Üldise andmekaitsemääruse (GDPR) kohustused lasuvad igal inimesel, kes käsitleb patsiendiandmeid, mitte ainult andmejuhtimise meeskondadel või õigusosakonnal. Esmatasandi, eriarstiabi ja erakliinikutes töötavate arstide jaoks kaasnevad tavapäraste tegevustega, nagu kliiniliste märkmete kirjutamine, saatekirjade saatmine või kolmanda osapoole AI-meditsiiniassistendi kasutamine, konkreetsed juriidilised kohustused. Nende kohustuste mõistmine praktilises võtmes on oluline, sest digitaalsed tervishoiuvahendid, kaugnõustamised ja piiriülesed andmevood muutuvad kliinilise töö tavapäraseks osaks.

Miks tervishoiuandmed saavad GDPR alusel erilist kaitset

GDPR artikli 9 alusel liigitatakse tervishoiuandmed isikuandmete „erikategooriaks", mis saavad kõrgema taseme õiguslikku kaitset kui tavalised isikuandmed, nagu nimi või aadress. See klassifikatsioon kajastab meditsiinilise teabe erilist tundlikkust ja võimalust tõsiseks kahjuks, sealhulgas diskrimineerimiseks, stigmatiseerimiseks või finantsiliseks ebasoodsaks olukorraks, kui see avalikustatakse ilma loata.

Praktikas tähendab see, et tervishoiuandmete töötlemine nõuab mitte ainult õiguslikku alust artikli 6 alusel (mis kehtib kõigi isikuandmete kohta), vaid ka eraldi täiendavat tingimust artikli 9 lõike 2 alusel. Arstide jaoks on kõige asjakohasemad neist tingimustest meditsiinilise abi osutamine ja rahvatervishoid. Nõue rahuldada mõlemad tasandid samaaegselt on põhiline vastavuskohustus, mis kehtib iga kliinilise kohtumise puhul.

Euroopa Andmekaitseinspektor on järjepidevalt rõhutanud, et erikategooria staatus nõuab ka organisatsioonidelt privaatsuse disaini põhimõtete ja tugevate kaitsemeetmete rakendamist. See ei ole oluline mitte ainult aktiivse kuritarvitamise vältimiseks, vaid ka diskrimineeriva profiilianalüüsi vältimiseks ning andmete kaitsmiseks kogu nende elutsükli jooksul, sealhulgas innovatsioonipõhistes protsessides, nagu kliinilised uuringud ja mobiilsed tervishoiurakendused.

2025. aastal avaldatud eelretsenseeritud võrdlev analüüs kinnitas, et GDPR nõuab meditsiiniandmete jaoks põhjalikke aruandekohustuse meetmeid ning et tervishoiuteave allub täiendavatele eetilistele ja kutsealastele kaitsemeetmetele lisaks neile, mida nõutakse tavaliste isikuandmete puhul võrreldavate raamistike, nagu Health Insurance Portability and Accountability Act (HIPAA), alusel.

Õiguslikud alused, mida arstid tegelikult kasutavad

Enamik kliiniliste andmete töötlemist otsese ravi tingimustes tugineb ühele kahest peamisest õiguslikust alusest:

• GDPR artikkel 9 lõige 2 punkt h hõlmab töötlemist, mis on vajalik ennetava või töötervishoiu, meditsiinilise diagnoosi, tervise- või sotsiaalhoolduse või ravi osutamise või tervise- või sotsiaalhooldussüsteemide haldamise jaoks. See on peamine alus tavapärase kliinilise dokumentatsiooni, saatekirjade ja multidistsiplinaarsete meeskonna arutelude jaoks.

• Artikkel 6 lõige 1 punkt c hõlmab töötlemist, mis on vajalik õigusliku kohustuse täitmiseks (näiteks kohustuslik teatamiskohustusega haiguste teatamine).

• Artikkel 6 lõige 1 punkt e hõlmab töötlemist, mis on vajalik avalikes huvides oleva ülesande täitmiseks, mis kehtib peamiselt riiklike tervishoiuteenuste ja avalikult rahastatud tervishoiuorganisatsioonide puhul.

Nagu heyData vastavusjuhised meditsiinipraktikate jaoks märgivad, ei ole selgesõnaline nõusolek alati nõutav. Meditsiiniline vajadus ja õiguslik kohustus on kehtivad alternatiivid enamikus otsese ravi olukordades. Arstid ei pea patsiendilt eraldi GDPR nõusolekut küsima enne kliinilise märkme kirjutamist või väljakirjutuskokkuvõtte saatmist teisele raviarstile.

Patsiendi nõusolek kliinilises töös: millal seda vaja on ja millal mitte

Üks püsivamaid väärarusaamu kliinilises töös on, et GDPR nõuab kõigi andmete töötlemiseks selgesõnalist patsiendi nõusolekut. Otsese ravi puhul see nii ei ole. Drata tervishoiu vastavusjuhend rõhutab, et nõusolek on vaid üks mitmest kehtivast õiguslikust alusest ning paljudes kliinilistes olukordades ei ole see kõige asjakohasem.

Nõusolek GDPR alusel peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline. Kliinilises suhtes, kus patsiendi ja arsti vahel on loomulik võimuasümmeetria, võib tavapäraste raviandmete puhul nõusolekule kui peamisele õiguslikule alusele tuginemine olla problemaatiline. Patsiendid võivad tunda, et nad ei saa keelduda ilma oma ravi mõjutamata.

Nõusolek on asjakohane õiguslik alus, kui:

• Andmete töötlemine toimub uurimiseesmärkidel, mida ei hõlma eraldi uurimiseetika raamistik

• Patsiendiandmeid kasutatakse turunduse või kommertsteadete jaoks

• Tuvastatavaid andmeid jagatakse kolmandate osapooltega väljaspool otsest ravimeeskonda raviga mitteseotud eesmärkidel

• Valikulisi digitaalseid tervishoiuvahendeid võetakse kasutusele, mis töötlevad isikuandmeid rohkem, kui on kliiniliselt vajalik

Tavapärase kliinilise dokumentatsiooni, saatekirjade, väljakirjutuskokkuvõtete ja multidistsiplinaarse suhtluse jaoks pakub artikkel 9 lõige 2 punkt h õiguslikku alust ilma eraldi nõusolekut nõudmata, tingimusel et töötlemine on vajalik ja proportsionaalne kliinilise eesmärgiga.

Mis loetakse GDPR rikkumiseks kliinilises kontekstis

Isikuandmete rikkumine määratletakse GDPR-i järgi kui mis tahes juhuslik või ebaseaduslik hävitamine, kaotamine, muutmine, loata avalikustamine või juurdepääs isikuandmetele. Tervishoius ei tulene rikkumised sageli välistest küberrünnakutest, vaid igapäevastest kliinilistest töövoogudest.

Tüüpilised näited kliinilises praktikas hõlmavad:

• Valele aadressile saadetud patsiendikirjad: kliinilist teavet sisaldava kirja saatmine valele aadressile või vale patsiendi andmete lisamine e-kirjale

• Turvamata meditsiinilise andmesüsteemi juurdepääs: kliinilise tööjaama sisselogituna ja järelevalveta jätmine jagatud keskkonnas

• Suulised avalikustamised avalikes ruumides: tuvastatava patsiendiinfo arutamine koridorides, ootealades või telefoni teel, kus teised võivad kuulda

• Andmete jagamine ilma loata: patsiendiandmete edastamine kolmandale osapoolele (sh pereliikmele) ilma dokumenteeritud õigusliku aluseta

• Mittevastavate suhtlusvahendite kasutamine: tarbijatasemel platvormid nagu Zoom või WhatsApp ei sobi tuvastatava kliinilise teabe edastamiseks, kuna need ei vasta GDPR-i turbe- ja andmetöötluslepingu nõuetele

GDPR-i järgi tuleb rikkumised, mis tõenäoliselt põhjustavad riski üksikisikutele, teatada asjakohasele järelevalveasutusele 72 tunni jooksul pärast seda, kui organisatsioon neist teada sai. Rikkumised, mis kujutavad endast suurt riski üksikisikutele, tuleb teatada ka otse mõjutatud isikutele. GDPR Register'i tervishoiujuhend märgib, et see 72-tunnine kell hakkab käima siis, kui organisatsioon, mitte tingimata üksik arst, esimest korda teada saab, mistõttu on kiire sisemine teatamine väga oluline.

Patsiendiandmete jagamine: saatekirjad, väljakirjutuskokkuvõtted ja kolmandad osapooled

Patsiendiandmete jagamine otsese ravimeeskonna sees, sealhulgas perearsti, eriarstide, õdede ja teiste patsiendi raviga seotud tervishoiutöötajate vahel, on üldiselt seaduslik artikli 9 lõike 2 punkti h alusel, tingimusel et jagamine on vajalik ja proportsionaalne kliinilise eesmärgiga. Tegutsev põhimõte on „vajadus teada": jagada tuleks ainult teavet, mis on asjakohane vastuvõtva arsti rolli jaoks patsiendi hoolduses.

Praktikas tähendab see:

• Saatekiri peaks sisaldama kliinilist teavet, mida vastuvõttev spetsialist vajab, mitte patsiendi kogu haiguslugu

• Väljakirjutuskokkuvõte tuleks saata perearstile ja asjakohastele ravimeeskonna liikmetele, mitte levitada laiemalt ilma kliinilise põhjenduseta

• Andmete jagamine patsiendi tööandja, kindlustusandja või advokaadiga nõuab selgesõnalist patsiendi nõusolekut või eraldi õiguslikku alust

Andmete jagamisel kolmandate osapoolte süsteemidega, sealhulgas meditsiiniliste andmesüsteemide, diagnostikalaborite või telemeditsiiniteenustega, peab olema andmetöötlusleping enne mis tahes andmete edastamist. See on lepinguline nõue GDPR artikli 28 alusel ning andmetöötluslepingu puudumine tähendab vastavuse puudumist olenemata sellest, kas rikkumine toimub.

Patsiendi teavitamine ei ole üldiselt nõutav jagamisel otsese ravimeeskonna sees, tingimusel et organisatsiooni privaatsuspoliitika, mille patsiendid saavad registreerimisel või esimesel kontaktil, kirjeldab täpselt, kuidas nende andmeid kasutatakse ravieesmärkidel.

GDPR ja kliinilised AI-tööriistad: mida arstid peaksid küsima enne nende kasutamist

AI-dokumentatsioonitööriistade, ümbritseva heli tehnoloogia ja muude kolmandate osapoolte kliiniliste tarkvarade kasutuselevõtt toob kaasa konkreetsed GDPR-i kohustused, mida arstid ja nende organisatsioonid peavad käsitlema enne kasutuselevõttu, mitte pärast seda.

Iga tööriist, mis töötleb patsiendiandmeid tervishoiuorganisatsiooni nimel, on GDPR-i järgi volitatud töötleja. See tähendab, et tervishoiuorganisatsioon (kui vastutav töötleja) peab tagama, et:

• Müüjaga on sõlmitud andmetöötlusleping

• Müüja töötleb andmeid ainult vastutava töötleja dokumenteeritud juhiste alusel

• On olemas asjakohased tehnilised ja organisatsioonilised turvameetmed, sealhulgas krüpteerimine, juurdepääsukontroll ja auditilogid

• Andmete asukoht on selgelt kindlaks määratud. See on eriti oluline EL-i organisatsioonide puhul, kus patsiendiandmeid töötleb müüja, kelle serverid asuvad väljaspool Euroopa Majanduspiirkonda – see võib nõuda täiendavaid ülekande kaitsemeetmeid

Eelretsenseeritud ülevaade AI-toega tervishoiuseadmetest leidis, et uuenduslike tehnoloogiate AI juhtimisraamistikud peavad käsitlema andmete minimeerimist, eesmärgi piiramist ja aruandekohustuse mehhanisme kui põhinõudeid.

Uuringud privaatsust säilitava AI kasutuselevõtu kohta kliinilises töös on näidanud, et kohalikud, võrguühenduseta AI-süsteemid võivad täita ranged andmekaitsenõuded, säilitades samal ajal kliinilise kasulikkuse. See lähenemine võib vähendada pilvepõhise töötlemisega seotud piiriülese ülekande riske, sõltuvalt konkreetsest arhitektuurist ja tööriista kasutuselevõtu mudelist.

Enne mis tahes AI kliinilise tööriista kasutuselevõttu peaksid arstid ja nende organisatsioonid küsima:

• Kus patsiendiandmeid töödeldakse ja salvestatakse? Kas see toimub Euroopa Majanduspiirkonnas või hõlmab töötlemine andmete edastamist kolmandatesse riikidesse?

• Kas müüjal on ISO 27001 sertifikaat või samaväärne tunnustatud turbestandard? ISO 27001 on rahvusvaheliselt tunnustatud infoturbe juhtimise standard.

• Kas on läbi viidud andmekaitse mõjuhinnang? GDPR nõuab andmekaitse mõjuhinnangut – privaatsusriskide struktureeritud hindamist – igasuguse töötlemise puhul, mis tõenäoliselt toob kaasa suure riski, eriti kui tegemist on tervishoiuandmete ulatusliku töötlemisega AI-süsteemide poolt.

• Milline on müüja andmete säilitamise ja kustutamise poliitika? Kas andmeid saab taotluse korral kustutada ja kas see on dokumenteeritud?

• Kas tööriist on registreeritud meditsiiniseadmena, kui see on kohaldatav EL-i meditsiiniseadmete määruse alusel?

Drata juhend märgib, et andmekaitse mõjuhinnanguid tuleks käsitleda elava dokumendina, mida vaadatakse üle ja ajakohastatakse alati, kui töötlemistegevus oluliselt muutub, mitte ei lõpetata korra hanke ajal ja arhiveerita.

Paljud kliinilised keskkonnad töötavad aja- ja ressursisurve all, mis muudab põhjaliku müüja hoolsuskontrolli keeruliseks. Sellistes olukordades võivad organisatsioonid vajada riskipõhist lähenemist, rakendades kõige rangemat kontrolli tööriistadele, mis töötlevad kõige tundlikumaid andmeid suurimal skaalal.

Patsiendiõigused, millega arstid tõenäoliselt kokku puutuvad

Patsientidel on GDPR-i alusel määratletud õiguste kogum, mida tervishoiuorganisatsioonid on seaduslikult kohustatud võimaldama. Õigused, millega kliinilises praktikas kõige sagedamini kokku puututakse, on:

Juurdepääsuõigus (andmesubjekti juurdepääsutaotlus): Patsiendid on õigustatud saama koopiat oma isikuandmetest, sealhulgas kliinilistest andmetest, ühe kuu jooksul pärast taotluse esitamist. Seda tähtaega saab keerukate või arvukate taotluste korral pikendada veel kahe kuu võrra, kui sellest patsiendile teatatakse. Arstid peaksid teadma, et juurdepääsutaotlused tuleb täita ka juhul, kui teave on kliiniliselt tundlik, kuigi kolmanda isiku teave (nt andmed teise patsiendi kohta) tuleb eemaldada.

Parandamisõigus: Patsiendid saavad taotleda ebatäpsete isikuandmete parandamist. Kliinilises kontekstis võib see tähendada faktivigade parandamist andmetes, kuid see ei anna patsiendile õigust nõuda arsti professionaalse arvamuse või kliinilise otsuse muutmist.

Kustutamisõigus („õigus olla unustatud"): See õigus on tervishoius oluliselt piiratud. GDPR Register'i sektorijuhend kinnitab, et kustutamisõigus ei kehti, kui töötlemine on vajalik tervishoiuteenuse osutamiseks või kui säilitamine on seadusega nõutud, mis kliiniliste andmete puhul on peaaegu alati nii. Patsiendid ei saa nõuda oma haiguslugude kustutamist kohaldatava säilitamisperioodi jooksul.

Andmete ülekandmise õigus: Patsientidel on õigus saada oma andmeid struktureeritud, üldkasutatavas, masinloetavas vormingus. See on asjakohane digitaalse tervise kontekstides ja muutub üha olulisemaks, kuna patsiendile suunatud portaalid ja rakendused muutuvad tavalisemaks.

Andmete minimeerimine kliinilises dokumentatsioonis

Andmete minimeerimise põhimõte, mis on sätestatud GDPR artikli 5 lõike 1 punktis c, nõuab, et isikuandmed oleksid piisavad, asjakohased ja piiratud sellega, mis on vajalik eesmärkide jaoks, milleks neid töödeldakse. Arstide jaoks on sellel otsene mõju sellele, kuidas kliinilisi märkmeid kirjutatakse ja struktureeritakse.

Praktikas tähendab andmete minimeerimine:

• Kliinilise teabe salvestamist, mis on vajalik ohutu, pideva ravi toetamiseks, mitte põhjalikke eluloolisi või sotsiaalseid üksikasju, mis ei ole kliiniliselt asjakohased

• Kolmanda isiku teabe (nt andmed pereliikmete kohta) tavapärase kaasamise vältimist, välja arvatud juhul, kui see on otseselt asjakohane kliinilise pildi jaoks

• Struktureeritud mallide kasutamist, mis küsivad asjakohaseid välju, mitte vabateksti kirjeid, mis võivad hõlmata liigset isiklikku teavet

• Ülevaatamist, milliseid andmeid meditsiinilised andmesüsteemid eelnevalt täidavad või automaatselt salvestavad, ja tagamist, et need kajastavad tegelikku kliinilist vajadust

DPO Consulting'i 2025. aasta tervishoiujuhend toob välja, et andmete minimeerimine koos eesmärgi piiramisega on kaks kõige sagedamini tähelepanuta jäetavat põhimõtet kliinilises töös, eriti organisatsioonides, mis liiguvad paberilt digitaalsele andmekogumisele, kus täiendavate andmete hõivamise lihtsus võib ületada kliinilise põhjenduse selleks.

Kliiniliste andmete säilitamisperioodid üle Euroopa

GDPR ei määra kindlaks konkreetseid säilitamisperioode kliiniliste andmete jaoks. Need määratakse kindlaks riikliku tervishoiuseadusega, mis selles valdkonnas on ülimuslik. GDPR nõuab, et andmeid ei säilitataks kauem, kui on vajalik nende eesmärgi jaoks, ning et säilitamisperioodid oleksid dokumenteeritud organisatsiooni töötlemistegevuste registris.

Illustreerivad riiklikud säilitamisnõuded hõlmavad:

• Inglismaa (NHS): Täiskasvanud patsientide andmeid tuleb üldiselt säilitada vähemalt kaheksa aastat pärast viimast kirjet. Laste andmeid tuleb säilitada kuni patsiendi 25. sünnipäevani või kaheksa aastat pärast surma, olenevalt sellest, kumb on hilisem.

• Saksamaa: Kliinilised andmed alluvad säilitamiskohustustele §630f BGB alusel (kümme aastat meditsiiniliste andmete jaoks) ja täiendavatele sektoripõhistele reeglitele. Kiteworks'i 2026. aasta analüüs märgib, et Saksamaal kehtib ka kriminaalvastutus §203 StGB alusel tervishoiutöötajate ebaseadusliku patsiendiandmete avalikustamise eest.

• Prantsusmaa: Andmeid säilitatakse Code de la Santé Publique alusel, üldise miinimumiga kakskümmend aastat alates viimasest hooldusperioodist.

• Madalmaad: WGBO (Wet op de geneeskundige behandelingsovereenkomst) nõuab säilitamist vähemalt kakskümmend aastat alates salvestamise kuupäevast.

Praktiline tagajärg arstidele on see, et kustutamisõigus, isegi kui patsient seda kehtivalt kasutab, ei saa alistada seadusest tulenevaid säilitamiskohustusi. Patsiendile, kes taotleb oma kliiniliste andmete kustutamist kohaldatava säilitamisperioodi jooksul, võib seaduslikult keelduda sellel alusel, tingimusel et keeldumine edastatakse selgelt ja nõutava aja jooksul.

Kiteworks'i uuringud on dokumenteerinud riiklike tervishoiuregulaatorite parandavaid meetmeid üle Euroopa viimastel aastatel, mis tulenevad vastavuse lünkadest, mida GDPR üksi ei kata – meeldetuletus, et riiklikku seadust tuleb mõista koos määrusega endaga.

Kes on vastutav: vastutav töötleja vs volitatud töötleja tervishoius

Vastutava töötleja ja volitatud töötleja vahelise eristuse mõistmine on oluline aruandekohustuse ning teadlike otsuste tegemiseks müüja valiku ja kliiniliste tööriistade kasutuselevõtu kohta.

Vastutav töötleja: Üksus, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Tervishoius on see tavaliselt NHS trust, perearstipraksis, haigla või erakliinik, mitte üksik arst. Vastutav töötleja kannab peamist õiguslikku vastutust GDPR-i järgimise eest.

Volitatud töötleja: Iga üksus, kes töötleb isikuandmeid vastutava töötleja nimel. See hõlmab meditsiiniliste andmesüsteemide müüjaid, diagnostikalaboreid, pilvesalvestuse pakkujaid, AI-tööriistade tarnijaid ja telemeditsiini platvorme. Volitatud töötlejad peavad tegutsema ainult vastutava töötleja dokumenteeritud juhiste alusel ning alluvad siduvatele lepingulistele kohustustele GDPR artikli 28 alusel.

Eristus on oluline mitmel praktilisel põhjusel:

• Aruandekohustus: Kui volitatud töötlejal tekib rikkumine, võib vastutav töötleja siiski vastutusele võtta, kui ta ei ole läbi viinud piisavat hoolsuskontrolli või taganud asjakohaseid lepingulisi kaitsemeetmeid.

• Müüja valik: Volitatud töötleja valimine, kellel on ISO 27001 sertifikaat, selge andmete asukoha poliitika ja kes suudab tõendada vastavust GDPR-i volitatud töötleja kohustustele, on vastutava töötleja ülesanne.

• Alamtöötlejad: Volitatud töötlejad võivad kaasata alamtöötlejaid (näiteks AI-müüja kasutatav pilveinfrastruktuuri pakkuja), kuid ainult vastutava töötleja loal ning volitatud töötleja jääb vastutavaks alamtöötleja vastavuse eest.

Accountable HQ 2026. aasta kontrollnimekiri soovitab, et organisatsioonid hoiaksid ajakohast müüjate registrit ning viiksid läbi perioodilisi ülevaateid kõigist aktiivsetest andmetöötluslepingutest, sealhulgas müüja lahkumise protseduurid, et tagada andmete kustutamine või tagastamine lepingu lõppemisel.

Praktilised sammud, mida arstid saavad võtta, et igapäevaselt vastavust tagada

GDPR-i järgimine kliinilises praktikas ei nõua õiguslikku ekspertiisi. See nõuab järjepidevaid harjumusi ja teadlikkust sellest, kus riskid tekivad. Järgmised sammud kajastavad kohustusi, mis on üksikute arstide jaoks kõige otsesemalt asjakohased.

Turvaline juurdepääs ja autentimine

• Logige alati välja või lukustage kliinilised töökohad lahkudes, isegi lühiajaliselt

• Ärge kunagi jagage sisselogimisandmeid kolleegidega, ka kõrge surve olukordades

• Kasutage ainult organisatsiooni poolt heaks kiidetud seadmeid ja võrke patsiendiandmetele juurdepääsuks

Andmete jagamine ja suhtlus

• Jagage ainult minimaalselt vajalikku teavet saatmisel, eskaleerimisel või kolleegidega suhtlemisel

• Ärge kasutage isiklikke e-posti kontosid, tarbijate sõnumirakendusi ega heakskiitmata platvorme patsiendiandmete edastamiseks

• Kontrollige saajat enne mis tahes patsiendikommunikatsiooni saatmist, sest valele aadressile saadetud kirjavahetus on üks kõige tavalisemaid rikkumisi tervishoius

Patsiendiõiguste taotluste käsitlemine

• Olge teadlik, et patsiendid saavad esitada andmesubjekti juurdepääsutaotlusi suuliselt või kirjalikult ning logige ja eskaleerige need viivitamatult asjakohasele andmejuhtimise kontaktile

• Ärge ignoreerige ega viivitage juurdepääsutaotluste täitmisega. Ühe kuu vastamise tähtaeg hakkab jooksma kohe

• Mõistke, et kustutamistaotlused võib kliiniliste andmete puhul seadusliku säilitamisperioodi jooksul üldjuhul tagasi lükata, kuid neile tuleb vastata ametlikult

Uute kliiniliste tööriistade hindamine

• Enne mis tahes kolmanda osapoole tarkvara kasutuselevõttu, mis töötleb patsiendiandmeid, kinnitage, et andmetöötlusleping on olemas ja andmekaitse mõjuhinnang on läbi viidud

• Küsige müüjatelt otse andmete asukoha, alamtöötlejate ja turvasertifikaatide kohta

• Eskaleerige küsimused oma andmejuhtimisele või andmekaitseinspektorile, kui neile küsimustele ei saa selgelt vastata

Dokumentatsioon ja koolitus

• Tutvuge oma organisatsiooni privaatsuspoliitika ja andmete säilitamise poliitikaga, kuna need määratlevad seadusliku töötlemise piirid teie töökeskkonnas

• Osalege andmekaitsekoolitustel, sh stsenaariumipõhistes harjutustes, mis hõlmavad rikkumiste tuvastamist ja neile reageerimist

• Kui te ei ole kindel, kas konkreetne andmete jagamine või töötlemistegevus on seaduslik, küsige nõu oma organisatsiooni andmekaitseinspektorilt enne jätkamist

Tervishoiuandmete regulatiivne maastik areneb pidevalt, kusjuures Euroopa tervishoiuandmete ruumi raamistik toob kaasa uusi võimalusi andmete jagamiseks ja haldamiseks, mis suhestuvad olemasolevate GDPR-i kohustustega viisidel, mida riiklikud regulaatorid ja kohtud alles tõlgendavad. Arengutega kursis püsimine nii EL-i kui ka riiklikul tasandil on üha enam osa vastutustundlikust kliinilisest praktikast, mitte ülesanne, mida saab täielikult delegeerida vastavusmeeskondadele.

Korduma kippuvad küsimused

▶ Miks saavad tervishoiuandmed GDPR alusel tugevamat kaitset kui muud isikuandmed?

Üldise andmekaitsemääruse artikli 9 alusel liigitatakse tervishoiuandmed isikuandmete „erikategooriaks". See kajastab meditsiinilise teabe erilist tundlikkust ja võimalust tõsiseks kahjuks, sealhulgas diskrimineerimiseks, stigmatiseerimiseks või finantsiliseks ebasoodsaks olukorraks, kui see avalikustatakse ilma loata. Tervishoiuandmete töötlemine nõuab õigusliku aluse täitmist artikli 6 alusel ja eraldi täiendavat tingimust artikli 9 lõike 2 alusel. Tavalised isikuandmed, nagu nimi või aadress, nõuavad ainult artikli 6 alust.

▶ Kas arstid vajavad patsiendi nõusolekut enne kliiniliste märkmete kirjutamist või saatekirja saatmist?

Ei. Tavapärase kliinilise dokumentatsiooni, saatekirjade, väljakirjutuskokkuvõtete ja multidistsiplinaarse suhtluse jaoks pakub GDPR artikkel 9 lõige 2 punkt h õiguslikku alust ilma eraldi patsiendi nõusolekut nõudmata. Nõusolek GDPR-i alusel peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline. Kliinilises suhtes, kus on loomulik võimuasümmeetria, võib tavapäraste raviandmete puhul nõusolekule kui peamisele alusele tuginemine olla problemaatiline. Nõusolek on asjakohasem uurimise, turunduse või andmete jagamise puhul kolmandate osapooltega väljaspool otsest ravimeeskonda raviga mitteseotud eesmärkidel.

▶ Mis loetakse GDPR rikkumiseks kliinilises keskkonnas?

Isikuandmete rikkumine hõlmab mis tahes juhuslikku või ebaseaduslikku hävitamist, kaotamist, muutmist, loata avalikustamist või juurdepääsu isikuandmetele. Tervishoius hõlmavad tüüpilised näited patsiendi kirja saatmist valele aadressile, kliinilise tööjaama sisselogituna ja järelevalveta jätmist, tuvastatava patsiendiinfo arutamist koridoris või ootealas ning tarbijatasemel platvormide, nagu Zoom või WhatsApp, kasutamist kliinilise teabe edastamiseks. Rikkumised, mis tõenäoliselt põhjustavad riski üksikisikutele, tuleb teatada asjakohasele järelevalveasutusele 72 tunni jooksul pärast seda, kui organisatsioon neist teada sai.

▶ Millised GDPR kohustused kehtivad patsiendiandmete jagamisel teiste arstidega?

Patsiendiandmete jagamine otsese ravimeeskonna sees on üldiselt seaduslik artikli 9 lõike 2 punkti h alusel, tingimusel et jagamine on vajalik ja proportsionaalne kliinilise eesmärgiga. Tegutsev põhimõte on „vajadus teada": jagada tuleks ainult teavet, mis on asjakohane vastuvõtva arsti rolli jaoks. Saatekiri peaks sisaldama seda, mida vastuvõttev spetsialist vajab, mitte patsiendi kogu haiguslugu. Andmete jagamine patsiendi tööandja, kindlustusandja või advokaadiga nõuab selgesõnalist patsiendi nõusolekut või eraldi õiguslikku alust.

▶ Milliseid GDPR kontrolle peaksid arstid läbi viima enne AI-meditsiiniassistendi kasutuselevõttu?

Iga tööriist, mis töötleb patsiendiandmeid tervishoiuorganisatsiooni nimel, on GDPR-i järgi volitatud töötleja. Enne kasutuselevõttu peaksid arstid ja nende organisatsioonid kinnitama, et müüjaga on sõlmitud andmetöötlusleping, et patsiendiandmeid töödeldakse ainult dokumenteeritud juhiste alusel ning et on olemas asjakohased turvameetmed, sealhulgas krüpteerimine ja juurdepääsukontroll. Samuti tasub välja selgitada, kus patsiendiandmeid töödeldakse ja salvestatakse, kas müüjal on ISO 27001 sertifikaat, kas on läbi viidud andmekaitse mõjuhinnang ning kas tööriist on registreeritud meditsiiniseadmena, kui see on kohaldatav EL-i meditsiiniseadmete määruse alusel.

▶ Kas patsient saab GDPR-i alusel taotleda oma kliiniliste andmete kustutamist?

Kustutamisõigus on tervishoius oluliselt piiratud. See ei kehti, kui töötlemine on vajalik tervishoiuteenuse osutamiseks või kui säilitamine on seadusega nõutud. Kliiniliste andmete puhul kehtivad peaaegu alati seadusest tulenevad säilitamiskohustused. Patsiendile, kes taotleb kustutamist kohaldatava säilitamisperioodi jooksul, võib seaduslikult keelduda sellel alusel, tingimusel et keeldumine edastatakse selgelt ja nõutava aja jooksul. Säilitamisperioodid erinevad riigiti: Inglismaal nõutakse täiskasvanute andmete puhul vähemalt kaheksa aastat pärast viimast kirjet, Prantsusmaal kakskümmend aastat alates viimasest hooldusperioodist ja Madalmaades kakskümmend aastat alates salvestamise kuupäevast.

▶ Mis on vahe vastutava töötleja ja volitatud töötleja vahel tervishoius?

Vastutav töötleja määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Tervishoius on see tavaliselt NHS trust, perearstipraksis, haigla või erakliinik. Volitatud töötleja käsitleb isikuandmeid vastutava töötleja nimel. See hõlmab meditsiiniliste andmesüsteemide müüjaid, diagnostikalaboreid, AI-tööriistade tarnijaid ja telemeditsiini platvorme. Vastutav töötleja kannab peamist õiguslikku vastutust GDPR-i järgimise eest. Kui volitatud töötlejal tekib rikkumine, võib vastutav töötleja siiski vastutusele võtta, kui ta ei ole läbi viinud piisavat hoolsuskontrolli või taganud asjakohaseid lepingulisi kaitsemeetmeid.

▶ Mida tähendab andmete minimeerimine selle jaoks, kuidas arstid kliinilisi märkmeid kirjutavad?

GDPR artikkel 5 lõige 1 punkt c nõuab, et isikuandmed oleksid piisavad, asjakohased ja piiratud sellega, mis on vajalik eesmärkide jaoks, milleks neid töödeldakse. Arstide jaoks tähendab see teabe salvestamist, mis on vajalik ohutu, pideva ravi toetamiseks, mitte põhjalikke eluloolisi või sotsiaalseid üksikasju, mis ei ole kliiniliselt asjakohased. See tähendab ka kolmanda isiku teabe, nagu andmed pereliikmete kohta, tavapärase kaasamise vältimist, välja arvatud juhul, kui see on otseselt asjakohane kliinilise pildi jaoks. Struktureeritud mallide kasutamine, mis küsivad asjakohaseid välju, aitab vältida liigse isikliku teabe salvestamist.

▶ Milliste patsiendiõigustega GDPR-i alusel puutuvad arstid kõige tõenäolisemalt kokku?

Õigused, millega kliinilises praktikas kõige sagedamini kokku puututakse, on juurdepääsuõigus, parandamisõigus, kustutamisõigus ja andmete ülekandmise õigus. Patsiendid, kes esitavad andmesubjekti juurdepääsutaotluse, on õigustatud saama koopiat oma isikuandmetest, sealhulgas kliinilistest andmetest, ühe kuu jooksul. Parandamisõigus võimaldab patsientidel taotleda faktiliste ebatäpsuste parandamist, kuid see ei anna õigust nõuda arsti professionaalse arvamuse muutmist. Kustutamisõigus on tervishoius, kus kehtivad seadusest tulenevad säilitamiskohustused, oluliselt piiratud.

▶ Milliseid praktilisi samme saavad arstid võtta, et igapäevaselt GDPR-i järgida?

Järjepidevad harjumused vähendavad enamiku igapäevaste vastavusriskide tekkimist. Logige alati välja või lukustage kliinilised töökohad lahkudes, isegi lühiajaliselt. Ärge kunagi jagage sisselogimisandmeid kolleegidega. Jagage ainult minimaalselt vajalikku teavet saatmisel või kolleegidega suhtlemisel. Ärge kasutage isiklikke e-posti kontosid ega tarbijate sõnumirakendusi patsiendiandmete edastamiseks. Kontrollige saajat enne mis tahes patsiendikommunikatsiooni saatmist. Logige ja eskaleerige andmesubjekti juurdepääsutaotlused viivitamatult, sest ühe kuu vastamise tähtaeg hakkab kohe jooksma. Enne mis tahes kolmanda osapoole tarkvara kasutuselevõttu, mis töötleb patsiendiandmeid, kinnitage, et andmetöötlusleping on olemas ja andmekaitse mõjuhinnang on läbi viidud.