Cadrul aplicabil și de ce contează
Un cabinet medical este, în terminologia Regulamentului (UE) 2016/679, operator de date cu caracter personal. Stabilește el însuși scopurile și mijloacele prelucrării, deci răspunde direct pentru conformitate. În România, aplicarea este supravegheată de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), iar cadrul intern este completat de Legea nr. 190/2018.
Particularitatea sectorului medical este că datele privind sănătatea intră în categoriile speciale reglementate de articolul 9. Prelucrarea lor este, ca regulă, interzisă, cu excepțiile prevăzute expres — printre care, relevantă aici, prelucrarea necesară scopurilor de medicină preventivă, diagnostic medical și furnizare de îngrijire medicală, efectuată de un profesionist supus obligației de secret profesional.
Consecința practică: nu vă bazați pe consimțământ ca temei principal pentru datele medicale ale pacientului. Temeiul este cel de la art. 9 alin. (2) lit. h), coroborat cu art. 6. Consimțământul rămâne relevant pentru prelucrări separate — comunicări comerciale, de exemplu — și trebuie să poată fi retras oricând, fără consecințe asupra actului medical.
Temeiul legal al prelucrării
Pentru fiecare categorie de prelucrare, cabinetul trebuie să poată indica temeiul. În practică, într-un cabinet obișnuit apar patru situații:
| Prelucrare | Temei tipic |
|---|---|
| Fișa medicală, diagnostic, tratament | Art. 6(1)(c)/(b) + art. 9(2)(h) — furnizarea de îngrijire medicală |
| Facturare, evidență contabilă | Art. 6(1)(c) — obligație legală |
| Raportări către casa de asigurări | Art. 6(1)(c) — obligație legală |
| Comunicări de marketing | Art. 6(1)(a) — consimțământ, revocabil |
Datele de gestiune a stocurilor și a echipamentelor nu sunt, în sine, date personale. Devin însă relevante în momentul în care consumul este legat de o procedură și, indirect, de un pacient — situație în care se aplică aceleași reguli ca pentru datele clinice.
Registrul activităților de prelucrare
Articolul 30 prevede o excepție pentru entitățile cu sub 250 de angajați, dar excepția nu se aplică atunci când prelucrarea vizează categorii speciale de date. Cu alte cuvinte: un cabinet medical are nevoie de registru, indiferent de numărul de angajați.
Registrul nu trebuie să fie complicat. Un tabel cu următoarele coloane, actualizat când se schimbă ceva, este suficient:
- Scopul prelucrării și temeiul legal
- Categoriile de persoane vizate (pacienți, angajați, colaboratori)
- Categoriile de date prelucrate
- Destinatarii (laboratoare partenere, casa de asigurări, furnizorul de software)
- Termenul de păstrare
- Măsurile de securitate aplicate
- Eventuale transferuri în afara UE
Măsuri tehnice și organizatorice
Articolul 32 cere măsuri „adecvate riscului”. Pentru un cabinet medical, setul minim rezonabil arată astfel:
Tehnice
- Control acces pe roluri (RBAC) — recepția nu vede aceleași informații ca medicul curant. Fiecare utilizator are cont propriu; conturile partajate anulează orice posibilitate de răspundere individuală.
- Jurnal de audit — cine a accesat, ce a accesat, când și ce a modificat. Este singura măsură care permite reconstituirea unui incident.
- Criptare — în tranzit (HTTPS, obligatoriu) și în repaus pentru datele sensibile.
- Backup verificat — copii regulate, stocate separat, cu testarea periodică a restaurării. Un backup netestat nu este un backup.
- Autentificare puternică — parole unice și, ideal, al doilea factor pentru conturile cu drepturi extinse.
Organizatorice
- Acorduri de confidențialitate semnate de tot personalul cu acces la date.
- Instruire periodică documentată — cine a participat și când.
- Procedură scrisă pentru gestionarea incidentelor.
- Politică de „birou curat”: dosare încuiate, ecrane blocate automat, documente distruse controlat.
- Revocarea imediată a accesului la încetarea colaborării.
Drepturile pacienților, în practică
Pacientul are drept de acces, rectificare, ștergere, restricționare, portabilitate și opoziție. În context medical, aceste drepturi au limite reale, iar cunoașterea lor evită atât refuzurile nejustificate, cât și cedările greșite:
- Accesul — pacientul are dreptul la o copie a datelor sale. Termenul de răspuns este de o lună, extensibil cu două luni pentru cereri complexe.
- Ștergerea — nu se aplică atunci când păstrarea este necesară pentru îndeplinirea unei obligații legale. Documentația medicală are termene legale de arhivare care primează.
- Rectificarea — datele de identificare eronate se corectează. Conținutul actului medical nu se rectifică la cererea pacientului; o observație divergentă se consemnează separat.
- Retragerea consimțământului pentru marketing este imediată și nu afectează accesul la servicii medicale.
Recomandare practică: un registru intern al cererilor primite, cu data primirii, data răspunsului și soluția. Este prima dovadă cerută în cazul unei sesizări.
Termene de păstrare
Principiul limitării stocării cere ca datele să nu fie păstrate mai mult decât e necesar. În medicină, „necesar” este definit în mare parte de reglementările sectoriale privind arhivarea documentației medicale, iar acestea se pot modifica.
Ce trebuie să existe la nivelul cabinetului este o politică scrisă, care pentru fiecare categorie de document stabilește termenul și sursa lui normativă, precum și modul de eliminare la expirare. Aceeași politică trebuie să acopere și datele din sistemele informatice, inclusiv backupurile — un termen respectat în aplicație, dar ignorat în arhiva de backup, nu este respectat.
Incidente de securitate
O încălcare a securității datelor se notifică autorității de supraveghere în 72 de ore de la momentul luării la cunoștință, cu excepția cazului în care este puțin probabil să genereze un risc pentru drepturile persoanelor. Când riscul este ridicat, se informează și persoanele vizate.
72 de ore trec repede. Pregătiți dinainte:
- O procedură de o pagină: cine se anunță, cine decide, cine notifică.
- Un registru intern al incidentelor — obligatoriu inclusiv pentru incidentele care nu se notifică.
- Capacitatea tehnică de a stabili rapid ce date au fost afectate și cine le-a accesat. Aici jurnalul de audit face diferența între o notificare precisă și una vagă.
Furnizorii ca persoane împuternicite
Furnizorul de software, firma de IT care administrează serverele, serviciul de arhivare — toți cei care prelucrează date în numele cabinetului sunt persoane împuternicite și au nevoie de contract conform articolului 28.
Contractul trebuie să prevadă obiectul și durata prelucrării, obligația de a acționa doar la instrucțiunile operatorului, confidențialitatea, măsurile de securitate, condițiile de subcontractare, sprijinul acordat la răspunsul către persoanele vizate și ștergerea sau returnarea datelor la finalul relației. Verificați și localizarea serverelor: stocarea în interiorul UE simplifică semnificativ situația.
Ce trebuie să vă ofere software-ul
O platformă de gestiune folosită într-un cabinet medical ar trebui să acopere nativ, nu ca opțiuni suplimentare:
- Jurnal de audit complet și needitabil, cu utilizator, acțiune, moment și valorile modificate.
- Control acces pe roluri, cu conturi individuale și drepturi granulare.
- Criptarea datelor sensibile și comunicație exclusiv pe HTTPS.
- Export integral al datelor, în format deschis, la cerere.
- Politici de retenție configurabile și ștergere controlată.
- Contract de împuternicire pus la dispoziție din start, nu la cerere.
MedStoc a fost construit cu aceste cerințe ca punct de plecare — detaliile de implementare sunt descrise în pagina de securitate și conformitate.
Conformitatea nu este o stare pe care o atingeți o dată. Este un set de practici care, odată așezate — registru actualizat, roluri corecte, jurnal activ, backup testat, procedură de incident scrisă — cer foarte puțină întreținere.