Piața serviciilor medicale și primele confuzii alarmante în implementarea GDPR

GDPR

Vizualizari: 24452

Facebooktwittergoogle_plusredditpinterestlinkedinmailFacebooktwittergoogle_plusredditpinterestlinkedinmail

La nivelul unei companii cu peste 1.400 de angajați , implementarea greșită a regulilor de protecție a datelor personale a fost relevată de transmiterea unui e-mail către destinatarul necorespunzător. Importanța nu este dată de transmiterea greșită a acestui e-mail, ci de multiplele indicii care arată că unul dintre operatorii de date privind sănătatea, care se află în top 3 pe piața serviciilor medicale private, , a eșuat în implementarea corectă a politicilor de prelucrare a datelor.
E-mail-ul însoțea o Anexă la contract denumită ”Acord de prelucrare a datelor cu caracter personal” și a fost transmis către un pacient care și-a achiziționat în nume propriu un pachet de servicii medicale de la acest furnizor, adică nu a accesat serviciile ca pe un beneficiu acordat de angajatorul său.
Conținutul și trimiterile specifice către un contract de prestări servicii încheiat în beneficiul unor terți, dezvăluie natura relației contractuale către care face trimitere Anexa, respectiv un contract încheiat cu un angajator care a contractat serviciile medicale ale furnizorului serviciilor medicale în beneficiul angajaților săi.
Ignorăm și lipsa totală de adecvare a Anexei la relația contractuală, precum am ignorat și transmiterea greșită a e-mail-ului. Ne-am limitat ignoranța la aceste două elemente și am parcurs Anexa din perspectiva destinatarului corect al mesajului, respectiv din perspectiva angajatorului care primește Anexa.
Multitudinea și diversitatea neregulilor identificate de noi ar putea genera o serie de articole pe marginea aceleiași Anexe, însă am întocmit un top 3 al abaterilor de la conformitatea prelucrării datelor personale și a consecințelor pe care le poate genera fiecare abatere, așa încât să contribuim la conștientizarea impactului al unei implementări greșite asupra siguranței datelor personale.

1) Lipsa de responsabilitate la inventarierea datelor personale
În urma unei inventarieri efectuată cu acuratețe, furnizorul ar fi putut identifica precis patru aspecte esențiale procesului de conformare:

  • categoriile de date prelucrate;
  • scopul și durata pentru care prelucrează fiecare categorie de date;
  • temeiul legal al fiecărei prelucrări;
  • rolul pe care îl are în cadrul fiecărei categorii de prelucrări, potrivit cu reglementarea GDPR respectiv relațiile de tipul: operator – operator, operator – împuternicit, operator – destinatar,
    operator – persoană interesată, operator – persoană vizată.

CONSECINȚĂ: Inventarierea lipsită de acuratețe atrage, prin efectul de domino, încălcarea tuturor celorlalte principii ale prelucrării. Spre exemplu, furnizorul serviciilor medicale invocă temei al
prelucrării executarea contractului încheiat cu angajatorul (sic!) pentru prelucrarea datelor privind sănătatea, a datelor biometrice și genetice, în timp ce temei al acestor prelucrări este contractul de furnizare de servicii medicale încheiat cu angajatul care dorește să profite de beneficiile puse la dispoziție de angajator.
Dacă discutăm despre medicina muncii, calitatea unei persoane de a fi aptă sau inaptă pentru muncă este dezvăluită angajatorului, nu în mod direct de către furnizorul serviciilor medicale, ci de către candidatul pentru încadrarea în muncă, chiar dacă angajatorul este acela care a încheiat contract de prestări servicii medicale cu furnizorul

2) Încălcarea principiului prelucrării în mod legal, echitabil și transparent față de persoana vizată

n urma unei inventarieri corecte a datelor pe care le deține deja, furnizorul serviciilor medicale ar fi aflat că datele privind sănătatea, datele biometrice și datele genetice sunt colectate direct de la persoana vizată, independent de relația contractuală dintre furnizorul serviciilor și angajatorul pacientului, și sunt prelucrate pentru executarea contractului încheiat direct cu persoana vizată nu a contractului încheiat cu angajatorul ei.
Dacă serviciile medicale furnizate angajaților pot genera date genetice sau biometrice – care în esență nu sunt necesare raportului contractual dintre angajator și furnizorul de servicii medicale – atunci consimțământul pentru colectarea acestor date personale se obține direct de la persoana vizată, iar în procesul de prelucrare, acestea nu vor fi dezvăluite angajatorului.
Este inutilă informarea angajatorului în legătură cu prelucrarea unor date ale angajatului în scopuri de marketing direct, întrucât angajatorul nu este în măsură să acorde consimțământ în acest scop.

Aparent, furnizorul de servicii medicale nu deține resursele necesare pentru a păstra evidențe separate ale prelucrării datelor pentru fiecare dintre rolurile pe care le poate juca în cadrul operațiunilor de prelucrare, în timp ce invocă în cadrul acestei Anexe, ca temei al prelucrării datelor genetice și a datelor biometrice ale angajaților, art. 9 alin. (2) lit. h). din GDPR, respectiv ”prelucrarea este necesară în scopuri legate de medicina preventivă sau a muncii, de evaluarea capacității de muncă a angajatului....”, inclusiv cu scopul declarat de informare prin campanii de marketing direct.

CONSECINȚĂ: Pentru că nu a identificat corect temeiul legal pentru fiecare categorie de date prelucrate, respectiv prelucrarea datelor personale de identificare în temeiul executării contractului
încheiat cu angajatorul, în calitate de împuternicit iar prelucrarea datelor privind sănătatea, a datelor genetice și a celor biometrice, în temeiul executării contractului încheiat cu pacientul, în calitate de operator, furnizorul serviciilor medicale a specificat în mod greșit în Anexă că acordul este valabil pentru o durată egală cu durata contractului încheiat cu angajatorul.
Calitatea furnizorului de operator al datelor prelucrate în baza contractului încheiat cu pacientul subzistă datei încetării contractului încheiat cu angajatorul, așa încât durata prelucrării este, cel mai probabil, stabilită în mod greșit de către acesta.

3) Neadaptarea Anexei la rolul concret pe care îl are furnizorul serviciilor medicale în fiecare proces de prelucrare a datelor

Considerând precisă și corectă relația de tipul operator – împuternicit identificată de furnizorul serviciilor medicale, acesta eșuează în a prelua și a-și asuma întocmai obligațiile pe care le impune
GDPR în sarcina împuternicitului, în ciuda faptului că această relație este expres reglementată de art. 28 din GDPR.

CONSECINȚĂ: persoana care plătește sau negociază tarifele aplicabile serviciilor medicale ale furnizorului – dar care nu este și beneficiarul serviciilor plătite sau negociate și care permite acestui
furnizor să își mărească cota de piață prin facilitarea accesului angajaților proprii la serviciile sale medicale, se expune prin semnarea acestei Anexe răspunderii în baza GDPR pentru accesul pe care îl permite furnizorului la datele angajaților săi, fără a-i impune obligațiile corelative calității de împuternicit.
Fluxurile datelor sunt foarte diversificate în cadrul activității desfășurate de un astfel de furnizor de servicii medicale. Diversitatea fluxurilor de date a atras confuzii privind rolul pe care îl pot juca
furnizorii în procesele de prelucrare a datelor, uneori, față de aceeași persoană vizată, putând avea chiar în același timp rolul de operator și rolul de împuternicit cu privire la anumite categorii de date.
Pentru că relația profesională medic – pacient este directă și indisolubil legată de datele personale privind identitatea și sănătatea pacientului, aceste date personale sunt prelucrate direct de către
furnizorul serviciilor medicale, fapt ce îl pune pe furnizor în postura de operator de date personale privind identitatea și sănătatea, în toate cazurile.
Confuziile încep să apară, de exemplu, când furnizorul serviciilor medicale își accesează pacientura din rândul angajaților unui terț de actul medical. Fie că vorbim despre serviciile ce țin de medicina muncii sau despre beneficiile acordate angajaților prin negocierea unor tarife preferențiale pentru accesul la serviciile medicale prestate de un anumit furnizor, legătura medic – pacient nu va fi intermediată de angajator în niciun caz.

Autor: Andreea ION – Avocat titular Cabinet de Avocat Andreea ION, www.avocat-gdpr.ro

Programul educational 2017-2018 s-a incheiat la data de 31.12.2018, urmand ca de la aceasta data revista sa fie creditata doar cu 5 credite de catre toate autoritatile profesionale (Colegiul Medicilor din Romania, Colegiul Medicilor Dentisti din Romania, Colegiul Farmacistilor din Romania si Ordinul Asistenţilor Medicali Generalişti, Moaşelor şi Asistenţilor Medicali din România)

Peste 33.000 de persoane s-au abonat la Newsletterul saptamanal. O poti face si tu chiar acum!

Inainte de a prelua informatii de pe acest site va rugam sa cititi TERMENII SI CONDITIILE DE UTILIZARE

[EN] 20 ASCPD members represented Romania at CPDP Brussels

GDPR

Vizualizari: 1446

Facebooktwittergoogle_plusredditpinterestlinkedinmailFacebooktwittergoogle_plusredditpinterestlinkedinmail

A delegation of 20 ASCPD members participated in the 12th edition of the Computers Privacy & Data Protection Conference, which took place in Brussels between 29.01-01.02.2019. This conference gathers academicians, lawyers, practitioners, policy makers, industry and civil society around the world each year, providing them with an arena to exchange ideas and discuss the latest emerging issues and trends. This unique multidisciplinary formula has helped the CPDP become one of the most important data and confidentiality conferences in Europe and around the world.

"The main theme of this year's conference was democracy and not accidental. There is an electoral period in which the profiling of personal data on political guidelines can have important consequences on how they vote. That is why we need to provide individuals with the education they need to understand how important their personal data is, but also that they are the new exchange currency in this digital society. "says CristianA Deca, vicepresident of ASCPD.

"Artificial intelligence was one of the most common topics discussed in the conference. The European Union is confronted with this new challenge, the legalization of artificial intelligence that, in order to develop, needs to be "fed" with personal data. To what extent is it compatible to use data by AI with GDPR provisions remains to be seen. It is certain that this type of technology is becoming more widespread and that some common standards are needed to help us understand what ethical technologies are and thus useful to the population, "says Cristian Deca, vicepresident of ASCPD.

"By participating at CPDP2019 with such a large number of members, we have been able to send a clear message that Romania is making real efforts to implement the principles of Regulation (EU) 2016/679 and even if the name of our country has been remembered several times , in unfavorable contexts, we are committed to changing this in the future. Attending this event was a great opportunity to personally interact with representatives of the European Commission, the European Data Protection Board (EDPB), the Information Commissioner's Office (ICO), the National Commission for Information and Liberties (CNIL) or international companies Google and Facebook, inviting them to participate in the first national conference of the association scheduled for early November 2019, "said Marius Dumitrescu, President of the ASCPD.

We will try to support the participation of our members in as many events as possible. The information received from this conference will be included in the training and professional development program of the ASCPD members and will be the subject of an editorial project.

Programul educational 2017-2018 s-a incheiat la data de 31.12.2018, urmand ca de la aceasta data revista sa fie creditata doar cu 5 credite de catre toate autoritatile profesionale (Colegiul Medicilor din Romania, Colegiul Medicilor Dentisti din Romania, Colegiul Farmacistilor din Romania si Ordinul Asistenţilor Medicali Generalişti, Moaşelor şi Asistenţilor Medicali din România)

Peste 33.000 de persoane s-au abonat la Newsletterul saptamanal. O poti face si tu chiar acum!

Inainte de a prelua informatii de pe acest site va rugam sa cititi TERMENII SI CONDITIILE DE UTILIZARE

20 de membri ASCPD au reprezentat România la CPDP Bruxelles

GDPR

Vizualizari: 1747

Facebooktwittergoogle_plusredditpinterestlinkedinmailFacebooktwittergoogle_plusredditpinterestlinkedinmail

O delegație formată din 20 de membri ASCPD au participat la cea de-a 12-a ediție a Computers Privacy & Data Protection Conference ce s-a desfășurat în Bruxelles în perioada 29.01-01.02.2019. Această conferință adună în fiecare an academicieni, avocați, practicieni, factori de decizie politică, din industrie și societatea civilă din întreaga lume, oferindu-le o arenă pentru a face schimb de idei și pentru a discuta ultimele probleme și tendințe emergente. Această formulă multidisciplinară unică a ajutat CPDP-ul să devină una dintre cele mai importante conferințe de protecție a datelor și confidențialitate din Europa și din întreaga lume.

Tema principală a conferinței de anul acesta a fost democrația și nu întâmplător. Urmează o perioadă electorală în care profilarea datelor personale privind orientările politice poate avea consecințe importante asupra modului în care se votează. Tocmai de aceea este necesar să oferim indivizilor educația necesară pentru a întelege cât de importantă este transparența modului în care sunt utilizate datele personale dar și că acestea sunt noua monedă de schimb în această societate digitalizată.”, declară Cristiana Deca, vicepreședinte ASCPD.

Inteligența artificială a fost unul dintre cele mai comune subiecte discutate în conferință. Uniunea Europeană se confruntă cu această nouă provocare, legiferearea inteligentei artificiale care pentru a se dezvolta are nevoie sa fie "hranită" cu  date personale. În ce masură este compatibilă utilizarea datelor de catre AI cu prevederile GDPR rămâne de văzut. Cert este ca acest tip de tehnologie este din ce în ce mai raspandită și sunt necesare niște standarde comune pentru a ne ajuta să înțelegem care sunt tehnologiile etice și astfel utile populației”, afirmă Cristian Deca, vicepreședinte ASCPD.

Prin participarea ASCPD cu un numar așa de mare de membri am reușit să transmitem un mesaj clar că România depune eforturi reale în demersul de a implementa principiile Regulamentului (UE) 2016/679 și chiar dacă numele țării noastre a fost amintit de mai multe ori, în contexte nefavorabile, ne angajăm ca pe viitor să schimbăm acest lucru. Participarea la acest eveniment a fost o ocazie deosebită să interacționăm personal cu reprezentanții Comisiei Europene,  European Data Protection Board (EDPB), Information Commissioner’s Office (ICO), Commission nationale de l'informatique et des libertés (CNIL) sau de la companii internaționale precum Google și Facebook, lansând invitația către aceștia de a participa la prima conferință națională a asociației, programată pentru începului lunii noiembrie 2019”, a declarat Marius Dumitrescu, Președintele ASCPD. 

Vom încerca să susținem participarea membrilor noștri la cât mai multe evenimente de acest gen. Informațiile primite de la această conferință vor fi incluse în programul de pregătire și dezvoltare profesională a membrilor ASCPD și vor face obiectul unui proiect editorial.

 

Programul educational 2017-2018 s-a incheiat la data de 31.12.2018, urmand ca de la aceasta data revista sa fie creditata doar cu 5 credite de catre toate autoritatile profesionale (Colegiul Medicilor din Romania, Colegiul Medicilor Dentisti din Romania, Colegiul Farmacistilor din Romania si Ordinul Asistenţilor Medicali Generalişti, Moaşelor şi Asistenţilor Medicali din România)

Peste 33.000 de persoane s-au abonat la Newsletterul saptamanal. O poti face si tu chiar acum!

Inainte de a prelua informatii de pe acest site va rugam sa cititi TERMENII SI CONDITIILE DE UTILIZARE

Lansarea studiului comparativ privind gradul de conștientizare a importanței datelor cu caracter personal în România și Republica Moldova

Asociaţia Specialiştilor în Confidentialitate şi Protecţia Datelor (ASCPD) şi Asociaţia pentru Protecţia Vieţii Private din Republica Moldova, lansează în premieră un studiu comparativ ce are drept scop evaluarea […]

37% dintre români declară că au fost ținta unui atac de tip phishing

Aproape jumătate dintre români (49%) sunt interesați să protejeze datele financiare, accesul la internet banking sau datele din carduri, în timp ce peste o treime (37%) au fost […]

[EN] Statistical results of the „GDPR in HEALTH” study in Romania

Marius Dumitrescu, President of the Association of Specialists in Privacy and Data Protection (ASCPD), presented the conclusions of the study „GDPR in HEALTH” Romania during the second edition […]

Studiu statistic privind gradul de conformitate GDPR în sistemul sanitar românesc, lansat la Tîrgu Mureș

Pentru a marca Ziua Europeană a protecției datelor, Asociația SURYAM și Universitatea de Medicină, Farmacie, Stiinte si Tehnologie Tîrgu Mureș – Centrul de Cercetare pentru Politici de Sănătate […]

GDPR: Google a fost amendat cu 50 de milioane de euro

Google a fost amendat cu 50 de milioane de euro de către autoritatea franceză de reglementare a datelor CNIL pentru încălcarea normelor UE privind protecția datelor. CNIL a […]

[Formulare utile] Noi reglementari legale privind accesul la datele pacientului

Prin publicarea in Monitorul Oficial, Partea I nr. 3 din 03.01.2019 a Legii nr. 347/2018 se completeaza art. 24 din Legea drepturilor pacientului nr. 46/2003 in sensul ca […]

Dezvoltarea continuă a cunoștințelor DPO-ului, o prioritate pentru implementarea GDPR în România

Pentru a marca Luna Europeană pentru Securitatea Cibernetică (ECSM), în perioada 26-27 Octombrie 2018, Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) a organizat în București 2 sesiuni […]

Eliminați “Consimțământul GDPR” al pacientului pentru serviciile medicale

La nivelul unităților din sistemul sanitar nu este nevoie de obținerea unui consimțământ GDPR, semnat de pacient, prin care acesta este de acord cu prelucrarea datelor cu caracter […]

Expertiză de vârf pentru educarea specialiștilor în protecția datelor cu caracter personal

Articol publicat in Revista Health Anul 6 – Nr. 58 – editia tiparita – Septembrie 2018

Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD) își începe activitatea în România

S-a înființat Asociația Specialiștilor în Confidențialitate și Protecția Datelor (ASCPD), creată cu scopul de a informa și de a reuni profesioniștii care doresc să gestioneze cu succes punerea […]

CMR: Facem un apel ferm la respectarea confidenţialităţii datelor privind sănătatea pacienţilor.

Confidenţialitatea datelor de sănătate ale tuturor pacienţilor este un drept fundamental, consfinţit de legile naţionale şi europene. Din păcate, în ultimul timp,  asistăm la expunerea în spaţiul public […]

Asociatia Romana de Psihiatrie si Psihoterapie protesteaza

Referitor la publicarea de către domnul Darius Vâlcov – consilier de stat al premierului României – pe pagina sa Facebook, a unui document medical confidențial, precum și a […]

Protecția datelor în domeniu sanitar, abordare pragmatică sau complianță formală?

Articol publicat in Revista Health Anul 6 – Nr. 56 – editia tiparita – Iunie-Iulie 2018

GDPR – o provocare pentru sistemul sanitar romanesc

Confidențialitatea constituie una dintre cele mai importante valori ale actului medical care stau la baza relației profesionist-pacient, reprezentând, totodată, și o obligație, stipulată încă din cele mai vechi […]

Garantarea vieții private a murit ! Poate GDPR-ul să o reanimeze ?

Începând cu data de 25 mai 2018 a intrat în vigoare Regulamentul 679/2016 cunoscut sub numele de GDPR. Această nouă lege nu aduce o revoluție în domenul protecției […]

Responsabilul cu protecţia datelor cu caracter personal

Regulamentul (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei […]

A fost publicata o RECTIFICARE la Regulamentul (UE) 2016/679

In data de 19 Aprilie 2018 a fost publicata o RECTIFICARE la Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în […]

Profesiune libera sau persoana vizata?

Noul Regulament European privind Protectia Datelor defineste „datele cu caracter personal” ca fiind orice informații privind o persoană fizică identificabilă, care poate fi identificată, direct sau indirect, în special […]

Prioritate privind conștientizarea importanței GDPR

Articol publicat in Revista Health Anul 6 – Nr. 54 – editia tiparita – Aprilie 2018  

Lorena Macnaughtan: GDPR – „25 mai este doar începutul”

Lorena Macnaughtan, MBA, este directorul iCEE.health, eveniment în inovația digitală în sănătate, destinat tuturor participanților în sistem: pacienți, doctori, asistenți, studenți, entreprenori, manageri, autorități.  Acesta are loc în acest an pe 14 iunie, […]