Медицинските ви данни са защитени от правото на EU (GDPR) — Контекст

Контекст

GDPR (Общ регламент относно защитата на данните) е законодателство на EU, което урежда как организациите събират, съхраняват и използват лични данни, включително медицински досиета. Той се прилага за всички клиники в EU и организации, които обработват данни на пациенти в EU. Като жител на Великобритания GDPR не обвързва пряко субектите във Великобритания, но взаимните споразумения след Brexit гарантират сходна защита съгласно правото на Великобритания за защита на данните (Data Protection Act 2018). Българските клиники са изцяло подчинени на GDPR.

Основни права, които имате: (1) Право да знаете какви данни се събират и защо. Клиниката трябва да ви предостави уведомление за поверителност, което обяснява това. Прочетете го внимателно. (2) Право на достъп. Можете да поискате копие на всички данни, които клиниката съхранява за вас; тя трябва да ги предостави в рамките на 30 дни, обикновено безплатно. (3) Право на коригиране. Ако данните са неточни, можете да поискате корекции. (4) Право на изтриване („право да бъдеш забравен“). Можете да поискате от клиниката да изтрие данните ви, но тя може да откаже, ако съхраняването им се изисква по закон (медицинските досиета често се съхраняват 30 години поради отговорността). (5) Право на ограничаване на обработването. Можете да поискате от клиниката да не използва данните ви за определени цели (например изследвания). (6) Право да оттеглите съгласието. Ако първоначално сте дали съгласие за използване на данните, можете да го оттеглите.

Какво могат да правят клиниките с данните ви: Клиниките могат да използват медицинските ви досиета за: пряка грижа за пациента (лечение), планиране на посещения, фактуриране и спазване на закона (закони за съхраняване на медицински досиета). Не могат да: продават данните ви на рекламодатели, да ги споделят с трети страни без изричното ви съгласие или да ги използват за маркетинг, освен ако изрично не сте се съгласили. Ако клиника иска да използва данните ви за изследвания (проучване на резултатите), тя трябва да поиска изричното ви разрешение — а вие можете да откажете, без това да засяга лечението ви.

Договори с трети страни: Клиниките може да използват софтуерни дружества, лаборатории или услуги за фактуриране, които имат достъп до данните ви. Те са „обработващи лични данни“. GDPR изисква клиниките да имат писмени договори с обработващите, които гарантират, че те защитават данните като клиниката. Можете да попитате клиниката си „Кои трети страни имат достъп до данните ми?“ Добросъвестната клиника има списък и може да обясни гаранциите.

Международно предаване на данни: Ако клиниката ви е в България, а вие сте във Великобритания, предаването на данни през граници изисква правни механизми. България (EU) и Великобритания имат договорености, които позволяват безопасно предаване. Предаването на данни към държави извън EU (US, офшорни юрисдикции) обаче е ограничено, освен ако има гаранции. Попитайте клиниката си „Ще бъдат ли данните ми предавани извън EU?“ Ако да, попитайте как са защитени. Клиники, които твърдят, че ще предават свободно данни, без да обяснят гаранциите, не познават GDPR.

Нарушения на сигурността на данните: Ако клиника претърпи нарушение на сигурността на данните (хакерска атака, изгубени файлове и др.), тя трябва да уведоми засегнатите лица в рамките на 30 дни и да съобщи на българските органи за защита на данните. Ще бъдете информирани и посъветвани за защитни стъпки (например промяна на пароли). Клиника, която омаловажава нарушение, нарушава GDPR.

Как да проверите съответствието на клиниката: (1) Поискайте уведомлението ѝ за поверителност — то трябва да е подробно и ясно. (2) Попитайте как защитава данните (криптиране, контрол на достъпа, обучение на персонала). (3) Попитайте за политиката ѝ за съхраняване на данни (колко дълго пази досиетата; 30 години е стандарт за медицинска отговорност). (4) Попитайте за договорите с трети страни. (5) Попитайте за процедурата, ако поискате изтриване на данните. Неясни или уклончиви отговори предполагат слабо съответствие.

Копия на медицинските ви досиета: Можете да поискате цифрови копия на лечебните си досиета, патологичните доклади, образните изследвания и бележките на клиниката. Съгласно GDPR клиниките трябва да ги предоставят срещу минимален разход (максимум €10–30) в рамките на 30 дни. Полезно е за: споделяне с лекар за второ мнение, поддържане на собствено копие или наличие на досие, ако смените клиниката. Поискайте писмено и уточнете точно какво искате.

Често задаван въпрос за споделянето на досиета: Ако поискате досиетата, за да ги покажете на лекар за второ мнение, клиниката може да ги предостави директно на него (с ваше писмено разрешение) или лично на вас. И двете са възможни; прякото споделяне с лекаря е по-сигурно.

Сигурност на данните на практика: Добросъвестните клиники съхраняват досиетата в: (1) Криптирани цифрови системи с контрол на достъпа (пароли, многофакторно удостоверяване). (2) Заключени хартиени досиета в зони с ограничен достъп. (3) Редовни резервни копия с офлайн копия за излишък. Обучават персонала за работа с данни и имат „длъжностни лица по защита на данните“, които наблюдават съответствието. Попитайте за това; честните клиники описват организацията си.

Риск: Ако данните бъдат изгубени или сигурността им бъде нарушена, сте изложени на риск от кражба на самоличност или нежелано нахлуване в поверителността (данните се продават на застрахователи, работодатели и др.). Това е рядко в клиники в EU със стабилно съответствие, но затова гаранциите имат значение.

Умора от съгласието: Клиниките понякога искат съгласие за: лечение, съхраняване на данни, използване за изследвания, маркетинг. Можете да се съгласите с някои, а с други — не. Съгласието е валидно само ако е дадено свободно, без принуда. Клиника, която поставя лечението в зависимост от съгласие за набиране за изследвания, нарушава GDPR (въпреки че практиките се различават; попитайте ясно дали лечението зависи от съгласие за изследване).

Вашата държава и данните: Ако поискате досиета от българската клиника, за да ги споделите с личния си лекар във Великобритания, премествате данните обратно във Великобритания. Законите за защита на данните във Великобритания (Data Protection Act 2018) се прилагат, след като личният ви лекар ги получи. Той също трябва да ги защитава сигурно.

Жалби: Ако клиника наруши поверителността на данните ви, можете да подадете жалба до българската Комисия за защита на личните данни (уебсайт на български и английски) или до Information Commissioner's Office (ICO) във Великобритания. Тези органи разследват и могат да глобяват клиники или да разпореждат коригиращи действия.

Извод: GDPR ви дава силни права върху медицинските ви данни. Добросъвестните клиники приемат това и работят прозрачно. Клиники, които се противопоставят на искания за информация относно поверителността или достъп до данни, са предупредителни знаци. Разбирането на правата ви ви защитава.

Образователна информация, а не медицински съвет. Проверете продукта, показанието, правното основание и доказателствата с независим квалифициран лекар.