Legea GDPR in Romania creeaza tensiuni

GDPR

Vizualizari: 12992

Facebooktwittergoogle_plusredditpinterestlinkedinmailFacebooktwittergoogle_plusredditpinterestlinkedinmail

 

Aparitia unei Legi "GDPR" in Romania este o initiativa asteptata de intreaga comunitate a organizatiilor din domeniul sanitar, existand mai multe proiecte in acest moment. Chiar daca Regulamentul European nu presupune obligativitatea statelor membre de a-l ratifica printr-o lege nationala, caracterul general al articolelor din Regulament induc necesitatea unor clarificari si armonizari cu realitatea romaneasca.

Va propunem sa parcurgeti mai jos scrisoarea deschisa transamisa redactiei Health.ro de catre Lorena Macnaughtan, MBA, iCEE.health & IDSE, Cristiana Deca, Decalex si Asist. Univ. Dr. Florina Raicu, Universitatea de Medicina si Farmacie Carol Davila, Catedra de Genetica Medicala.

 

Stimați Senatori și Deputați,

Ne adresăm Domniilor Voastre pe această cale, în spiritul dialogului și din dorința ca acest Regulament să se aplice armonios și în România. Atât inițiativa, cât și conținutul acestui document au fost dezbătute în comunitatea antreprenorială eHealth. Este important de precizat că această comunitate este formată doar pe baza interesului în inovația în sănătate și nu are nicio altă afiliere și nu reprezintă alte interese; are o componență mixtă, cu profesioniști din domenii variate: IT, sănătate, juridic, academic sau cercetare, cu experiență în țară sau străinătate.

Prin această scrisoare, dorim să atragem atenția asupra câtorva aspecte legate de Proiectul de lege privind măsurile de punere în aplicare a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei 95/46/EC (Regulamentul general privind protecția datelor).

Înainte de a detalia, dorim să subliniem faptul că nu criticăm necesitatea unei legi care să vină în susținerea aplicării Regulamentului, dar și în spiritul acestuia.

De asemenea, dorim să punctăm faptul că acest Regulament a fost conceput atât ca urmare a avansului tehnologic și al necesității protejării datelor personale, cât și pentru a realiza o piață digitală unică în Europa, a stimulării economice prin inovație tehnologică.

Anul trecut, cu ocazia Președinției UE a Estoniei a fost lansată Declarația pentru o Societate de Sănătate Digitală (octombrie 2017, sursă) - o piață unică digitală în sănătate, dacă doriți. Efectele au venit aproape imediat. Treisprezece țări au semnat un acord de schimb de date în sănătate.

Tot în spiritul colaborării și creșterii competitivității UE, cunoașteți cu siguranță faptul că pe 10 aprilie s-a semnat și un acord de cooperare privind Inteligența Artificială în UE. Din păcate, România, Grecia și Cipru nu au semnat. Încă. Inteligența artificială explodează în sănătate, iar România chiar a livrat una dintre printre primele soluții de succes internațional.

Mai mult, România s-a angajat politic și strategic să susțină dezvoltarea domeniului eHealth.

„România împărtășește angajamentul politic al Uniunii Europene și obiectivele stabilite cu privire la digitalizarea sectorului sănătății.” (Melania Gabriela Ciot, Secretar de Stat, Ministerul Afacerilor Externe, Aprilie 20, Aplicarea Regulamentului European privind Datele cu Caracter Personal în Sănătate – video partea 3, de la min. 50).

Mai adăugăm faptul că Regulamentul marchează o schimbare de paradigmă, în care persoana fizică, cetățeanul, deține libertatea de a decide ce face cu datele sale personale. Și acest fapt trebuie înțeles foarte bine de societate, în ansamblul său.

Nu trebuie pierdut din vedere că Regulamentul oferă prin textul său toate pârghiile necesare statelor membre pentru protecția persoanei vizate și a datelor sale. Tocmai din acest motiv, pornind de la cel mai important principiu din dreptul european, principiul proporționalității măsurilor luate, considerăm ca se impun următoarele remarci cu privire la proiectul legislativ, în forma sa actuală.

Articolul 3

În integralitatea sa, acest Articol introduce interdicții nejustificate atât împotriva spiritului, cât și conținutului Regulamentului. Trebuie sa ținem cont de faptul că dacă acesta ar fi fost creat pentru a cenzura anumite prelucrări de date medicale ar fi făcut-o explicit, însă acesta doar stabilește cadrul adecvat pentru prelucrările cu risc ridicat.

La fel de relevant, sugrumă inovația din zone variate; pune România într-o poziție și mai vulnerabilă competitiv (în cădere 6 locuri - acum 68 din 137 de țări; doar pe locul 107 la indicatorul Inovație și sofisticare în afaceri, Indexul Global de Competitivitate, World Economic Forum 2017 - 2018).

Considerăm că România, dimpotrivă, are nevoie imediată de pârghii de stimulare și absorbție a inovației în toate domeniile. Minim, să nu fie pusă în dezavantaj suplimentar.

Adoptarea acestui Articol în forma actuală va avea consecințe dramatice pentru economie, cu  efecte negative pe termenul lung asupra startup-urilor în general, al celor în sănătate, și va stimula exodul talentelor din România.

S-a pus cruce startup-urilor pe health in Romania (Liviu Chirilă, eCuore, 8 mai)

Cumva asta limitează toată inovația în ce crede Casa Națională că e inovație și unde trebuie să se ducă și, pe partea cealaltă, creează un mediu în care toate companiile care vor să facă ceva se vor duce în alte țări, vor ridica investiții în alte țări unde pot să facă chestia asta. [n. b. “chestia asta” - acces la date pentru cercetare în mediul privat; “Casa Națională” poate fi înlocuită cu orice altă instituție publică] (Mircea Popa, fondator SkinVision, 20 aprilie, Aplicarea Regulamentului European privind Datele cu Caracter Personal în Sănătate – video partea 3, de la min. 41:30)

Suplimentar, companii precum Apple, Fitbit, Samsung, și multe altele care au platforme dedicate aplicațiilor și dispozitivelor în sănătate, vor putea oferi servicii limitate sau unele servicii nu vor mai fi disponibile deloc. Iar cele care desfășoară activități de cercetare și dezvoltare (i.e Fitbit) în această zonă vor reacționa adecvat în fața unor limitări nejustificate. Doar câteva exemple de posibile consecințe.

Susținem acest argument chiar prin Ghidul privind deciziile automate individuale și profilare (disponibil în prezent doar în limba engleză).

Din acesta, traducem doar următoarele două secțiuni:

„Profilarea și luarea de decizii în mod automat pot fi realizate în beneficiul persoanei și organizațiilor, având beneficii precum:

  • creșterea eficienței; și
  • economii de resurse.

Acestea au mai multe aplicații comerciale, de exemplu, pot fi utilizate pentru o mai bună segmentare a piețelor și pentru a oferi servicii și produse adaptate nevoilor individuale. Medicina, educația, sănătatea și transportul pot beneficia de astfel de procese. [n.b. îngroșarea caracterelor ne aparține]

Dar, profilarea și luarea de decizii în mod automat pot prezenta riscuri pentru drepturile și libertățile persoanei care necesită măsuri corespunzătoare.” (pg. 5)

ȘI

“D. Categorii speciale de date personale – Articolul 22(4)

Luarea de decizii automată (descrisă în Articolul 22(1)) care face referire la categorii speciale de date personale este permisă doar în condițiile următoare, cumulative (Articolul 22(4)):

  • există o scutire aplicabilă Articolului 22 (2); și
  • este aplicabil punctul (a) sau (g) al Articolului 9(2)

9(2) (a) – consimțământul explicit al subiectului; sau

9(2) (g) – procesarea este necesară din motive de interes public, pe baza legilor UE sau Statului Membru, care va fi proporționată cu scopul, respectă esența dreptului la protecția datelor personale și furnizează măsuri adecvate și specific de asigurare a drepturilor și intereselor fundamentale ale subiectului datelor.

În ambele situații de mai sus, controlorul trebuie sa ia măsurile corespunzătoare pentru a asigura drepturile și libertățile și interesele legitime ale subiectului datelor.” [n.b. îngroșarea caracterelor ne aparține]” (pg. 24)

La crearea textului Regulamentului, Comisia Europeană a avut în vedere evoluția tehnologică din sănătate, importanța acesteia. Uniunea Europeană și-a propus să fie un pol de inovație în sănătate, nu a restricționat ca atare prelucrarea datelor medicale și genetice, ci a creat un cadrul sănătos pentru astfel de prelucrări. Acest cadrul are ca temelie asigurarea drepturilor, libertăților și intereselor legitime ale persoanei vizate. Dacă această condiție e respectată, regulamentul permite prelucrarea datelor medicale și genetice. (Cristiana Deca, Decalex)

Mai important, prin Articolul 3 al Proiectului se restrâng drepturile, libertățile și interesele legitime ale persoanei, contrar spiritului GDPR, pe lângă sugrumarea inovației (atât ca generare, cât și ca asimilare a acesteia).

...dvs. dețineți niște date care, de fapt, sunt ale mele. Și eu ar trebui să decid dacă sunt de acord ca datele mele să fie folosite în cercetare sau nu. Dvs. doar ar trebui să faceți managementul acestor date. Atât.” (Rozalina Lapadatu, IDSE și APAA, 20 aprilie, Aplicarea Regulamentului European privind Datele cu Caracter Personal în Sănătate – video partea 3, de la min. 45:30)

În domeniul sănătății se face cercetare și există o legislație de protecție a datelor foarte bună, prin faptul că orice cercetare se face cu avizul unei comisii de etică ce garantează mai mult decât Regulamentul.” (Dr. Mihai Negrea)

Termenii prevăzuți în Articolul 3 nu sunt definiți în niciun fel în proiectul propus, astfel încât pot da naștere unor interpretări aberante.

Astfel, o analiză complexă de genetică moleculară pentru identificarea prezenței unor mutații asociate cu anumite tipuri de cancere, de exemplu, nu se mai poate realiza deoarece implică analiză automată a întregului profil genetic al pacientului. Astfel de analize genetice complexe sunt posibile la momentul actual în entitățile medicale private, deoarece în unitățile medicale publice, în universități sau institute de cercetare, aceste analize costisitoare se fac în general în scop de cercetare. Pentru că în România nu există spitale sau alte unități publice în care să se facă uzual astfel de analize, pacienții români se pot afla în imposibilitatea efectuării acestor analize de care uneori depind șansele lor de supraviețuire. În funcție de tipul de modificare genetică identificată se confirmă diagnosticul, se stabilește stadializează tipul de cancer, se direcționează tratamentul și se face monitorizarea evoluției bolii. Florina Raicu, PhD, genetician și cercetător.

Ghidul privind deciziile automate individuale și profilare este foarte bine structurat și conține precizări mult mai nuanțate decât cele două alineate din Articolul 3 al acestui Proiect legislativ, care, practic, aduc o interdicție exhaustivă și fără fundament în Regulament.

Avem încredere că ghidul va fi parcurs cu diligență de Domniile Voastre și acest Articol 3 din Proiect va fi înlăturat, cel puțin nu va fi păstrat în forma actuală, pentru că aduce o supra-reglementare care afectează drepturile, libertățile și interesele legitime ale persoanei, dar și mediul economic prin limitarea inovației și cercetării.

În schimb, acest ghid, valabil în întreaga UE oferă autorităților și actorilor privați și publici indicații fără echivoc privind aplicarea Regulamentului.

Articolul 8, alineatul 2

Introduce ambiguități.

  • Nu doar organizațiile publice pot face asta, conform Regulamentului – „Un grup de întreprinderi poate numi un responsabil cu protecţia datelor unic, cu condiţia ca responsabilul cu protecţia datelor să fie uşor accesibil din fiecare întreprindere.” (Art. 37, alineatul 2). Acest fapt este deosebit de important pentru companii mici.
  • De asemenea, introduce ambiguități legate de practicile individuale a unor corpuri profesionale - doctori și avocați. Recitalul 91 din Regulament: “Prelucrarea datelor cu caracter personal nu ar trebui considerată a fi la scară largă în cazul în care prelucrarea se referă la date cu caracter personal de la pacienți sau clienți de către un anumit medic, un alt profesionist în domeniul sănătății sau un avocat. În aceste cazuri, o evaluare a impactului asupra protecției datelor nu ar trebui să fie obligatorie”.

Ne dorim să dăm încă odată un mesaj foarte… intens decidenților de a face spațiu pentru inovație în România. Țari precum Olanda, Estonia, Marea Britanie, Statele Unite, Canada fac eforturi deosebite pentru a asimila și a stimula inovația în sănătate, iar elementul digital este esențial.

GDPR încearcă să concilieze cele două valori concurente: caracterul privat al datelor personale pe de o parte și inovarea științifică și tehnologică de cealaltă parte. În epoca ”big data”, în care activitățile de analiză a datelor ale multor organizații se pot califică drept cercetare. Un lucru este însă clar: GDPR își propune să încurajeze inovarea, atâta timp cât organizațiile implementează garanțiile corespunzătoare. Astfel, prin Articolul 179 alineatul (1) din ”Tratatul privind funcționarea Uniunii Europene”, se promovează "obiectivul consolidării bazelor sale științifice și tehnologice prin realizarea unui spațiu european de cercetare în care cercetătorii, cunoștințele științifice și tehnologia circulă liber. Florina Raicu, PhD

Sistemele digitale generează foarte multe date, iar datele din sănătate sunt extraordinar de importante de la aspecte administrative, la cele de management al pacientului. Dar mai important, ele trebuie să reprezinte o sursă pentru politici în sănătate, pentru cercetare și inovație.

Pentru dezbateri mai ample ale actorilor participanți la sănătate, inclusiv cu perspective din alte state europene (Estonia, Olanda, Germania), vă invităm să urmăriți înregistrările foarte relevante de la conferința din 20 Aprilie - Aplicarea Regulamentului European privind Datele cu Caracter Personal în Sănătate.

Partea 1 - Impactul GDPR în politicile de sănătate

Partea 2 - Masterclass : Aplicarea GDPR în Sănătate

Partea 3 - Protejarea datelor cu caracter personal, o provocare pentru IT și Datele din sănătate – bun public și bun personal

 

Referințe

Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și de abrogare a Directivei - http://www.cdep.ro/proiecte/2018/100/60/7/pl219.pdf

The Digital Health Society Declaration (Declarația pentru o Societate de Sănătate Digitală), 14 iulie 2017 - https://ec.europa.eu/digital-single-market/en/news/digital-health-society-declaration

EU Member States sign up to cooperate on artificial intelligence (State Membre din UE semnează să coopereze în domeniul inteligenței artificale), 10 aprilie 2018 - https://ec.europa.eu/digital-single-market/en/news/eu-member-states-sign-cooperate-artificial-intelligence

Global Competitiveness Index 2017-2018 (Indexul Global de Competitivitate), România  - http://reports.weforum.org/global-competitiveness-index-2017-2018/countryeconomy-profiles/#economy=ROU

Ghidul privind deciziile automate individuale și profilare - http://www.dataprotection.ro/servlet/ViewDocument?id=1463

REGULAMENT nr. 679 din 27 aprilie 2016 privind protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal şi privind libera circulaţie a acestor date şi de abrogare a Directivei 95/46/CE (Regulamentul general privind protecţia datelor) - http://www.dataprotection.ro/servlet/ViewDocument?id=1262

Aplicarea Regulamentului European privind Datele cu Caracter Personal în Sănătate, 20 aprilie - http://www.idse.ro/evenimente/aplicarea-regulamentului-european-privind-datele-cu-caracter-personal-in-sanatate/

Video, partea 1 - Impactul GDPR în politicile de sănătate - https://www.facebook.com/ICEEFest/videos/2472178672807889/

Video, partea 2 - Masterclass: Aplicarea GDPR în Sănătate - https://www.facebook.com/ICEEFest/videos/2472302889462134/

Video, partea 3 - Protejarea datelor cu caracter personal, o provocare pentru IT și Datele din sănătate – bun public și bun personal https://www.facebook.com/ICEEFest/videos/2472389232786833/

 

 

 

 

Peste 33.000 de persoane s-au abonat la Newsletterul saptamanal. O poti face si tu chiar acum!

Inainte de a prelua informatii de pe acest site va rugam sa cititi TERMENII SI CONDITIILE DE UTILIZARE

Dezvoltarea continuă a cunoștințelor DPO-ului, o prioritate pentru implementarea GDPR în România

GDPR

Vizualizari: 14306

Facebooktwittergoogle_plusredditpinterestlinkedinmailFacebooktwittergoogle_plusredditpinterestlinkedinmail

Pentru a marca Luna Europeană pentru Securitatea Cibernetică (ECSM), în perioada 26-27 Octombrie 2018, Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) a organizat în București 2 sesiuni de cursuri. Această campanie europeană de sensibilizare este lansată de Agenția Europeană pentru Securitate a Rețelelor și Informațiilor (ENISA) și Comisia Europeană și își propune creșterea gradului de conștientizare, schimbarea comportamentului și asigurarea resurselor pentru protecția datelor în mediul online. Cele două evenimente au avut ca invitați pe: Victor Gânsac, Managerul General al companiei Safetech Innovations și pe Roland Costea, Chief Security Arhitect la Microsoft pentru Europa Centrala și de Est și fondatorul academiei online Defradar.

Vineri, 26 octombrie 2018, un grup de 70 de persoane care au funcția de DPO (Ofițer de Protecție a Datelor) în instituții din domeniul sanitar sau sunt membri ASCPD - Asociația Specialiștilor în Confidențialitate și Protecția Datelor, au absolvit sesiunea de instruire în domeniul securității datelor, numită “Instruire în domeniul managementului securității informatice pentru Ofițerii de Protecție a Datelor (DPO)”.

Ofițerul de Protecție a Datelor are un rol extrem de important, nu doar pentru instituția pe care o reprezintă, ci și pentru toată țara, deoarece spitalele și clinicile medicale sunt entități care furnizează servicii esențiale pentru întreaga populație. Aceste unități juridice colectează, stochează și prelucrează date cu caracter personal sensibile și deopotrivă, valoroase, atât pentru spitale și pacienți, cât și pentru piața neagră pe care se tranzacționează. Este imperios necesar să valorizăm corect aceste informații și să le asigurăm protecția necesară, la timpul potrivit.”, a declarat Marius Dumitrescu, Președintele ASCPD.

Scopul sesiunii de training a fost creșterea gradului de conștientizare în rândul persoanelor cu funcția de DPO (Ofițer de Protecție a Datelor) din instituțiile medicale asupra amenințărilor ce provin din spațiul cibernetic, precum și prezentarea unor posibile măsuri care să crească nivelul de protecție în aceste instituții. Pe parcursul sesiunii de training s-au discutat subiecte precum: organizarea procesului de securitate a informației, managementul riscului în securitatea informației, continuitatea afacerii și recuperarea informației în caz de dezastru, “Privacy by design” vs. “Privacy by default”, principii esențiale în crearea politicilor și a procedurilor de securitate a datelor, analiza riscurilor, conformarea cu cerințele Regulamentului GDPR și Privacy Impact Assessment. Sesiunea de training intensiv s-a finalizat cu un exercițiu practic de analiza a unui proces de business. Ca spațiu de desfășurare a trainingului de securitate cibernetică, compania Safetech Innovations a pus la dispoziția cursanților o sală modernă și suportul logistic oferit de Centrul de Cercetări Avansate pentru Materiale, Produse și Procese Inovative (CAMPUS) din cadrul Universității Politehnica din București.

Prin astfel de evenimente dorim să atragem atenția asupra importanței informației în domeniul medical. Gândiți-vă ce înseamnă dacă cineva modifică, din greșeală sau intenționat, grupa sanguină în dosarul pacientului, care de-a acum este și în format digital? Gândiți-vă ce înseamnă ca cineva să modifice analizele unui computer tomograf, gândiți-vă că se folosesc din ce în ce mai multe dispozitive medicale care vin în contact direct cu corpul pacientului pentru a colecta și a transmite informații despre starea de sănătate a acestuia, date care ar fi utile și altor persoane pentru a le utiliza în scopul de a-și maximiza profiturile pe piața neagră, unde se tranzacționează date cu caracter personal.  Știați că pe această piață neagră, datele medicale sunt de 10 ori mai valoroase decât informațiile de identificare a cardurilor bancare? Iată câteva argumente care ne determină să susținem că datele medicale trebuie protejate, cu sau fără GDPR.  Problemele de securitate dintr-o instituție medicală, nu doar că amenință starea de funcționare, profitabilitatea și reputația instituției medicale, dar reprezintă o amenințare gravă pentru starea de sănătate sau chiar viața pacientului. De aceea, susținem că securitatea informației în domeniul medical ar trebui să devină parte integrantă a protocolului de îngrijire a pacientului, dincolo de constrângerile legislative.”, a declarat Victor Gânsac, Managerul General al companiei Safetech Innovation și trainerul cursului.

Sâmbătă, 27 octombrie 2018, 30 de persoane, membrii ASCPD, au participat la un workshop intitulat “Cum să reușești într-o carieră în domeniul confidențialității și protecției datelor (GDPR)” în cadrul căruia s-au analizat provocările profesionale pe diferite domenii de activitate. Participanții au ajuns la concluzia că lipsa gradului de conștientizare în rândul managementului operatorilor de date, a angajaților acestora și în rândul persoanelor vizate este cel mai mare obstacol în demersul de a obține conformitatea cu principiile GDPR, fiind lansate mai multe idei de proiecte în domeniul educațional.

Rolul DPO creează foarte multe provocări întrucât, atât sectorul industrial din care face parte compania, cât și limitările tehnologice ale pieței din România la nivel SME, nu conduc către o aplicabilitate liniară a regulamentului. Acest lucru îndeamnă spre creativitate în modul în care reușim să abordăm cerințe simple (de exemplu ale unei grădinițe) dar totuși atât de complexe. Sesiunea la care am participat a deschis dialogul către soluții cât mai variate și mai reale în contextele date, astfel încât să existe și o balanță între nivelul de complexitate, de securitate și cost.”, a declarat Roland Costea, Chief Security Arhitect la Microsoft pentru Europa Centrala și de Est și fondatorul academiei online Defradar.

“Asociația și-a propus să crească gradul de educație al responsabililor cu protecția datelor în România și prin ei,  nivelul de cunoaștere al GDPR din companii. Cu aceste două sesiuni de training vrem să marcăm importanța componentei de securitate tehnică din Regulamentul 679/2016 precum și lipsa unor soluții standardizate de conformare. Ambii speakeri au punctat în repetate rânduri faptul că soluțiile tehnice adoptate trebuie să aibă în vedere obiectivele de dezvoltare ale companiei și că nu există o rețetă universal valabilă”, a declarat Cristiana Deca, Vicepreședinte ASCPD.

ASCPD va lansa în curând programul “Privacy Academy” destinat dezvoltării și susținerii membrilor asociației, continuând în 2019 cu organizarea cursurilor și conferințelor naționale și publicarea unei reviste cu analizele și studiile de caz din cadrul celor 14 grupuri de lucru.

 

---

Despre Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD)

 Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) este creată cu scopul de a informa și de a reuni profesioniștii care doresc să gestioneze cu succes punerea în aplicare a Regulamentului General privind Protecția Datelor 2016/679 și a legislației aferente, funcționând ca un organism consultativ profesionist pentru persoane și organizații. ASPDC este o organizație non-guvernamentală, autonomă, apolitică și non-profit care ajută la definirea, susținerea și îmbunătățirea profesiei de Responsabil în protecția datelor și a altor specialiști în domeniu și își desfășoară activitatea în conformitate cu prevederile OG nr.26/2000.

ASCPD ghidează persoanele responsabile în protecția datelor și alți specialiști în domeniul confidențialității datelor în rezolvarea numeroaselor probleme juridice, tehnice și organizatorice pentru a obține un echilibru adecvat între interesele persoanelor vizate, care necesită protecție, și cele ale operatorilor.

Obiectivul ASCPD este de a oferi soluții concrete la problemele cu care se confruntă specialiștii în confidențialitate și protecția datelor, de a crește gradul de conștientizare a legislației și de a oferi membrilor săi un forum în care aceste subiecte să poată fi dezbătute, precum și un loc de pregătire profesională continuă. ASCPD militează pentru îmbunătățirea gradului de conștientizare cu privire la tehnologiile și legile care pun în pericol viață privată, pentru a se asigura că publicul este informat și implicat.

Mai multe detalii găsiți pe www.ascpd.ro

 

Peste 33.000 de persoane s-au abonat la Newsletterul saptamanal. O poti face si tu chiar acum!

Inainte de a prelua informatii de pe acest site va rugam sa cititi TERMENII SI CONDITIILE DE UTILIZARE

Eliminați “Consimțământul GDPR” al pacientului pentru serviciile medicale

GDPR

Vizualizari: 20924

Facebooktwittergoogle_plusredditpinterestlinkedinmailFacebooktwittergoogle_plusredditpinterestlinkedinmail

La nivelul unităților din sistemul sanitar nu este nevoie de obținerea unui consimțământ GDPR, semnat de pacient, prin care acesta este de acord cu prelucrarea datelor cu caracter personal. Conform Regulamentului European pentru Protecția Datelor cu Caracter Personal, consimțământul GDPR este doar una din modalitățile de a asigura legalitatea prelucrării, în domeniul sanitar existând deja alte prevederi care justifică legalitatea activității de prelucrare. Este important a nu se confunda cu consimțământul medical informat, de asemenea reglementat legal, care are un cu totul alt scop. Unitatea medicală poate asigura transparența prelucrării datelor prin afișe, pictograme sau ghiduri la care pacientul să poată avea acces ușor. Acestea sunt o parte dintre concluziile care au rezultat la finalul primei ediții a Conferinței Naționale pentru Protecția Datelor cu Caracter Personal în Domeniul Sanitar, care a avut loc la Poiana Brașov în data de 11 octombrie 2018. În urma dezbaterilor s-a ajuns la concluzia că este nevoie încă de multă educație în rândul personalului din sistemul sanitar, privind respectarea Regulamentului European pentru Protecția Datelor cu Caracter Personal.

Conferința Națională pentru Protecția Datelor cu Caracter Personal a fost organizată ca un eveniment satelit al celei de-a cincea ediții a Conferinței Naționale de Farmacoeconomie și Management Sanitar, ce a avut loc în perioada 11-14 octombrie 2018, la Poiana Brașov.

La conferință au fost prezenți responsabili cu protecția datelor din peste 100 de spitale din România, case de asigurări de sănătate, clinici, lanțuri de farmacii. Conferința a fost una interactivă, cei 22 de speakeri din țară și străinătate, prin prezentări și trei workshop-uri, aducând noutăți din domeniul protecției datelor cu caracter personal, într-un interval de 10 ore, evenimentul fiind transmis live pe internet, unde a avut într-o singură zi peste 15.000 de vizualizări.

”Este o mare diferență între consimțământul luat de medici în relația cu pacienții și consimțământul cerut de Regulamentul 679/2016. Nu este nevoie ca în instituțiile sanitare să se ia consimțământul cerut de GDPR pentru realizarea serviciilor medicale. Așa cum ne-am obișnuit până acum, în relația cu pacientul, se ia doar consimțământul medical informat. (…) Consimțământul pe GDPR nu a fost introdus special pentru sistemul sanitar sau pentru a fi folosit în relația medic-pacient sau farmacist-pacient. Acest tip de consimțămînt este util în alte tipuri de activități, cum ar fi cele de marketing. Managerii unităților medicale trebuie să renunțe la acest formular de consimțământ GDPR și să introducă o informare a pacientului. Pot să demonstrez și altfel că am informat persoana vizată, pot să am un afiș, un ghid, să postez informația pe site, sunt alte modalități neintruzive pentru pacient prin care poate fi informat”, a explicat Cristiana Deca, vicepreședintele Asociației Naționale în Confidențialitate și Protecția Datelor (ASCPD).

”Obținerea unui consimțământ la internarea în spital prin solicitarea ”vă rog semnați aici, aici și aici” nu este o conformare GDPR, este o rezolvare formală prin care am crescut birocrația, am creat formulare noi ca să ne asigurăm în cazul în care pacientul ne dă în judecată. Dar avantajul va fi de partea pacientului pentru că el va spune ”nu am fost informat corect, consimțământul nu este conform GDPR, nu a fost obținut în mod real, nu am fost informat în prealabil”. Un consimțământ pentru a fi valabil conform GDPR trebuie să îndeplinească mult mai multe condiții decât semnatura pacientului. Consimțământul GDPR a devenit un concept care în medicină sperie un medic”, a adăugat Marius Dumitrescu, președintele ASCPD.

Specialiștii în protecția datelor au explicat și faptul că, prin obținerea unui consimțământ GDPR nu doar că a crescut birocrația, dar apare încă o dată personală ce trebuie prelucrată, respectiv semnătura.

Rezultatele Conferinței au fost comunicate și atutorităților și managerilor de spitale în cadrul CNFMS 2018, fiind subliniat faptul că spitalele au nevoie de echipe care să colaboreze pentru complianța GDPR, că este nevoie să existe un responsabil pentru protecția datelor, iar managerul unității medicale trebuie să înțeleagă că responsabilitatea rămâne a lui chiar dacă a numit un DPO, deoarece numirea unui DPO nu este o ”delegare de putere”, acesta este mai degrabă un “evaluator care are nevoie de o echipă cu care să colaboreze pe procesul de complianță”.

”Toate instituțiile publice sunt obligate să aibă acest om în echipă, responsabilul cu protecția datelor și el nu poate fi managerul IT, managerul de resurse umane, juristul sau altcineva mutat dintr-o funcție în alta, pentru că de cele mai multe ori este în incompatibilitate. (…) Nu este neapărat nevoie de investiții financiare mari ca să incerci să obții complianța. Un prim pas vizează sensibilizarea și conștientizare în rândul managerilor a importanței GDPR, apoi în rândul echipei de implementare GDPR și nu în ultimul rând restul angajații trebuie instruiți și educați privind modul de gestiune al datelor personale la care au acces”, a precizat Cristiana Deca.

Educația personalului medical este o altă direcție important și obligatorie conform Regulamentului (UE) 2016/679. ”Toți participanții la Conferință au adus la lumină nevoia de educație a personalului medical, acesta fost focusul general. Personalul medical pe langa activitatea medicala pe care o desfășoară va trebui să înțeleagă că de acum pacientii au noi drepturi legate de datele lor și că ei sunt podul de legatura între pacient și responsabilul cu protecția datelor. Să știi că trebuie să îți anunți DPO-ul când un pacient solicită ștergerea datelor presuspune din start că personalul medical să dețină un nivel de educație minim in aceasta zona”, a punctat și Cristian Deca, vicepreședinte al ASCPD

În prezent pacienții au un grad scăzut de conștientizare a importanței datelor cu caracter personal, existând posibilitatea ca peste un an sau doi să apară o serie de litigii. Și în prezent există breșe de securitate pe care responsabilii cu protecția datelor din spitale trebuie să le evalueze și să le raporteze către ANSPDCP, iar managerii de spitale să implementeze măsuri care să elimine posibilitate reapariției. Un exemplu de breșă, oferit de specialiștii în protecția datelor este accesul camerelor de filmat ale presei în spitale, filmarea pacienților internați fiind o încălcare a drepturilor la viața privată.

Sfaturi legate de protecția datelor cu caracter personal au fost oferite la CNFMS 2018 și conducerii spitalelor de psihiatrie din țară, participanți la un workshop organizat în cadrul evenimentului. ”Am discutat aspecte care țin de specificul domeniului psihiatriei, am vorbit despre internări fără consimțământul pacientului, nevoluntare. Am subliniat că nu este nevoie de consimțământ, mai ales în domeniul psihiatriei este dificil să obții consimțământ de la o persoană fără discernământ. S-a discutat și despre justificarea unor măsuri intruzive, filmarea unui pat de spital de exemplu, pentru a preîntâmpina rănirea pacientului. Am vorbit despre utilizarea unor instrumente precum accesul biometric într-o încăpere, monitorizarea accesului într-un spital de psihiatrie, fiind foarte important cine intră, dar mai ales cine părăsește insituția, despre metode de securitate în general. Rezolvarea formală a acestei complianțe de GDPR a fost constatată și în spitalele de psihiatrie, am observat spitale în subordinea Consiliilor Județene care și-au angajat persoană full time DPO și am observat spitale foarte mari care nu au reușit să angajeze o persoană și au făcut cumul de funcții în incompatibilitate”, a explicat Marius Dumitrescu.

În cadrul CNFMS, conducerea Asociației Naționale în Confidențialitate și Protecția Datelor a lansat un proiect de cercetare în rândul unităților sanitare din România. Este vorba despre un studiu realizat prin tehnica chestionarului elaborat în parteneriat cu Centrul pentru Protectia Datelor din cadrul Universității de Medicină, Farmacie, Științe și Tehnologie din Tîrgu-Mureș și Safetech Innovations.

”Participanții la acest studiu vor oferi informația către experții noștri privind anumite elemente pe care le-au implementat deja, vom evalua statistic ce înseamnă acest grad de conformare, dar nu printr-un procent. Sunt trei direcții de analiză: partea organizatorică, partea tehnică și securitate. Vom evalua aceste trei categorii pentru fiecare spital/clinică/farmacie. Cei care vor lua parte la studiu vor primi înapoi un plan de riscuri GDPR și recomandările din partea specaliștilor noștri. Datele statistice și concluziile acestui studiu, dorim să le comunicăm autorităților române, respectiv autoritățile europene. Urmează să reluăm acest studiu la interval de 12 luni și să monitorizăm modul în care domeniul sanitar din România reușește să obțină conformitate. În acest moment putem înainta doar opinii, deoarece suntem într-un stadiu incipient de implementare, întreaga Europă este la fel, domeniul sanitar fiind puternic afectat”, a conchis președintele ASCPD.

Prima ediție a Conferinței Naționale pentru Protecția Datelor cu Caracter Personal în domeniul sanitar a fost organizată de Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) în parteneriat cu ISPOR România, Camera Deputaților – Comisia pentru Sănătate și Familie, Societatea Română de Farmacoeconomie, Universitatea de Medicină, Farmacie, Științe și Tehnologe Tîrgu-Mureș – Centrul de Cercetare pentru Politici de Sănătate și Management și Centrul Pentru Protecția Datelor, Autoritatea Națională de Management a Calității în Sănătate, Universitatea Sapientia din Tîrgu-Mureș și Asociația SURYAM, managementul tehnic al evenimentului fiind asigurat de Health Events.

Peste 33.000 de persoane s-au abonat la Newsletterul saptamanal. O poti face si tu chiar acum!

Inainte de a prelua informatii de pe acest site va rugam sa cititi TERMENII SI CONDITIILE DE UTILIZARE

Expertiză de vârf pentru educarea specialiștilor în protecția datelor cu caracter personal

Articol publicat in Revista Health Anul 6 – Nr. 58 – editia tiparita – Septembrie 2018

Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) își începe activitatea în România

S-a înființat Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD), creată cu scopul de a informa și de a reuni profesioniștii care doresc să gestioneze cu succes punerea […]

CMR: Facem un apel ferm la respectarea confidenţialităţii datelor privind sănătatea pacienţilor.

Confidenţialitatea datelor de sănătate ale tuturor pacienţilor este un drept fundamental, consfinţit de legile naţionale şi europene. Din păcate, în ultimul timp,  asistăm la expunerea în spaţiul public […]

Asociatia Romana de Psihiatrie si Psihoterapie protesteaza

Referitor la publicarea de către domnul Darius Vâlcov – consilier de stat al premierului României – pe pagina sa Facebook, a unui document medical confidențial, precum și a […]

Protecția datelor în domeniu sanitar, abordare pragmatică sau complianță formală?

Articol publicat in Revista Health Anul 6 – Nr. 56 – editia tiparita – Iunie-Iulie 2018

GDPR – o provocare pentru sistemul sanitar romanesc

Confidențialitatea constituie una dintre cele mai importante valori ale actului medical care stau la baza relației profesionist-pacient, reprezentând, totodată, și o obligație, stipulată încă din cele mai vechi […]

Garantarea vieții private a murit ! Poate GDPR-ul să o reanimeze ?

Începând cu data de 25 mai 2018 a intrat în vigoare Regulamentul 679/2016 cunoscut sub numele de GDPR. Această nouă lege nu aduce o revoluție în domenul protecției […]

Responsabilul cu protecţia datelor cu caracter personal

Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei […]

A fost publicata o RECTIFICARE la Regulamentul (UE) 2016/679

In data de 19 Aprilie 2018 a fost publicata o RECTIFICARE la Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în […]

Profesiune libera sau persoana vizata?

Noul Regulament European privind Protectia Datelor defineste „datele cu caracter personal” ca fiind orice informații privind o persoană fizică identificabilă, care poate fi identificată, direct sau indirect, în special […]

Prioritate privind conștientizarea importanței GDPR

Articol publicat in Revista Health Anul 6 – Nr. 54 – editia tiparita – Aprilie 2018  

Lorena Macnaughtan: GDPR – „25 mai este doar începutul”

Lorena Macnaughtan, MBA, este directorul iCEE.health, eveniment în inovația digitală în sănătate, destinat tuturor participanților în sistem: pacienți, doctori, asistenți, studenți, entreprenori, manageri, autorități.  Acesta are loc în acest an pe 14 iunie, […]

Cursuri GDPR pentru angajatii din sistemul sanitar

Ce trebuie sa stim despre GDPR ? Incepand cu 25 mai 2018 intra in vigoare Regulamentul UE nr. 679/2016, cunoscut drept Regulamentul General privind Protectia Datelor Personale (GDPR), care spune in […]

Piața serviciilor medicale și primele confuzii alarmante în implementarea GDPR

La nivelul unei companii cu peste 1.400 de angajați , implementarea greșită a regulilor de protecție a datelor personale a fost relevată de transmiterea unui e-mail către destinatarul necorespunzător. Importanța nu […]

Noi reglementări privind protecția datelor cu caracter personal în domeniul medical

Articol publicat in Revista Health Anul 6 – Nr. 53 – editia tiparita – Martie 2018

GDPR: „Îmi pare rău nu este de ajuns”

Grupul de Lucru Art. 29 (WP 29) privind protecţia datelor este un organism european independent, cu caracter consultativ, format din reprezentanţii autorităţilor naţionale pentru protecţia datelor din statele […]

Contextul aparitiei GDPR in Romania

Noul Regulament privind protectia datelor cu caracter personal va intra in vigoare in toate statele membre ale Uniunii Europene incepand cu data de 25 Mai 2018. In ultimele […]

Este obligatoriu a desemna un DPO în unități farmaceutice? – punct de vedere juridic

Articol publicat sub egida Colegiului Farmaciștilor din România –Filiala Cluj Autor: Av. Oana Murariu   Începând cu data de 25 mai 2018 Regulamentul (UE) 2016/679[i] privind protecția persoanelor […]

Dezbatere publica pe proiectul Legii pentru aplicarea GDPR in Romania

A fost publicata propunerea legislativa privind masuri de punere in aplicare a Regulamentului (UE) 2016/679 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal […]

A aparut standardul ocupational pentru DPO

Autoritatea Nationala pentru Calificari a aprobat conform deciziei 74/19.03.2018 standardul ocupational pentru educatia si formare profesionala a Responsabililor cu protectia datelor cu caracter personal – cod COR 242231. […]