Un cabinet medical prelucrează zilnic date privind sănătatea, o categorie specială în GDPR (în română, RGPD). Pentru consultație și tratament, temeiul legal este, de regulă, art. 9 alin. (2) lit. (h), nu un „acord GDPR” semnat de pacient. Urmează documentele și obligațiile, cu articolul exact.
Acest articol oferă informații generale și nu constituie consultanță juridică.
Pe ce temei legal prelucrează cabinetul datele pacienților?
Pe excepția de la art. 9 alin. (2) lit. (h) din GDPR. Articolul 9 interzice, ca regulă, prelucrarea datelor privind sănătatea, dar o permite când este necesară pentru stabilirea unui diagnostic, asistență medicală sau tratament, în temeiul dreptului Uniunii, al dreptului intern sau al unui contract încheiat cu un cadru medical. Condiția de la alineatul (3): datele sunt prelucrate de un profesionist supus secretului profesional sau sub responsabilitatea acestuia.
Orice prelucrare are nevoie și de un temei de la art. 6 alin. (1), de exemplu contractul cu pacientul (lit. b) sau o obligație legală a cabinetului (lit. c). Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) precizează că, pentru prelucrările necesare îndeplinirii unei obligații legale, consimțământul nu mai este necesar.
Este nevoie de un „acord GDPR” semnat de pacient?
Pentru actul medical în sine, de regulă nu. Ghidul publicat de Colegiul Medicilor din România pe gdpr.cmr.ro separă clar trei documente:
- nota de informare, despre toate prelucrările de date din relația pacientului cu unitatea medicală;
- acordul pacientului informat, care privește acceptarea urmărilor actului medical;
- consimțământul specific RGPD, doar pentru prelucrări care depășesc ce prevede legea în mod expres, cum sunt marketingul, promovarea, publicitatea sau cercetarea științifică.
Acordul pentru intervenția medicală ține de Legea drepturilor pacientului nr. 46/2003, capitolul III (art. 13–20), nu de GDPR. Pentru înregistrarea consultației, vedeți înregistrare și consimțământ.
Acolo unde este temeiul, consimțământul GDPR trebuie să fie liber (art. 4 pct. 11 și art. 7 alin. 4) și poate fi retras oricând (art. 7 alin. 3). Ghidul Colegiului dă ca practică greșită refuzul consultației pentru că pacientul nu a semnat acordul de marketing.
Ce trebuie să conțină nota de informare?
Art. 13 cere ca, în momentul colectării datelor, pacientul să primească, printre altele:
- identitatea și datele de contact ale cabinetului și, după caz, ale responsabilului cu protecția datelor (DPO);
- scopurile și temeiul juridic al prelucrării;
- destinatarii sau categoriile de destinatari;
- perioada de stocare sau criteriile după care se stabilește;
- drepturile pacientului și dreptul de a depune plângere la autoritatea de supraveghere;
- dacă furnizarea datelor este o obligație legală sau contractuală.
Ce spune Legea 190/2018 despre datele medicale?
Legea 190/2018, care aplică GDPR în România, prevede:
- prelucrarea datelor privind sănătatea pentru un proces decizional automatizat sau pentru crearea de profiluri este permisă cu consimțământul explicit al persoanei sau în temeiul unor dispoziții legale exprese, cu măsuri de protecție (art. 3 alin. 1);
- dacă prelucrați codul numeric personal (CNP) în temeiul interesului legitim (art. 6 alin. 1 lit. f din GDPR), aveți nevoie de garanții suplimentare, printre care numirea unui DPO (art. 4 alin. 2).
În rest, pentru DPO, legea trimite la art. 37–39 GDPR (art. 10 alin. 1).
Are nevoie cabinetul de un responsabil cu protecția datelor (DPO)?
Depinde de amploare. Art. 37 alin. (1) cere un DPO autorităților și organismelor publice (lit. a) și operatorilor ale căror activități principale constau în prelucrarea pe scară largă a unor categorii speciale de date (lit. c).
Orientările europene privind DPO (WP243 rev.01, preluate de Comitetul European pentru Protecția Datelor) dau două repere: prelucrarea datelor pacienților în activitatea obișnuită a unui spital este pe scară largă, deci spitalele trebuie să numească un DPO; prelucrarea datelor pacienților de către un medic la nivel individual nu este.
Exemplul medicului vine din considerentul 91 al GDPR, care privește, de fapt, evaluarea impactului. Orientările notează o zonă gri largă între medicul individual și prelucrarea datelor unei țări întregi și sfătuiesc, cu excepția cazurilor evidente, documentarea analizei. Puteți numi un DPO și voluntar (art. 37 alin. 4); datele lui de contact se publică și se comunică ANSPDCP (art. 37 alin. 7), prin formularul de pe site-ul autorității.
Trebuie să țină cabinetul registrul activităților de prelucrare?
Da. Art. 30 alin. (5) scutește organizațiile cu mai puțin de 250 de angajați, dar nu atunci când prelucrarea este susceptibilă să genereze un risc pentru drepturile persoanelor, nu este ocazională sau include categorii speciale de date. Prelucrarea datelor pacienților nu este ocazională și privește date de sănătate, deci cabinetul mic nu este scutit.
Registrul (art. 30 alin. 1) cuprinde, printre altele, scopurile, categoriile de persoane vizate, de date și de destinatari și, unde este posibil, termenele de ștergere și o descriere a măsurilor de securitate. Se ține în scris, inclusiv electronic, și se pune la dispoziția autorității la cerere (alin. 3 și 4).
Ce contracte GDPR trebuie să aveți cu furnizorii?
Un contract de prelucrare a datelor (art. 28) cu fiecare furnizor care prelucrează date ale pacienților în numele cabinetului: software medical, găzduire, copii de siguranță, mentenanță IT. Contractul (sau alt act juridic) este obligatoriu și se încheie în scris, inclusiv electronic (alin. 3 și 9). Alineatul (3) enumeră clauzele cerute, printre care instrucțiuni documentate, confidențialitate, securitate, ștergerea sau returnarea datelor și audit.
Contează rolul real, nu eticheta din contract: operatorul stabilește scopurile și mijloacele prelucrării (art. 4 pct. 7), iar persoana împuternicită prelucrează în numele lui (art. 4 pct. 8). Un laborator implicat în tratament poate fi, după caz, operator separat; Legea 46/2003 permite transmiterea informațiilor către furnizorii acreditați implicați în tratament fără consimțământul pacientului (art. 23).
Ce măsuri de securitate cere GDPR?
Măsuri tehnice și organizatorice adecvate riscului (art. 32), inclusiv, după caz: pseudonimizarea și criptarea datelor; confidențialitatea, integritatea, disponibilitatea și rezistența sistemelor; restabilirea accesului la date după un incident; testarea periodică a eficacității măsurilor. Operatorul se asigură că orice persoană cu acces la date le prelucrează doar la cererea lui (alin. 4); în practică: instruirea personalului, conturi individuale și acces pe roluri.
Ce faceți dacă are loc un incident de securitate?
Notificați ANSPDCP fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la momentul în care ați aflat, cu excepția cazului în care este puțin probabil ca incidentul să genereze un risc pentru drepturile și libertățile persoanelor (art. 33 alin. 1). ANSPDCP a aprobat un formular tipizat prin Decizia nr. 128/2018. Furnizorii care prelucrează date în numele dumneavoastră trebuie să vă anunțe fără întârzieri nejustificate (alin. 2).
Dacă riscul este ridicat, informați și pacienții afectați (art. 34); nu este necesar, de exemplu, dacă datele afectate erau criptate și deci neinteligibile pentru persoane neautorizate (alin. 3 lit. a). Documentați fiecare incident, notificat sau nu: faptele, efectele și măsurile luate (art. 33 alin. 5).
Ce drepturi au pacienții asupra datelor lor?
Pacientul are acces la datele medicale personale (Legea 46/2003, art. 24 alin. 1), iar GDPR îi dă dreptul de acces și la o copie a datelor (art. 15). Prima copie este gratuită; pentru altele puteți percepe o taxă rezonabilă, bazată pe costurile administrative (art. 12 alin. 5 și art. 15 alin. 3). Răspundeți în cel mult o lună, termen care poate fi prelungit cu două luni când este necesar (art. 12 alin. 3).
Cât despre păstrare, datele nu se țin mai mult decât este necesar scopului (art. 5 alin. 1 lit. e); termenele pentru documentația medicală le stabilesc reglementările specifice activității dumneavoastră.
Ce documente GDPR să aveți în cabinet?
- Nota de informare pentru pacienți (art. 13).
- Registrul activităților de prelucrare (art. 30).
- Contractele de prelucrare a datelor (art. 28) cu furnizorii care prelucrează date în numele cabinetului.
- Procedurile de securitate (art. 32) și procedura pentru incidente, cu evidența incidentelor (art. 33 alin. 5).
- Instruirea personalului și angajamentele de confidențialitate.
- Analiza privind DPO și, dacă este cazul, numirea lui (art. 37).
- Consimțământul specific GDPR, doar pentru prelucrările bazate pe consimțământ, de exemplu un newsletter.
Unde se încadrează Soma?
Soma, asistentul inteligent al clinicii, bazat pe inteligență artificială și dezvoltat de Soma Labs, lucrează în baza unui contract de prelucrare a datelor (art. 28): clinica rămâne operator, iar Soma prelucrează datele în numele ei, la instrucțiunile ei. În consultație, Soma ascultă, înțelege și reține ce se spune, apoi scrie raportul în formatul clinicii; medicul îl verifică, îl corectează dacă este cazul și îl semnează.
Dacă doriți să vedeți cum lucrează Soma în cabinetul dumneavoastră, programați o demonstrație. Vă arătăm totul pe date fictive.