המידע הרפואי שלכם מוגן בחוק האיחוד האירופי (GDPR) — הקשר

הקשר

GDPR ‏(General Data Protection Regulation) הוא חוק של האיחוד האירופי המסדיר כיצד ארגונים אוספים, שומרים ומשתמשים במידע אישי, לרבות רשומות רפואיות. הוא חל על כל המרפאות והארגונים באיחוד האירופי המטפלים בנתוני מטופלים בתוך האיחוד. כתושבי UK, ‏GDPR אינו מחייב ישירות ישויות ב־UK, אך הסכמים הדדיים לאחר Brexit מבטיחים הגנה דומה לפי חוק הגנת המידע של UK ‏(Data Protection Act 2018). מרפאות בולגריות כפופות באופן מלא ל־GDPR.

הזכויות העיקריות שלכם: (1) הזכות לדעת איזה מידע נאסף ומדוע. המרפאה חייבת לספק הודעת פרטיות המסבירה זאת. קראו אותה בקפידה. (2) זכות גישה. תוכלו לבקש עותק של כל המידע שהמרפאה מחזיקה עליכם; עליה לספקו בתוך 30 ימים, בדרך כלל ללא תשלום. (3) זכות לתיקון. אם מידע אינו מדויק, תוכלו לבקש לתקנו. (4) זכות למחיקה — ״הזכות להישכח״. תוכלו לבקש מהמרפאה למחוק את המידע, אך היא יכולה לסרב אם החוק מחייב שמירה — רשומות רפואיות נשמרות לעיתים קרובות במשך 30 שנים מטעמי אחריות. (5) זכות להגביל עיבוד. תוכלו לבקש מהמרפאה שלא להשתמש במידע למטרות מסוימות — למשל מחקר. (6) זכות לבטל הסכמה. אם הסכמתם במקור לשימוש במידע, תוכלו לחזור בכם.

מה מרפאות יכולות לעשות במידע: הן יכולות להשתמש ברשומות הרפואיות לצורך טיפול ישיר במטופל, קביעת תורים, חיוב ועמידה בחוק — חוקי שמירת רשומות רפואיות. הן אינן יכולות למכור את המידע למפרסמים, לשתף אותו עם צדדים שלישיים ללא הסכמה מפורשת או להשתמש בו לשיווק אלא אם הסכמתם לכך במפורש. אם המרפאה רוצה להשתמש במידע למחקר — בחינת תוצאות — עליה לבקש רשות מפורשת, ואתם רשאים לסרב בלי שהדבר ישפיע על הטיפול.

חוזים עם צדדים שלישיים: המרפאה עשויה להשתמש בחברות תוכנה, מעבדות או שירותי חיוב הניגשים למידע. אלה ״מעבדי מידע״. GDPR מחייב מרפאות להחזיק חוזים כתובים עם המעבדים, המבטיחים שהם מגינים על המידע באותו אופן. תוכלו לשאול את המרפאה ״לאילו צדדים שלישיים יש גישה למידע שלי?״ מרפאה לגיטימית מחזיקה רשימה ויכולה להסביר את אמצעי ההגנה.

העברה בין־לאומית של מידע: אם המרפאה בבולגריה ואתם ב־UK, העברת מידע מעבר לגבולות דורשת מנגנונים משפטיים. לבולגריה — באיחוד האירופי — ול־UK יש הסדרים המאפשרים העברה בטוחה. עם זאת, העברה למדינות שאינן באיחוד האירופי — US או תחומי שיפוט מחוץ לחוף — מוגבלת אלא אם קיימים אמצעי הגנה. שאלו את המרפאה ״האם המידע שלי יועבר מחוץ לאיחוד האירופי?״ אם כן, שאלו כיצד הוא מוגן. מרפאות הטוענות שיעבירו מידע באופן חופשי בלי להסביר אמצעי הגנה אינן מכירות היטב את GDPR.

דליפות מידע: אם המרפאה סובלת מדליפת מידע — פריצה, אובדן קבצים וכדומה — עליה להודיע לאנשים שנפגעו בתוך 30 ימים ולדווח לרשות הבולגרית להגנת מידע. תקבלו הודעה והנחיות לצעדי הגנה — למשל שינוי סיסמאות. מרפאה הממעיטה בחשיבות הדליפה מפרה GDPR.

כיצד לבדוק עמידה של מרפאה: (1) בקשו את הודעת הפרטיות — עליה להיות מפורטת וברורה. (2) שאלו כיצד היא מאבטחת מידע — הצפנה, בקרת גישה והכשרת עובדים. (3) שאלו על מדיניות שמירת המידע — כמה זמן נשמרות הרשומות; 30 שנים הן תקן מקובל לאחריות רפואית. (4) שאלו על חוזים עם צדדים שלישיים. (5) שאלו על הנוהל כאשר אתם מבקשים למחוק מידע. תשובות מעורפלות או מתחמקות מרמזות על עמידה לקויה בדרישות.

עותקים של הרשומות הרפואיות: תוכלו לבקש עותקים דיגיטליים של רשומות הטיפול, דוחות פתולוגיה, דימות והערות המרפאה. לפי GDPR, המרפאה חייבת לספק אותם בעלות מזערית — €10–30 לכל היותר — בתוך 30 ימים. הדבר שימושי לשיתוף עם רופא שנותן חוות דעת נוספת, לשמירת עותק אישי או לתיעוד אם אתם עוברים מרפאה. הגישו בקשה בכתב וציינו בדיוק מה דרוש.

שאלה נפוצה על שיתוף רשומות: אם אתם מבקשים רשומות כדי להציגן לרופא שנותן חוות דעת נוספת, המרפאה יכולה להעבירן ישירות לרופא — ברשותכם בכתב — או אליכם אישית. שתי האפשרויות תקינות; שיתוף ישיר עם הרופא בטוח יותר.

אבטחת מידע בפועל: מרפאות לגיטימיות שומרות רשומות ב־(1) מערכות דיגיטליות מוצפנות עם בקרת גישה — סיסמאות ואימות רב־גורמי. (2) תיקי נייר נעולים באזורים מוגבלים. (3) גיבויים סדירים עם עותקים לא מקוונים ליתירות. הן מכשירות עובדים לטיפול במידע ומעסיקות ״קציני הגנת מידע״ המפקחים על הציות. שאלו על כך; מרפאות כנות יתארו את המערך שלהן.

סיכון: אם המידע אובד או דולף, אתם בסיכון לגנבת זהות או לפגיעה בלתי רצויה בפרטיות — מידע שנמכר למבטחים, למעסיקים וכדומה. הדבר נדיר במרפאות באיחוד האירופי המקיימות ציות איתן, אך זו הסיבה לחשיבות אמצעי ההגנה.

עייפות מהסכמה: מרפאות מבקשות לעיתים הסכמה לטיפול, לשמירת מידע, לשימוש במחקר ולשיווק. תוכלו להסכים לחלק ולא לאחרים. הסכמה תקפה רק אם ניתנה מרצון חופשי ולא בכפייה. מרפאה המתנה טיפול בהסכמה להשתתפות במחקר מפרה GDPR — אף שהנהלים משתנים; שאלו בבירור אם הטיפול מותנה בהסכמה למחקר.

מדינת הבית והמידע: אם אתם מבקשים רשומות ממרפאה בולגרית כדי לשתפן עם GP ב־UK, אתם מעבירים מידע בחזרה ל־UK. חוקי הגנת המידע של UK ‏(Data Protection Act 2018) חלים ברגע ש־GP מחזיק בו. גם GP חייב להגן עליו באופן מאובטח.

תלונות: אם מרפאה מפרה את פרטיות המידע, תוכלו להתלונן לרשות הבולגרית להגנת מידע — Komisiya za Zaschita na Dannite; האתר בבולגרית ובאנגלית — או ל־UK Information Commissioner's Office ‏(ICO). גופים אלה חוקרים ויכולים לקנוס מרפאות או להורות על פעולות תיקון.

השורה התחתונה: GDPR מעניק לכם זכויות חזקות ביחס למידע הרפואי. מרפאות לגיטימיות מקבלות זאת בברכה ופועלות בשקיפות. מרפאות המתנגדות לבקשות למידע על פרטיות או לגישה לנתונים הן סימני אזהרה. הבנת הזכויות מגינה עליכם.

מידע לימודי ולא ייעוץ רפואי. יש לאמת את המוצר, ההתוויה, המסלול המשפטי והראיות עם רופא מוסמך ועצמאי.