Grupul de lucru pentru protecia datelor a ARTICOLULUI 29

00323/07/EN WP 131

Document de lucru privind prelucrarea datelor medicale cu caracter personal din dosarul electronic de sntate (DES)

Adoptat la 15 februarie 2007

Grupul de lucru a fost nfiinat conform articolului 29 din Directiva 95/46/CE. Este un organism consultativ european independent privind protecia datelor i confidenialitatea. Activitile sale sunt descrise n articolul 30 din Directiva 95/46/CE i articolul 15 din Directiva 2002/58/CE. Secretariatul este asigurat de ctre Directoratul C (Justiie Civil, drepturi i cetenie) al Comisiei Europene, Directoratul General pentru Justiie, libertate i securitate, B-1049 Bruxelles, Belgia, Biroul No LX-46 01/43. Adres de Internet: http://europa.eu.int/comm/justice_home/fsj/privacy/index_en.htm

REZUMAT n acest Document de lucru privind prelucrarea datelor medicale cu caracter personal din dosarul electronic de sntate (DES), Grupul de lucru pentru articolul 29 ofer asisten n interpretarea cadrului legal n vigoare privind protecia datelor pentru sistemele DES i explic unele dintre principiile sale generale. Documentul de lucru ofer i indicaii privind cerinele de protecie a datelor pentru nfiinarea sistemelor DES, precum i a msurilor de protecie aplicabile. La nceput, Grupul de lucru pentru articolul 29 examineaz cadrul general privind protecia datelor pentru sistemele DES. Grupul de lucru pentru articolul 29 reamintete existena interdiciei generale pentru prelucrarea datelor medicale cu caracter personal din articolul 8 alineatul (1) din Directiva 95/46/CE privind protejarea datelor, i apoi discut posibila aplicare a derogrilor prevzute la articolul 8 alineatele (2), (3) i (4) ale directivei n contextul sistemelor DES, accentund necesitatea interpretrii unor asemenea derogri ntr-o manier strict. Grupul de lucru pentru articolul 29 reflecteaz i asupra cadrului legal adecvat pentru sistemele DES i ofer recomandri n privina a unsprezece situaii n care msurile speciale de protecie din sistemele DES se pot dovedi necesare pentru a garanta drepturile de protecie ale datelor pacienilor i indivizilor. Aceste situaii sunt: 1. Respectarea autodeterminrii 2. Identificarea i autentificarea pacienilor i a personalului medical 3. Autorizarea accesrii DES pentru citirea i introducerea de date n DES 4. Utilizarea DES n alte scopuri 5. Structura de organizare a unui sistem DES 6. Categorii de date stocate n DES i modul de prezentare a acestora 7. Transferul internaional al dosarelor medicale 8. Securitatea datelor 9. Transparena 10. Rspunderea 11. Mecanismele de control pentru prelucrarea datelor n DES Grupul de lucru pentru articolul 29 invit medicii, tot personalul medical, toate persoanele i instituiile implicate n procesul medical, precum i publicul larg, s i prezinte observaiile asupra acestui Document de lucru.

2 / 23

CUPRINS

I.

INTRODUCERE ................................................................................................. 4

II. CADRUL LEGAL PRIVIND PROTEJAREA DATELOR DIN DOSARUL ELECTRONIC DE SNTATE ................................................................................. 6
1. 2. 3. 4. 5. 6. 7. Principii generale......................................................................................................................................... 6 Protecie special pentru datele cu caracter personal confideniale ....................................................... 7 O interdicie general a procesrii datelor medicale cu caracter personal cu derogri..................... 8 Articolul 8 alineatul (2) litera (a): consimmnt explicit .................................................................... 8 Articolul 8 alineatul (2) litera (c): interesele vitale ale persoanei ...................................................... 10 Articolul 8 alineatul (3): prelucrarea datelor (medicale) de ctre personalul medical.................... 10 Articolul 8 alineatul (4): excepii de interes public important............................................................... 12

III. CONSIDERAII ASUPRA UNUI CADRUL LEGAL ADECVAT PENTRU SISTEMELE DES ..................................................................................................... 14
1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. Respectarea autodeterminrii .................................................................................................................. 14 Identificarea i autentificarea pacienilor i a personalului medical..................................................... 15 Autorizarea accesrii DES pentru citirea i introducerea de date n DES ........................................... 15 Utilizarea DES n alte scopuri .................................................................................................................. 16 Structura de organizare a unui sistem DES ............................................................................................ 17 Categorii de date stocate n DES i modul de prezentare a acestora .................................................... 18 Transferul internaional al dosarelor medicale ...................................................................................... 19 Securitatea datelor..................................................................................................................................... 20 Transparena ............................................................................................................................................. 21 Rspunderea .............................................................................................................................................. 21 Mecanismele de control pentru prelucrarea datelor n DES ................................................................. 21

IV.

CONCLUZII .................................................................................................. 22

3 / 23

GRUPUL DE LUCRU PENTRU PROTECIA PERSOANELOR FIZICE PRIVIND PRELUCRAREA DATELOR CU CARACTER PERSONAL, Avnd n vedere Directiva 95/46/CE a Parlamentului European i a Consiliului din 24 octombrie 1995 privind protecia persoanelor fizice n ceea ce privete prelucrarea datelor cu caracter personal i libera circulaie a acestor date 1, n special articolele 29 i 30, alineatul 1 litera (b), Avnd n vedere Regulamentul de Procedur al Grupului de lucru2, n special articolele 12 i 14, A ADOPTAT URMTORUL DOCUMENT DE LUCRU:

I. Introducere
Obiectivul acestui Document de lucru al Grupului de lucru pentru articolul 29 este de a oferi asisten n interpretarea cadrului legal n vigoare privind protecia datelor pentru sistemele DES i de a stabili anumite principii generale. Avizul mai dorete s evidenieze condiiile prealabile pentru nfiinarea unui sistem DES naional, precum i a msurilor de protecie aplicabile. Costurile sistemelor publice de asisten medical se afl n cretere dramatic iar guvernele solicit noi strategii pentru rezolvarea acestei probleme. Una dintre soluiile care se evideniaz tot mai frecvent este dosarul electronic de sntate (DES). Termenii utilizai n acest domeniu includ dosarul electronic medical (DEM), dosarul electronic al pacientului (DEP), dosarul electronic de sntate (DES), dosarul computerizat al pacientului (DCP) etc. Aceti termeni pot fi utilizai alternativ. n sensul acestui Document de lucru, un dosar electronic de sntate (denumit n continuare: DES) se definete ca Un dosar medical complet sau o documentaie similar a strii de sntate din trecut i prezent, fizice i psihice a unei persoane fizice, n format electronic, care ofer accesul prompt la aceste date n scop de tratament medical sau n alte scopuri similare3. n mod tradiional, documentaia privind tratamentele medicale era disponibil la unele cadre medicale, dar nu se reunea ntr-un dosar unic. Spre deosebire, conceptul de DES intenioneaz s compileze documentaia existent privind tratamentele medicale ale unei persoane din surse i perioade diferite. Astfel, vor fi furnizate date ct mai detaliate posibil despre starea de sntate din trecut i prezent a unei persoane, pentru o perioad de timp considerabil, probabil pentru toat viaa (de la natere pn la moarte). Dup compilare,

2 3

Directiva 95/46/CE a Parlamentului European i a Consiliului din 24 octombrie 1995 privind protecia persoanelor fizice n ceea ce privete prelucrarea datelor cu caracter personal i libera circulaie a acestor date; JO L 281, 23.11.1995, p. 31 (n continuare: directiva); disponibil la: http://ec.europa.eu/justice_home/fsj/privacy/law/index_en.htm. Adoptat de ctre Grupul de lucru la a treia sa ntrunire, la 11.9.1996. Tratamentul medical i obiectivele similare se refer la obiectivele menionate n articolul 8 alineatul (3) din directiv. 4 / 23

datele DES vor fi puse la dispoziia tuturor cadrelor medicale i instituiilor autorizate, n format electronic, oriunde i oricnd aceste date sunt necesare. DES este considerat a fi mijlocul cel mai potrivit pentru a oferi un tratament de calitate mai bun n urma primirii unor date corecte despre pacient; ameliorarea eficienei din punct de vedere al costurilor tratamentelor medicale, prevenind astfel creterea accentuat a deficitelor bugetare pentru sntate; furnizarea datelor necesare pentru controlul calitii, statistic i planificare n sectorul de sntate public, cu rezultate benefice pentru bugetele de sntate public.

Rspunsurile la un chestionar din anul 2005, care a circulat ntre autoritile de supraveghere a protejrii datelor, a demonstrat c sistemele naionale DES sunt probleme importante i urgente n majoritatea statelor membre. Gradul de punere n aplicare al unor asemenea sisteme difer totui semnificativ: n timp ce n majoritatea statelor membre exist o dezbatere privind DES, altele au pus n aplicare deja sistemele DES, cel puin parial. Datorit faptului c serviciile medicale sunt furnizate tot mai mult i peste frontier, Comisia European a subliniat n comunicatul su "e-Health asisten medical mai eficient pentru cetenii Europei: Un plan de aciune pentru zona european e-Health "4, importana serviciilor e-Health i a interoperabilitii dosarelor electronice de sntate. n afar de aceasta, Comunitatea European finaneaz proiecte n aceast privin, cum ar fi dosare electronice ale pacienilor sau identificatori ai pacienilor (de ex. Cardul european pentru asigurri de sntate). n procesul de punere n aplicare a unor asemenea programe, Comisia European are obligaia, mpreun cu statele membre, s asigure compatibilitatea cu toate prevederile legale relevante privind protecia datelor cu caracter personal i, unde este cazul, s introduc mecanismele necesare pentru asigurarea confidenialitii i protejrii unor asemenea date5. Sistemele DES au potenialul de a oferi o calitate i securitate mai mare a datelor medicale dect formele tradiionale de documentaie medical. Cu toate acestea, din punctul de vedere al protejrii datelor, trebuie accentuat faptul c sistemele DES mai au potenialul nu doar de a prelucra mai multe date cu caracter personal (de ex. n noi contexte, sau prin agregare), dar i de a oferi mai prompt datele despre pacient unui cerc mai larg de destinatari dect era posibil pn n acel moment. Mai trebuie remarcat c datele medicale electronice dintr-un sistem DES cu excepia accesibilitii pentru cadrele medicale pot fi de interes, n general, pentru tere pri precum societi de asigurri i organisme de aprare a legii. Din punctul de vedere al protejrii datelor cu caracter personal, n cursul compilrii datelor medicale existente ale unei persoane din surse diferite, n scopul asigurrii unui acces mai facil i mai larg la aceste date confideniale, sistemele DES prezint un nou risc, oferind noi posibiliti pentru eventuala utilizare incorect a datelor medicale personale. Dei acest nou risc va fi cunoscut pe deplin n majoritatea proiectelor doar n cursul unei aplicri complete viitoare, este totui necesar s fim contieni de acest pericol acum, cnd majoritatea modelelor existente au doar o aplicare limitat sau parial (de ex. doar pentru un set de baz de date medicale sau doar pentru spitale dintr-o anumit regiune), deoarece ele vor deveni general aplicabile ntr-o anumit perioad de timp.

4 5

COM (2004) 356 final. A se vedea, de ex. articolul 5 alineatul (5) din Decizia 1786/2002/CE. 5 / 23

II. Cadrul de protejare a datelor pentru dosarele electronice de sntate

Orice prelucrare a datelor cu caracter personal n sistemele DES trebuie s respecte regulile de protejare a datelor cu caracter personal. Grupul de lucru dorete s accentueze faptul c acest cadru aplicabil pentru utilizarea DES este prezentat n expunerea de motive nr. 2 din directiv, care afirm c sistemele de prelucrare a datelor sunt n serviciul omului; () acestea trebuie, indiferent de naionalitatea sau locul de reedin al persoanelor fizice, s le respecte drepturile i libertile fundamentale, n special dreptul la via privat, i s contribuie la progresul economic i social, la dezvoltarea comerului i la bunstarea persoanelor. Dreptul fundamental la protejarea datelor cu caracter personal se ntemeiaz, n esen, pe articolul 8 din Convenia european pentru aprarea drepturilor omului i a libertilor fundamentale (CEDOLF) i pe articolul 8 din Carta European a Drepturilor Fundamentale6. Reguli mai specifice sunt expuse n Directiva 95/46/CE privind protejarea datelor i n Directiva 2002/58/CE privind confidenialitatea comunicaiilor electronice7, i n legile interne ale statelor membre care aplic aceste directive. Orice prelucrare a datelor cu caracter personal n DES trebuie s respecte i regulile prevzute de Convenia pentru protejarea indivizilor cu privire la prelucrarea automat a datelor cu caracter personal a Consiliului Europei (ETS nr. 108) i protocolul adiional la Convenia 108 privind autoritile de control i fluxurile de date transfrontaliere (ETS nr. 181). n contextul DES, Grupul de lucru dorete s atrag atenia asupra Recomandrii Consiliului Europei nr. R(97) 5 privind protecia datelor medicale (13 februarie 1997). Se face referire i la recomandrile din Grupul de lucru pentru accesul online al dosarelor electronice de sntate de ctre Grupul de lucru internaional pentru protecia datelor n telecomunicaii8. 1. Principii generale

Managerii de date care colecteaz date pentru aplicaiile DES trebuie s respecte toate principiile generale pentru protecia datelor, inclusiv urmtoarele: S utilizeze principiul limitrii (principiul scopului): Acest principiu inclus parial n articolul 6 alineatul (1) litera (b) din directiv, printre altele, interzice continuarea prelucrrii incompatibile cu scopul(urile) colectrii. Principiul calitii datelor: Acest principiu din directiv impune ca datele personale s fie relevante i s nu depeasc scopurile n care sunt colectate. Astfel, orice date nerelevante nu trebuie s fie colectate, iar dac au fost colectate, trebuie s fie distruse (articolul 6 alineatul (1) litera (c)). Mai este impus obligaia ca aceste date s fie exacte i actualizate.

Dreptul de protecie al datelor cu caracter personal nu este absolut, i poate fi restrns dac anumite interese publice o reclam. Cu toate acestea, obiectivele de interes public pot justifica nclcarea proteciei datelor cu caracter personal doar dac aceasta se face conform legii, fiind necesar ntr-o societate democratic n scopul respectrii intereselor de securitate naional, a siguranei publice sau bunstrii economice a rii, pentru prevenirea dezordinii i infraciunilor, pentru protejarea sntii publice i moravurilor, sau pentru protejarea drepturilor i libertilor altora, i dac nu depete obiectivul urmrit (articolul 8 alineatul (2) CEDOLF). 7 Directiva 2002/58/CE a Parlamentului European i Consiliului din 12 iulie 2002 privind prelucrarea datelor cu caracter personal i protejarea vieii private n sectorul comunicaiilor publice (Directiva privind protecia vieii private i comunicaiile electronice) (JO L 201, 31.7.2002, p. 3747). 8 Adoptat la cea de a 39-a ntrunire din Washington D.C., 6-7 aprilie 2006 (http://www.berlin-privacygroup.org). 6 / 23

Principiul reteniei: acest principiu cere ca datele cu caracter personal s nu fie stocate pentru o perioad mai lung dect este necesar pentru scopul n care aceste date au fost colectate i prelucrate. Condiii de informare: n conformitate cu articolul 10 din directiv, managerii de date care prelucreaz date n sistemele DES trebuie s furnizeze anumite date subiecilor datelor, precum dezvluirea identitii managerului, a scopurilor prelucrrii, a destinatarilor datelor i a existenei unui drept de acces. Dreptul de acces al subiecilor informaiei: articolul 12 din directiv permite subiecilor informaiei s verifice corectitudinea datelor i s se asigure c acestea sunt actualizate. Aceste drepturi se aplic n ntregime n cazul colectrii de date personale n sistemele DES. Obligaii privind securitatea: articolul 17 din directiv oblig managerii de date s aplice msuri tehnice i organizatorice corespunztoare pentru a proteja datele cu caracter personal mpotriva distrugerii accidentale sau intenionate sau a transmiterii neautorizate. Aceste msuri pot fi de tip organizaional sau tehnic. Protecia special pentru datele confideniale cu caracter personal

2.

Cu toate acestea, cnd prelucrarea unor astfel de date cu caracter personal privesc sntatea unei persoane, prelucrarea este delicat i reclam, prin urmare, protecie special. Definiia datelor cu caracter personal din articolul 2 (a) din Directiva 95/46/CE este urmtoarea: date cu caracter personal nseamn orice informaie referitoare la o persoan fizic identificat sau identificabil (persoan vizat); o persoan identificabil este o persoan care poate fi identificat, direct sau indirect, n special prin referire la un numr de identificare sau la unul sau mai multe elemente specifice identitii sale fizice, fiziologice, psihice, economice, culturale sau sociale. Definiia categoriilor speciale de date din articolul 8 alineatul (1) din directiv este urmtoarea: Statele membre interzic prelucrarea datelor cu caracter personal care dezvluie originea rasial sau etnic, opiniile politice, convingerile religioase sau filosofice, apartenena sindical, precum i prelucrarea datelor privind sntatea sau viaa sexual. Menionarea faptului c o persoan s-a rnit la picior i se afl n repaos din considerente medicale constituie date cu caracter personal privind starea de sntate n sensul articolului 8 alineatul (1) din directiv9. Aceast definiie se aplic i datelor cu caracter personal cnd acestea au o legtur clar i apropiat cu descrierea strii de sntate a unei persoane: datele privind consumul de medicamente, alcool sau droguri, precum i datele genetice sunt, fr ndoial, "date cu caracter personal privind starea de sntate", n special dac sunt incluse ntr-un dosar medical. De asemenea, orice alte date de ex. datele administrative (numrul de asigurri sociale, data internrii n spital etc) aflate n documentaia medical a pacientului vor fi considerate ca fiind confideniale: dac nu ar fi fost relevante n contextul medical al pacientului, ele nu ar fi trebuit incluse n dosarul medical.

Curtea de Justiie a Comunitilor Europene, Hotrrea din 6 noiembrie 2003, cauza C-101/01 - Bodil

Lindqvist. 7 / 23

n consecin, membrii Grupului de lucru consider c toate datele coninute n documentaia medical, n dosarul electronic de sntate i n sistemele DES trebuie considerate a fi date confideniale cu caracter personal. Prin urmare, ele se afl nu doar sub incidena regulilor pentru protecia datelor cu caracter personal din directiv, ci i sub incidena regulilor speciale de protecie privind prelucrarea datelor confideniale coninute n articolul 8 din directiv. 3. O interdicie general a prelucrrii datelor medicale cu caracter personal cu derogri

Articolul 8 alineatul (1) din Directiva 95/46/CE privind protejarea datelor interzice prelucrarea datelor cu caracter personal privind starea de sntate n general. Este cazul i articolului 6 din Convenia nr. 108 a Consiliului Europei. Protecia special coninut n articolul 8 alineatul (1) completeaz celelalte prevederi ale acestei directive, n special ale articolului 6, privind principiile referitoare la calitatea datelor, i ale articolului 7, privind criteriile de legitimare a prelucrrii datelor. Cu toate acestea, avnd n vedere importana utilizrii informaiei despre un pacient n scopul tratrii lui medicale eficiente, exist excepii de la interdicia general de prelucrare a datelor medicale. Directiva privind protecia datelor prevede derogrile mandatorii prevzute n articolul 8 alineatele (2) i (3) plus o excepie opional din articolul 8 alineatul (4). Toate aceste derogri sunt limitate, exhaustive i se interpreteaz n manier strict. 4. Articolul 8 alineatul (2) litera (a): Consimmntul explicit Alineatul 1 nu se aplic n oricare din urmtoarele situaii: (a) persoana vizat i-a dat consimmntul explicit pentru prelucrarea acestor date, cu excepia cazurilor n care legislaia statului membru prevede ca interdicia prevzut la alineatul 1 s nu poat fi ridicat prin consimmntul persoanei vizate; a) n consecin, o confirmare a prelucrrii de date confideniale poate fi constituit de ctre consimmntul persoanei vizate10. Dup cum s-a menionat n documentele de lucru anterioare WP 1211 i WP 11412 ale Grupului de lucru, un argument important este c, pentru a fi valabil, consimmntul oricare ar fi circumstanele n care acesta este exprimat trebuie s fie omanifestare de voin, liber, specific i informat a persoanei vizate, conform definiiei din articolul 2 alineatul (h) din directiv. aa) Consimmntul trebuie s fie dat de bun voie: Consimmntul de bun voie presupune o decizie voluntar a unei persoane aflate n deplintatea facultilor mentale, n lipsa unor constrngeri de orice fel, fie sociale, financiare, psihologice sau de alt natur. Orice consimmnt dat ca urmare a ameninrii ntreruperii tratamentului sau a tratamentului de calitate inferioar ntr-o circumstan medical nu
Acordul de a fi supus unui anumit tratament medical nu presupune consimmntul automat n sensul articolului 2 litera (h) pentru prelucrare (n special dezvluire sau transfer) a datelor cu caracter personal colectate n timpul unui asemenea tratament. 11 Grupul de lucru pentru articolul 29 Document de lucru: Transferul de date cu caracter personal ctre tere ri: Aplicarea articolelor 25 i 26 din Directiva UE privind protecia datelor (WP 12, 24 iulie 1998). 12 Grupul de lucru pentru articolul 29 Document de lucru privind o interpretare comun a articolului 26(1) din Directiva 95/46/CE din 24 octombrie 1995 (WP 114, 25 noiembrie 2005). 8 / 23
10

Conform articolului 8 alineatul (2) litera (a) din directiv:

poate fi considerat de bun voie. Consimmntul dat de ctre o persoan vizat cruia nu i s-a oferit ansa unei opiuni autentice sau care a fost pus n faa faptului mplinit nu poate fi considerat ca fiind valabil. Grupul de lucru pentru articolul 29 consider c, n cazul n care un cadru medical trebuie s prelucreze date cu caracter personal n sistemul DES ca o urmare necesar i inevitabil a actului medical, justificarea acestei prelucrri prin primirea acordului este fals. Utilitatea acordului trebuie limitat la cazurile n care subiectul individual al datelor beneficiaz de mai multe opiuni reale i poate ulterior s-i retrag acordul fr a suferi neajunsuri.13 bb) Consimmntul trebuie s fie specific: Consimmntul specific trebuie s priveasc o situaie bine definit, concret, unde este avut n vedere prelucrarea datelor medicale. n consecin, un acord general al persoanei vizate privind colectarea datelor sale medicale pentru un DES i al transferului ulterior al acestor date medicale din trecut i viitor ctre cadre medicale implicate n tratament nu constituie un consimmnt n sensul articolului 2 litera (h) din directiv. cc) Consimmntul trebuie s fie n cunotin de cauz: Consimmnt n cunotin de cauz se refer la un consimmnt al persoanei vizate ntemeiat pe judecarea i nelegerea faptelor i implicaiilor unei decizii. Individul n cauz trebuie s primeasc, ntr-o manier clar i inteligibil, date exacte i complete despre toate aspectele relevante, n special despre cele menionate n articolele 10 i 11 ale directivei, precum natura datelor prelucrate, scopul prelucrrii, destinatarii posibilelor transferuri i drepturile persoanei vizate. Aceasta include i cunoaterea consecinelor n cazul refuzului pentru prelucrarea n cauz. b) n contrast cu prevederile articolului 7 din directiv, consimmntul n cazul datelor confideniale cu caracter personal i, n consecin, ntr-un DES, trebuie s fie explicit. Soluiile care implic o renunare nu ntrunesc condiiile de a fi explicite. n conformitate cu definiia general prin care consimmntul presupune o declaraie de intenii, atributul de explicit trebuie s se refere, n particular, la confidenialitatea datelor. Persoana vizat trebuie s fie contient c renun la protecia special. Consimmntul scris nu este totui necesar. c) Grupul de lucru pentru articolul 29 a observat c, n unele cazuri, obinerea consimmntului poate fi dificil din cauza unor probleme practice, mai ales n situaiile n care nu exist un contact direct ntre managerul de date i persoanele vizate. Oricare ar fi aceste dificulti, managerul de date trebuie s demonstreze n toate cazurile c a obinut, n primul rnd, consimmntul explicit al fiecrui subiect al datelor i, n al doilea rnd, c acest consimmnt explicit a fost dat n temeiul unor date exacte. d) Din nou n contradicie cu articolul 7, articolul 8 alineatul (2) litera (a) recunoate c pot exista cazuri de prelucrare a datelor confideniale n care nici mcar consimmntul explicit al persoanei vizate nu poate anula interdicia prelucrrii: statele membre au libertatea de a reglementa astfel de cazuri n detaliu.

A se vedea i Avizul 8/2001 privind prelucrarea datelor cu caracter personal n contextul ocuprii unui loc de munc (WP 84, seciunea 10). 9 / 23

13

5.

Articolul 8 alineatul (2) litera (c): interesele vitale ale persoanei vizate

Prelucrarea datelor confideniale cu caracter personal poate avea loc n cazul existenei necesitii protejrii intereselor vitale ale persoanei vizate sau ale unei alte persoane n cazul n care persoana vizat nu are capacitatea fizic sau legal de a-i manifesta consimmntul. Prelucrarea trebuie s aib legtur cu interesele individuale eseniale ale unei alte persoane i trebuie n context medical s fie necesar pentru un tratament de importan crucial ntr-o situaie cnd persoana vizat nu are capacitatea de a-i exprima inteniile. n mod corespunztor, aceast excepie poate fi aplicat exclusiv ntr-un mic numr de tratamente i nu poate fi invocat n nici o privin pentru a justifica prelucrarea datelor medicale cu caracter personal pentru alte scopuri n afara tratamentului persoanei vizate precum, de exemplu, desfurarea de cercetri medicale care nu vor oferi rezultate dect ntr-o perioad viitoare.14 De exemplu: se presupune c o persoan vizat i-a pierdut cunotina dup un accident i nu i poate da consimmntul pentru aflarea alergiilor cunoscute. n contextul sistemelor DES, aceast prevedere va permite accesul la datele stocate n DES de ctre un cadru medical pentru a extrage date despre alergiile cunoscute ale persoanei vizate, acestea putnd fi decisive n alegerea unui anumit tratament. 6. Articolul 8 alineatul (3): prelucrarea datelor (medicale) de ctre cadrele medicale

Articolul 8 alineatul (3) permite prelucrarea datelor confideniale cu caracter personal dac sunt ndeplinite trei condiii cumulative: prelucrarea datelor confideniale cu caracter personal trebuie s fie necesar, iar aceast prelucrare are loc n scopuri legate de medicina preventiv, de stabilire a diagnosticelor medicale, de administrare a unor ngrijiri sau tratamente ori de gestionare a serviciilor de sntate iar datele personale n chestiune sunt prelucrate de ctre un cadru medical supus, n conformitate cu dreptul intern ori cu normele stabilite de autoritile naionale competente, secretului profesional, sau de alt persoan supus, de asemenea, unei obligaii echivalente n ceea ce privete secretul. a) Aceast derogare acoper exclusiv prelucrarea datelor cu caracter personal pentru scopul specific de a furniza servicii medicale de natur preventiv, de diagnostic sau post-tratament, i n scopul gestionrii de servicii medicale precum facturare, contabilitate sau statistic. Nu este acoperit prelucrarea ulterioar care nu este necesar pentru furnizarea direct de servicii precum cercetarea medical, rambursarea ulterioar a costurilor de ctre un fond de asigurri de sntate sau de urmrire a revendicrilor financiare. n afara sferei de aplicare a articolului 8 alineatul (3) sunt i alte operaiuni de prelucrare n sectoare precum sntatea public i protecia social, mai ales pentru a asigura calitatea i eficiena financiar a procedurilor utilizate pentru reglementarea revendicrilor pentru acordarea de beneficii i serviciilor n sistemul de asigurri de sntate, aa cum sunt prezentate n expunerea de motive nr. 34 din directiv ca exemple pentru invocarea articolului 8 alineatul (4). b) n afar de aceasta, prelucrarea datelor cu caracter personal n temeiul articolului 8 alineatul (3) trebuie s fie obligatorie pentru obiectivele specifice menionate la litera a). Grupul de lucru subliniaz c, ntr-un context DES, aceasta presupune c orice includere de date cu caracter personal ntr-un DES va trebui s fie bine justificat; simpla utilitate a prezenei unor asemenea date cu caracter personal ntr-un DES nu va fi suficient.
Pentru o interpretare a dispoziiei similare coninut n articolul 26 alineatul (1) litera (e) privind transferul de date n afara UE, a se vedea Documentul de lucru privind o interpretare comun a articolului 26 alineatul (1) din Directiva 95/46/CE din 24 octombrie 1995, WP 114, (25 noiembrie 2005). 10 / 23
14

c) A treia condiie din articolul 8 alineatul (3) este aceea ca prelucrarea datelor medicale cu caracter personal s fie ndeplinit de ctre personal medical sau alt tip de personal supus obligaiei de a pstra secretul profesional (medical) sau o obligaie echivalent de confidenialitate. Obligaia etic de confidenialitate a profesiei medicale a fost expus pentru prima dat n Jurmntul lui Hipocrate15, fiind apoi afirmat de ctre Declaraia Asociaiei Medicale Mondiale de la Geneva (1948). Ea protejeaz datele colectate de ctre un cadru medical n cursul tratamentului unui pacient. Utilizarea acestor date este permis doar n limitele contractului de tratament. Aceast relaie de confidenialitate exclude toate terele pri, inclusiv alte cadre medicale, dac pacientul nu i-a manifestat consimmntul pentru transmiterea datelor sale sau n cazurile prevzute special de ctre lege. Grupul de lucru arat c obligaia special de a pstra secretul profesional trebuie s fie coninut n legislaia naional a statelor membre sau a organismelor profesionale naionale competente cu puterea de a adopta reguli obligatorii ale profesiei. Aceste reguli naionale privind secretul profesional trebuie s includ i sanciunile corespunztoare n caz de nclcare a lor. Conform directivei, dac exist necesitatea ca personalul non-medical s prelucreze date confideniale cu caracter personal, acesta trebuie s fie supus regulilor obligatorii care asigur cel puin un nivel echivalent de confidenialitate i protecie. n special, aceste reguli trebuie s conin obligaia ca datele s fie utilizate exclusiv n sensul menionat n articolul 8 alineatul (3). Cadrele medicale cu responsabilitate direct pentru tratamentul pacienilor au, n general, obligaia legal de a pstra documentaia privind tratamentul medical (msuri, reete etc.) la dosarul pacienilor. Conform numeroaselor dispoziii legale n vigoare privind obligativitatea pstrrii secretului profesional de ctre cadrele medicale, reinerea i utilizarea dosarelor pacienilor este limitat n mod tradiional la relaia direct ntre pacient i cadrul medical/instituia medical la care pacientul a apelat. d) Deoarece articolul 8 alineatul (3) din directiv reprezint o excepie de la interdicia general de prelucrare a datelor confideniale, aceast excepie trebuie interpretat ntr-o manier strict. e) Dac exist ndoiala c articolul 8 alineatul (3) din directiva poate constitui baza legal unic pentru prelucrarea datelor personale ntr-un sistem DES, Grupul de lucru pentru articolul 29 consider c articolul 8 alineatul (3) se poate referi exclusiv la prelucrarea datelor medicale numai n scopurile medicale i de tratament menionate, i numai n condiiile n care prelucrarea este solicitat i ndeplinit de ctre un cadru medical sau de ctre alt persoan supus obligaiei de a pstra un secret profesional sau echivalent. Dac prelucrarea datelor personale n DES depete n orice privin aceste scopuri sau nu ntrunete condiiile menionate, articolul 8 alineatul (3) nu poate fi invocat ca baz legal unic pentru prelucrarea acelor date cu caracter personal. Cu toate acestea, chiar dac toate aceste condiii ar fi ntrunite, Grupul de lucru pentru articolul 29 trebuie s afirme c sistemele DES contribuie la apariia unui nou risc, care necesit noi msuri de protecie n contramsur: sistemele DES furnizeaz acces direct la o compilaie a documentaiei existente privind tratamentul medical al unor anumite persoane, din diferite surse (de ex. spitale, cadre medicale) pe parcursul ntregii viei. Astfel de sisteme
15

Tot ce pot s aflu n timpul exercitrii profesiunii mele sau n relaiile zilnice cu oamenii ce nu ar trebui rspndit, voi pstra ca tain i nu voi dezvlui niciodat. (Surs: http://en.wikipedia.org/wiki/Hippocratic_Oath). 11 / 23

DES depesc, prin urmare, frontierele tradiionale ale relaiei directe ntre pacientul individual i cadrul medical sau instituia: Pstrarea datelor medicale ntr-un DES depete metodele tradiionale de pstrare i utilizare a documentaiei privind pacienii. Din punct de vedere tehnic, punctele de acces multiple dintr-o reea deschis precum internetul cresc riscul interceptrii datelor pacientului. Meninerea standardului legal de confidenialitate adecvat ntr-un mediu tradiional se poate dovedi insuficient pentru protejarea intereselor unui pacient dup ce dosarul electronic de sntate a devenit disponibil pe Internet. Sistemele DES dezvoltate complet tind astfel s ofere i s faciliteze accesul la datele medicale i datele confideniale cu caracter personal. Sistemele DES ntmpin dificulti n a se asigura c doar cadrele medicale autorizate primesc acces la date, n scopuri legitime, privind tratamentul persoanei vizate. Acestea confer prelucrrii datelor o dimensiune mai complex, cu implicaii directe pentru drepturile indivizilor. n consecin, un sistem DES trebuie s fie considerat o nou situaie de risc pentru protecia datelor confideniale cu caracter personal. Principala i tradiionala msur de protecie descris de art. 8 alineatul (3) cu excepia limitrii scopului i obligaiei de strict necesitate este obligaia cadrelor medicale de a pstra confidenialitatea datelor medicale ale propriilor pacieni. Aceasta poate s nu mai fie aplicabil ntr-un mediu DES, deoarece unul din scopurile DES este de a furniza accesul la documentaia medical n scopuri de tratament acelor cadre care nu au contribuit la tratamentele anterioare documentate ntr-un dosar medical. Prin urmare, Grupul de lucru pentru articolul 29 nu este convins c, chiar dac articolul 8 alineatul (3) este utilizat ca justificare pentru prelucrare, respectarea obligaiei secretului profesional ofer o protecie suficient ntr-un sistem DES. O nou situaie de risc reclam msuri adiionale de protecie mai noi dect cele descrise n articolul 8 alineatul (3), n scopul asigurrii unei protecii adecvate a datelor cu caracter personal n context DES. 7. Articolul 8 alineatul (4): derogrile de interes public important Unele dintre dispoziiile directivei conin un grad nalt de flexibilitate, pentru a garanta un echilibru corespunztor ntre protecia drepturilor persoanei vizate, pe de o parte, i eventualelor interese legitime ale managerilor de date, terelor pri i interesului public, pe de alt parte. Articolul 8 alineatul (4) din directiv permite statelor membre s stabileasc i alte derogri de la interdicia prelucrrii categoriilor de date confideniale: Sub rezerva unor garanii corespunztoare, statele membre pot prevedea, pentru un motiv de interes public important, derogri suplimentare fa de cele prevzute n alineatul 2, fie n legislaia intern, fie prin decizia autoritii de supraveghere. Expunerea de motive nr. 34 afirm: (34) ntruct statele membre trebuie, de asemenea, s fie autorizate s deroge de la interdicia privind prelucrarea categoriilor de date sensibile atunci cnd aceasta se justific din motive de interes public important n domenii cum ar fi sntatea public i protecia social n special n scopul asigurrii calitii i rentabilitii n ceea ce privete procedurile folosite pentru soluionarea cererilor de prestaii i servicii n sistemul asigurrilor de sntate cercetarea tiinific i statistica guvernamental; ntruct este totui de datoria lor s prevad garanii specifice i corespunztoare n scopul protejrii drepturilor fundamentale i vieii private a indivizilor;

12 / 23

a) n consecin, dac un stat membru intenioneaz s utilizeze aceast posibilitate, derogarea trebuie s fie coninut ntr-o dispoziie legal sau decizie a autoritii de supraveghere (baz legal special). b) O asemenea prelucrare a datelor confideniale cu caracter personal trebuie justificat prin motive de interes public important. Expunerea de motive nr. 34 din directiv ofer exemple de domenii care pot conine cazuri de interes public important. Acestea includ domeniile sntii publice i asigurrilor sociale, pentru a asigura calitatea i eficiena financiar a procedurilor utilizate pentru soluionarea cererilor de prestaii i servicii n sistemul asigurrilor de sntate. Interesul public important trebuie prezentat de ctre statul membru pentru fiecare caz n ntreaga sfer a prelucrrii derogate, iar prelucrarea trebuie s fie necesar din perspectiva acelui interes public important. Orice astfel de msur trebuie s fie proporional, semnificnd c nu trebuie s existe alte msuri mai puin limitative. n plus, orice nclcare a dreptului la via privat i de familie, pentru a fi legitim, trebuie s respecte articolul 8 din Convenia european a drepturilor omului i trebuie citit n lumina jurisprudenei de la Strasbourg: trebuie s fie conform legii i s fie necesar ntr-o societate democratic pentru un scop de interes public. Jurisprudena de la Strasbourg a afirmat n mod repetat c legea care justific nclcarea trebuie s indice sfera puterilor discreionare oferite autoritilor competente i modul de exercitare a acestora cu suficient claritate, avnd n vedere scopul legitim al msurii n chestiune, pentru a proteja corespunztor individul mpotriva abuzurilor". c) Statele membre au obligaia s furnizeze msuri de protecie specifice i adecvate pentru a proteja drepturile fundamentale i confidenialitatea indivizilor n acel context. d) Orice utilizare a articolului 8 alineatul (4) de ctre un stat membru trebuie notificat Comisiei conform articolului 8 alineatul (6) din directiv. n contextul DES, Grupul de lucru pentru articolul 29 observ c argumentele favorabile introducerii sistemelor DES (vezi I., mai sus) pot reprezenta interes public substanial. n unele state membre, dreptul de protecie a sntii este considerat sacru de ctre constituie. Aceasta subliniaz importana atribuit tuturor mijloacelor adecvate pentru asigurarea proteciei sntii. Un sistem DES ntr-un asemenea cadru legal se va baza cu siguran pe interes public important deoarece este un instrument dedicat fundamental oferirii de asisten medical adecvat pacienilor. Articolul 8 alineatul (4) din directiv ar putea, prin urmare, s constituie baz legal pentru sistemele DES dac toate condiiile menionate aici sunt respectate. Trebuie oferite, n particular, mijloace de protecie adecvate pentru protecia datelor cu caracter personal dintr-un sistem DES. Grupul de lucru dorete s trateze asemenea mijloace de protecie posibile i cadrul legal adecvat pentru sistemele DES n urmtoarea seciune.

III. Consideraii asupra unui cadrul legal adecvat pentru sistemele DES
Grupul de lucru pentru articolul 29 ofer mai jos detalii despre acele subiecte n cazul crora pot fi invocate mijloacele de protecie special16 din cadrul sistemelor DES pentru garantarea
Condiiile generale prevzute n Directiva 95/46/CE pentru prelucrarea datelor cu caracter personal conform legii nu sunt repetate n aceast parte a documentului deoarece ele se aplic oricum. Acest document 13 / 23
16

drepturilor pacienilor de a le fi protejate datele. Avnd n vedere impactul sistemelor DES i a nevoii de transparen a unor asemenea sisteme, mijlocele de protecie trebuie prezentate, n mod preferabil, ntr-un cadrul legal special i complet. 1. Respectarea autodeterminrii

Chiar dac un sistem DES nu este fundamentat pe acord ca baz legal (articolul 8 alineatul (2)), autodeterminarea pacientului privind timpul i modul n care sunt utilizate datele sale trebuie s aib un rol semnificativ ca mijloc major de protecie.17 a) Funcionalitatea consimmntului n contextul mijloacelor de protecie adecvate este diferit de cea a consimmntului din articolul 8 alineatul (2) din directiv i, prin urmare, nu trebuie s ndeplineasc toate condiiile din articolul 8 alineatul (2): de ex. ntruct consimmntul ca baz legal pentru prelucrarea datelor medicale ar trebui s fie ntotdeauna explicit conform articolului 8 alineatul (2), consimmntul ca mijloc de protecie nu trebuie oferit n mod necesar sub forma participrii posibilitatea de afirmare a autodeterminrii ar putea n funcie de situaie s se manifeste sub forma unei neparticipri/ a unui drept de a refuza. b) Avnd n vedere potenialul negativ variat al diferitelor tipuri de date medicale, situaiile categoriilor de utilizare trebuie difereniate n funcie de diferite situaii de exercitare a autodeterminrii: Dispoziiile legale de nfiinare a unui sistem DES trebuie s includ reglementarea prin care introducerea de date ntr-un DES sau accesarea unor astfel de date trebuie s fie guvernat de un sistem cumulativ de condiii de participare (n special n cazul prelucrrilor de date foarte sensibile precum date psihiatrice, despre avorturi etc.18) i posibiliti de neparticipare pentru date mai puin sensibile.19 Aceasta poate garanta gradul de protecie necesar, pe de o parte, i operabilitatea i flexibilitatea, pe de alt parte. c) n principiu, un pacient ar trebui s aib ntotdeauna posibilitatea s previn dezvluirea datelor sale medicale, dobndite de ctre un cadru medical n timpul tratamentului, ctre alte cadre medicale, dac dorete acest lucru. Trebuie acordat atenie modului n care poate fi gestionat limitarea accesului la informaie ntr-un DES: Dac limitarea ar trebui s fie disimulat pentru a nu fi detectabil sau dac, n anumite cazuri, ar trebui s fie transmis o not prin care se recunoate existena unor date suplimentare, dar care sunt disponibile doar n condiii speciale. d) Plecnd de la premisa c nimeni nu poate fi obligat s participe ntr-un sistem DES, problema opiunii de retragere complet dintr-un sistem DES trebuie s fie inclus n dispoziiile legale de nfiinare a unui sistem DES. Trebuie prevzute reguli n cazurile n care aceasta impune o obligaie de distrugere a datelor sau doar de limitare a accesului la datele din
discut doar condiiile suplimentare specifice pentru prelucrarea datelor cu caracter medical n sistemele DES, care se pot dovedi necesare pentru a contrabalansa riscul la adresa confidenialitii pe care l implic sistemele DES. 17 n unele jurisdicii nu exist doar un drept fundamental la protecia datelor, dar i un drept constituional la protecia optim a sntii: ca urmare a existenei acestei obligaii de asigurare a unui tratament optim, unele state membre au atribuit cadrelor medicale acces privilegiat la datele disponibile n sistemul DES. Aceast realitate poate fi acceptabil att timp ct se obine un echilibru necesar insistnd asupra altor mijloace de protecie, precum reglementrile detaliate privind circumstanele accesului conform legii i consecinele severe n cazurile de folosire abuziv a drepturilor de acces etc. 18 Pot fi utilizate faciliti speciale precum plicuri sigilate, care nu pot fi deschise fr cooperarea persoanei vizate. 19 Soluiile de neparticipare vor necesita totui o informare corespunztoare a pacientului pentru a fi eficiente ca mijloace de protecie adecvate. 14 / 23

sistemul DES; persoanele vizate pot primi dreptul de a-i exprima opiunea n aceast privin. 2. Identificarea i autentificarea pacienilor i cadrelor medicale

a) Identificarea corect20 a pacienilor n sistemele DES prezint o importan crucial. Utilizarea unor date ale altor persoane ca urmare a unei identificri incorecte a pacientului poate avea consecine negative n majoritatea cazurilor. Cardurile de sntate pe platform de carduri inteligente pot contribui n mod semnificativ la identificarea electronic corect a pacienilor, precum i la autentificarea lor,21 dac acetia doresc s-i acceseze propriile date DES. b) n plus, confidenialitatea datelor medicale presupune interzicerea accesului pentru persoanele neautorizate. Controlul eficient al accesului depinde de o identificare i autentificare corect22. Aceasta presupune necesitatea identificrii unice i a autentificrii corecte a utilizatorilor.23 Deoarece unul dintre principalele avantaje ale sistemelor DES este capacitatea lor de a fi accesate prin mijloace electronice indiferent de or i locaie, trebuie puse la punct metode de identificare electronic i autentificare eficiente. Autentificarea prin intermediul semnturii electronice furnizat utilizatorilor autorizai mpreun cu mijloace de identificare oficiale de ex. pe carduri inteligente speciale trebuie luat n considerare cel puin ca perspectiv ndeprtat pentru a fi evitate riscurile cunoscute ale autentificrii prin parol. Pentru cadrele medicale va fi necesar dezvoltarea unui sistem de identificare i autentificare, care va verifica nu doar identitatea, ci i calitatea n care un cadru medical acioneaz n mediul electronic, de ex. ca psihiatru sau asistent medical. 3. Autorizarea accesrii DES pentru citirea i introducerea de date n DES

a) Mijloace de protecie generale referitoare la acces: Datele din sistemele DES sunt constituite din dosare medicale confideniale. Astfel, principiul fundamental care guverneaz accesul la un DES trebuie s fie acela c n afar de pacient doar acele cadre medicale/persoane autorizate de instituii medicale, care particip activ la tratamentul pacientului pot primi dreptul de acces. Trebuie s existe o relaie profesional medical ntre pacient i cadrul medical care solicit accesul la dosarul DES al acestuia. Se contureaz ca necesar i reglementarea categoriilor de cadre medicale/instituii i a nivelului la care acetia vor accesa datele DES (medici practicani, medici din spitale, farmaciti, asisteni medicali, chiropracticieni?, psihologi?, consilieri familiali? etc.). Protecia datelor mai poate fi ameliorat cu ajutorul drepturilor de acces modulare, prin formarea de categorii de date medicale ntr-un sistem DES, cu consecina limitrii accesului
Noiunea de Identificare presupune c o persoan este caracterizat de identificatori precum nume, dat de natere, adres etc.; n prezentul context, aceast descriere va trebui susinut n mod oficial de ctre un certificat de natere, un paaport sau un card de sntate etc. 21 Autentificare reprezint dovada faptului c o persoan care i declin o anumit identitate este cu adevrat acea persoan. Aceasta se obine prin prezentarea unui act oficial de identitate coninnd o fotografie (de ex. un paaport), sau n mediu electronic prin utilizarea unei semnturi electronice. 22 Identificarea corect nu trebuie s utilizeze numerele de identificare, sunt folosite pe scar larg n alte contexte, fr mijloace de protecie specifice, pentru a evita interconectabilitatea facil (vezi articolul 8(7) al directivei. 23 n Frana, primele experimente cu DES iau n considerare crearea unui identificator specific; nu se tie nc dac acest sistem va fi meninut n versiunea final a DES. 15 / 23
20

n favoarea unor categorii specifice de cadre medicale/instituii24. Posibilele avantaje ale variantei modulare a DES vor fi discutate n detaliu la punctul 6. b) Mijloace de protecie special cu implicarea pacientului: Dac exist cadrul i posibilitatea i dac pacientul este prezent i contient pacientul poate mpiedica accesul la datele sale DES dac dorete astfel. Aceasta presupune informarea sa prealabil n privina persoanelor i motivelor care reclam accesul la datele sale i despre posibilele consecine ale refuzului de a permite accesul. Trebuie puse la punct proceduri care vor prentmpina presiunile asupra pacientului pentru obinerea acordului su de acces la propriile date. Cnd este necesar dovada acordului pacientului pentru accesarea datelor sale DES, este indispensabil utilizarea unor instrumente adecvate pentru obinerea unor asemenea dovezi, precum verificarea electronic a simbolului pacientului sau dac astfel de instrumente sunt disponibile pe scar larg semntura electronic a pacientului etc. Prezentarea unor asemenea dovezi trebuie s fie stocat electronic pentru posibilele verificri ulterioare. Trebuie s apar prevederi referitoare la cazurile cnd persoana vizat solicit ca anumite date s nu fie introduse n propriul dosar. O modalitate de a aborda astfel de situaii poate fi utilizarea plicurilor sigilate care nu pot fi deschise fr acordul explicit al persoanei vizate. c) Accesul persoanelor vizate la propriile date DES: Acordarea accesului direct (electronic) pentru citirea DES ctre pacieni este o problem de posibilitate medical. Dreptul de acces pentru protecia datelor de ex. conform articolului 12 din Directiva 95/46/CE nu presupune ntotdeauna n mod necesar accesul direct. Accesul direct poate totui s contribuie considerabil la dobndirea ncrederii ntr-un sistem DES. Din punctul de vedere al protejrii datelor, o condiie prealabil pentru furnizarea accesului direct va fi identificarea electronic securizat i autentificarea, n scopul de a preveni accesul persoanelor neautorizate. ntrebarea dac pacienii nii pot introduce date n propriul DES sau dac acestea trebuie s fie introduse de ctre un cadru medical trebuie s primeasc, de asemenea, un rspuns n cadrul dispoziiilor de nfiinare ale unui sistem. O transparen corect privind urmrirea activitii, care s dezvluie identitatea autorului introducerii datelor ntr-un dosar DES, va rezolva problemele responsabilitii pentru corectitudine. Se mai consider c transparena va limita accesul pentru introducerea de date la un modul special dintr-un dosar DES. n acest context, trebuie avute n vedere capacitile i nevoile speciale ale bolnavilor cronici, persoanelor n vrst, precum i ale persoanelor cu handicap sau invaliditate. 4. Utilizarea DES n alte scopuri

Acceptarea sistemelor DES de ctre ceteni va depinde de ncrederea lor n confidenialitatea sistemului. Motivul accesului legitim la datele dintr-un sistem DES trebuie s corespund scopului principal al unui sistem DES de a garanta tratament medical de succes prin intermediul datelor corecte. Grupul de lucru consider c accesarea datelor medicale ntr-un DES n alte scopuri dect cele menionate n articolul 8 alineatul (3) ar trebui s fie interzise n principiu.

De exemplu, accesul la datele despre tratamentul psihiatric pot fi limitate la un prim nivel pentru medicii psihiatri; sau un modul privind medicaia special poate fi pus la dispoziia farmacitilor, care nu au acces la celelalte pri ale unui sistem DES. 16 / 23

24

De exemplu, aceasta va exclude accesul la DES al cadrelor medicale care acioneaz ca experi pentru tere pri: de ex. pentru companii private de asigurri, n litigii, pentru acordarea de asisten la pensionare, pentru angajatorii persoanei vizate etc. n plus, legislaia disciplinar aplicabil n cazul cadrelor medicale trebuie conceput astfel nct s descurajeze n mod efectiv nclcarea acestor reglementri. Trebuie adoptate msuri speciale pentru a preveni ca pacienii s fie determinai n mod ilegal s-i dezvluie datele DES, de ex. la solicitarea unui viitor angajator sau a unei societi private de asigurri. Instruirea pacientului este esenial pentru a preveni rspunsul favorabil la asemenea solicitri, care pot fi ilegale conform legii proteciei datelor. Pot fi aplicate i mijloace tehnice de ex. solicitri speciale pentru imprimarea integral a unor date dintr-un DES etc. Prelucrarea datelor DES n scopul cercetrii medicale tiinifice i al statisticii guvernamentale poate fi considerat o excepie de la regula de mai sus, dac toate aceste excepii respect prevederile directivei (a se vedea articolul 8 alineatul (4) i a expunerii de motive nr. 34): acestea trebuie, prin urmare, s fie prevzute de lege pentru scopuri predeterminate i specifice, conform condiiilor speciale de garantare a proporionalitii (mijloace de protecie specifice i adecvate) pentru a proteja drepturile fundamentale i viaa privat a persoanelor. Mai mult, oricnd este realizabil i posibil, datele din sistemele DES ar trebui folosite n alte scopuri (de ex. statistic sau evaluarea calitii) doar sub form anonim sau, cel puin, la adpostul unui pseudonim sigur25. 5. Structura de organizare a unui sistem DES

n contextul discutrii diferitelor alternative de organizare pentru stocarea de date ntr-un sistem DES, urmtoarele alternative principale sunt menionate n mod obinuit: DES ca sistem care ofer acces la dosarele medicale aflate n posesia cadrului medical, care are obligaia de a pstra istoricul tratamentului pacienilor si aceasta fiind numit stocare descentralizat, sau DES ca sistem uniform de stocare, unde cadrele medicale trebuie s-i transfere documentaia; aceasta este frecvent numit stocare centralizat; o a treia alternativ poate fi posibilitatea ca persoana vizat s fie stpnul propriilor date medicale, oferindu-i-se posibilitatea stocrii datelor medicale ale pacientului sub form de serviciu electronic aflat sub controlul pacientului, avnd, eventual, puterea de a selecta datele care pot fi incluse n DES.26

a) ntruct a treia alternativ (stocarea sub controlul persoanei vizate) pare a fi cea mai bun soluie din punct de vedere al autodeterminrii, calitatea unei asemenea documentaii poate ridica probleme din punctul de vedere al exactitii i exhaustivitii dac persoana vizat decide n exclusivitate care sunt datele care urmeaz a fi stocate n propriul DES i nici o metod de corecie medical nu este integrat n sistem. b) n cazul unui model de stocare descentralizat, care devine sistem doar prin crearea mijloacelor de cutare corespunztoare, structura existent a documentaiei de date medicale
Pseudonimul conine identificatori (precum nume i date de natere etc.) transpui sub o nou denumire, preferabil prin encriptare, astfel nct destinatarul informaiei s i fie n imposibilitatea de a identifica persoana vizat. 26 Modelul impus n practic este cel francez. Acei furnizori de servicii sunt numii gazde (hbergeurs) i poziia lor este reglementat printr-un decret care a fost supus avizului prealabil al CNIL. Decretul este complex i vizeaz problemele de acreditare ale acelor furnizori de servicii i a securitii sistemului. 17 / 23
25

de la diferii furnizori de servicii medicale va rmne neschimbat. Msura n care datele unui pacient pot fi localizate n acest sistem depinde de calitatea sistemului de cutare. n acest model de organizare, cadrul/instituia medical rmne managerul fiierului (mai exact: a acelei pri a dosarului DES pe care a creat-o). Lund n considerare arhitectura complex a acestui model, poate fi necesar numirea unui organism centralizat n scopul controlrii i monitorizrii ntregului sistem, dar i pentru asigurarea compatibilitii proteciei datelor din operarea sistemului. Se poate dovedi util ca persoanele vizate s prezinte toate problemele privind protecia datelor unui organism centralizat, n loc de a fi nevoii s identifice unul dintre multitudinea de manageri. c) Principalul avantaj al sistemului de stocare centralizat poate fi gradul nalt de securitate i disponibilitate (acces 24/24), care nu poate fi asigurat la fel de uor dac un sistem DES depete grania spitalelor. Va exista un singur manager pentru ntregul sistem, separat de cadrele/instituiile medicale care i-au naintat documentaia (parial sau n ntregime) ctre sistemul centralizat. n privina protejrii datelor, pot apare obiecii la adresa unui astfel de sistem privind posibilitile numeroase de utilizare abuziv a stocrii centralizate a datelor. Proceduri speciale i msuri de securitate (de ex. stocare encriptat) pot fi prevzute pentru a cobor riscurile de securitate ale datelor stocate centralizat, cel puin ntr-o msur considerabil. Cu toate acestea, rspunderea pentru confidenialitatea sistemului nu mai revine cadrelor medicale, ceea ce poate afecta ncrederea pacienilor ntr-un astfel de sistem. Msura n care pacientul poate influena coninutul i dezvluirea dosarului su DES va depinde n ambele cazuri stocare descentralizat i stocare centralizat de modul de funcionare a sistemului (vezi punctul 3 b). 6. Categorii de date stocate n DES i modul de prezentare a acestora

Obiectivul sistemului DES este de a colecta toate datele medicale relevante pentru starea de sntate pe termen lung a unei anumite persoane, astfel nct, n cazul unui viitor tratament, datele complete i relevante vor fi disponibile, iar pacienii vor beneficia de un tratament eficient. Grupul de lucru consider c acest aspect poate provoca apariia urmtoarelor probleme importante: a) Exhaustivitatea unui dosar medical nu este posibil din punct de vedere practic i nici dezirabil: Doar informaia relevant trebuie introdus ntr-un DES. Unul dintre cele mai dificile aspecte din timpul nfiinrii unui sistem DES va fi, prin urmare, de a decide care categorii de date medicale vor fi colectate ntr-un DES i pentru ce perioad de timp vor fi stocate27. ntruct acest aspect va fi lmurit n principal de ctre experi medicali, mai are i o dimensiune a proteciei datelor: Conform principiilor relevanei i proporionalitii colectrii de date, fiecare compilaie de date trebuie s fie limitat la acele date care sunt relevante i nu depesc scopul definit al prelucrrii (articolul 6 alineatul (1) litera (c) din directiv). Legitimitatea sistemelor DES va depinde, prin urmare, de alegerea adecvat a categoriilor de date corecte i a perioadei de timp corecte pentru stocarea datelor ntr-un DES. b) n privina prezentrii de date n cadrul DES: Faptul c este posibil distingerea diferitelor categorii de date medicale care necesit diferite grade de confidenialitate sugereaz utilitatea crerii unor diferite module de date n cadrul unui sistem DES cu cerine
Exist categorii de date considerate importante pentru ntreaga durat a vieii pacientului (de ex.. alergii) dar i date care sunt extrem de importante doar pentru o perioad scurt de timp, cum ar fi de ex. incompatibilitile de tratament. 18 / 23
27

diferite de acces: Un modul de date despre vaccinri ar trebui s fie accesibil n orice moment pentru persoana vizat, putnd fi accesibil i pentru un personal destul de numeros din cadrul serviciilor medicale; un modul de date despre medicaie ar putea fi accesat de ctre farmaciti dac pacientul este de acord28; un modul de date de urgen ar putea conine mijloace tehnice speciale pentru acces etc. nfiinarea unor module pentru sisteme de reamintire poate fi util; ele vor avea scopul de a reaminti n mod automat unui pacient vaccinurile, consulturile medicale i examinrile post-tratament care urmeaz. Anumite date confideniale pot fi protejate mai eficient prin stocarea n module separate, avnd condiii stricte de acces. Acestea pot fi date despre tratamentele psihiatrice, contaminarea HIV sau avorturi. n loc de a exclude astfel de date dintr-un DES ceea ce ar putea avea consecine negative pentru un viitor tratament restricii speciale pentru accesul la aceste date DES trebuie s fie integrate n sistem, inclusiv acordul explicit al pacientului i mijloace de protecie speciale (precum plicurile sigilate). c) n procesul de structurare al nregistrrilor DES, trebuie acordat atenie i solicitrilor de date speciale repetate. Un exemplu: Conform legislaiei naionale, companiile private de asigurri pot avea dreptul de a primi unele date (limitate) privind dosarele medicale, cnd acest lucru este necesar n contextul ndeplinirii obligaiilor contractuale fa de pacienii asigurai. Autorizarea accesului pentru companiile private de asigurri la DES al unui pacient pare inacceptabil. Din acest motiv, o soluie poate fi nfiinarea unui pachet informaional care, n situaiile necesare, satisface interesele legitime ale asiguratorului i, dac pacientul este de acord, poate fi transmis (electronic) companiei private de asigurri. 7. Transferul internaional al dosarelor medicale

Disponibilitatea n format electronic a datelor medicale din sistemele DES poate ameliora considerabil capacitile de diagnostic i tratament utiliznd cunotinele aflate exclusiv n instituii medicale externe. Consultarea suplimentar a experilor strini n scopuri de diagnosticare nu implic, de obicei, dezvluirea identitii pacientului. Prin urmare, dac este posibil, astfel de date trebuie transferate n afara Uniunii Europene/Spaiului Economic European exclusiv sub form anonim sau de pseudonim. Dac nu exist un consimmnt explicit al persoanei vizate privind transferul datelor cu caracter personal29, aceasta va evita i necesitatea obinerii acordului pentru acest transfer de date, deoarece persoana vizat nu poate fi identificat de ctre destinatar. Avnd n vedere riscul important la care sunt supuse datele cu caracter personal ntr-un sistem DES fr protecie adecvat, Grupul de lucru pentru articolul 29 dorete s sublinieze c orice prelucrare n special stocarea de date DES trebuie s aib loc n interiorul jurisdiciilor care aplic Directiva Uniunii Europene privind Protecia Datelor sau un alt cadru adecvat pentru protecia datelor. O problem specific este constituit de fluxurile de date transfrontaliere n cursul studiilor clinice: grupul de studiu aflat n contact direct cu pacienii poate solicita cteodat acces la datele DES n forma lor original i personalizat. Pentru toate transferurile de date rezultate n urma studiilor clinice ctre sponsori sau alte instituii implicate conform legii, pseudonimele securizate trebuie totui s constituie o condiie prealabil minim, n special dac astfel de sponsori au sediul n ri fr o protecie adecvat a datelor.

28

Avantajul unui asemenea modul despre medicaie n cadrul DES poate fi dublu, deoarece va acorda medicului care administreaz tratamentul oportunitatea de a cunoate ntreaga medicaie prescris pacientului. 29 n situaiile n care un pacient se afl n incapacitatea fizic de a-i manifesta opiunea (de ex. deoarece se afl n com) datele sale medicale, conform articolului 26 alineatul (1) litera (e) al directivei, pot fi transferate totui n ri fr mijloace de protecie adecvate a datelor dac interesele sale o reclam. 19 / 23

O atenie special trebuie acordat ntotdeauna n acest context aspectelor de protecie a datelor, pentru a fi evitat riscul dezvluirii neautorizate n medii nesigure din punct de vedere al proteciei datelor. 8. Securitatea datelor

Acceptabilitatea unui sistem de prelucrare a datelor cu un potenial de risc excepional depinde de un nivel corespunztor nalt de securitate a datelor pentru funcionarea complet a sistemului. Accesul persoanelor neautorizate trebuie s fie practic imposibil i prevenit, dac se dorete ca sistemul s fie acceptabil din punctul de vedere al proteciei datelor. Cu toate acestea, disponibilitatea sistemului pentru cadrele autorizate trebuie s fie practic nelimitat pentru cazurile cnd informaia este absolut necesar, pentru ca sistemul s ofere avantajele promise n tratamentul medical al pacienilor. Cadrul legal pentru nfiinarea unui sistem DES va trebui s prevad necesitatea punerii n aplicare a unei serii de msuri de natur tehnic i organizatoric pentru prevenirea distrugerii sau modificrilor, prelucrrii i accesului neautorizat la datele din sistemul DES. Integritatea sistemului trebuie s fie garantat prin exploatarea cunotinelor i instrumentelor reprezentnd cele mai recente evoluii din domeniile informaticii i a tehnologiei informaiei. Tehnologiile de cretere a confidenialitii (PET)30 trebuie aplicate la maxim capacitate pentru a promova protecia datelor cu caracter personal. Encriptarea nu trebuie utilizat exclusiv pentru transferuri, ci i pentru stocarea de date n sistemele DES. Toate msurile de securitate trebuie s fie uor de utilizat pentru a beneficia de o sfer de aplicare mai larg. Costurile necesare trebuie s fie considerate o investiie n compatibilitatea sistemelor DES cu drepturile fundamentale, aceasta constituind una dintre cele mai importante condiii pentru succesul sistemelor DES. Indiferent de faptul c multe dintre mijloacele de protecie menionate mai sus conin deja elemente de securitate a datelor, cadrul legal privitor la msurile de securitate trebuie s prevad necesitatea de a dezvolta un sistem durabil i eficient pentru identificarea i prelucrarea electronic, precum i de a actualiza constant registrele de identificare pentru verificarea autorizrii persoanelor care posed sau solicit acces la sistemul DES; urmrire a activitii i documentare a tuturor etapelor prelucrrii care au avut loc n sistem, n special a solicitrilor de citire i introducere de date, mpreun cu verificrile interne periodice i examinare a autorizrilor corecte; mecanisme eficiente de rezerv i recuperare necesare pentru securizarea coninutului sistemului; prevenirea accesului neautorizat sau distrugerea datelor DES n momentul transferului sau stocrii de rezerv, de ex. prin utilizarea algoritmilor de criptare; instruciuni clare i documentate pentru toi utilizatorii autorizai privind utilizarea corect a sistemelor DES i evitarea riscurilor i breelor de securitate; o distincie clar ntre funciile i competenele categoriilor de persoane nsrcinate cu funcionarea sistemului sau cel puin implicate n funcionarea acestuia, n vederea stabilirii responsabilitilor pentru neajunsuri; audit intern i extern periodic privind protecia datelor.

30

n privina PET-urilor, vezi punctul 4.3 din Primul raport privind aplicarea Directivei privind Protecia Datelor (95/46/CE), COM (2003) 265 final. 20 / 23

9.

Transparena

Pare evident c un DES poate contribui n mod considerabil la tratamentele medicale, dar este supus n principiu i utilizrii abuzive n urma accesului neautorizat. Opinia public i indivizii vor solicita prin urmare o extra transparen privind coninutul i funcionarea unui sistem DES pentru a fi meninut ncrederea n sistem. Notificarea ctre autoritile de control pentru protecia datelor, mpreun cu informaia special, larg disponibil i uor inteligibil trebuie s fie asigurat de ctre managerul (managerii) sistemului. Utilizarea Internetului ca mijloc ideal de transmitere a datelor poate contribui la crearea transparenei necesare pentru sistemele DES nfiinate la nivel naional. Punctele de acces cu acces gratuit, uor de utilizat dar sigure, pentru uzul subiecilor datelor n scopul verificrii coninutului i confidenialitii propriului dosar DES poate constitui, de asemenea, o contribuie util la transparena i ncrederea n sistem. 10. Rspunderea

Orice sistem DES trebuie s garanteze i c posibilele nclcri ale confidenialitii provocate de modul de stocare i furnizare a de date medicale ntr-un sistem DES sunt corespunztor compensate de rspunderea pentru daunele cauzate de ex. prin utilizarea incorect sau neautorizat a datelor DES. ntr-o analiz a posibilelor probleme ale sistemelor DES din punctul de vedere al proteciei datelor, problemele responsabilitii pentru utilizarea incorect a unui sistem DES pot fi doar amintite. n opinia Grupului de lucru, orice stat membru care dorete s introduc un sistem DES trebuie s ntocmeasc n avans studii experte de drept civil i medical i evaluri de impact pentru a clarifica noile aspecte ale rspunderii care pot apare n acest context, de ex. privind corectitudinea i exhaustivitatea datelor introduse n DES, definirea msurii n care un cadru medical ce trateaz un pacient poate avea acces la DES, sau despre consecinele prevzute de legea rspunderii dac accesul nu este disponibil din motive tehnice etc. 11. Mecanismele de control pentru prelucrarea datelor n DES

Avnd n vedere situaia special de risc creat de nfiinarea sistemelor DES, mecanisme eficiente de control pentru evaluarea mijloacelor de protecie sunt necesare. Complexitatea datelor coninute ntr-un DES, mpreun cu multitudinea de posibili utilizatori poate necesita noi proceduri privind drepturile de acces ale persoanelor vizate: a) O procedur special de arbitraj trebuie pus la punct pentru disputele privind utilizarea corect a datelor n sistemele DES; persoanele vizate trebuie s aib capacitatea de a utiliza o astfel de procedur cu uurin i n mod gratuit. Avnd n vedere c, n mod obinuit, expertiza medical specializat va fi necesar pentru evaluarea reclamaiilor privind datele false sau prelucrate fr justificare ntr-un sistem DES, autoritile de control pentru protecia datelor se pot dovedi ca nefiind cele mai recomandate pentru rezolvarea unor astfel de reclamaii, cel puin nu n prim faz. Avocaii publici ai pacienilor, acolo unde exist deja, pot primi aceast sarcin. b) Un sistem DES trebuie s g c persoana vizat poate s i exercite drepturile de acces fr dificulti. n principiu, managerul de date este cel obligat s acorde dreptul de acces. Sistemele DES sunt totui sisteme de baze de date cu multipli manageri de date. n astfel de sisteme cu un numr semnificativ de manageri de date implicai, o singur instituie trebuie s fie responsabil n faa persoanelor vizate pentru controlul solicitrilor de acces. n vederea complexitii previzibile a unui DES complet dezvoltat i a necesitii ctigrii ncrederii pacienilor n sistem, pare fundamental ca pacienii a cror date sunt prelucrate ntrun sistem DES s aib acces la un lucrtor pe care l pot consulta n privina posibilelor
21 / 23

neajunsuri ale sistemului DES. Reglementrile speciale n acest scop vor trebui incluse n toate normele de funcionare a sistemelor DES. c) Pentru a contribui la creterea ncrederii, poate fi introdus o procedur special pentru informarea persoanei vizate n privina momentului i persoanei care a accesat datele din DES su. Furnizarea unei liste subiecilor datelor coninnd persoanele sau instituiile care le-au accesat datele va ntri ncrederea pacienilor n privina securitii propriilor date din sistemul DES. d) Auditul intern i extern periodic privind protecia datelor protocoalelor de acces trebuie s aib loc. Menionatul raport anual al accesrilor trimis subiecilor datelor poate constitui un mijloc adiional eficient pentru verificarea legalitii accesului la datele DES. Consilierii de protecie a datelor din spitalele care particip la sistemele DES vor contribui cu siguran la utilizarea corect a datelor din aceste sisteme.

IV. CONCLUZII
Toi indivizii i pacienii au dreptul la confidenialitate i pot pretinde n mod rezonabil ca protecia i confidenialitatea propriilor date cu caracter personal s fie meninute riguros de ctre cadrele medicale. Aceast speran este ndreptit i n privina sistemelor dosarelor electronice de sntate (DES). Grupul de lucru pentru articolul 29 a redactat acest Document de lucru pentru a oferi asisten n interpretarea cadrului legal n vigoare privind protecia datelor pentru sistemele de dosare electronice (DES) i pentru instituirea unor principii generale. Documentul de lucru mai intenioneaz s stabileasc precondiiile de protecie a datelor pentru nfiinarea unui sistem DES naional, precum i mijloacele de protecie aplicabile, i s contribuie la aplicarea uniform a msurilor naionale care decurg din Directiva 95/46/CE. Grupul de lucru pentru articolul 29 subliniaz c nfiinarea i funcionarea sistemelor DES trebuie s fie pe deplin conform principiilor de protecie a datelor cu caracter personal, precum au fost stabilite n Directiva 95/46/CE. Grupul consider c respectarea acestor condiii slujete interesele tuturor persoanelor i instituiilor implicate n asigurarea funcionrii corecte a unor astfel de sisteme. n plus, Grupul de lucru pentru articolul 29 accentueaz necesitatea nfiinrii i funcionrii sistemelor DES ntr-un cadru legal sntos de mijloace de protecie dedicate proteciei datelor cu caracter personal, indiferent de bazele legale ale unor asemenea sisteme. Grupul de lucru pentru articolul 29 invit medicii, tot personalul medical, persoanele i instituiile implicate n furnizarea de servicii medicale, precum i publicul larg, s i prezinte opinia asupra acestui Document de lucru.31 Avnd n vedere dezvoltarea continu din acest domeniu, pot fi necesare activiti ulterioare, observaii suplimentare i noi contribuii ale Grupului de lucru pentru articolul 29.

Observaiile la acest Document de lucru vor fi trimise la: Secretariat of the Article 29 Working Party European Commission, Directorate-General Justice, Freedom and Security Unit C.5 Protection of personal data Office: LX 46 1/43 B - 1049 Brussels E-mail: Amanda.JOYCE-VENNARD@ec.europa.eu ; Fax: +32-2-299 80 94 Toate observaiile provenite din sectoarele public i privat vor fi publicate pe adresa de Internet a Grupului de lucru pentru articolul 29, cu excepia cazurilor cnd corespondenii i manifest dorina ca datele lor s nu fie date publicitii. 22 / 23

31

Adoptat la Bruxelles, la 15 februarie 2007

Pentru Grupul de lucru Preedinte Peter SCHAAR

23 / 23