HIPAA と GDPR の比較
米国と EU を代表する医療データ規制と、海外展開するベトナムのヘルステック企業が両方を必要とすることが多い理由。
米国の PHI を保護
Health Insurance Portability and Accountability Act（医療保険の相互運用性と説明責任に関する法律）。米国の患者の保護対象保健情報（PHI）の保護を求めます。Covered Entity（対象事業者）と Business Associate（業務提携者）に適用されます。
HIPAA の概要を見る →EU のデータを保護
General Data Protection Regulation（一般データ保護規則）。EU の個人データを包括的に保護します。医療データは「特別な種類の個人データ」とされ、より厳しい保護が求められます。
GDPR の概要を見る →詳細比較
| 項目 | HIPAA | GDPR |
|---|---|---|
| 制定国・地域 | 米国（1996 年、2013 年改正） | EU（2018 年） |
| 対象データ | 保護対象保健情報（PHI）：18 種類の識別子と医療情報 | EU 域内の個人に関するすべての個人データ。医療データは特別な種類の個人データ |
| 適用対象 | Covered Entity と Business Associate（PHI を取り扱う事業者） | 所在地を問わず、EU 域内の個人のデータを処理するすべての組織 |
| 同意 | 常に必要とは限らない。複数の適法根拠がある | 6 つの適法根拠のひとつ。医療データには明示的な同意が必要 |
| Business Associate Agreement（BAA） | PHI にアクセスするすべての Business Associate と締結が必須 | 相当するもの：データ処理契約（DPA） |
| 漏えい時の通知 | HHS へ 60 日以内（500 人超の場合）＋本人への通知 | 72 時間以内に監督機関（DPA）へ。人数の下限なし |
| データ主体の権利 | 自身の PHI へのアクセス・訂正の権利 | 8 つの権利：アクセス、消去、データポータビリティ、異議申立てなど |
| DPO（データ保護責任者） | 相当する要件なし | 一定の場合に必須（大規模な医療データ処理など） |
| 罰則 | 過失の程度に応じた段階制 | 全世界年間売上高の 4% または €20M のいずれか高い額まで |
| 適しているケース | 米国市場を狙うヘルステック企業、米国の医療サービス事業者 | 業種を問わず、EU のユーザーデータを処理するすべての企業 |
両方に対応する場合：重なる部分は？
米国と EU の両方を狙う場合は両方が適用されますが、技術的なコントロールは大きく重なります。
保存時・通信時の暗号化、アクセス制御、監査ログ、MFA。HIPAA の技術的安全管理措置と GDPR 第 32 条の両方を満たします。
BAA（HIPAA）と DPA（GDPR）：同じベンダーとの 2 本の契約で、条項の多くが共通します。
漏えいの検知・評価・対応のプロセスは、一度構築すれば両方に適用できます。
セキュリティ教育とプライバシー教育はひとつのプログラムにまとめられます。
GDPR は医療データに明示的な同意を求め、HIPAA はより柔軟です。GDPR 水準の同意フローなら両方をカバーできます。
GDPR は 72 時間、HIPAA は 60 日。72 時間を前提としたプロセスなら両方を満たします。
ベトナムで事業を行うヘルステック企業は、HIPAA と GDPR に加えて、ベトナムのユーザーの医療データを処理する際にベトナム個人データ保護法（Law 91/2025）にも従う必要があります。医療データは Law 91/2025 と Decree 356/2025 で機微データに分類され、60 日以内に公安省へ影響評価書類を提出することが求められます。ベトナムのユーザーにサービスを提供しながら米国・EU 市場へ展開する場合は、3 つの規制すべてが適用されます。
よくある質問
ベトナムのヘルステック企業に必要なのは HIPAA と GDPR のどちらですか？
対象市場によります。米国の患者データを処理する場合（API や米国の医療システムとの連携を含む）は HIPAA、EU の患者がいる場合は GDPR です。両方の市場を狙う場合は両方が必要です。
GDPR に対応済みの場合、HIPAA では何が追加で必要ですか？
HIPAA では次の対応も必要です。(1) PHI にアクセスするベンダーとの Business Associate Agreement、(2) HIPAA Security Rule に基づく技術的安全管理措置、(3) 必要最小限（Minimum Necessary）の原則、(4) 従業員教育、(5) プライバシー責任者とセキュリティ責任者の任命。
個人向けの健康アプリも HIPAA に従う必要がありますか？
必ずしもそうではありません。HIPAA が適用されるのは Covered Entity（病院、医療保険者、医療提供者）とその Business Associate だけです。消費者向けのウェルネスアプリは、正式な医療システムと連携しない限り、通常は Covered Entity に該当しません。
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。