Consimțământul GDPR în clinica medicală: când e necesar și când nu
Când are nevoie clinica de consimțământ GDPR, ce temei acoperă tratamentul, cum separați acordul informat și cum gestionați semnarea, arhivarea și retragerea.
Scris de Andrei Nastasă Cofondator, lead tehnic
- Publicat
- Timp de citire
- 8 minute
Pe scurt
- Pentru consultație și tratament, clinica nu are nevoie de consimțământul GDPR al pacientului: prelucrarea datelor de sănătate se bazează, de regulă, pe art. 9 alin. (2) lit. h) din GDPR.
- Consimțământul GDPR este necesar pentru alte scopuri: mesaje de marketing, fotografii sau testimoniale publicate, anumite servicii online care nu țin de actul medical.
- Acordul informat pentru actul medical este o obligație separată, din legislația privind drepturile pacientului, și nu se confundă cu consimțământul GDPR.
- Fiecare document semnat trebuie să poată fi găsit rapid, legat de pacient, cu versiunea textului, data și, dacă e cazul, data retragerii.
Într-o clinică medicală, consimțământul GDPR nu este temeiul pentru tratarea pacientului: datele de sănătate necesare consultației și tratamentului se prelucrează în baza art. 9 alin. (2) lit. h) din GDPR, de către personal supus secretului profesional. Consimțământul contează pentru scopurile care nu țin de îngrijirea medicală, cum ar fi marketingul sau publicarea de fotografii, iar acordul informat pentru actul medical este o obligație distinctă. Mai jos explicăm diferențele, ce documente folosesc de obicei clinicile și cum le gestionați astfel încât să le găsiți la un control.
Acest articol are caracter informativ și nu înlocuiește consultanța juridică. Verificați documentele și temeiurile folosite de clinica voastră cu responsabilul cu protecția datelor (DPO) sau cu un avocat specializat.
Ce are nevoie de consimțământ și ce nu
GDPR cere ca orice prelucrare de date personale să aibă un temei legal. Pentru datele de sănătate, care sunt o categorie specială, este nevoie în plus de una dintre excepțiile de la art. 9. Greșeala frecventă este ca toate să fie puse sub „consimțământ”, într-un singur formular semnat la prima vizită.
Problema acestei abordări: consimțământul trebuie să fie liber și poate fi retras oricând. Dacă tratamentul ar depinde de el, pacientul care îl retrage v-ar obliga teoretic să ștergeți dosarul medical, pe care legea vă obligă să îl păstrați. De aceea, pentru îngrijirea medicală se folosesc alte temeiuri.
| Scop | Temei uzual | Consimțământ GDPR? |
|---|---|---|
| Consultație, diagnostic, tratament, dosar medical | Art. 9 alin. (2) lit. h), împreună cu obligațiile legale ale furnizorului de servicii medicale | Nu, de regulă |
| Programare, confirmare, reminder pentru vizita solicitată | Executarea serviciului cerut de pacient | Nu, de regulă |
| Facturare și evidență contabilă | Obligație legală | Nu |
| Newsletter, oferte, campanii SMS sau e-mail | Consimțământ | Da |
| Fotografii înainte și după, testimoniale publicate | Consimțământ explicit | Da |
| Unele servicii online opționale | Depinde de serviciu | Uneori |
Indiferent de temei, pacientul trebuie informat: cine prelucrează datele, în ce scop, cât timp le păstrați, cui le transmiteți și ce drepturi are. Informarea (nota de informare GDPR) nu este același lucru cu consimțământul. Pacientul o primește și confirmă că a citit-o, dar nu „consimte” la prelucrarea pentru tratament.
Acordul informat pentru actul medical
Acordul informat ține de legislația privind drepturile pacientului (Legea nr. 46/2003) și de Legea nr. 95/2006 privind reforma în domeniul sănătății. Prin el, pacientul confirmă că i s-au explicat intervenția sau tratamentul propus, riscurile, alternativele și consecințele refuzului, și că este de acord cu actul medical.
Este un document medical, nu unul de protecția datelor. Are propriul conținut, este semnat de pacient și de medic, se leagă de o intervenție anume și se păstrează în dosarul medical. Câteva consecințe practice:
- Nu combinați acordul informat cu consimțământul pentru marketing în același formular.
- Acordul informat se dă pentru o procedură sau un tratament concret, nu o dată pentru totdeauna.
- Pentru minori și persoane fără capacitate deplină se aplică reguli speciale privind cine semnează.
- Conținutul diferă pe specialități: o procedură chirurgicală are alt formular decât o consultație de rutină.
Documentele pe care le folosește de obicei o clinică
Lista exactă depinde de specialitățile și serviciile voastre, dar în clinicile cu care lucrăm apar aproape mereu:
- Nota de informare privind prelucrarea datelor, cu confirmarea primirii.
- Acordul informat pentru actul medical, pe tipuri de proceduri.
- Consimțământul pentru comunicări de marketing, separat pe canale (e-mail, SMS), cu opțiune clară de refuz.
- Consimțământul pentru fotografii și testimoniale, cu precizarea unde vor fi folosite.
- Acordul pentru transmiterea de documente pe e-mail sau prin portalul pacientului, dacă politica clinicii îl cere.
- Documente pentru reprezentantul legal, în cazul minorilor.
Documentele medicale propriu-zise, precum raportul de consultație, scrisoarea medicală sau biletul de trimitere, se emit din dosar și sunt tratate separat. Detalii găsiți la modulul de documente medicale.
Numerotare, versiuni și arhivare
La un control sau la o reclamație, întrebarea nu este doar „aveți consimțământul?”, ci „ce text a semnat pacientul, când și cine a fost de față?”. Pentru a putea răspunde, fiecare document are nevoie de:
- Număr unic de înregistrare, generat automat, nu scris de mână.
- Legătura cu pacientul și cu medicul sau departamentul care l-a emis.
- Versiunea textului: dacă modificați formularul, documentele vechi trebuie să rămână cu textul pe care l-a semnat pacientul atunci.
- Data și ora semnării, plus utilizatorul care a inițiat documentul.
- Statusul curent: activ, retras, înlocuit.
Tehnic, versionarea înseamnă că șablonul și documentul generat sunt entități separate. Documentul generat păstrează o copie fixă a textului, în loc să citească șablonul curent la fiecare afișare. Este un detaliu de implementare, dar dacă lipsește, nu puteți dovedi ce a semnat pacientul acum doi ani.
Semnătură pe tabletă sau hârtie scanată
Ambele variante sunt folosite în practică. Diferența ține mai ales de cât de ușor găsiți documentul după aceea și cât de bine puteți arăta cine a semnat, ce și când.
Hârtie și scanare
Pacientul semnează formularul printat, iar recepția îl scanează sau îl fotografiază și îl atașează în dosar. Funcționează, dar pașii manuali creează goluri: formulare nescanate, fotografii neclare, fișiere atașate la pacientul greșit. Dacă păstrați și originalul pe hârtie, aveți nevoie de o arhivă fizică ordonată.
Semnătură pe tabletă
Pacientul citește documentul pe tabletă și semnează cu degetul sau cu un stylus. Juridic, o semnătură olografă capturată astfel este o semnătură electronică simplă, nu una calificată. Valoarea ei ca probă crește când sistemul înregistrează contextul: textul exact afișat, data și ora, utilizatorul care a deschis documentul, dispozitivul. Pentru documentele la care aveți dubii privind forma cerută de lege, verificați cu juristul clinicii.
În practică, cele mai multe clinici folosesc tableta ca variantă principală și păstrează hârtia ca alternativă, pentru pacienții care preferă așa sau când tableta nu este disponibilă.
Retragerea consimțământului
Art. 7 alin. (3) din GDPR spune că retragerea trebuie să fie la fel de simplă ca acordarea. Dacă pacientul și-a dat acordul pentru SMS-uri de marketing printr-o bifă, nu îi puteți cere o cerere scrisă, depusă la sediu, ca să îl retragă.
Un flux de retragere bine făcut arată așa:
- Pacientul cere retragerea pe orice canal rezonabil: la recepție, pe e-mail, prin linkul de dezabonare sau din portal.
- Cererea se înregistrează cu data, canalul și consimțământul vizat.
- Statusul consimțământului se actualizează în fișa pacientului.
- Sistemele care depind de el îl respectă automat: pacientul iese din segmentele de campanii, fotografia nu mai este folosită.
- Documentul inițial rămâne în arhivă, marcat ca retras, pentru a dovedi că prelucrarea anterioară a fost legală.
Retragerea consimțământului pentru marketing nu afectează dosarul medical și nici reminderele pentru programările pe care pacientul le-a făcut. Explicați acest lucru recepției, pentru că apare des confuzia.
Păstrare, acces și audit
Termene de păstrare. Documentele medicale au termene stabilite de legislația sanitară, iar documentele de consimțământ se păstrează cât timp sunt necesare pentru a dovedi că prelucrarea a fost legală. Stabiliți termenele în politica internă, împreună cu DPO-ul, și aplicați-le consecvent.
Controlul accesului. Nu toată lumea din clinică trebuie să vadă toate documentele. Recepția are nevoie să știe dacă un pacient a acceptat comunicările de marketing, nu să citească acordul informat pentru o intervenție. Aici ajută rolurile și permisiunile configurabile.
Jurnal de audit. Cereți ca aplicația să înregistreze cine a generat, a vizualizat, a modificat sau a exportat un document. Jurnalul vă ajută să răspundeți unei cereri de acces a pacientului și să investigați un incident. Mai multe despre găzduire, backup și acces găsiți pe pagina de securitate.
Furnizorul de software. Dacă documentele sunt stocate într-o aplicație externă, furnizorul este persoană împuternicită, iar între voi trebuie să existe un contract de prelucrare a datelor conform art. 28. Întrebați unde sunt serverele și cine are acces la date. Lista completă de întrebări pentru furnizori o găsiți în ghidul despre cum alegeți software pentru clinica medicală, iar dacă schimbați sistemul, citiți și cum se face migrarea datelor din software-ul vechi, inclusiv a consimțămintelor existente.
Pasul următor
Luați formularele pe care le semnează azi pacienții voștri și împărțiți-le pe trei grupe: informare, acord informat pentru actul medical și consimțământ pentru alte scopuri. Dacă un singur formular amestecă toate trei, discutați cu DPO-ul despre separarea lor.
Dacă vreți să vedeți cum arată acest flux digitalizat, cu semnătură pe tabletă, număr unic și retragere înregistrată, programați un demo și vă arătăm pe documentele clinicii voastre.