LEGISLAŢIE Impactul GDPR în serviciile de sănătate

Odată acceptată ideea că Regulamentul 2016/679 privind protecţia datelor (GDPR) este pe deplin aplicabil nu doar diverselor entităţi juridice (inclusiv în cazul companiilor mici, cu un nivel destul de redus al activităţii), ci şi în cazul persoanelor fizice care prelucrează date cu caracter personal, în cursul activităţii acestora, se poate pune problema implicaţiilor specifice ale Regulamentului asupra activităţii desfăşurată în domeniul medical.

În acest context, alinierea la cerinţele GDPR impune o analiză detaliată a particularităţilor domeniului medical, luând în considerare, în mod special, prevederile legale aplicabile în această materie (inclusiv legislaţia specifică ce reglementează profesia de medic), pentru a răspunde, astfel, scopurilor adoptării Regulamentului.

• Aspecte specifice

În afară de necesităţile generale de conformare cu prevederile GDPR - aspecte care nu sunt, însă, deloc de neglijat, luând în considerare diversele chestiuni relevante în contextul unei analize (cum ar fi: nivelul de activitate, fluxurile specifice de informaţii, tipul şi nivelul relaţiilor cu alte persoane, apartenenţa la un grup de societăţi ori operaţiunile complexe cu un impact asupra datelor cu caracter personal prelucrate) -, specificul domeniului medical poate aduce implicaţii suplimentare care trebuie adresate din perspectiva protecţiei datelor, în contextul particular al desfăşurării unei activităţi reglementate şi în care o parte semnificativă a informaţiilor o reprezintă categoriile speciale de date cu caracter personal, în sensul GDPR.

La o primă vedere, s-ar putea aprecia că, la nivelul unui cabinet medical, cerinţele Regulamentului pot fi mai uşor de implementat şi observat pe parcursul aplicării acestora; un principal argument ar putea fi acela că activitatea curentă din cadrul unui simplu cabinet medical presupune un flux şi un nivel de informaţii mai puţin complicat, putând fi în mod lesne identificate principalele aspecte care trebuie aliniate cu cerinţele GDPR.

În funcţie, însă, de modalitatea specifică de organizare a cabinetului, în acord cu prevederile legale, şi luând în considerare şi relaţiile stabilite de cabinetul medical cu diverşii săi parteneri - relaţii care vizează inclusiv furnizorii de servicii specifice (spre exemplu: furnizorii de servicii IT, furnizorii de servicii de contabilitate/salarizare), precum şi colaborările stabilite cu alte cabinete ori societăţi/clinici care activează în domeniul medical - pot apărea o serie de aspecte destul de complexe care pot îngreuna conformarea cu prevederile Regulamentului.

Între altele, următoarele chestiuni specifice ar putea implica anumite dificultăţi de analiză:

(a) Identificarea relaţiilor cu partenerii;

(b) Identificarea obligaţiilor specifice în funcţie de circumstanţele prelucrării;

(d) Necesitatea unei evaluări a impactului asupra protecţiei datelor.

Caracterul foarte variat al datelor cu caracter personal prelucrate în mod uzual de persoanele care activează în domeniul medical, reglementările specifice din această materie, precum şi contextul particular al relaţiilor stabilite atât cu persoanele vizate, cât şi cu diversele persoane implicate în procesele de prelucrare a datelor trebuie analizate în detaliu, pentru a identifica şi adresa, în mod corespunzător, implicaţiile acestor operaţiuni, din perspectiva cerinţelor Regulamentului, raportat şi la realităţile efective ale activităţii medicale.

Eventualele materiale pregătite la nivelul diverselor asociaţii profesionale, organe de reglementare şi/sau alte organisme active în domeniul medical se pot dovedi extrem de utile pentru a defini, cel puţin la nivel principial, unele recomandări de urmat de către cei care activează în acest domeniu. Cu titlu orientativ, pot fi luate în considerare inclusiv materiale pregătite de autorităţile naţionale din domeniul protecţiei datelor cu caracter personal ori diverse orientări pregătite chiar la nivelul asociaţiilor/organelor profesionale, din alte state membre UE, care pot oferi recomandări destul de utile în contextul necesităţii de conformare cu cerinţele GDPR.