Un cabinet stomatologic, o clinică privată, un laborator de analize, o farmacie, o aplicație de telemedicină — toate au un lucru în comun: lucrează cu date despre sănătatea oamenilor. Iar GDPR tratează aceste date cu mănuși, pentru că o scurgere aici nu înseamnă doar un e-mail expus, ci diagnostice, analize, istoric medical.
Vestea bună e că „a fi conform" nu e un mister. GDPR îți spune destul de clar ce trebuie să faci. Hai să le luăm pe rând, ca pe o listă pe care o poți bifa.
Întâi, o idee de bază: tu, operatorul, trebuie să demonstrezi
GDPR pune responsabilitatea pe umerii operatorului — adică firma care decide de ce și cum se folosesc datele (clinica, cabinetul, compania). Articolul 5(2) și articolul 24 spun limpede: nu e suficient să respecți regulile, trebuie să poți dovedi că le respecți. De aceea aproape tot ce urmează înseamnă, în practică, „să ai pe hârtie și să faci în realitate".
Lista de mai jos urmează firul obligațiilor operatorului din Capitolul II (principii), Capitolul III (drepturile oamenilor) și Capitolul IV (operator și persoană împuternicită).
Checklistul — 14 lucruri de avut în 2026
1. Bază legală corectă pentru fiecare folosire a datelor (art. 6 + art. 9)
Orice folosire de date are nevoie de un motiv permis de lege. La date de sănătate sunt două straturi: temeiul general (art. 6) și o excepție din art. 9, fiindcă datele de sănătate sunt, în principiu, interzise la prelucrare. Pentru actul medical, temeiul tipic este art. 9(2)(h) — asistență medicală. Pentru newsletter, programări de marketing sau testimoniale, ai nevoie de consimțământ separat (art. 6(1)(a) + art. 9(2)(a)). Bifează: știi, pentru fiecare tip de date, pe ce temei le folosești.
2. Registrul activităților de prelucrare (ROPA) (art. 30)
Un document care arată ce date colectezi, de ce, cât le ții, cui le dai și cum le protejezi. E prima foaie pe care ți-o cere autoritatea într-un control. Pentru o clinică, registrul acoperă pacienți, angajați, furnizori, candidați la angajare etc.
3. Notă de informare clară pentru pacienți (art. 13–14)
Pacientul are dreptul să știe, înainte sau în momentul colectării, cine îi folosește datele, de ce, cât timp și ce drepturi are. Nota trebuie să fie pe înțelesul lui, nu un text juridic stufos. O găsești la recepție, pe site și în formularele de consimțământ.
4. Mecanisme reale pentru drepturile pacienților (art. 15–22)
Omul poate cere: acces la datele lui, corectarea unei greșeli, ștergerea (cu limitele de la punctul 13), restricționarea folosirii, opoziția, sau portabilitatea. Trebuie să ai un mod clar prin care primești și rezolvi astfel de cereri, de regulă în 30 de zile. Bifează: cine răspunde, în cât timp, cum dovedești că ai răspuns.
5. Consimțământ corect, acolo unde e nevoie (art. 7)
Când te bazezi pe consimțământ (marketing, ulterioare amintiri, poze, studii), el trebuie să fie liber, clar, specific și la fel de ușor de retras ca de dat. Atenție: pentru actul medical în sine NU ceri consimțământ GDPR — acolo temeiul e art. 9(2)(h). A le amesteca e o greșeală frecventă.
6. Responsabil cu protecția datelor — DPO (art. 37–39)
Dacă prelucrezi pe scară largă date de sănătate — și majoritatea unităților medicale o fac — ai nevoie de un DPO (art. 37). El îndrumă, verifică și ține legătura cu autoritatea. Poate fi intern sau extern. Mai multe în articolele despre ce înseamnă DPO și ce sarcini are și despre DPO externalizat.
7. Măsuri de securitate pe potriva riscului (art. 32)
Date sensibile = protecție pe măsură: control al accesului (cine vede ce), criptare, pseudonimizare unde se poate, copii de siguranță, jurnalizarea accesărilor, parole puternice și actualizări la zi. Detalii practice în articolul despre securitatea datelor medicale.
8. Evaluarea impactului — DPIA (art. 35)
Pentru prelucrarea pe scară largă a datelor de sănătate, GDPR cere o evaluare a impactului asupra vieții private (DPIA) înainte de a porni. Practic: analizezi ce poate merge prost și ce măsuri iei. E obligatorie, de pildă, la o aplicație de telemedicină sau un sistem nou de fișe electronice.
9. Contracte cu persoanele împuternicite (art. 28)
Tot ce atinge datele tale din afară are nevoie de un contract: furnizorul de software medical, găzduirea/cloud-ul, laboratorul extern, firma de arhivare, IT-ul externalizat, platforma de programări. Contractul (DPA) stabilește că ei folosesc datele doar la instrucțiunile tale și cu aceeași grijă.
10. Plan de notificare a breșelor (art. 33–34)
Dacă datele sunt expuse, ai, de regulă, 72 de ore să anunți autoritatea (ANSPDCP) și, când riscul e mare, să-i anunți pe pacienți. Trebuie să ai procedura scrisă înainte să se întâmple ceva. Vezi cum se face corect în articolul despre notificarea ANSPDCP și un exemplu real în incidentul cu date medicale într-un Excel.
11. Reguli pentru transferuri în afara UE (Cap. V, art. 44–49)
Dacă folosești un serviciu care ține datele în afara Uniunii Europene (cloud, un instrument american etc.), ai nevoie de garanții suplimentare. Verifică unde stau, de fapt, datele tale.
12. Instruirea personalului și confidențialitatea
Cele mai multe incidente vin de la oameni, nu de la hackeri: o fișă lăsată la vedere, un e-mail trimis greșit. Instruiește periodic echipa și pune clauze de confidențialitate în contracte. E o măsură cerută inclusiv ca parte din securitate (art. 32).
13. Retenție și arhivare — cât ții datele (art. 5(1)(e))
Datele se păstrează doar cât e nevoie. În sănătate, însă, legea îți impune termene de păstrare a fișelor medicale — deci aici „ștergerea la cerere" are limite. Cheia e să ai o politică de retenție: ce ții, cât, și ce ștergi când nu mai are temei.
14. Protecția datelor din construcție și implicit (art. 25)
Când alegi un program nou sau pornești un serviciu, protecția datelor trebuie gândită de la început, nu lipită la final: colectezi doar ce-ți trebuie, setările sigure sunt cele implicite, accesul e limitat. E principiul „privacy by design & by default".
Context 2026: nu doar GDPR
Sănătatea e considerată un domeniu critic și de alte reguli noi. Directiva NIS2 aduce obligații de securitate cibernetică pentru multe unități medicale, iar la nivel european se construiește Spațiul European al Datelor de Sănătate (EHDS). Vestea bună: dacă ai bazele GDPR la punct, ești deja cu un pas înainte și pentru acestea.
Cum verifici rapid unde stai
Lista pare lungă, dar nu trebuie să o ataci pe toată dintr-odată. Începe cu o radiografie: ce ai deja și ce îți lipsește. Pe askGDPR.ro ai un modul de autoevaluare GDPR gratuit care îți arată, în câteva minute, cât de aproape ești de conformitate. Iar dacă ai întrebări pe parcurs, tot acolo găsești un asistent GDPR care îți răspunde pe loc — util mai ales înainte să investești în consultanță.
Pentru o privire de ansamblu peste toate domeniile, vezi și checklistul GDPR complet pentru 2026.
Întrebări frecvente
Datele de sănătate sunt date sensibile?
Da. Datele privind sănătatea sunt categorie specială de date, conform articolului 9 din GDPR. Prelucrarea lor este interzisă în principiu, cu excepția unor situații prevăzute clar de lege — pentru un furnizor de servicii medicale, temeiul tipic este articolul 9(2)(h): asistență medicală și gestionarea serviciilor de sănătate.
O clinică are nevoie de DPO?
De regulă, da. Conform articolului 37 din GDPR, este obligatoriu un Responsabil cu protecția datelor (DPO) când prelucrezi pe scară largă categorii speciale de date — iar datele de sănătate sunt exact asta. Cele mai multe clinici, spitale și laboratoare intră în această situație.
Pot șterge fișa unui pacient la cerere?
Nu întotdeauna integral. Dreptul la ștergere (articolul 17) nu se aplică atunci când păstrarea datelor este o obligație legală — iar fișele medicale au termene de păstrare prevăzute de lege. Poți șterge ce nu mai are temei (de exemplu, datele de marketing), dar nu documentația medicală pe care ești obligat să o arhivezi.
De unde încep dacă nu știu unde stau cu GDPR?
Cel mai simplu este o autoevaluare. Pe askGDPR.ro există un modul gratuit de autoevaluare GDPR și un asistent care răspunde la întrebări, ca să vezi rapid ce ai deja și ce îți lipsește, înainte de a investi în consultanță.
Vezi în câteva minute cât de conform ești
Începe cu autoevaluarea GDPR gratuită de pe askGDPR.ro și folosește asistentul GDPR pentru întrebări. Apoi, dacă vrei să pui totul la punct fără bătăi de cap, te ajutăm noi — de la registru și note de informare până la DPO și securitate.