Nerespectarea GDPR poate atrage mai multe tipuri de sanctiuni, inclusiv amenzi de pana la 20 de milioane de euro sau 4% din cifra de afaceri, oricare dintre acestea este mai mare. In plus, daca au suferit un prejudiciu, persoanele vizate (persoanele fizice / clientii ale caror date cu caracter personal sunt prelucrate) pot obtine despagubiri care sa acopere valoarea acestor prejudicii, iar drepturile lor pot fi reprezentate inclusiv de organisme colective. In plus, pentru ca activati in zona de sanatate si lucrati cu pacienti, intrati in contact cu date observate si mai atent de autoritati, respectiv date cu caracter sensibil.

Da. Orice farmacie sau cabinet medical, indiferent de marime, prelucreaza date cu caracter personal, fie ca acestea sunt privitoare la angajatii farmaciei / cabinetului, la colaboratori si furnizori, la pacienti, la doctori prin intermediul retetelor medicale primite / trimise in vederea eliberarii medicamentelor, la institutii ale statului, fie ca ele privesc datele pacientilor in scopuri de marketing (de exemplu: eliberarea cardurilor de fidelitate), fapt ce face ca farmacia sau cabinetul, oricat de mici, sa fie un subiect al GDPR.

Conform Regulamentului Uniunii Europene 679/2016 Capitolul II, Articolul 9 aliniatul (h) NU este nevoie de semnarea unui consimtamant daca „prelucrarea este necesara in scopuri legate de medicina preventiva sau a muncii, de evaluarea capacitatii de munca a angajatului, de stabilirea unui diagnostic medical, de furnizarea de asistenta medicala sau sociala sau a unui tratament medical sau de gestionarea sistemelor si serviciilor de sanatate sau de asistenta sociala, in temeiul dreptului Uniunii sau al dreptului intern sau in temeiul unui contract incheiat cu un cadru medical si in cazul in care datele respective sunt prelucrate de catre un profesionist supus obligatiei de pastrare a secretului profesional sau sub responsabilitatea acestuia.”

Ca si profesionisti supusi obligatiei de pastrare a secretului profesional, medicii, farmacistii si asistentii medicali nu sunt nevoiti sa semneze un astfel de consimtamant. Acordul explicit al pacientului este necesar doar in situatia in care datele sale sunt utilizate in alte scopuri decat cele medicale (ex: scopuri de marketing si promovare, studii clinice etc.)

Cum trebuie să procedeaz corect, în lumina reglementărilor GDPR atunci când Primăria solicită date personale și date medicale ale unor copii cu scopul de a fi retransmise ulterior la instituția PROTECȚIA COPILULUI?

Intr-o astfel de situatie, consideram ca transferul datelor se face in vederea indeplinirii obligatiei legale de a raspunde solicitarilor autoritatilor ce actioneaza in acest sens in scopul interesului public adecvat atributiilor si competentelor legale ale acestuia.

In acest caz, medicul trebuie sa se asigure ca pacientii sai sunt informati cu privire la un transfer al datelor catre autoritati publice si sa ia masuri tehnice si organizatorice pentru ca modalitatea in care se transmit efectiv datele sa asigure securitatea acestora (cum ar fi de exemplu: transmiterea intr-un format securizat daca se face pe mail, sigilat – in format fizic, sa se asigure cu privire la identitatea persoanei care primeste datele daca se face un transfer direct, sa retina dovezi cu privire la modalitatea de transmitere, sa insoteasca datele cu o adresa de inaintare, de raspuns in care sa atraga atentia asupra caracterului confidential al datelor transmise si a utilizarii lor doar in scopul solicitat prevazut de lege).

Formularul de acces la date este documentul pus la dispozitie clientilor sau respectiv persoanelor vizate (persoanelor fizice ale caror date sunt prelucrate) in virtutea dreptului de acces al persoanei vizate care poate solicita operatorului:

• Confirmarea faptului ca datele sale cu caracter personal sunt prelucrate de respectivul operator;
• Comunicarea anumitor informatii cu privire la prelucrarea datelor sale cu caracter personal (de exemplu: un client al unei farmacii doreste sa I se comunice care sunt categoriile de date cu caracter personal prelucrate in legatura cu persoana sa; care este scopul acestei prelucrari; care sunt destinatarii datelor cu caracter personal; garantiile si masurile de siguranta in cazul transferului de date cu caracter personal catre tari terte sau organizatii international; perioada preconizata pentru stocarea datelor cu caracter personal sau, daca acest lucru nu este posibil, criteriile utilizate pentru a stabili aceasta perioada; informatii privind: dreptul de a solicita rectificarea datelor cu caracter personal/ stergerea datelor cu caracter personal/ restrictionarea prelucrarii, dreptul de opozitie la prelucrare, dreptul de a formula o plangere la autoritatea de supraveghere; sursa datelor cu caracter personal (in cazul in care datele nu sunt obtinute direct de la persoana vizata) si/ sau existenta posibilitatii luarii unei decizii bazate exclusiv pe prelucrarea automata, inclusiv profiling, a datelor si semnificatia si consecintele unei astfel de procesari;
• Transmiterea unei copii a datelor cu caracter personal prelucrate (de exemplu, un angajat solicita angajatorului o copie a datelor pe care acesta din urma le detine in legatura cu persoana sa);
• Transmiterea datelor cu caracter personal in format structurat, utilizat in mod curent si care poate fi citit automat (de exemplu, o persoana care a oferit datele sale cu caracter personal prin completarea unui formular pe suport hartie pentru obtinerea unui card de fidelitate, solicita transmiterea in format electronic – pe e-mail a datelor prelucrate cu privire la persoana sa);
• Transmiterea datelor cu caracter personal in format structurat, utilizat in mod curent si care poate fi citit automat, catre un alt operator (de exemplu, in cazul portarii de la un furnizor de servicii mobile la altul, se solicita furnizorului inlocuit transmiterea datelor cu caracter personal catre noul furnizor);

De asemenea, in virtutea drepturilor persoanelor vizate prevazute de GDPR, acestea pot completa si transmite, in functie de solicitarea avuta:

• formular pentru exercitarea dreptului de opozitie cu privire la prelucrarea datelor cu caracter personal (de exemplu, persoana vizata nu isi mai doreste ca datele sale sa fie prelucrate in scop de marketing si, pe cale de consecinta, sa mai primeasca newsletter/ reclama pe e-mail);
• formular pentru exercitarea dreptului de rectificare a datelor cu caracter personal (de exemplu, datele cu caracter personal detinute de un operator sunt gresite sau incomplete, motiv pentru care persoana in discutie solicita rectificarea si/sau completarea acestora);
• formular pentru exercitarea dreptului la restrictionarea prelucrarii a datelor cu caracter personal (de exemplu, in cazul in care persoana vizata se opune prelucrarii datelor sale in scop de marketing, pana la solutionarea acestei cereri, poate solicita ca prelucrarea datelor sa fie restrictionata);
• formular pentru exercitarea dreptului de stergere a datelor cu caracter personal.

Fiecare astfel de formular va fi pus la dispozitia persoanelor vizate, fie pe site, fie la solicitarea acestora, iar solutionarea cererilor persoanelor vizate se va face de catre operator in functie de situatia concreta, cu luarea in considerare a elementelor particulare a solicitarilor persoanelor vizate prin raportare la specificul activitatii desfasurate, in conditiile reglementate de art. 12-22 din GDPR si potrivit Procedurii de solutionare a cererilor formulate de persoanele vizate.

Nu este necesara semnarea unei conventii de prelucrare de date cu o autoritate publica sau o institutie a statului care activeaza in domeniul sanatatii in virtutea obligatiilor legale.

DSP este o institutie a statului deci relatia cu DSP, chiar si cea de prelucrare, este statuata de legislatia in vigoare.

Colegiul Medicilor din Romania este o organism profesional in acest domeniu de activitate, prelucreaza datele medicilor in virtutea obligatiilor legale (inclusiv in legatura cu emiterea certificatului de libera practica, avizele periodice pe care le emite etc) si maniera in care acesta isi stabileste relatia cu medicii din perspectiva prelucrarii si protectiei datelor cu caracter personal ale medicilor tine de deciziile si actele adoptate la nivelul Colegiului, documentele din platforma GDPR nefiind destinate acestui tip de relatie.

Nu este necesara semnarea unei conventii de prelucrare de date cu un organism profesional care activeaza in domeniul sanatatii in virtutea obligatiilor legale

Conventia privind prelucrarea datelor cu caracter personal are prevazuta ca avand durata pana la cea mai tarzie dintre urmatoarele date:

(i) data incetarii sau expirarii Contractului principal;

(ii) data incetarii ultimelor Servicii efectuate in conformitate cu Contractul principal.

Prin urmare, in cazul prelungirii contractelor nu este necesara semnarea unei noi Conventii. In masura in care reinnoirea contractelor presupune incheierea unui nou contract (avand alt numar, alta data), va trebui actualizata si Conventia privind prelucrarea datelor cu caracter personal prin referire la noul contract de servicii ca fiind Contractul principal.

Mentineti acest registru atat in platforma MyBiz GDPR, cat si arhivat si securizat in forma fizica (pe hartie).

Atentie! Acest Registru poate fi solicitat de catre autoritatile de supraveghere!

Conform Art. 30 din Regulamet:

Regulamentul prin Capitolul II, Art. 30 va obliga sa pastrati o evidenta a activitatilor de prelucrare de date cu caracter personal desfasurate de catre societatea dumneavoastra. Astfel, de fiecare data cand prelucrati date cu caracter personal, veti face o noua inregistrare in acest registru.

Datele cu caracter personal speciale sunt acele date care privesc:

• originea rasiala sau etnica
• opiniile politice
• confesiunea religioasa sau convingerile filozofice
• apartenenta la sindicate
• date genetice, de date biometrice pentru identificarea unica a unei persoane fizice
• date privind sanatatea
• date privind viata sexuala sau orientarea sexuala ale unei persoane fizice.

Datele cu caracter personal reprezinta orice informatii care se refera la o persoana fizica identificata sau identificabila (PERSOANA VIZATA), respectiv date:

• ale persoanei: nume, prenume, CNP, amprenta, ADN, voce, imagine
• despre persoana: varsta, sex, etnie, rasa, orientare sexuala, politica, religioasa, starea de sanatate
• in legatura cu persoana: adresa de domiciliu, resedinta, adresa de e-mail, numarul de telefon, ocupatia, venitul
• orice alt tip de date care se pot corela pentru a duce la identificarea unei persoane

DPO (din engleza “Data Protection Officer”) sau RPD (in romana “Responsabil cu Protectia Datelor”) este aceea persoana desemnata in cadrul unei companii sa ofere consultanta in domeniul protectiei datelor si care actioneaza ca punct de contact al autoritatii de supraveghere in chestiuni legate de prelucrarea datelor cu caracter personal.