Во введении объясняется, почему обработка персональных и медицинских сведений требует не только технической защиты, но и соблюдения правовых норм. Формулируются проблема, цель и задачи проекта, определяются объект и предмет исследования, а также указывается, что GDPR и HIPAA рассматриваются как примеры разных правовых подходов. Отдельно обозначаются методы: изучение официальных документов, сравнение требований и проверка условной организации по чек-листу.

В пункте раскрываются понятия информации, персональных данных, медицинских сведений, обработки и инцидента безопасности. Объясняется, почему защита данных включает конфиденциальность, целостность и доступность, а не сводится только к установке антивируса. Эти определения нужны для дальнейшего сравнения законов и помогают понять, какие сведения и процессы могут требовать особых мер защиты в организации.

Раздел описывает назначение GDPR, его территориальную и предметную сферу действия, а также базовые принципы обработки персональных данных. Рассматриваются законное основание обработки, ограничение цели и объёма сведений, права людей на доступ и исправление данных и обязанности контролёров. Здесь же поясняется, почему организации должны документировать процессы и предусматривать меры защиты при проектировании своих сервисов.

В этом пункте рассматриваются американский закон HIPAA и его значение для защиты медицинской информации. Объясняется, на какие категории организаций и сведений распространяются правила, а также различаются Privacy Rule и Security Rule. Отдельно описываются требования к допустимому использованию данных и гарантиям их защиты, чтобы не создавать ошибочного впечатления, будто HIPAA применяется ко всем компаниям и любым персональным сведениям.

Пункт сопоставляет назначение и область действия двух нормативных систем, круг защищаемых данных, права людей и обязанности организаций. Сравнение представляется в таблице, где для каждого требования указываются практическое значение и возможный пример выполнения. Такой анализ показывает, что GDPR имеет широкий охват персональных данных, тогда как HIPAA сосредоточен на определённой медицинской информации и участниках сферы здравоохранения США.

В разделе правовые обязанности переводятся в повседневные действия организации: назначение ответственных, управление доступом, минимизация данных, резервное копирование, шифрование и обучение персонала. Рассматривается оценка рисков до запуска новых процессов обработки, документирование решений и порядок сообщения об инцидентах. Пункт помогает увидеть связь между формальным соблюдением норм и реальным снижением вероятности утечки или неправомерного использования сведений.

Практическая часть моделирует проверку условной организации, например медицинской клиники или интернет-сервиса, который хранит сведения клиентов. По чек-листу оцениваются доступ сотрудников, способы хранения и передачи данных, обучение и действия при инцидентах. Результаты фиксируются без использования настоящих персональных сведений; для каждого выявленного пробела предлагается конкретная мера улучшения и указывается, какое требование или риск она затрагивает.

На основе сравнения законов и результатов условной проверки формируется набор приоритетных рекомендаций. Они могут включать инвентаризацию данных, назначение прав доступа по служебной необходимости, настройку аутентификации, шифрование, обучение сотрудников и план реагирования на инциденты. Для каждой рекомендации кратко объясняется ожидаемый эффект и необходимость регулярно пересматривать меры при изменении процессов, технологий или применимых правовых требований.

В заключении кратко подводятся итоги изучения GDPR и HIPAA и формулируются ответы на задачи проекта. Отмечается, какие различия между законами влияют на сферу применения требований, а какие практики безопасности полезны для разных организаций. Также оценивается результат практической проверки: какие слабые места обнаружены в условном примере и какие рекомендации способны снизить риски при обработке данных.

В список включаются первичные и проверяемые источники: официальный текст Регламента ЕС 2016/679, материалы Европейского совета по защите данных, текст HIPAA и публикации Министерства здравоохранения и социальных служб США. Для справочных материалов указываются автор или организация, название, дата публикации при наличии и ссылка. Источники следует сверять с актуальными официальными версиями, отделяя нормы закона от рекомендаций и пояснений.