您的医疗数据受欧盟法律（GDPR）保护。以下是其含义及您享有的权利。 — 背景
您的医疗数据受欧盟法律（GDPR）保护。以下是其含义及您享有的权利。
背景
GDPR（《通用数据保护条例》）是规范组织如何收集、储存和使用个人数据（包括病历）的欧盟法律。它适用于在欧盟内处理患者数据的所有欧盟诊所和组织。作为 UK 居民，GDPR 不直接约束 UK 实体，但 Brexit 后的互惠安排确保您依据 UK 数据保护法（Data Protection Act 2018）获得类似保护。保加利亚诊所完全受 GDPR 约束。
主要权利：(1) 知道收集何种数据及原因。诊所必须提供隐私通知；仔细阅读。(2) 访问权。可索取诊所持有的全部数据；应在 30 天内提供，通常免费。(3) 更正权。数据不准确时可要求更正。(4) 删除权（“被遗忘权”）。可要求删除，但法律要求保留时诊所可拒绝（医疗记录因责任原因常保留 30 年）。(5) 限制处理权。可要求不用于某些目的（如研究）。(6) 撤回同意权。
诊所可如何使用：可用于直接护理（治疗）、预约、账单和法律合规（记录保留法）。不得向广告商出售、未经明确同意向第三方分享，或未经特别同意用于营销。如用于研究（研究结果），必须明确征求许可；拒绝不能影响治疗。
第三方合同：诊所可能使用可接触数据的软件公司、实验室或账单服务商，即“数据处理者”。GDPR 要求书面合同确保其像诊所一样保护数据。可问：“哪些第三方访问我的数据？”合法诊所有清单并能解释保障。
国际传输：诊所在保加利亚、您在 UK 时，跨境传输需要法律机制。保加利亚（欧盟）与 UK 有安全传输安排。但向非欧盟国家（US、离岸辖区）传输受限制，除非有保障。询问：“数据会传到欧盟外吗？”如会，问如何保护。声称可自由传输却不解释保障，显示缺乏 GDPR 知识。
数据泄露：如发生黑客攻击、文件丢失等，诊所必须在 30 天内通知受影响者并报告保加利亚数据保护机构。您会得到通知和保护建议（如更改密码）。淡化泄露违反 GDPR。
如何验证合规：(1) 索取隐私通知——应详细清晰。(2) 询问如何保障（加密、访问控制、员工培训）。(3) 询问保留政策（医疗责任标准为 30 年）。(4) 询问第三方合同。(5) 询问删除程序。含糊回避提示合规差。
病历副本：可索取治疗记录、病理报告、影像和诊所笔记的数字副本。依据 GDPR，诊所必须以最低费用（最高 €10–30）在 30 天内提供。可用于第二意见、个人保存或更换诊所。书面提出并具体说明。
记录分享常见问题：如为第二意见索取，诊所可在书面许可下直接发送给医生，也可给您。两者都可；直接分享更安全。
实际安全：合法诊所将记录储存在：(1) 有访问控制的加密数字系统（密码、多因素认证），(2) 受限区域的上锁纸质文件，(3) 定期备份并保留离线副本。员工接受数据处理培训，并有“数据保护官”监督。询问这些；诚实诊所会说明。
风险：数据丢失或泄露会带来身份盗窃或隐私侵犯风险（数据出售给保险公司、雇主等）。在合规健全的欧盟诊所很少见，但保障因此重要。
同意疲劳：诊所有时要求同意治疗、数据保留、研究和营销。可同意一部分、拒绝另一部分。同意只有在自由给予而非胁迫时有效。将治疗与同意研究招募绑定违反 GDPR（实际做法不同；明确询问是否为条件）。
本国与数据：若要求保加利亚诊所将记录给 UK 的 GP，数据返回 UK。一旦 GP 持有，UK 数据法（Data Protection Act 2018）适用。GP 也必须安全保护。
投诉：如侵犯隐私，可向保加利亚数据保护机构（Komisiya za Zaschita na Dannite；网站有保加利亚语和英语）或 UK Information Commissioner's Office（ICO）投诉。这些机构调查并可罚款或要求纠正。
结论：GDPR 赋予您对医疗数据的强大权利。合法诊所欢迎这些权利并透明运营。拒绝提供隐私信息或数据访问是警示。了解权利能保护您。
本资料仅用于健康教育，不构成医疗建议。请与独立合格医生核验产品、适应证、法律路径与证据。