GDPR pentru clinici medicale: ce se aplică în practică

O clinică prelucrează zilnic unele dintre cele mai sensibile date pe care le are cineva: diagnostice, tratamente, rezultate de laborator. GDPR nu îți interzice să lucrezi cu ele, dar îți cere să știi pe ce temei o faci, cine are acces și ce faci când ceva merge prost. Mai jos găsești regulile care contează pentru un cabinet sau o clinică și o listă de verificare.

Articolul are rol informativ și nu înlocuiește consultanța juridică. Verifică forma în vigoare și aplicarea la clinica ta cu juristul sau cu responsabilul tău cu protecția datelor.

Datele de sănătate sunt o categorie specială

Art. 9 din GDPR interzice, ca regulă, prelucrarea datelor privind sănătatea, apoi enumeră excepțiile. Pentru o clinică, excepția relevantă pentru activitatea medicală este art. 9 alin. (2) lit. h): prelucrarea în scopuri de medicină preventivă, diagnostic medical, îngrijire sau tratament, de către profesioniști supuși obligației de secret profesional.

Pe lângă excepția din art. 9, ai nevoie și de un temei din art. 6. Pentru fișa medicală, acesta este de regulă:

• art. 6 alin. (1) lit. c), îndeplinirea unei obligații legale, pentru documentația medicală pe care legea te obligă să o ții;
• art. 6 alin. (1) lit. b), executarea contractului cu pacientul, pentru programări, servicii și facturare.

Consimțământul nu e temeiul pentru fișa medicală

O greșeală frecventă este să ceri pacientului „consimțământ GDPR” pentru tratament. Consimțământul poate fi retras oricând, iar tu nu poți șterge fișa medicală la cerere, pentru că legea îți impune să o păstrezi. Consimțământul informat pentru un act medical este altceva, reglementat de legislația medicală, nu de GDPR.

Consimțământul GDPR rămâne necesar pentru marketing: newslettere, oferte, campanii. Pentru marketingul prin mijloace electronice (SMS, e-mail, mesaje) se aplică și Legea nr. 506/2004.

Mementourile nu sunt marketing

Un mesaj care îi amintește pacientului de programarea lui ține de serviciul pe care l-a cerut. O ofertă pentru o altă procedură este marketing și are nevoie de consimțământ separat. Nu le amesteca în același mesaj.

Documentele pe care trebuie să le ai

Registrul activităților de prelucrare

Art. 30 îți cere un registru al activităților de prelucrare: ce date prelucrezi, în ce scop, pe ce temei, cui le transmiți, cât timp le păstrezi și cum le protejezi. Excepția pentru organizațiile cu sub 250 de angajați nu se aplică atunci când prelucrezi categorii speciale de date, deci o clinică trebuie să țină registrul indiferent de mărime.

Responsabilul cu protecția datelor (DPO)

Art. 37 alin. (1) lit. c) cere numirea unui DPO când activitatea principală implică prelucrarea pe scară largă a datelor de sănătate. Considerentul 91 precizează că prelucrarea datelor pacienților de către un medic individual nu este considerată pe scară largă. Un spital sau un grup de clinici cu multe locații va intra, foarte probabil, în obligație. Pentru situațiile intermediare, decizia și motivarea ei trebuie documentate împreună cu juristul tău.

Evaluarea impactului (DPIA)

Art. 35 cere o evaluare a impactului asupra protecției datelor înainte de prelucrările care pot genera un risc ridicat. În clinici, exemple tipice sunt prelucrarea pe scară largă a datelor de sănătate sau introducerea unor instrumente noi, cum ar fi cele bazate pe inteligență artificială care analizează date ale pacienților.

Furnizorii tăi sunt persoane împuternicite

Oricine prelucrează date ale pacienților în numele tău are nevoie de un contract conform art. 28 (acord de prelucrare a datelor, DPA). Lista obișnuită pentru o clinică:

• furnizorul de software medical și de programări;
• laboratoarele externe, atunci când prelucrează date în numele tău (unele pot fi operatori independenți, verifică rolul fiecăruia);
• furnizorii de SMS, WhatsApp sau e-mail folosiți pentru mesaje;
• contabilitatea externă;
• firmele de IT și găzduire.

Contractul trebuie să spună, printre altele, că furnizorul prelucrează datele doar pe baza instrucțiunilor tale, că păstrează confidențialitatea, ce măsuri de securitate aplică și ce se întâmplă cu datele la final.

Securitatea datelor

Art. 32 cere măsuri tehnice și organizatorice potrivite riscului. Pentru o clinică, minimul rezonabil arată așa:

• roluri și drepturi de acces: recepția vede programările, nu toate notițele clinice;
• jurnale de acces: poți afla cine a deschis o fișă și când;
• autentificare în doi pași pentru toate conturile cu acces la date ale pacienților;
• criptare a datelor în tranzit și stocate;
• copii de siguranță testate, nu doar programate;
• plecarea angajaților: conturile se dezactivează în ziua în care persoana pleacă.

Când apare un incident

Dacă are loc o încălcare a securității datelor (un laptop pierdut, un e-mail trimis greșit, un cont compromis), art. 33 îți cere să notifici ANSPDCP în cel mult 72 de ore de la momentul în care ai aflat, cu excepția cazului în care e puțin probabil să genereze un risc pentru persoane. Dacă riscul pentru pacienți este ridicat, art. 34 îți cere să îi informezi și pe ei, fără întârzieri nejustificate.

Ține un registru intern al tuturor incidentelor, inclusiv al celor pe care nu le notifici, cu motivarea deciziei.

Drepturile pacienților

Drept	Ce înseamnă pentru clinică
Acces (art. 15)	Pacientul primește o copie a datelor; prima copie este gratuită
Rectificare (art. 16)	Corectezi datele inexacte, fără a altera istoricul medical
Ștergere (art. 17)	Limitată de obligațiile legale de păstrare a documentației medicale
Portabilitate (art. 20)	Pentru datele furnizate de pacient, prelucrate pe bază de contract sau consimțământ, prin mijloace automate
Opoziție la marketing (art. 21)	Oprești imediat mesajele de marketing

Ca regulă, răspunzi în termen de o lună de la primirea cererii (art. 12). Verifică identitatea celui care cere datele înainte să le trimiți.

Termenele de păstrare

Cât timp păstrezi fișa medicală, imagistica sau documentele financiare nu stabilește GDPR, ci legislația națională (medicală, contabilă, arhivistică). Termenele diferă în funcție de tipul documentului. Confirmă-le cu juristul tău și scrie-le în registrul de prelucrare.

Listă de verificare

• Ai registrul activităților de prelucrare, actualizat.
• Ai documentat temeiul legal pentru fiecare scop, fără consimțământ pentru fișa medicală.
• Ai consimțământ separat, dovedibil, pentru marketing.
• Ai analizat dacă ai nevoie de DPO și ai documentat concluzia.
• Ai contracte art. 28 cu toți furnizorii care prelucrează date în numele tău.
• Accesul e pe roluri, cu autentificare în doi pași și jurnale de acces.
• Copiile de siguranță sunt testate periodic.
• Ai o procedură scrisă pentru incidente și știi cine notifică ANSPDCP.
• Ai o procedură pentru cererile pacienților și termenele de răspuns.
• Termenele de păstrare sunt confirmate cu juristul și aplicate.

Clinesto oferă roluri și privilegii de acces, acces restrâns pe fișă, jurnal de audit al modificărilor, autentificare în doi pași și un contract de prelucrare a datelor conform art. 28. Documentele și deciziile de conformitate ale clinicii rămân responsabilitatea ta și a juristului tău.