Ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) δεν αφορά μόνο τις μεγάλες εταιρείες. Κάθε ιατρείο που επεξεργάζεται δεδομένα ασθενών — δηλαδή κάθε ιατρείο — υποχρεούται να συμμορφώνεται. Τα ιατρικά δεδομένα ανήκουν στην κατηγορία των «ευαίσθητων προσωπικών δεδομένων», κάτι που σημαίνει αυστηρότερους κανόνες και μεγαλύτερα πρόστιμα σε περίπτωση παραβίασης.
Γιατί ο GDPR είναι κρίσιμος για τα ιατρεία
Τα ιατρικά δεδομένα περιλαμβάνουν διαγνώσεις, θεραπείες, αποτελέσματα εξετάσεων, ψυχιατρικά ιστορικά και γενετικές πληροφορίες. Μια διαρροή τέτοιων δεδομένων μπορεί να έχει σοβαρές συνέπειες τόσο για τον ασθενή όσο και για τον γιατρό. Τα πρόστιμα φτάνουν έως τα 20 εκατομμύρια ευρώ ή το 4% του ετήσιου κύκλου εργασιών.
Βασικές υποχρεώσεις του ιατρείου
Νομική βάση επεξεργασίας
Η επεξεργασία ιατρικών δεδομένων επιτρέπεται για σκοπούς ιατρικής διάγνωσης και θεραπείας (Άρθρο 9, παρ. 2η). Ωστόσο, χρειάζεστε ρητή συγκατάθεση για δευτερεύουσες χρήσεις, όπως αποστολή newsletters ή κοινοποίηση σε τρίτους.
Ενημέρωση ασθενών
Οφείλετε να ενημερώνετε τους ασθενείς σας για το ποια δεδομένα συλλέγετε, γιατί, για πόσο χρόνο τα διατηρείτε και ποια είναι τα δικαιώματά τους. Αυτό γίνεται μέσω μιας γραπτής Πολιτικής Απορρήτου, διαθέσιμης στο ιατρείο και στην ιστοσελίδα σας.
Ασφάλεια δεδομένων
Πρέπει να λαμβάνετε κατάλληλα τεχνικά και οργανωτικά μέτρα: κρυπτογράφηση δεδομένων, ισχυροί κωδικοί πρόσβασης, κλειδωμένα αρχεία, περιορισμός πρόσβασης μόνο στο εξουσιοδοτημένο προσωπικό.
Αρχείο δραστηριοτήτων επεξεργασίας
Κάθε ιατρείο πρέπει να τηρεί αρχείο που περιγράφει ποια δεδομένα επεξεργάζεται, γιατί, πού αποθηκεύονται και ποιος έχει πρόσβαση. Αυτό το αρχείο πρέπει να είναι διαθέσιμο σε περίπτωση ελέγχου από την Αρχή Προστασίας Δεδομένων.
Δικαιώματα ασθενών που πρέπει να γνωρίζετε
Οι ασθενείς σας έχουν δικαίωμα πρόσβασης στα δεδομένα τους, διόρθωσης λανθασμένων στοιχείων, διαγραφής (με εξαιρέσεις για ιατρικά αρχεία), και φορητότητας των δεδομένων τους. Πρέπει να μπορείτε να ανταποκριθείτε σε αυτά τα αιτήματα εντός 30 ημερών.
Υπεύθυνος και Εκτελών την Επεξεργασία: ποιος είναι ποιος
Ο ιατρός ή ο επιστήμονας υγείας που τηρεί τον φάκελο είναι ο Υπεύθυνος Επεξεργασίας: αποφασίζει γιατί και πώς επεξεργάζονται τα δεδομένα των ασθενών. Ο προμηθευτής του λογισμικού που φιλοξενεί και συντηρεί την εφαρμογή είναι Εκτελών την Επεξεργασία και ενεργεί μόνο για λογαριασμό σας. Η σχέση αυτή πρέπει να αποτυπώνεται σε γραπτή σύμβαση (άρθρο 28 GDPR) που ορίζει τι επιτρέπεται να κάνει ο εκτελών, πώς προστατεύει τα δεδομένα και τι συμβαίνει με αυτά όταν λήξει η συνεργασία.
Παραβίαση δεδομένων: τι κάνετε μέσα σε 72 ώρες
Κλεμμένος φορητός υπολογιστής, email με εξετάσεις σε λάθος παραλήπτη, διαρροή κωδικού: όλα είναι περιστατικά παραβίασης. Αν υπάρχει κίνδυνος για τα δικαιώματα των ασθενών, οφείλετε να ενημερώσετε την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εντός 72 ωρών από τη στιγμή που το αντιληφθήκατε και, όταν ο κίνδυνος είναι υψηλός, και τους ίδιους τους ασθενείς. Καταγράψτε κάθε περιστατικό, ακόμη κι αν τελικά δεν απαιτείται γνωστοποίηση.
Χρειάζεται το ιατρείο μου Υπεύθυνο Προστασίας Δεδομένων (DPO);
Ο ορισμός DPO είναι υποχρεωτικός όταν η βασική δραστηριότητα περιλαμβάνει επεξεργασία ευαίσθητων δεδομένων σε μεγάλη κλίμακα. Ο ίδιος ο Κανονισμός (αιτιολογική σκέψη 91) διευκρινίζει ότι η επεξεργασία δεδομένων ασθενών από μεμονωμένο ιατρό δεν θεωρείται μεγάλης κλίμακας, οπότε ένα ατομικό ιατρείο κατά κανόνα δεν υποχρεούται να ορίσει DPO. Για πολυϊατρεία ή κλινικές η εικόνα αλλάζει και αξίζει νομική συμβουλή.
Checklist συμμόρφωσης για το ιατρείο
1) Γραπτή ενημέρωση ασθενών (πολιτική απορρήτου), διαθέσιμη στο ιατρείο και στην ιστοσελίδα. 2) Αρχείο δραστηριοτήτων επεξεργασίας. 3) Σύμβαση με κάθε εκτελούντα την επεξεργασία (λογισμικό, λογιστής, πάροχος email). 4) Πρόσβαση μόνο σε εξουσιοδοτημένο προσωπικό, με ισχυρούς και μοναδικούς κωδικούς. 5) Κρυπτογραφημένη σύνδεση και αποθήκευση. 6) Πολιτική διατήρησης και διαγραφής δεδομένων. 7) Εκπαίδευση προσωπικού. 8) Διαδικασία αντιμετώπισης και καταγραφής παραβιάσεων.
Πρακτικές συμβουλές συμμόρφωσης
Χρησιμοποιήστε ένα σύγχρονο λογισμικό διαχείρισης ιατρείου που παρέχει κρυπτογραφημένη σύνδεση, ισχυρή ταυτοποίηση κατά την είσοδο και απομονωμένο περιβάλλον για τα δεδομένα σας. Εκπαιδεύστε το προσωπικό σας στις βασικές αρχές του GDPR. Αποφύγετε την αποστολή ιατρικών δεδομένων μέσω email ή εφαρμογών μηνυμάτων χωρίς κρυπτογράφηση.
Το Clinicrates σχεδιάστηκε με τον GDPR στο επίκεντρο: ξεχωριστός server για κάθε επιστήμονα υγείας, κρυπτογραφημένη σύνδεση και δεύτερο ανεξάρτητο επίπεδο ταυτοποίησης κατά την είσοδο, ενώ εμείς λειτουργούμε αποκλειστικά ως Εκτελών την Επεξεργασία για φιλοξενία, ασφάλεια και υποστήριξη, χωρίς ίδια χρήση των δεδομένων. Διαβάστε αναλυτικά την πολιτική προστασίας δεδομένων μας και δείτε πώς οργανώνεται ο ηλεκτρονικός φάκελος ασθενή.
Δοκιμάστε το Clinicrates Δωρεάν
1 μήνας δωρεάν δοκιμή. Χωρίς πιστωτική κάρτα. Χωρίς δεσμεύσεις.