# GDPR та медичні дані для розробників

> Медичні дані за статтею 9 як інженерні завдання: правова основа, DPA, проживання в ЄС, безпека, доступ та видалення, DPIA — зіставлено з тим, що покриває Anpheros. HIPAA: BAA за запитом. Не є юридичною консультацією.

Source: https://developers.anpheros.com/uk/guides/gdpr-health-data-developers

**Згідно з GDPR, медичні дані є особливою категорією персональних даних (Стаття 9): їх обробка заборонена, якщо не застосовується одна з короткого переліку умов, таких як явна згода особи або надання медичної допомоги, і вони потребують сильніших гарантій, ніж звичайні персональні дані.** Для команд розробників це перетворюється на конкретні проектні рішення: задокументована правова основа, угода про обробку даних з кожним постачальником, який працює з даними, проживання даних в ЄС або законний переказ, контроль доступу та журналювання, а також способи надання особам їхніх даних та їх видалення. Ця сторінка зіставляє ці вимоги з інженерною роботою та показує, які частини вже покриває платформа медичних даних, така як Anpheros. Це технічний посібник, а не юридична консультація.

<!-- visual:gdpr-checks -->

## Вимоги як інженерні завдання

| Вимога GDPR | Що це означає в коді та операціях | В Anpheros |
|---|---|---|
| Правова підстава статті 9 | Визначте та задокументуйте, чому ви обробляєте медичні дані (явна згода, охорона здоров'я, громадське здоров'я, дослідження…) | На ваш розсуд та документування; доступ іншими додатками здійснюється через явну згоду OAuth, і кожне надання записує мету, заявлену додатком |
| Угода про обробку даних за статтею 28 | Підпишіть угоду про обробку даних з кожним обробником | Доступ до виробничого середовища вимагає підписаної DPA |
| Передача даних за Главою V | Зберігайте дані в ЄС/ЄЕЗ або використовуйте законний механізм передачі | Зберігається та обробляється в ЄС (Google Cloud `europe-west4`, Нідерланди) |
| Безпека за статтею 32 | Шифрування, контроль доступу, ізоляція, логування, стійкість | Ізоляція на проєкт, парні ідентифікатори пацієнтів, зашифровані документи з ключем, керованим клієнтом, журнал доступу |
| Право на доступ за статтею 15 | Надайте особі копію її даних | `Patient/$everything` (повний запис FHIR) та `$summary` (IPS) |
| Право на видалення за статтею 17 | Видаліть, коли підстава закінчується або особа просить | Видалення через API; видалення є м'якими, а версії зберігаються для аудиту — сплануйте, як ваша політика зберігання їх обробляє |
| Захист даних за дизайном за статтею 25 | Збирайте лише те, що вам потрібно; обмежте тих, хто може це бачити | Області дії SMART та фільтри категорій обмежують те, що читає кожен додаток |
| Записи про обробку за статтею 30 | Задокументуйте, що ви обробляєте і чому | Походження кожного запису: автор, організація, вихідна система |
| Повідомлення про порушення за статтею 33 | Виявлення та повідомлення протягом 72 годин | Ваш процес реагування на інциденти; платформа реєструє кожен доступ |
| Оцінка впливу на захист даних (DPIA) за статтею 35 | Оцініть обробку з високим ризиком перед початком | Написати вам; платформа документує свої власні заходи |

## Згода — не єдина правова підстава

Явна згода (стаття 9(2)(a)) є поширеною для пацієнтських додатків, але клініки зазвичай покладаються на надання медичної допомоги (стаття 9(2)(h)) та дослідницькі проєкти на підставі статті 9(2)(j) відповідно до національного законодавства. Обирайте підставу відповідно до мети, документуйте її та не вимагайте згоди, яку не будете поважати: відкликати згоду має бути так само легко, як і надати її. В Anpheros особа відкликає доступ додатку зі сторінки згоди, і наступний запит зазнає невдачі.

## Європейський простір даних охорони здоров'я доповнює GDPR

Регламент (ЄС) 2025/327 (EHDS) зберігає GDPR та додає права й формати: люди отримують електронний доступ до своїх пріоритетних даних (резюме пацієнта, рецепти, результати лабораторних досліджень, зображення, виписки) та можуть ділитися ними, а системи електронних медичних записів (EHR) повинні підтримувати європейський формат обміну. Див. [EHDS для розробників](https://developers.anpheros.com/uk/guides/ehds-for-developers).

## А як щодо HIPAA?

GDPR застосовується до осіб в ЄС; HIPAA застосовується до охоплених організацій та їхніх бізнес-партнерів у США. Anpheros розроблено з урахуванням GDPR та вимог щодо резидентності даних в ЄС, і ті самі засоби контролю слугують і для HIPAA: Anpheros виступає як Бізнес-партнер для клінік США, з угодою про бізнес-партнерство (BAA) та регіоном даних США, доступним за запитом для виробничих клієнтів. Заходи безпеки HIPAA перелічені на [сторінці безпеки](https://developers.anpheros.com/uk/guides/security).

## Часті запитання

### Чи є медичні дані даними особливих категорій згідно з GDPR?
Так. Стаття 9 перелічує дані, що стосуються здоров'я, серед особливих категорій; їх обробка вимагає однієї з умов Статті 9(2) на додаток до правової підстави Статті 6.

### Чи потрібна явна згода для обробки медичних даних?
Не завжди. Явна згода є однією з умов; інші включають надання медичної або соціальної допомоги, громадське здоров'я та наукові дослідження відповідно до національного законодавства. Оберіть та задокументуйте ту, яка відповідає кожній меті.

### Чи повинні медичні дані зберігатися в ЄС?
GDPR не вимагає зберігання в ЄС, але передача за межі ЄЕЗ потребує законного механізму (рішення про адекватність або відповідні гарантії). Зберігання даних в ЄС дозволяє уникнути цього питання; деякі національні правила є суворішими.

### Чи відповідає Anpheros вимогам GDPR?
Anpheros розроблено з урахуванням GDPR: резидентність даних в ЄС, угода про обробку даних для виробництва, згода, контрольована пацієнтом, ізоляція між додатками та журнал доступу, який може читати пацієнт. Відповідність вашого продукту також залежить від вашої власної правової підстави, документації та процесів.

<!-- visual:cta-gdpr -->

## Пов'язане

- [Безпека, конфіденційність та місцезнаходження даних](https://developers.anpheros.com/uk/guides/security)
- [Європейський простір даних охорони здоров'я (EHDS) для розробників](https://developers.anpheros.com/uk/guides/ehds-for-developers)
- [Платформа згоди пацієнта для медичних додатків](https://developers.anpheros.com/uk/guides/patient-consent-platform)
- [Пояснення походження медичних даних](https://developers.anpheros.com/uk/guides/medical-data-provenance)
- [API EHR та API медичних записів](https://developers.anpheros.com/uk/guides/ehr-api)