Regulamentul european privind datele cu caracter personal în sănătate, care va deveni obligatoriu începând din 25 mai şi care conţine noi reguli în acest domeniu precum dreptul persoanelor de a fi şterse din bazele de date, a fost dezbătut, vineri, la Palatul Cotroceni.

Simona Şandru, şef birou plângeri la Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), a prezentat noile reguli ale Regulamentului General de Protecţia Datelor (GDPR).

"Regulamentul nu vine cu nişte noutăţi absolute în domeniul protecţiei datelor personale. Cel puţin în România, dar şi în orice alt stat membru din UE există şi în prezent cadrul legal care asigură garantarea deplină la protecţia datelor personale", a precizat Şandru.

Ea a arătat că în privinţa operatorilor care nu au sediul pe teritoriul UE dacă prelucrează date personale ale unor persoane ce îşi au reşedinţa pe teritoriul Uniunii aceştia vor fi obligaţi să respecte noul regulament începând cu 25 mai.

Reprezentantul ANSPDCP a menţionat şi că prin acest regulament sunt introduse două noi principii, respectiv integritatea şi confidenţialitatea datelor personale şi responsabilitatea operatorilor.

"Toţi operatorii, dar şi persoanele împuternicite să prelucreze date sunt obligaţi şi vor fi obligaţi şi după 25 mai să implementeze măsuri de securitate, tehnice şi organizatorice adecvate contextului şi activităţii specifice de prelucrare datelor, caracterului sensibil al datelor medicale pe care le prelucrează", a spus Simona Şandru, care a arătat că operatorii sunt obligaţi să respecte principiile într-un mod activ.

Ea a arătat că după 25 mai nu va mai fi obligatorie notificarea prelucrării datelor la autorităţile de supraveghere a datelor, care se transferă la operatori şi la persoanele împuternicite, ce vor fi obligaţi să ţină o serie de registre interne care trebuie puse la dispoziţia autorităţii în cazul efectuării unui control.

Reprezentantul ANSPDCP a menţionat că breşele de securitate vor trebui notificate în termen de 72 de ore de la momentul producerii către autorităţile de supraveghere a datelor, iar dacă riscurile sunt ridicate acestea trebuie să fie aduse la cunoştinţa persoanelor afectate cât mai curând posibil.

Şandru a arătat şi că sunt introduse trei noi drepturi, între care şi dreptul persoanelor de a fi şterse din bazele de date.

"Apar trei noi drepturi: dreptul la portabilitate a datelor personale - acest drept presupune posibilitatea persoanelor fizice să obţină date într-un format editabil, structural, în măsura în care persoana a furnizat date personale, în baza consimţământului expres sau în baza unei obligaţii contractuale, acest drept presupune şi posibilitatea de a solicita transferarea datelor personale de la un operator la alt operator, în măsura în care este tehnic fezabilă o astfel de operaţiune; restricţionarea datelor personale - care presupune o marcare a datelor în scopul limitării a prelucrării datelor personale pentru anumite motive legitime ale persoanei vizate; dreptul de a fi şters sau de a fi uitat (...) - care presupune posibilitatea persoanelor vizate de a solicita să le fie şterse informaţiile din bazele de date ale operatorilor pentru anumite condiţii expres prevăzute în regulament şi cu aplicarea anumitor excepţii prevăzute, dar aceste drepturi nu sunt unele absolute", a precizat ea.

Ea a explicat faptul că dreptul de ştergere sau de a fi uitat nu este absolut şi că regulamentul prevede o serie de excepţii. Astfel, Şandru a arătat că în momentul în care se primeşte o astfel de cerere ea trebuie analizată, dacă se încadrează excepţiilor, iar în în cazul în care nu se încadrează excepţiilor i se dă curs în termen de 1-3 luni.

Reprezentantul ANSPDCP a mai spus că, potrivit noului regulament, sancţiunile pentru nerespectarea regulilor vor fi aplicate proporţional cu încălcarea ce va fi constatată de la caz la caz. De asemenea, Şandru a menţionat că în cazul datelor genetice şi biometrice sunt introduse reguli mai stricte de prelucrare a datelor.

"În cazul acestor date sensibile regulamentul introduce reguli mai stricte, precum desemnarea unui responsabil cu protecţia acestor date şi realizarea unui studiu de impact asupra vieţii private în măsura în care se utilizează o tehnologie nouă, automată, care să prezinte riscuri în privinţa datelor personalizate atunci când se utilizează pe scară largă date sensibile", a explicat Şandru.

Consilierul de stat la Departamentul de Sănătate Publică al Administraţiei Prezidenţiale Loreta Păun a subliniat necesitatea dialogului cu toţi actorii implicaţi din sănătate în ceea ce priveşte aplicarea noului regulament privind protecţia datelor cu caracter personal.

"Viitorul ţării noastre nu poate fi disociat de proiectul european din care facem parte. Contextul actual este caracterizat de o intensificare a fluxurilor transfrontaliere de date cu caracter personal. Regulamentul are menirea de a asigura protecţia persoanelor fizice în ceea ce priveşte prelucrarea datelor cu caracter personal, care constituie un drept fundamental în contextul liberei circulaţii a datelor în cadrul pieţei unice. (...) Evoluţia tehnologică rapidă creează oportunităţi atunci când rezultatele sunt direcţionate înspre progres în medicină, însă generează şi vulnerabilităţi. Prelucrarea datelor genetice ori a datelor privind sănătatea aduce beneficii dacă ne gândim la progresul în cercetarea medicală sau la implementarea noilor tehnici de tratament, însă implică şi riscuri dacă ne referim la aspecte ce ţin de intimitatea fiecăruia dintre noi", a declarat Loreta Păun.

Lorena Macnaughtan de la Institutul pentru Dezvoltare în Sănătate şi Educaţie, IceeHealth, a arătat că sistemele digitale din sănătate sunt extrem de importante şi pentru cercetare, dar şi pentru dezvoltarea de intervenţii în sănătate publică şi de politici.

"România are totuşi pe lângă talentul în IT o poziţie strategică prin sistemele informatice naţionale, prin cardul de sănătate, prin reţeta electronică şi dosarul pacientului, dar orice sistem digital este de fapt un produs neterminat, din acest punct de vedere aceste sisteme trebuie să fie perfectibile şi sperăm să evoluăm în acest sens", a spus ea.

Reprezentanţi din Olanda şi Estonia au prezentat modalităţile de gestionare a datelor cu caracter personal în ţările lor.

Kaspar Kala, consilier juridic în GDPR în domeniul sănătăţii, Ministerul Afacerilor Sociale din Estonia, a precizat că DGPR nu este un sistem nou şi a menţionat noile reguli.

"Cetăţeanul este deţinătorul datelor, iar statul este custodele acestora. Cetăţenii pot vedea cum se gestionează datele şi pot face reclamaţii. Procesul de prelucrare a datelor pacienţilor este crucial. Va impune standarde în toată Europa. GDPR scoate în evidenţă necesitatea ca aceste date să fie accesibile pacienţilor. (...) Nu este un sistem nou, au existat dinainte reguli de protecţie. (...) Nu se schimbă principiile, baza legală. (...) Există câteva cerinţe noi, dar nu există mize mult mai înalte", a afirmat Kaspar Kala. AGERPRES/(A-autor: Florentina Peia, editor: Karina Olteanu, editor online: Ada Vîlceanu)