Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card

GDPR și datele de sănătate pentru dezvoltatori

Articolul 9 privind datele de sănătate ca sarcini de inginerie: bază legală, DPA, rezidență UE, securitate, acces și ștergere, DPIA — mapate la ce acoperă Anpheros. HIPAA: BAA la cerere. Nu este sfat juridic.

În conformitate cu GDPR, datele de sănătate reprezintă o categorie specială de date cu caracter personal (Articolul 9): prelucrarea lor este interzisă, cu excepția cazului în care se aplică una dintre puținele condiții, cum ar fi consimțământul explicit al persoanei sau furnizarea de îngrijiri medicale, și necesită garanții mai puternice decât datele cu caracter personal obișnuite. Pentru echipele de software, acest lucru se traduce în decizii concrete de proiectare: o bază legală documentată, un acord de procesator cu fiecare furnizor care atinge datele, rezidența datelor în UE sau un transfer legal, controlul accesului și înregistrarea (logging), precum și modalități de a oferi persoanelor datele lor și de a le șterge. Această pagină mapează aceste cerințe la munca inginerească și arată ce părți sunt deja acoperite de o platformă de date de sănătate precum Anpheros. Acestea sunt îndrumări tehnice, nu consultanță juridică.

GDPR for health data — the developer checklist, and what Anpheros covers

Legal basis under Article 9Explicit consent or a healthcare basis; yours to decide and document

Processor agreement (Art. 28)Signed DPA before production data

Data in the EUGoogle Cloud europe-west4 (Netherlands)

Access control and logs (Art. 32)Per-project isolation, consent, an access log the patient sees

Rights of access and erasureExport the whole record as FHIR ($everything); delete through the API (soft delete, history kept)

Impact assessment (Art. 35)Your DPIA; the platform documents its own measures

Cerințele, ca sarcini de inginerie

Cerință GDPR	Ce înseamnă în cod și operațiuni	În Anpheros
Baza legală Articolul 9	Decideți și înregistrați de ce procesați date de sănătate (consimțământ explicit, asistență medicală, sănătate publică, cercetare…)	Dumneavoastră decideți și documentați; accesul de către alte aplicații se face prin consimțământ explicit OAuth, iar fiecare acord înregistrează scopul declarat de aplicație
Acord de procesator Articolul 28	Semnați un acord de procesare a datelor cu fiecare procesator	Accesul în producție necesită un DPA semnat
Transferuri Capitolul V	Păstrați datele în UE/SEE sau folosiți un mecanism legal de transfer	Stocate și procesate în UE (Google Cloud `europe-west4`, Olanda)
Securitate Articolul 32	Criptare, control acces, izolare, logging, reziliență	Izolare per proiect, ID-uri de pacienți pereche, documente criptate cu o cheie gestionată de client, un log de acces
Dreptul de acces Articolul 15	Oferiți persoanei o copie a datelor sale	`Patient/$everything` (înregistrare FHIR completă) și `$summary` (IPS)
Dreptul la ștergere Articolul 17	Ștergeți când baza legală expiră sau persoana solicită	Ștergeți prin API; ștergerile sunt soft și versiunile sunt păstrate pentru audit — planificați cum politica dvs. de retenție le gestionează
Protecția datelor prin design Articolul 25	Colectați doar ce aveți nevoie; limitați cine poate vedea	Scope-urile SMART și filtrele de categorie limitează ce citește fiecare aplicație
Registre de procesare Articolul 30	Documentați ce procesați și de ce	Proveniență la fiecare scriere: autor, organizație, sistem sursă
Notificare breșă Articolul 33	Detectați și raportați în 72 de ore	Procesul dvs. de incident; platforma înregistrează fiecare acces
DPIA Articolul 35	Evaluați procesarea cu risc ridicat înainte de a începe	Dumneavoastră scrieți; platforma își documentează propriile măsuri

Consimțământul nu este singura bază legală

Consimțământul explicit (Articolul 9(2)(a)) este comun pentru aplicațiile pacienților, dar clinicile se bazează de obicei pe furnizarea de îngrijiri medicale (Articolul 9(2)(h)) și proiectele de cercetare pe Articolul 9(2)(j) cu legislația națională. Alegeți baza per scop, înregistrați-o și nu solicitați consimțământ pe care nu îl veți onora: consimțământul trebuie retras la fel de ușor cum este acordat. În Anpheros, o persoană revocă accesul unei aplicații de pe pagina de consimțământ, iar următoarea cerere eșuează.

Spațiul European al Datelor din Sănătate adaugă la GDPR

Regulamentul (UE) 2025/327 (EHDS) păstrează GDPR și adaugă drepturi și formate: persoanele fizice obțin acces electronic la datele lor prioritare (rezumatul pacientului, rețete, rezultate de laborator, imagini, rapoarte de externare) și le pot partaja, iar sistemele EHR trebuie să suporte formatul european de schimb. Vezi EHDS pentru dezvoltatori.

Și HIPAA?

GDPR se aplică persoanelor din UE; HIPAA se aplică entităților acoperite și asociaților lor de afaceri din SUA. Anpheros este construit pentru GDPR și rezidența datelor în UE, iar aceleași controale deservesc și HIPAA: Anpheros acționează ca un Asistent de Afaceri pentru clinicile din SUA, cu un acord de asistent de afaceri (BAA) și o regiune de date din SUA disponibilă la cerere pentru clienții de producție. Protecțiile HIPAA sunt listate pe pagina de securitate.

Întrebări frecvente

Sunt datele de sănătate date de categorie specială conform GDPR?

Da. Articolul 9 enumeră datele referitoare la sănătate printre categoriile speciale; prelucrarea acestora necesită una dintre condițiile de la Articolul 9(2) pe lângă o bază legală de la Articolul 6.

Am nevoie de consimțământ explicit pentru a prelucra datele de sănătate?

Nu întotdeauna. Consimțământul explicit este o condiție; altele includ furnizarea de îngrijiri medicale sau sociale, sănătatea publică și cercetarea științifică conform legislației naționale. Alegeți și documentați-o pe cea care se potrivește fiecărui scop.

Datele de sănătate trebuie stocate în UE?

GDPR nu impune stocarea în UE, dar transferurile în afara SEE necesită un mecanism legal (o decizie de adecvare sau garanții adecvate). Păstrarea datelor în UE evită această problemă; unele reguli naționale sunt mai stricte.

Este Anpheros conform cu GDPR?

Anpheros este conceput pentru GDPR: rezidența datelor în UE, un acord de prelucrare a datelor pentru producție, consimțământul controlat de către pacient, izolarea între aplicații și un jurnal de acces pe care pacientul îl poate citi. Conformitatea produsului dumneavoastră depinde, de asemenea, de propria bază legală, documentație și procese.

Conexe

Try it free in the sandbox · first FHIR call in 5 minutesFree · 30 synthetic patients · no card