# 医疗健康科技出海的合规路线图

> 健康数据在几乎所有法域都是最敏感的一类。为美国医疗机构服务意味着 HIPAA 和 BAA；面向欧洲意味着 GDPR 特殊类别数据的更高门槛。

来源页面: https://assurelane.ai/industries/healthtech/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 先判断数据落在哪个规则下

| 情形 | 主要规则 |
| --- | --- |
| 为美国医院、诊所、保险公司处理患者数据 | [HIPAA](https://assurelane.ai/frameworks/hipaa/)：签 BAA、满足安全规则 |
| 直接面向美国消费者的健康 App、可穿戴设备 | FTC 健康违规通知规则、州消费者健康数据法 |
| 处理欧盟用户健康数据 | [GDPR](https://assurelane.ai/frameworks/gdpr/) 第 9 条特殊类别数据：需特定合法性基础，通常需开展 DPIA |
| 软件具有诊断、治疗等医疗目的 | 可能属于医疗器械软件，受 FDA 或欧盟 MDR 监管（需专业判断） |

## 医疗健康科技合规的推荐顺序

1. 数据分类：哪些是健康数据，哪些属于 PHI
2. 角色判断：业务伙伴、控制者还是处理者
3. 安全底座：[SOC 2](https://assurelane.ai/frameworks/soc-2/)（可加 HIPAA 映射）或 [ISO/IEC 27001](https://assurelane.ai/frameworks/iso-27001/)
4. 隐私：BAA、DPA、隐私政策、同意与 DPIA
5. 跨境访问评估：健康数据超过 1 万名美国人即触发 [美国数据安全计划](https://assurelane.ai/frameworks/us-data-security-program/) 门槛

## 常见问题

### 健身 App 收集心率数据，算 HIPAA 管辖吗？

如果是直接面向消费者、不代表医疗机构或保险公司提供服务，通常不属于 HIPAA 范围，但仍受 FTC 健康违规通知规则、州消费者健康数据法律（如华盛顿州）以及 GDPR 等约束。

## 参考来源

- [HHS — HIPAA for Professionals](https://www.hhs.gov/hipaa/for-professionals/index.html)
- [FTC — Health Breach Notification Rule](https://www.ftc.gov/legal-library/browse/rules/health-breach-notification-rule)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。