先判断数据落在哪个规则下
| 情形 | 主要规则 |
|---|---|
| 为美国医院、诊所、保险公司处理患者数据 | HIPAA：签 BAA、满足安全规则 |
| 直接面向美国消费者的健康 App、可穿戴设备 | FTC 健康违规通知规则、州消费者健康数据法 |
| 处理欧盟用户健康数据 | GDPR 第 9 条特殊类别数据：需特定合法性基础，通常需开展 DPIA |
| 软件具有诊断、治疗等医疗目的 | 可能属于医疗器械软件，受 FDA 或欧盟 MDR 监管（需专业判断） |
医疗健康科技合规的推荐顺序
- 数据分类：哪些是健康数据，哪些属于 PHI
- 角色判断：业务伙伴、控制者还是处理者
- 安全底座：SOC 2（可加 HIPAA 映射）或 ISO/IEC 27001
- 隐私：BAA、DPA、隐私政策、同意与 DPIA
- 跨境访问评估：健康数据超过 1 万名美国人即触发 美国数据安全计划 门槛