HIPAA vs GDPR
Hai quy định dữ liệu y tế hàng đầu của Mỹ và EU, và vì sao HealthTech Việt Nam mở rộng quốc tế thường cần cả hai.
Bảo vệ PHI tại Mỹ
Health Insurance Portability and Accountability Act, yêu cầu bảo vệ Protected Health Information của bệnh nhân Mỹ. Áp dụng cho Covered Entities và Business Associates.
Xem HIPAA Hub →Bảo vệ dữ liệu EU
General Data Protection Regulation, quy định bảo vệ toàn diện dữ liệu cá nhân EU. Dữ liệu y tế là 'special category data' với yêu cầu bảo vệ nâng cao.
Xem GDPR Hub →So sánh chi tiết
| Tiêu chí | HIPAA | GDPR |
|---|---|---|
| Xuất xứ | Mỹ (1996, cập nhật 2013) | EU (2018) |
| Phạm vi dữ liệu | Protected Health Information (PHI), 18 loại nhận dạng + thông tin y tế | Mọi dữ liệu cá nhân của người EU; dữ liệu y tế là Special Category |
| Đối tượng áp dụng | Covered Entities + Business Associates (xử lý PHI) | Mọi tổ chức xử lý dữ liệu người EU, dù đặt trụ sở ở đâu |
| Consent | Không luôn yêu cầu, có nhiều lawful basis khác nhau | Một trong 6 lawful bases; với dữ liệu y tế cần explicit consent |
| Business Associate Agreement | Bắt buộc với mọi Business Associate tiếp cận PHI | Tương đương: Data Processing Agreement (DPA) |
| Breach notification | 60 ngày với HHS (nếu >500 người) + thông báo cá nhân | 72 giờ với DPA; không có threshold tối thiểu |
| Data Subject Rights | Quyền truy cập, chỉnh sửa PHI của mình | 8 quyền đầy đủ: truy cập, xóa, portability, phản đối... |
| DPO | Không có yêu cầu tương đương | Bắt buộc trong một số trường hợp (xử lý dữ liệu y tế quy mô lớn) |
| Mức phạt | Phân cấp theo mức độ negligence | Đến 4% doanh thu toàn cầu hoặc €20M (tùy mức cao hơn) |
| Phù hợp cho | HealthTech nhắm thị trường Mỹ, nhà cung cấp dịch vụ y tế Mỹ | Mọi công ty xử lý dữ liệu người dùng EU, dù ở ngành nào |
Làm cả hai: Overlap ở đâu?
Nhắm cả Mỹ lẫn EU thì cần cả hai, nhưng technical controls overlap đáng kể:
Encryption at rest và in transit, access control, audit logs, MFA, đáp ứng cả HIPAA Technical Safeguards lẫn GDPR Article 32.
BAA (HIPAA) và DPA (GDPR): hai hợp đồng với cùng vendor, nhiều điều khoản tương tự.
Quy trình phát hiện, đánh giá và xử lý breach, xây dựng một lần, áp dụng cho cả hai.
Security và privacy training gộp được thành một chương trình.
GDPR đòi explicit consent cho dữ liệu y tế; HIPAA linh hoạt hơn. Consent flow theo GDPR đáp ứng cả hai.
GDPR: 72 giờ. HIPAA: 60 ngày. Process theo chuẩn 72h đáp ứng cả hai.
Ngoài HIPAA và GDPR, HealthTech tại Việt Nam còn phải tuân thủ Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025) khi xử lý dữ liệu sức khỏe của người dùng Việt Nam, đây là dữ liệu nhạy cảm theo Luật 91/2025 và Nghị định 356/2025, cần hồ sơ đánh giá tác động gửi Bộ Công an trong 60 ngày. Nếu bạn đang mở rộng ra thị trường Mỹ và EU đồng thời vẫn phục vụ người dùng Việt Nam, cả ba quy định này đều áp dụng.
Câu hỏi thường gặp
HealthTech Việt Nam cần HIPAA hay GDPR?
Tùy thị trường: HIPAA nếu xử lý dữ liệu bệnh nhân Mỹ (kể cả qua API hoặc tích hợp với hệ thống y tế Mỹ), GDPR nếu có bệnh nhân EU. Nhắm cả hai thị trường thì cần cả hai.
Nếu đã có GDPR, HIPAA còn cần gì thêm?
HIPAA yêu cầu thêm: (1) Business Associate Agreement với mọi vendor tiếp cận PHI, (2) technical safeguards theo HIPAA Security Rule, (3) Minimum Necessary rule, (4) workforce training theo HIPAA, (5) Privacy và Security Officer được chỉ định.
App sức khỏe cá nhân có phải tuân thủ HIPAA không?
Không phải luôn luôn. HIPAA chỉ áp dụng cho Covered Entities (bệnh viện, bảo hiểm y tế, nhà cung cấp dịch vụ y tế) và Business Associates. Consumer wellness app thường không thuộc diện này, trừ khi tích hợp với hệ thống y tế chính thức.
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.