Здравна информация и лични данни: какво могат лечебните заведения

Диагнозата, резултатите от изследванията, предписаните лекарства – това е най-чувствителната информация за всеки човек. Затова здравните лични данни по GDPR са специална категория, за която важат по-строги правила. Те засягат всяко лечебно заведение – от индивидуалната практика на личния лекар до голямата болница, лабораторията и естетичната клиника.

В практиката въпросите идват от двете страни. Пациентите питат кой има право да види досието им и може ли информация да бъде дадена на работодател или роднина. Лечебните заведения питат как да организират архивите, камерите, онлайн записването и комуникацията с пациентите, без да нарушат закона.

В тази статия обясняваме основните правила по Общия регламент относно защитата на данните (GDPR), Закона за защита на личните данни (ЗЗЛД) и Закона за здравето.

Защо здравните данни са специална категория

GDPR определя данните за здравословното състояние широко. Към тях спада всяка информация за физическото или психическото здраве на човека, включително за получените здравни услуги, която разкрива информация за здравословното му състояние.

Съгласно чл. 9, пар. 1 от GDPR обработването на такива данни по принцип е забранено. Забраната обаче има изключения, изброени в чл. 9, пар. 2. За лечебните заведения най-важното е обработването за целите на превантивната медицина, медицинската диагностика, лечението и управлението на здравни грижи (чл. 9, пар. 2, буква „з“). Условието е данните да се обработват от или под отговорността на професионалист, обвързан със задължение за професионална тайна.

Това означава, че за самото лечение по правило не е нужно отделно съгласие за обработване на лични данни. Основанието е законовото задължение и медицинската цел. Съгласието за обработване на данни не трябва да се бърка с информираното съгласие за медицинска интервенция – то е друго, самостоятелно изискване.

Какво казва Законът за здравето

Освен GDPR, у нас се прилага и Законът за здравето. Той дефинира понятието здравна информация и урежда кога тя може да се предоставя на трети лица. Основното правило е, че здравната информация е защитена и може да бъде разкрита без съгласието на пациента само в изрично изброени в закона случаи (чл. 28 от Закона за здравето).

Такива случаи са например:

• продължаване на лечението в друго лечебно заведение;
• непосредствена заплаха за живота или здравето на други лица;
• държавен здравен контрол и предотвратяване на епидемии;
• медицинска експертиза и обществено осигуряване;
• медицинска статистика и научни изследвания – при данни, които не позволяват идентифициране на пациента;
• искане на компетентни държавни органи, когато законът им дава такова право.

Извън тези хипотези лекарят и лечебното заведение пазят лекарска тайна. Нарушението ѝ може да доведе до дисциплинарна, административна, а в някои случаи и до наказателна отговорност.

Кой има право да получи информация за пациента

Основното правило е, че информацията се предоставя на самия пациент. Той може да упълномощи трето лице да получава информация вместо него. За малолетните и поставените под пълно запрещение информацията се дава на законните им представители.

Ето кои ситуации най-често създават проблеми:

• Роднини, които се обаждат по телефона – добрата практика е по телефона да не се дава здравна информация, защото не може да се провери самоличността на питащия.
• Работодател, който иска да знае диагнозата на служителя – получава болничния лист за целите на осигуряването, но няма право да изисква допълнителна медицинска информация извън предвиденото в закона.
• Застраховател – получава информация в границите, предвидени в закона и в съгласието на застрахования.
• Журналисти – не получават здравна информация за конкретен пациент без неговото съгласие.

Подробно за правото на пациента да получи копия от медицинските си документи писахме в статията за правата на пациента и достъпа до медицинското досие.

Правата на пациента по GDPR

GDPR дава на всеки човек набор от права по отношение на неговите данни. За пациентите най-важни са:

• право на информация – да знае кой, защо и как обработва данните му;
• право на достъп – да получи копие от данните си (чл. 15 от GDPR);
• право на коригиране на неточни данни;
• право на ограничаване на обработването в определени случаи;
• право на възражение и право на жалба до надзорния орган.

Правото на изтриване („право да бъдеш забравен“) при медицинската документация е ограничено. Лечебните заведения са длъжни да съхраняват документацията за определени от закона срокове. Пациентът не може да поиска досието му да бъде унищожено преди това.

В какъв срок трябва да отговори лечебното заведение

Според чл. 12, пар. 3 от GDPR администраторът отговаря без ненужно забавяне и не по-късно от един месец от получаване на искането. При сложни или многобройни искания срокът може да бъде удължен с още два месеца, като пациентът трябва да бъде уведомен за удължаването и причините в рамките на първия месец. Информацията по искане за достъп по правило се предоставя безплатно.

Задълженията на лечебното заведение

Всяко лечебно заведение е администратор на лични данни и трябва да може да докаже, че спазва правилата. На практика това означава:

1. Да има вътрешни правила за защита на данните и да ги прилага.
2. Да информира пациентите – с информационна табела, на сайта и в документите при приемане.
3. Да ограничи достъпа до медицинската документация само до персонала, който реално участва в лечението.
4. Да води регистър на дейностите по обработване.
5. Да сключи договори с обработващите данни – например доставчици на софтуер, лаборатории, счетоводни фирми.
6. Да определи длъжностно лице по защита на данните, когато основната му дейност включва мащабно обработване на здравни данни (чл. 37, пар. 1, буква „в“ от GDPR). Това често важи за болниците и големите медицински центрове.
7. Да извърши оценка на въздействието, когато обработването е свързано с висок риск – например при нови информационни системи.

Камерите за видеонаблюдение, онлайн системите за записване на часове и телемедицината също трябва да са съобразени с изискванията. Например видеонаблюдение в кабинети и помещения, където се извършват прегледи, по правило е недопустимо.

Лихва за забава и неустойка в търговските сделки: какво да договорите

Договор за доставка между фирми: клаузите, които Ви пазят

Изключване на съдружник от ООД: основания, процедура и защита

Кой е най-евтиният начин за прехвърляне на имот?

Подкуп на полицай

Отказ за разрешение за строеж: как се обжалва

Имейл, съобщения и онлайн резултати

Все повече лечебни заведения изпращат резултати по имейл, SMS или през онлайн платформа. Това е удобно, но носи рискове. Грешен адрес, споделен семеен имейл или незащитен файл могат да доведат до разкриване на чувствителна информация.

Ето няколко добри практики:

• изпращайте резултати само на адрес или телефон, който пациентът изрично е посочил;
• използвайте защитени платформи или файлове с парола, а паролата изпращайте по друг канал;
• не обсъждайте здравни въпроси в групови чатове и приложения без ясни правила за сигурност;
• обучете персонала да проверява самоличността на пациента, преди да даде информация.

Тези мерки не са сложни, но значително намаляват риска от инциденти и от жалби до КЗЛД.

Какво да направите при изтичане на данни

При пробив в сигурността – изгубен лаптоп, хакерска атака, изпратени по погрешка резултати – лечебното заведение има кратки срокове за действие.

Съгласно чл. 33 от GDPR администраторът уведомява надзорния орган без ненужно забавяне и когато това е осъществимо – не по-късно от 72 часа след като е узнал за нарушението. У нас надзорният орган е Комисията за защита на личните данни (КЗЛД). Когато нарушението вероятно ще доведе до висок риск за пациентите, те също трябва да бъдат уведомени.

Препоръчваме всяко лечебно заведение да има готов план за реакция: кой отговаря, как се документира инцидентът и кой подава уведомлението.

Санкции и отговорност

Нарушенията при обработването на здравни данни могат да струват скъпо. За най-тежките нарушения GDPR предвижда административни глоби до 20 000 000 € или до 4% от общия световен годишен оборот, ако тази сума е по-висока. КЗЛД налага санкциите съобразно тежестта, продължителността и последиците от нарушението.

Отделно от глобата, пациентът може да търси обезщетение за претърпените имуществени и неимуществени вреди по съдебен ред. А лекарят, който е допуснал нарушение, може да понесе и дисциплинарна отговорност. В такива случаи е важна и правната защита на медицинските специалисти, особено когато нарушението е резултат от лоша организация, а не от лична вина.

Как пациентът да защити данните си

Ако смятате, че здравната Ви информация е разкрита неправомерно:

1. Поискайте писмено от лечебното заведение информация кой и кога е имал достъп до данните Ви.
2. Подайте писмено възражение до длъжностното лице по защита на данните или до ръководството.
3. Подайте жалба до КЗЛД в законовия срок.
4. При вреди обсъдете с адвокат иск за обезщетение.

Често задавани въпроси

Нужно ли е съгласието ми, за да бъдат обработвани здравните ми данни при лечение?

По правило не. Основанието е медицинската цел и законовите задължения на лечебното заведение. Съгласие се изисква за други цели – например за маркетинг или публикуване на снимки.

Може ли болницата да даде информация на моите близки?

Само ако сте ги упълномощили или в изрично предвидените от закона случаи. По телефона информация по правило не се дава.

Може ли работодателят ми да научи диагнозата ми?

По правило не може да изисква повече от предвиденото в закона. Работодателят получава информацията, необходима за осигурителните цели, но не и медицинското Ви досие.

Мога ли да поискам досието ми да бъде изтрито?

Не преди изтичането на законовите срокове за съхранение. Можете обаче да поискате корекция на неточни данни.

Какво да направи клиниката при хакерска атака?

Да ограничи последиците, да документира инцидента и при риск за пациентите да уведоми КЗЛД до 72 часа от узнаването.

Как можем да помогнем

Кантората съдейства на лечебни заведения при изготвяне на вътрешни правила, информационни документи и договори с обработващи данни, при реакция на инциденти и в производства пред КЗЛД. Помагаме и на пациенти, чиито данни са разкрити неправомерно. Лечебните заведения могат да ползват постоянна подкрепа чрез нашето абонаментно правно обслужване.

За конкретен въпрос, свързан със здравните данни, свържете се с нас за консултация.

Статията има информационен характер към датата на публикуване и не замества индивидуална правна консултация.