Studiu de caz: clinică medicală
Datele privind sănătatea pacienților fac parte din categoriile speciale de date (art. 9). Clinica trebuie să le protejeze împotriva accesului neautorizat prin măsuri tehnice și organizatorice adecvate riscului (art. 5 și art. 32) și, fiindcă prelucrează astfel de date, să țină evidența activităților de prelucrare (art. 30). În acest exemplu ilustrativ, niciuna dintre aceste cerințe nu era îndeplinită.
Situația
Clinică stomatologică din Chișinău, cu trei cabinete. Toți angajații, inclusiv cei de la recepție, aveau acces la toate fișele pacienților, rezultatele investigațiilor erau trimise pacienților pe Viber, iar clinica nu ținea evidența activităților de prelucrare. La prima vizită, pacienții completau un chestionar cu datele de contact și antecedentele medicale, fără să afle cine și în ce scop le prelucrează.
Ce lipsea
- 01Recepția vedea diagnosticele și planurile de tratament, deși pentru programări și încasări are nevoie doar de datele de contact și de calendarul vizitelor. Datele nu erau limitate la ceea ce este necesar fiecărui rol și erau accesibile, în mod implicit, întregului personal. art. 5 art. 25
- 02Rezultatele investigațiilor, adică date privind sănătatea, plecau pe o aplicație de mesagerie, pe numere introduse manual, fără verificarea destinatarului și fără ca riscul acestui canal să fi fost evaluat. art. 9 art. 32
- 03Clinica nu ținea evidența activităților de prelucrare. Scutirea pentru întreprinderile cu mai puțin de 250 de angajați nu i se aplica, fiindcă prelucrarea include date privind sănătatea și nu este ocazională. art. 30
- 04Pacienții nu primeau informațiile cerute în momentul colectării datelor: identitatea clinicii, scopurile și temeiul juridic, destinatarii, perioada de stocare, drepturile lor și dreptul de a depune o plângere la Centrul Național pentru Protecția Datelor cu Caracter Personal. art. 12 art. 13
- 05Personalul nu primise instrucțiuni privind accesul la date, deși oricine acționează sub autoritatea clinicii le prelucrează doar în baza instrucțiunilor acesteia, iar clinica nu avea nicio regulă pentru documentarea unei încălcări a securității datelor. art. 29 art. 32 art. 33
Riscurile
Amendă pentru încălcarea principiilor
Accesul nelimitat la fișe și trimiterea rezultatelor pe un canal nesigur încalcă principiile prelucrării și regulile pentru categoriile speciale de date. Pentru acestea, legea prevede amenzi de până la 2 000 000 de lei sau, în cazul unei întreprinderi, de până la 2% din cifra totală de afaceri din anul anterior sancționării, luându-se în calcul cea mai mare valoare. Pentru aceleași operațiuni de prelucrare, totalul nu poate depăși suma prevăzută pentru cea mai gravă încălcare. art. 5 art. 9 art. 87 art. 88
Control al Centrului
Centrul poate cere oricând evidența activităților de prelucrare, iar lipsa ei se constată la prima solicitare. Obligațiile privind evidența și securitatea se sancționează cu amenzi de până la 1 000 000 de lei sau 1% din cifra totală de afaceri. Din cuantumul amenzii stabilite se aplică 10% în primul an de la intrarea în vigoare a legii, 40% în al doilea și 100% din al treilea. art. 30 art. 60 art. 88 art. 90
Plângerea și despăgubirile pacientului
Un pacient ale cărui rezultate au ajuns la altcineva poate depune o plângere la Centru în termen de un an de la data la care a putut afla de încălcare, dar nu mai târziu de 3 ani de la aceasta, și poate cere despăgubiri pentru prejudiciul material sau moral. Dacă încălcarea securității este susceptibilă să genereze un risc ridicat, clinica trebuie să îl informeze și pe pacient. art. 34 art. 72 art. 76
Ce s-a pus în loc
- 01Politica de acces la fișele medicale, pentru ca fiecare angajat să vadă doar datele de care are nevoie în rolul său, iar recepția să nu mai vadă diagnosticele. art. 5 art. 25 art. 32
- 02Un canal securizat de transmitere a rezultatelor, ales în funcție de riscul pentru pacienți, în locul aplicației de mesagerie. art. 9 art. 32
- 03Evidența activităților de prelucrare, pe care clinica o poate pune la dispoziția Centrului la cerere. art. 30
- 04Nota de informare pentru pacienți, oferită la prima vizită, pentru ca fiecare pacient să știe cine îi prelucrează datele, în ce scop și ce drepturi are. art. 12 art. 13
- 05Angajamente de confidențialitate semnate de personal și informarea și consilierea echipei, pentru ca fiecare să prelucreze datele doar conform instrucțiunilor clinicii. art. 29 art. 32
- 06Registrul încălcărilor securității datelor, care permite Centrului să verifice cum a fost tratat fiecare incident. art. 33
Rezultat
Accesul la fișe este acordat în funcție de rol, rezultatele se transmit printr-un canal securizat, pacienții primesc o notă de informare, iar clinica are evidența activităților de prelucrare, angajamente de confidențialitate semnate de personal, un registru al încălcărilor și o echipă informată despre obligațiile ei.
Pentru o clinică medicală tipică
Pachetul Esențial + lucrări în plus, 18 900 MDL
Este o estimare pentru o organizație tipică din domeniu, cu până la 20 de persoane care lucrează cu datele. Prețul exact depinde de ce faceți cu datele.
Calculați prețul exact →Întrebări frecvente
Întrebări despre acest caz
Recepția poate vedea fișa medicală a pacientului?
Doar în măsura în care are nevoie pentru sarcinile ei. Datele trebuie limitate la ceea ce este necesar scopului, iar măsurile clinicii trebuie să asigure că, în mod implicit, ele nu pot fi accesate de un număr nelimitat de persoane. Pentru programări sunt suficiente, de regulă, datele de contact și calendarul vizitelor. art. 5 art. 25
Clinica are nevoie de consimțământul pacientului pentru datele de sănătate?
Nu pentru îngrijirea medicală. Interdicția privind datele de sănătate nu se aplică atunci când prelucrarea este necesară pentru stabilirea unui diagnostic sau pentru prestarea asistenței medicale, în temeiul actelor normative sau al unui contract cu un prestator de servicii de sănătate, dacă datele sunt prelucrate de un profesionist supus secretului profesional sau sub responsabilitatea acestuia. Pentru alte scopuri, clinica are nevoie de un alt temei. art. 6 art. 9
O clinică mică trebuie să țină evidența activităților de prelucrare?
Da, dacă prelucrează date privind sănătatea. Scutirea pentru întreprinderile cu mai puțin de 250 de angajați nu se aplică atunci când prelucrarea include categorii speciale de date, nu este ocazională sau poate genera un risc pentru persoanele vizate. Evidența se ține în scris, inclusiv în format electronic. art. 30
Ce face clinica dacă rezultatele au ajuns la alt pacient?
Este o încălcare a securității datelor. Clinica notifică Centrul fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la data la care a luat cunoștință de ea, cu excepția cazului în care încălcarea este puțin susceptibilă să genereze un risc. Dacă riscul pentru pacient este ridicat, clinica îl informează și pe el. art. 33 art. 34
Consultație gratuită
Nu știți de unde să începeți?
Cereți o consultație gratuită de 15 minute. Vă spunem ce obligații din Legea nr. 195/2024 vă privesc și ce pași sunt necesari.