Regulativa 8 min čitanja

GDPR za zdravstvene ustanove — 7 stvari koje morate znati

Zdravstveni podaci vaših pacijenata su najosjetljivija kategorija podataka prema GDPR-u. Kazna za kršenje: do 20 milijuna EUR. A većina ordinacija u Hrvatskoj nema ni osnovne mjere zaštite. Evo 7 konkretnih obveza — bez pravničkog žargona.

Napomena: Ovaj članak je informativne naravi i ne predstavlja pravni savjet. Za specifične situacije konzultirajte pravnika specijaliziranog za GDPR.

Zašto su zdravstveni podaci posebni

GDPR dijeli osobne podatke u dvije kategorije:

Sve što ordinacija bilježi o pacijentu spada u posebnu kategoriju: dijagnoze, terapije, lijekovi, RTG snimke, anamneza, pa čak i sam podatak da je netko vaš pacijent (jer implicira zdravstvenu potrebu).

Što to praktično znači: Ne smijete obrađivati zdravstvene podatke bez jedne od zakonom predviđenih osnova (najčešće: eksplicitni pristanak ili pružanje zdravstvene skrbi). I morate ih zaštititi jače nego obične podatke.

7 GDPR obveza za ordinacije

1

Pravna osnova za obradu podataka

Morate imati zakonitu osnovu za svaku obradu zdravstvenih podataka. Za pružanje zdravstvene skrbi: čl. 9(2)(h) GDPR-a (obrada nužna za zdravstvene svrhe). Za marketing (WhatsApp podsjetnici, newsletter): potreban je eksplicitni pristanak.

KLINIKAhub: checkbox za pristanak u booking formi + automatski zapis pristanka s datumom i vremenom.
2

Enkripcija podataka

Zdravstveni podaci moraju biti zaštićeni enkripcijom — u prijenosu (SSL/TLS) i u mirovanju (encrypted at rest). Excel datoteka na desktopu nije enkriptirana. USB s bazom pacijenata koji izgubite u tramvaju = data breach.

KLINIKAhub: SSL/TLS enkripcija u prijenosu, encrypted database, EU serveri s fizičkom sigurnošću.
3

Kontrola pristupa (tko vidi što)

Recepcija ne treba vidjeti kliničke kartone. Terapeut ne treba vidjeti financijske izvještaje. Svaki korisnik smije pristupiti samo podacima koji su mu potrebni za posao. Ovo se zove "princip minimalne ovlasti".

KLINIKAhub: 3 uloge (admin/terapeut/recepcija) s različitim razinama pristupa. Admin kontrolira tko vidi što.
4

Pravo na pristup i brisanje

Pacijent ima pravo zatražiti: sve podatke koje imate o njemu (čl. 15) i brisanje podataka (čl. 17). Morate odgovoriti unutar 30 dana. Iznimka: medicinsku dokumentaciju čuvate 10+ godina po zakonu — tu brisanje ne vrijedi.

KLINIKAhub: export profila pacijenta jednim klikom (PDF). Brisanje kontakta s audit logom.
5

Evidencija aktivnosti obrade

Morate voditi evidenciju svih aktivnosti obrade podataka (čl. 30): koje podatke prikupljate, zašto, tko im pristupa, koliko ih čuvate. Ovo je dokument koji inspektor traži pri nadzoru.

KLINIKAhub: automatski audit log svih pristupa i promjena. Generirajte izvještaj za inspektora u 1 klik.
6

Obavijest o povredi podataka

Ako dođe do data breachа (curenje podataka), morate obavijestiti AZOP (Agencija za zaštitu osobnih podataka) unutar 72 sata. Ako breach predstavlja visok rizik za pacijente, morate obavijestiti i njih.

Primjeri breachа: ukraden laptop s Excel bazom, hakiran email s podacima pacijenata, izgubljen USB, ransomware napad.

KLINIKAhub: cloud sustav eliminira rizik od krađe laptopa/USB-a. Podaci nisu na vašem uređaju nego na sigurnim EU serverima.
7

Ugovor s obrađivačem podataka

Ako koristite softver (cloud ili desktop), taj vendor je vaš "obrađivač podataka". Morate imati pisani ugovor (DPA — Data Processing Agreement) koji definira kako vendor čuva i obrađuje podatke vaših pacijenata.

KLINIKAhub: DPA ugovor uključen za sve korisnike. GDPR usklađenost dokumentirana.

GDPR usklađenost od prvog dana

KLINIKAhub: enkripcija, role-based pristup, audit log, EU serveri, DPA ugovor. Sve uključeno u svaki plan.

Započni besplatno

GDPR checklist za ordinaciju

Prođite kroz ovu listu i označite što imate:

Ako imate manje od 8 od 12 stavki, vaša ordinacija ima GDPR rizik koji morate hitno riješiti.

Dobra vijest: Ako koristite GDPR usklađen cloud softver (poput KLINIKAhub-a), automatski pokrivate 10 od 12 stavki. Preostale 2 (pravna osnova i plan za breach) su organizacijske — ne tehničke.

Često postavljana pitanja

Spadaju li zdravstveni podaci pod GDPR?
Da, pod pojačanu zaštitu. "Posebna kategorija osobnih podataka" (čl. 9). Zahtijevaju eksplicitni pristanak, enkripciju i audit log.
Treba li ordinacija DPO službenika?
Za veće ustanove koje obrađuju podatke u velikim razmjerima, da. Za manju ordinaciju preporučeno ali ne uvijek obavezno. Konzultirajte pravnika.
Što ako pacijent traži brisanje?
Obrišite sve osim zakonski obavezne medicinske dokumentacije (čuva se 10+ godina). Marketinški podaci, bilješke i komunikacija se moraju obrisati unutar 30 dana.
Je li cloud GDPR usklađen?
Ovisi o softveru. KLINIKAhub: SSL enkripcija, role-based pristup, EU serveri, audit log, DPA ugovor. Desktop vs Cloud usporedba.
Kolika je kazna?
Do 20 mil EUR ili 4% godišnjeg prometa. AZOP aktivno provodi nadzore u zdravstvenom sektoru. Zašto Excel nije siguran.

Povezani članci

Excel vs softver — GDPR rizik Desktop vs Cloud — Sigurnost Što je CEZIH Fiskalizacija za ordinacije
K
KLINIKAhub tim
GDPR usklađen cloud softver za ordinacije. Enkripcija, role-based pristup, EU serveri, audit log, DPA ugovor. Od 0 EUR/mj.