GDPR pentru cabinete medicale, clinici și cabinete stomatologice

Ce obligații GDPR are un cabinet medical

Un cabinet medical, o clinică sau un cabinet stomatologic prelucrează în fiecare zi date privind sănătatea. Art. 9 din Regulamentul (UE) 2016/679 le încadrează în categoriile speciale de date, a căror prelucrare este în principiu interzisă, cu excepțiile enumerate expres.

Pentru activitatea medicală, excepția relevantă este art. 9 alin. (2) lit. h): prelucrarea este necesară pentru medicina preventivă, diagnostic, asigurarea îngrijirilor sau a tratamentului. Condiția din art. 9 alin. (3) este ca datele să fie prelucrate de profesioniști supuși obligației de secret profesional sau sub responsabilitatea acestora. Asta include asistentele, registratura și personalul auxiliar, care trebuie să aibă obligații scrise de confidențialitate.

Obligațiile practice ale cabinetului sunt:

• registrul activităților de prelucrare (art. 30); excepția pentru sub 250 de angajați nu se aplică, fiindcă se prelucrează date sensibile;
• informarea pacienților (art. 13), afișată la recepție și publicată pe site;
• procedura pentru cererile pacienților: acces la dosar, copii, rectificare (art. 15–22);
• contracte de împuternicire (art. 28) cu furnizorul programului medical, laboratorul extern când acționează în numele cabinetului, firma de IT și cea de arhivare;
• măsuri de securitate adecvate riscului ridicat (art. 32);
• notificarea incidentelor către ANSPDCP în 72 de ore și, când riscul este ridicat, informarea pacienților (art. 33–34). Procedura este explicată în ghidul despre incidentele de securitate și termenul de 72 de ore.

Când este obligatoriu DPO-ul

Art. 37 alin. (1) lit. c) impune DPO atunci când activitatea principală constă în prelucrarea pe scară largă a categoriilor speciale de date. Considerentul 91 precizează că un medic individual nu prelucrează date pe scară largă. O clinică cu mai multe specialități, o policlinică sau un lanț de cabinete trebuie însă să evalueze situația și, frecvent, să realizeze o evaluare de impact (art. 35). Detalii în ghidul cine are nevoie de DPO.

Ce date prelucrați

Camerele video nu se montează în cabinetele de consultație, în sălile de tratament sau în vestiare.

Specificul cabinetelor stomatologice

Un cabinet stomatologic lucrează cu radiografii panoramice și retroalveolare, fotografii intraorale, scanări și planuri de tratament transmise laboratorului de tehnică dentară. Toate sunt date privind sănătatea. Întrebările care apar des:

• laboratorul de tehnică dentară primește doar datele necesare lucrării, nu întregul dosar;
• imaginile „înainte și după” se publică doar cu consimțământ explicit, iar fața pacientului sau alte elemente de identificare se evită;
• aparatele de radiologie și scanerele salvează date pe calculatoare care trebuie protejate la fel ca programul principal.

Drepturile pacienților asupra datelor

Pacientul are dreptul să afle ce date deține cabinetul despre el și să primească o copie a acestora (art. 15), iar răspunsul se dă în cel mult o lună. Poate cere corectarea datelor de identificare sau de contact greșite. Ștergerea fișei medicale nu se poate cere oricând: dacă legislația sănătății obligă cabinetul să păstreze documentele medicale, dreptul la ștergere nu se aplică pe durata acestei obligații. Este util ca recepția să știe cui transmite astfel de cereri și cum verifică identitatea celui care le face.

Greșeli frecvente

• confuzia între consimțământul informat pentru actul medical și consimțământul GDPR, cu formulare care cer acord pentru orice;
• calculatorul de la recepție rămas deschis, cu programul medical vizibil pentru pacienții din sala de așteptare;
• programări și rezultate discutate prin aplicații de mesagerie pe telefonul personal al medicului;
• lipsa contractului de împuternicire cu furnizorul programului medical găzduit în cloud;
• fișe pe hârtie ținute în dulapuri neîncuiate pe hol;
• conturi comune pentru tot personalul, fără istoric al accesărilor.

Cum vă putem ajuta

Pentru un cabinet sau o clinică pornim de la fluxul real al pacientului: programare, recepție, consultație, investigații, facturare, arhivă. Pe baza lui facem implementarea GDPR pentru cabinetul medical: registru, informarea pacienților, formularele de consimțământ pentru fotografii, contractele cu furnizorii și procedura pentru incidente.

Datele de sănătate cer o analiză a riscurilor de securitate: acces fizic la fișe, conturi, backup, dispozitive medicale conectate. Fondatorul firmei are 23 de ani de experiență, dintre care 14 în securitate, este manager de securitate certificat și evaluator de risc la securitatea fizică, înscris în registrul național. Pentru clinicile unde DPO-ul este obligatoriu sau util, putem prelua rolul de DPO extern pentru clinică.

Venim la sediu în Călărași și în județele Giurgiu, Ilfov, Ialomița, Brăila și Constanța; cu cabinetele din restul țării lucrăm online.

Cât costă

Pentru cabinetele și clinicile cu sub 40 de angajați, abonamentul este 1.500 lei pe trimestru, preț final, deoarece firma nu este plătitoare de TVA. Pentru clinicile mai mari facem o ofertă. Informațiile complete sunt pe pagina de prețuri.