Ιδιαίτερα στον χώρο της υγείας, που αποτελεί πεδίο εφαρμογής του νέου κανονισμού και της εναρμονισμένης ελληνικής νομοθεσίας εξαιτίας της διαχείρισης τεράστιου όγκου δεδομένων, το Υπουργείο Υγείας δεν έχει δώσει ακόμα σαφείς οδηγίες για τις υποχρεώσεις των νοσηλευτικών ιδρυμάτων με αποτέλεσμα οι διοικήσεις των νοσοκομείων να προετοιμάζονται σύμφωνα με πληροφορίες, απόψεις και εκτιμήσεις, που διατυπώνονται σε ημερίδες και ενημερωτικές συγκεντρώσεις ενώ το μοναδικό εγχειρίδιο με γενικές οδηγίες είναι μια ανακοίνωση του Ιατρικού Συλλόγου Αθηνών για την ενημέρωση των ιδιωτών γιατρών που χειρίζονται προσωπικά δεδομένα.
Ο Γενικός Κανονισμός Προστασίας Δεδομένων (ΓΚΠΔ/GDPR) περιλαμβάνει το νέο νομικό πλαίσιο για την προστασία δεδομένων. Στην Ελλάδα αναμένεται η ψήφιση νόμου για την προστασία δεδομένων προσωπικού χαρακτήρα με τον οποίο θα καταργηθεί ο ισχύον Νόμος 2472/1997 και θα τεθούν σε ισχύ διατάξεις που συμπληρώνουν τον Κανονισμό και εξειδικεύουν ορισμένες από τις υποχρεώσεις που θεσπίζει ο Κανονισμός.
Ο Κανονισμός εισάγει αρκετές αλλαγές στο προηγούμενο νομικό καθεστώς για την προστασία των φυσικών προσώπων αναφορικά με την επεξεργασία των προσωπικών δεδομένων τους και θεσπίζει αυξημένες υποχρεώσεις για οποιονδήποτε οργανισμό επεξεργάζεται προσωπικά δεδομένα.
Μεταξύ άλλων εισάγει την αρχή της «λογοδοσίας», που σημαίνει ότι όσοι επεξεργάζονται προσωπικά δεδομένα δεν αρκεί να συμμορφώνονται με τις υποχρεώσεις τους, αλλά πρέπει και να είναι σε θέση να αποδείξουν τη συμμόρφωσή τους. Όποιος επεξεργάζεται προσωπικά δεδομένα πρέπει να ορίζει και να καταγράφει τη νομική βάση και τον σκοπό της επεξεργασίας και να προάγει τη διαφάνεια κάθε επεξεργασίας.
Ο Κανονισμός ορίζει πλέον με σαφή τρόπο τις βασικές αρχές που πρέπει να τηρούνται σε κάθε επεξεργασία προσωπικών δεδομένων και ενισχύει τα δικαιώματα των επηρεαζόμενων προσώπων. Επεξεργασία προσωπικών δεδομένων χωρεί μόνο όταν πληρούνται τα κριτήρια που θέτει η νομοθεσία για την προστασία των δεδομένων. Όποιος επεξεργάζεται προσωπικά δεδομένα οφείλει να τηρεί τις αρχές του Κανονισμού, όπως η ελαχιστοποίηση των δεδομένων, η ακρίβεια, η ακεραιότητα και η εμπιστευτικότητα των δεδομένων, κτλ.
Σε άλλα σημεία του ο κανονισμός προβλέπει αυστηρότερες προϋποθέσεις για να είναι έγκυρη η συναίνεση –πριν κάθε άτομο δώσει τη συγκατάθεσή του για την επεξεργασία των δεδομένων βασίζεται στη συγκατάθεση του ατόμου- θα πρέπει να διασφαλίζεται, επιπλέον πρέπει να έχει ενημερωθεί επαρκώς σχετικά με το ποιος θα επεξεργαστεί τα δεδομένα του και για ποιον σκοπό. Ειδικά για τα δεδομένα υγείας, όταν η επεξεργασία τους βασίζεται σε συγκατάθεση, πρέπει αυτή να είναι ρητή.
Επίσης στα άτομα, των οποίων τηρούνται δεδομένα, παρέχονται περισσότερα δικαιώματα σε σχέση με το προηγούμενο καθεστώς (δικαίωμα διαγραφής – «δικαίωμα στη λήθη», δικαίωμα στη φορητότητα δεδομένων, κτλ.) ενώ σε περίπτωση διαπιστωμένης παραβίασης προσωπικών δεδομένων θα πρέπει να γίνεται γνωστοποίηση στην αρμόδια εποπτική αρχή με τον τρόπο και εντός της προθεσμίας που προβλέπεται από το νομικό πλαίσιο.
Τα πρόστιμα που προβλέπονται σε περίπτωση παραβίασης της νομοθεσίας για την προστασία των προσωπικών δεδομένων μπορούν να αγγίξουν τα 20 εκατομμύρια ευρώ ή το 4% του ετήσιου παγκόσμιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο. Επιπρόσθετα, αυξάνονται οι ελεγκτικές αρμοδιότητες των αρχών για την προστασία των προσωπικών δεδομένων, οι οποίες μπορούν να διενεργούν ελέγχους και επιτόπιες εφόδους, πρόσβαση στα προσωπικά δεδομένα που αποτελούν αντικείμενο επεξεργασίας, κτλ.
ΑΣΦΑΛΙΖΟΥΝ 1,2 ΕΚΑΤ. ΦΑΚΕΛΟΥΣ!
Τις τελευταίες εβδομάδες η διοίκηση των δύο νοσοκομείων της Λάρισας αφού συμμετείχε σε ημερίδες και ειδικές συναντήσεις σε Αθήνα και Θεσσαλονίκη χαρτογραφεί τα πεδία των προσωπικών δεδομένων προκειμένου να εφαρμοστούν οι διατάξεις του κανονισμού και της νομοθεσίας για την προστασία τους. Ενώ έχουν ήδη συγκροτηθεί δύο τριμελείς επιτροπές –μία για κάθε Νοσοκομείο- με τη συμμετοχή ενός επισήμονα πληροφορικής, ενός διοικητικού υπαλλήλου και μιας νοσηλεύτριας με αντικείμενο την παρακολούθηση της εφαρμογής του Κανονισμού και την υποβολή προτάσεων για την καλύτερη εφαρμογή της νομοθεσίας.
Η μεγάλη πρόκληση για το Πανεπιστημιακό Νοσοκομείο είναι η ασφάλιση και προστασία του τεράστιου σε όγκο έντυπου ιατρικού αρχείου, που ξεπερνά σύμφωνα με τον διοικητή των νοσοκομείων κ. Παναγιώτη Νάνο το 1,2 εκατ. φακέλους! Πρόκειται για φακέλους νοσηλείας ασθενών με διαγνώσεις, ιατρικές εξετάσεις, φαρμακευτικές αγωγές και άλλα δεδομένα από κλινικές, μονάδες και εξωτερικά ιατρεία, που φυλάσσονται σε ειδικό χώρο με αυξημένα μέτρα ασφαλείας (κάμερες παρακολούθησης, ενισχυμένες κλειδαριές κ.λπ.), στον οποίο θεωρείται αδύνατη η πρόσβαση ακόμα και για το προσωπικό του ιδρύματος. Η ραγδαία αύξηση του όγκου των φακέλων προκάλεσε στο παρελθόν έντονες πιέσεις με αποτέλεσμα να αποφασιστεί η επέκταση των χώρων τήρησης του ιατρικού αρχείου.
«Ο φάκελος του ασθενή δεν δίνεται πλέον σε κανέναν, ούτε και στον ίδιο τον ασθενή!» δηλώνει ο κ. Νάνος επισημαίνοντας πως στοιχεία του φακέλου μπορούν δίνονται υπό ορισμένες προϋποθέσεις μετά από αίτηση του ενδιαφερόμενου για να συμπληρώσει πως μετά την παρέλευση του προβλεπόμενου χρόνου και ανάλογα με την κατηγορία των δεδομένων ο φάκελος ή υποφάκελοι μπορούν να καταστραφούν. Προς το παρόν όμως κανένας φάκελος ασθενούς από την ίδρυση του νοσοκομείου δεν έχει καταστραφεί καθώς δεν έχει συμπληρωθεί ο προβλεπόμενος χρόνος για την καταστροφή του.
Μικρά προβλήματα στην προστασία των προσωπικών δεδομένων των ασθενών μπορούν να προκύψουν με όσους φακέλους τηρούνται στις κλινικές και τις μονάδες –πρόκειται για τους φακέλους της παρούσας χρονιάς- με αποτέλεσμα να προγραμματίζεται η παροχή ειδικών οδηγιών τόσο στο ιατρικό όσο και στο νοσηλευτικό προσωπικό.
Αντίθετα με τους έντυπους φακέλους, απολύτως ασφαλισμένα εμφανίζονται τα ψηφιακά αρχεία και δεδομένα των ασθενών καθώς διακινούνται μέσω του Ολοκληρωμένου Πληροφοριακού Συστήματος Υγείας (ΟΠΣΥ), στο οποίο η πρόσβαση είναι δυνατή μόνο από διαπιστευμένους υπαλλήλους με προσωπικό αριθμό. Η κάθε κίνηση των υπαλλήλων καταγράφεται από το σύστημα ενώ όλα τα δεδομένα τηρούνται στον κεντρικό server, σε απομονωμένο χώρο και με όλους τους όρους ασφαλείας (κλιματισμό, συστήματα πυρανίχνευσης κ.λπ.).
Απώτερος στόχος σύμφωνα με τον διοικητή των νοσοκομείων είναι η τήρηση ψηφιακών ιατρικών φακέλων, που θα αντικαταστήσουν τους έντυπους και θα παρέχουν αυτονόητες ευκολίες στην πρόσβαση όσων έχουν το δικαίωμα της επεξεργασίας των δεδομένων.
ΓΙΑ ΠΡΟΣΩΠΙΚΟ ΚΑΙ ΠΡΟΜΗΘΕΥΤΕΣ
Ανάλογη με την τήρηση των ιατρικών φακέλων είναι και η αντιμετώπιση άλλων δύο ακόμα μεγάλων κατηγοριών δεδομένων στα δύο νοσηλευτικά ιδρύματα της πόλης. Η πρώτη αφορά δεδομένα από προμηθευτές (οικονομικά στοιχεία, παραστατικά, συμμετοχή εταιρειών και αντιπροσώπων σε διαδικασίες κ.λπ.) ενώ η δεύτερη αφορά στους ατομικούς φακέλους του προσωπικού –εκτιμάται ότι τηρούνται 4 περίπου χιλιάδες ατομικοί φάκελοι και για τα δύο νοσοκομεία συμπεριλαμβανομένων και των συνταξιοδοτηθέντων υπαλλήλων.
Ο κύριος όγκος των δεδομένων και στις δύο κατηγορίες είναι σε ψηφιακή μορφή και η διαχείρισή τους, όπως διαβεβαιώνει ο κ. Νάνος, γίνεται από τις οικονομικές και διοικητικές υπηρεσίες αντίστοιχα με υψηλό βαθμό ασφαλείας εξαιτίας του Ολοκληρωμένου Πληροφοριακού Συστήματος Υγείας.
Σαφείς οδηγίες από το Υπουργείο Υγείας δεν υπάρχουν ακόμα αναφέρει ο διοικητής των δύο νοσοκομείων για να υποστηρίξει την υποχρέωση της διοίκησης να προετοιμάζεται με τρόπο ώστε να υλοποιήσει τις νέες διατάξεις για την αυξημένη προστασία των προσωπικών δεδομένων όπως επιτάσσουν οι σύγχρονες αντιλήψεις στην Ευρώπη.
ΣΥΜΒΟΥΛΕΣ ΓΙΑ ΙΔΙΩΤΕΣ
Συγκεκριμένες οδηγίες για τον τρόπο αντιμετώπισης της νέας πρόκλησης από τους ιδιώτες επαγγελματίες γιατρούς δίνει ο Ιατρικός Σύλλογος Αθηνών.
Στο ερώτημα πώς εξασφαλίζεται έγκυρη συγκατάθεση για την επεξεργασία ειδικών κατηγοριών δεδομένων σημειώνει πως όταν ο ασθενής επισκέπτεται ένα ιατρείο για να λάβει ιατρικές υπηρεσίες (διάγνωση, θεραπεία κ.ο.κ.), η νόμιμη βάση της επεξεργασίας έγκειται στο ότι η επεξεργασία είναι αναγκαία για σκοπούς ιατρικής διάγνωσης, παροχής υγειονομικής ή κοινωνικής περίθαλψης ή θεραπείας.
Επομένως, δεν χρειάζεται να ζητείται κάθε φορά ειδική έγγραφη συναίνεση από κάθε ασθενή που αναζητά ιατρική συμβουλή ή ιατρικές υπηρεσίες από έναν ιδιώτη ιατρό. Εάν ο γιατρός θέλει να επεξεργαστεί τα δεδομένα και για άλλους σκοπούς, τότε πρέπει να ζητήσει τη ρητή συγκατάθεση του ασθενή του. Αντίθετα, η συμμετοχή ενός ασθενή σε μια κλινική μελέτη προϋποθέτει τη ρητή συγκατάθεσή του, αφού προηγουμένως λάβει σαφή και πλήρη ενημέρωση σχετικά με την επεξεργασία των προσωπικών του δεδομένων.
Οι ιδιώτες γιατροί οφείλουν να τηρούν Αρχείο Δραστηριοτήτων Επεξεργασίας, που πρέπει να περιλαμβάνει όνομα και στοιχεία επικοινωνίας υπεύθυνου επεξεργασίας, εκπροσώπου και DPO (εάν έχει οριστεί), σκοπούς επεξεργασίας, κατηγορίες υποκειμένων δεδομένων (π.χ. ασθενείς, εργαζόμενοι), κατηγορίες αποδεκτών στους οποίους γνωστοποιούνται τα δεδομένα, διαβιβάσεις σε τρίτες χώρες ή διεθνείς οργανισμούς, προβλεπόμενες προθεσμίες διαγραφής και τεχνικά - οργανωτικά μέτρα ασφάλειας
Σε άλλο σημείο επισημαίνεται ότι παραβίαση δεδομένων προσωπικού χαρακτήρα συντελείται όταν υπάρχει παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, χωρίς άδεια γνωστοποίηση ή πρόσβαση δεδομένων προσωπικού χαρακτήρα που αποτέλεσαν αντικείμενο επεξεργασίας. Επομένως, είναι σημαντικό να λαμβάνεται υπ’ όψιν ότι η προστασία των δεδομένων δεν αφορά μόνο στην προστασία της εμπιστευτικότητάς τους (αποτροπή διαρροής), αλλά και της ακεραιότητάς τους (αποτροπή της αλλοίωσής τους) και της διαθεσιμότητάς τους (αποτροπή απώλειας).
Του Δημ. Κατσανάκη
