)

Impact assessment (Art. 35)Your DPIA; the platform documents its own measures

A követelmények, mint mérnöki feladatok

GDPR követelmény	Mit jelent ez a kódban és a működésben	Anpherosban
9. cikk szerinti jogalap	Döntse el és rögzítse, miért dolgozza fel az egészségügyi adatokat (explicit hozzájárulás, egészségügyi ellátás, közegészségügy, kutatás stb.)	Az Ön döntése és dokumentációja; más alkalmazásokhoz való hozzáférés explicit OAuth hozzájáruláson keresztül történik, és minden engedély rögzíti az alkalmazás által megadott célt
28. cikk szerinti adatfeldolgozói megállapodás	Adatfeldolgozási megállapodást kell kötni minden adatfeldolgozóval	A produkciós hozzáférés aláírt DPA-t igényel
V. fejezet szerinti adattovábbítás	Az adatokat az EU/EEA-n belül kell tartani, vagy jogszabályi adattovábbítási mechanizmust kell alkalmazni	EU-ban tárolva és feldolgozva (Google Cloud `europe-west4`, Hollandia)
32. cikk szerinti biztonság	Titkosítás, hozzáférés-vezérlés, izoláció, naplózás, ellenálló képesség	Projektenkénti izoláció, párosított betegazonosítók, titkosított dokumentumok ügyfél által felügyelt kulccsal, hozzáférési napló
15. cikk szerinti hozzáférési jog	Adjon másolatot az adatokról az érintett személynek	`Patient/$everything` (teljes FHIR rekord) és `$summary` (IPS)
17. cikk szerinti törléshez való jog	Törölje az adatokat, amikor az alap megszűnik, vagy az érintett személy kéri	API-n keresztül történő törlés; a törlések lágyak, és a verziók megmaradnak audit céljából – tervezze meg, hogyan kezeli a megőrzési szabályzata ezeket
25. cikk szerinti adatvédelem tervezés révén	Csak azt gyűjtse össze, amire szüksége van; korlátozza, ki láthatja azt	A SMART hatókörök és kategóriaszűrők korlátozzák, mit olvas az egyes alkalmazások
30. cikk szerinti adatfeldolgozási nyilvántartások	Dokumentálja, mit dolgoz fel és miért	Provenancia minden írásnál: szerző, szervezet, forrásrendszer
33. cikk szerinti adatvédelmi incidens bejelentése	Észlelés és bejelentés 72 órán belül	Az Ön incidenskezelési folyamata; a platform minden hozzáférést naplóz
35. cikk szerinti adatvédelmi hatásvizsgálat (DPIA)	Értékelje a magas kockázatú adatfeldolgozást, mielőtt elkezdené	Az Ön feladata megírni; a platform dokumentálja saját intézkedéseit

A beleegyezés nem az egyetlen jogalap

Az explicit beleegyezés (9. cikk (2) bekezdés a) pontja) gyakori a betegalkalmazások esetében, de a klinikák általában az egészségügyi ellátás nyújtására (9. cikk (2) bekezdés h) pontja) és kutatási projektek esetében a nemzeti jogra (9. cikk (2) bekezdés j) pontja) támaszkodnak. Válassza ki az alapjogot célonként, rögzítse azt, és ne kérjen olyan beleegyezést, amelyet nem fog tiszteletben tartani: a beleegyezést ugyanolyan könnyen kell visszavonni, mint ahogy megadni. Az Anpherosban egy személy visszavonja egy alkalmazás hozzáférését a beleegyezési oldalon, és a következő kérés sikertelen lesz.

Az Európai Egészségügyi Adattér kiegészíti a GDPR-t

A (EU) 2025/327 rendelet (EHDS) megtartja a GDPR-t, és kiegészíti jogokkal és formátumokkal: az emberek elektronikus hozzáférést kapnak elsődleges adataikhoz (betegösszefoglaló, vények, laboreredmények, képek, zárójelentések), és megoszthatják azokat, az EESZT rendszereknek pedig támogatniuk kell az európai csereformátumot. Lásd: EHDS fejlesztőknek.

És a HIPAA?

A GDPR az EU-ban tartózkodó személyekre vonatkozik; a HIPAA az Egyesült Államokban a fedezett entitásokra és üzleti partnereikre vonatkozik. Az Anpheros a GDPR és az EU adatrezidencia követelményeihez készült, és ugyanazok a vezérlők szolgálják a HIPAA-t is: az Anpheros üzleti partnerként működik az Egyesült Államokbeli klinikák számára, üzleti partneri megállapodással (BAA) és kérésre elérhető amerikai adatterülettel a termelési ügyfelek számára. A HIPAA-biztonsági intézkedések a biztonsági oldalon találhatók.

Gyakran ismételt kérdések

Minősül-e a „különleges kategóriájú adatnak” az egészségügyi adat a GDPR alapján?

Igen. A 9. cikk az egészségügyi adatokra a különleges kategóriák között hivatkozik; feldolgozásukhoz a 6. cikk szerinti jogalap mellett a 9. cikk (2) bekezdésében felsorolt feltételek valamelyikének is teljesülnie kell.

Szükségem van-e kifejezett hozzájárulásra az egészségügyi adatok feldolgozásához?

Nem mindig. A kifejezett hozzájárulás az egyik feltétel; mások közé tartozik az egészségügyi vagy szociális ellátás nyújtása, a közegészségügy és a tudományos kutatás a nemzeti jogszabályok alapján. Válassza ki és dokumentálja azt, amelyik illeszkedik az egyes célokhoz.

Az egészségügyi adatokat az EU-ban kell tárolni?

A GDPR nem írja elő az EU-n belüli tárolást, de az EGT-n kívüli adattovábbításokhoz jogi mechanizmus szükséges (megfelelőségi határozat vagy megfelelő biztosítékok). Az adatok EU-n belüli tárolása elkerüli ezt a kérdést; egyes nemzeti szabályok szigorúbbak.

Megfelel az Anpheros a GDPR-nak?

Az Anpheros a GDPR-ra lett tervezve: EU-s adattárolás, adatfeldolgozási megállapodás a termeléshez, a beteg által vezérelt hozzájárulás, az alkalmazások közötti elkülönítés és egy hozzáférési napló, amelyet a beteg elolvashat. Az Ön termékének megfelelősége az Ön saját jogalapjától, dokumentációjától és folyamataitól is függ.

Kapcsolódó

Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card