GDPR în cabinetul medical: acordul pacientului, pe scurt

Orice cabinet medical prelucrează date cu caracter personal, iar datele de sănătate sunt categorie specială, cu cerințe mai stricte. Nu ai nevoie de un departament juridic ca să fii în regulă, dar ai nevoie de câteva lucruri făcute corect și constant. Iată-le, pe scurt.

Cine e „operatorul": tu, cabinetul

Pentru datele pacienților tăi, cabinetul este operator de date. Furnizorii tăi de software sunt „persoane împuternicite": prelucrează datele doar pentru tine și pe instrucțiunile tale, pe baza unui contract care prevede asta. Verifică la furnizorul de soft că această clauză există.

Temeiul prelucrării: de regulă, actul medical

Pentru datele necesare consultației și tratamentului, temeiul e furnizarea serviciilor medicale, nu consimțământul. Consimțământul separat îți trebuie pentru ce iese din actul medical: comunicări de marketing, campanii SMS promoționale și altele asemenea.

Acordul pacientului: ce trebuie să conțină informarea

• Cine prelucrează datele (identitatea cabinetului) și cum poate fi contactat;
• Ce date se prelucrează și în ce scopuri;
• Cât timp se păstrează;
• Cui pot fi transmise (laboratoare, furnizori IT ca împuterniciți, autorități unde legea o cere);
• Drepturile pacientului: acces, rectificare, ștergere unde e posibil, plângere la ANSPDCP.

Igiena zilnică a datelor în cabinet

1. Conturi separate pentru fiecare angajat, cu parole proprii și roluri diferite pentru recepție și medici. Parola „comună a cabinetului" e cea mai frecventă vulnerabilitate.
2. Ecranele recepției nu rămân deschise spre pacienți; sesiunile se închid.
3. Nu trimite date medicale pe canale personale (WhatsApp personal, e-mail privat).
4. Știi unde sunt datele: la furnizori serioși, pe servere din UE, cu backup.
5. Ai o procedură pentru cereri: dacă un pacient cere accesul la datele lui sau ștergerea, știi cine răspunde și în cât timp (o lună, ca regulă).

Dacă se întâmplă un incident

Pierderea unui telefon cu date, un e-mail trimis greșit, un acces neautorizat: evaluezi rapid riscul, iar dacă există risc pentru pacienți, notifici ANSPDCP în 72 de ore. Furnizorul tău de soft trebuie să te anunțe imediat dacă incidentul e la el.