Un istoric de boli, un rezultat de analize, o trimitere la psihiatrie. Sunt informații pe care omul le împarte cu medicul tocmai pentru că are încredere că rămân acolo. În clipa în care ajung unde nu trebuie, încrederea aceea se rupe, și odată cu ea relația pe care stă tot actul medical.
Tocmai de asta legea tratează datele medicale altfel decât un nume sau o adresă. Iar pentru o unitate medicală, protecția lor nu e birocrație, e o parte din grija față de pacient.
De ce datele medicale sunt tratate special
GDPR împarte datele în două. Sunt datele obișnuite, ca numele sau telefonul, și sunt datele sensibile, dintr-o categorie specială. Datele despre sănătate stau în categoria specială, alături de cele despre religie, apartenență politică sau viața intimă.
Pentru aceste date, regula de bază e simplă: folosirea lor e interzisă, cu câteva excepții bine definite. Cu alte cuvinte, nu poți atinge o dată medicală decât dacă ai un motiv clar și permis de lege. Pentru o clinică, acel motiv e de obicei chiar îngrijirea pacientului.
Unde apar cele mai multe probleme
În sănătate, cele mai multe scurgeri nu sunt opera unor hackeri. Sunt greșeli de zi cu zi, făcute de oameni grăbiți, cu instrumente nepotrivite.
- Un tabel Excel cu pacienți trimis pe e-mail către persoana greșită. Am scris pe larg despre un astfel de caz în articolul despre un incident cu date medicale într-un fișier Excel.
- Acces la tot sistemul pentru toată lumea, când recepția nu ar trebui să vadă diagnostice, iar un medic nu are nevoie de toate dosarele.
- Dosare pe hârtie lăsate la vedere, sau fișiere ținute pe un laptop fără parolă și fără criptare.
- Un program medical cumpărat de la un furnizor, fără un contract care să spună clar cine răspunde de datele pacienților.
Niciuna nu pare gravă în momentul respectiv. Toate devin grave când datele ies pe ușă.
Ce cere legea
- Un motiv legal clar. Pentru îngrijirea pacientului, ai voie să folosești datele medicale fără un acord separat. Acordul rămâne însă necesar pentru alte scopuri, de pildă pentru marketing sau pentru a trimite datele cuiva care nu e implicat în tratament.
- Secretul medical. Pe lângă GDPR, datele despre pacienți sunt protejate și de regulile profesiei. Cele două se sprijină una pe alta.
- Anunțarea breșelor. Dacă scapă date de pacienți, anunți autoritatea în 72 de ore și, fiindcă sunt date sensibile, de obicei și pacienții.
- Evaluarea riscului (DPIA). Pentru situații cu risc mare, cum e un sistem nou care ține dosare de mii de pacienți, legea cere o analiză a riscurilor înainte de a porni.
Ce poate face concret o unitate medicală
Vestea bună e că pașii nu sunt complicați. Sunt aceiași pentru un spital și pentru un cabinet, doar la altă scară.
- Acces pe roluri. Fiecare vede doar ce are nevoie pentru treaba lui. Recepția vede programări, medicul vede dosarul pacienților lui, nu al întregului spital.
- Criptare și parole. Pe laptopuri, pe telefoane, pe stickuri. Dacă se pierde un dispozitiv, datele rămân de necitit.
- Mai puține date, nu mai multe. Colectezi și păstrezi doar ce îți trebuie, atât timp cât îți trebuie. Ce nu există nu se poate scurge.
- Contracte cu furnizorii. Cu firma de software medical, cu laboratorul, cu cei care fac mentenanță. Negru pe alb, cine răspunde de date.
- Oameni instruiți. Personalul învățat ce înseamnă o dată sensibilă și cum se trimite în siguranță un fișier oprește majoritatea greșelilor.
- Un plan pentru incidente. Cine ce face în primele ore, ca anunțul de 72 de ore să nu te prindă nepregătit.
La INFOSHARE ajutăm spitale, clinici și cabinete să pună toate astea la punct, de la conformitatea GDPR și rolul de DPO, până la securitatea informației. Iar registrele, evaluările de risc și evidența incidentelor stau într-un singur loc, în platforma askGDPR.
Întrebări frecvente
De ce sunt datele medicale protejate mai strict decât alte date?
Pentru că spun lucruri foarte intime despre o persoană: boli, tratamente, sarcini, sănătate mintală. GDPR le pune într-o categorie specială, alături de datele despre religie sau orientare sexuală, și cere reguli mai stricte pentru folosirea lor. O scurgere de date medicale nu se poate repara, pentru că informația rămâne acolo afară.
Pe ce bază legală poate o clinică să folosească datele medicale?
Folosirea datelor medicale e interzisă ca regulă, cu câteva excepții clare. Pentru un furnizor de servicii medicale, motivul legal obișnuit este acordarea îngrijirii (diagnostic, tratament, administrarea sistemului de sănătate), nu simplul consimțământ. Acordul pacientului rămâne necesar în alte situații, de exemplu pentru marketing sau pentru transmiterea datelor către terți care nu sunt implicați în tratament.
Ce face o unitate medicală când scapă date de pacienți?
Anunță autoritatea (ANSPDCP) în cel mult 72 de ore de când a aflat și, fiindcă vorbim de date sensibile, de regulă trebuie să anunțe și pacienții afectați. În paralel oprește scurgerea, strânge dovezile și notează incidentul. Cele mai multe astfel de cazuri pleacă de la un fișier trimis greșit sau de la un acces prea larg, nu de la un atac sofisticat.
Un cabinet mic chiar trebuie să respecte GDPR?
Da. GDPR nu se aplică după mărime, ci după tipul de date. Un cabinet de familie sau un cabinet stomatologic lucrează cu date medicale, deci are aceleași obligații de bază ca un spital mare: să folosească datele cu un motiv legal clar, să le țină în siguranță și să poată dovedi asta. Volumul de muncă e mai mic, dar regulile sunt aceleași.
Vrei să protejezi corect datele pacienților tăi?
Facem o evaluare pe situația unei unități medicale și punem la punct motivele legale, accesul, contractele și planul de incident, fără bătaie de cap pentru personal.