GDPR SOLUTION Περιπτωσιολογία εφαρμογών βέλτιστων πρακτικών σύμφωνα με τον νέο Κανονισμό Προστασίας Προσωπικών Δεδομένων

ΕΥΑΓΓΕΛΟΣ ΚΑΤΣΙΚΗΣ Δικηγόρος Αντιπρόεδρος ΠΑΣΙΔΙΚ Μέλος ΔΣ Affidea Ιδρυτής Privacy Advocate

ΘεμαΤΟΛΟΓΙΑ 3 Ιατρικό Απόρρητο 1 Προβληματισμοί 2 Περιπτωσιολογία

1 ΙΑΤΡΙΚΟ ΑΠΟΡΡΗΤΟ

Τι Απαγορεύεται να περιέχουν τα Ιατρικά Αρχεία: ΤΙ ΕΙΝΑΙ ΙΑΤΡΙΚΟ ΑΡΧΕΙΟ Κάθε δεδομένο (έντυπο ή ηλεκτρονικό) που συνδέεται άμεσα με την ασθένεια ή την υγεία του ασθενούς. ΥΠΟΧΡΕΩΤΙΚΟ ΠΕΡΙΕΧΟΜΕΝΟ ΙΑΤΡΙΚΩΝ ΑΡΧΕΙΩΝ Ονοματεπώνυμο Πατρώνυμο Ηλικία Επάγγελμα Διεύθυνση Ασθενή Ημερομηνίες επίσκεψης Κάθε άλλο ουσιώδες στοιχείο (πχ λόγος επίσκεψης- πάθηση κτλ) Αρ. 14§1-2 ν. 3418/2005 Τι Απαγορεύεται να περιέχουν τα Ιατρικά Αρχεία: ΚΡΙΣΕΙΣ για τον ασθενή ΣΧΟΛΙΑ για τον ασθενή Που δεν αφορούν την υγεία του Αρ. 14§7 ν. 3418/2005

ΙΑΤΡικα δεδομενα Απλά Ιατρικά Δεδομένα Ευαίσθητα Ιατρικά Δεδομένα Τα ελάχιστα στοιχεία του Ιατρικού Απορρήτου (Στοιχεία επικοινωνίας, Φύλο, Ηλικία, Επάγγελμα, Ονοματεπώνυμο) Ευαίσθητα Ιατρικά Δεδομένα Γενετικά δεδομένα (φυλετική ή εθνοτική προέλευση ατόμου) Δεδομένα αρχείων δωρητών και ληπτών ανθρωπίνων ιστών & οργάνων. Οποιαδήποτε πληροφορία αναγράφεται σε ιατρικά πιστοποιητικά (π.χ. αιτία εξέτασης, γνωμάτευση/ ευρήματα/ συστάσεις)

«Αυστηρά» και «Αποτελεσματικά» ΙΑΤΡικο απορρητο Απόλυτη εχεμύθεια για οποιοδήποτε στοιχείο υποπίπτει στην αντίληψη του ιατρού ή αποκαλύπτει ο ασθενής ή τρίτος και το οποίο αφορά τον ασθενή ή τους οικείους του. αρ. 23 ΑΝ 1565/1939 Κώδικας Ασκήσεως Ιατρικού Επαγγέλματος, αρ. 13 Ν. 3418/2005, Όρκος του Ιπποκράτη Αόριστη Χρονική Διάρκεια: Δεν υφίσταται χρόνος λήξης. Οφείλεται η διαφύλαξη του ακόμα και μετά τον θάνατο του ασθενούς ή την παύση λειτουργίας του ιατρείου Αρ.13§6 ν.3418/2005 Πώς διασφαλίζεται το Ιατρικό Απόρρητο; «Αυστηρά» και «Αποτελεσματικά» Άσκηση εποπτείας σε όλους τους εμπλεκομένους Λήψη κάθε μέτρου διαφύλαξης Αρ 13§1 ν. 3418/2005

κυρωσεισ ΠΟΙΝΙΚΕΣ Άρθρο 371 ΠΚ φυλάκιση μέχρι 1 έτος ΑΣΤΙΚΕΣ Αρ. 57 ΑΚ αποζημίωση για προσβολή προσωπικότητας ΔΙΟΙΚΗΤΙΚΕΣ Ανάκληση αδείας λειτουργίας εργαστηρίου/ κλινικής, πρόστιμο, ανάκληση αδείας ασκήσεως ιατρικού επαγγέλματος, αναστολή ιδιότητας / παύση από Ιατρικό Σύλλογο Αρ. 13§3, 4, 5 ν. 3418/2005

Ποτε αιρεται το ιατρικο απορρητο Όταν υπάρχει νόμιμο καθήκον Επιβάλλεται με νόμο (γέννηση, θάνατος, μολυσματικές νόσοι – ν.344/1967) Όταν μελετάται τέλεση κακουργήματος (πχ θανάτωση) Διαφύλαξη ουσιώδους Δημοσίου ή ιδιωτικού συμφέροντος (και τρίτου) όταν δεν μπορεί να διαφυλαχθεί διαφορετικά (πχ δικαστήριο) Κατάσταση Ανάγκης ή άμυνας Συναίνεση εκείνου τον οποίο αφορά

2 ΠΡΟΒΛΗΜΑΤΙΣΜΟΙ

ΕξΕΛΙΞΗ

ΕξΕΛΙΞΗ Πηγή International Association of Privacy Professionals (IAPP)

Μελέτη Frost & Sullivan H Texnhth νοημοσυνη απαιτει τεραστιο ευροσ και αριθμο δεδομενων SMART Health = 348.5 Billion USD market by 2025 Μελέτη Frost & Sullivan Everything You Wanted to Know about Smart Healthcare By Prabha Sundaravadivel, Elias Kougianos, Saraju P. Mohanty, and Madhavi Ganapathiraju, ieeexplore.ieee.org

3 ΠΕΡΙΠΤΩΣΙΟΛΟΓΙΑ

Risk based προσεγγιση Χαμηλός Κίνδυνος Υψηλός Ο Οργανισμός μπορεί να εξαιρείται από τις γενικές προβλέψεις του Κανονισμού όταν δεν υπάρχει εγγενής κίνδυνος από τα δεδομένα που διατηρεί. Υψηλός Ο GDPR επιβάλλει αυξημένες απαιτήσεις σε οργανισμούς που εμπλέκονται σε δραστηριότητες "υψηλού κινδύνου"

Risk based προσεγγιση

ΠΕΡΙΠΤΩΣΙΟΛΟΓΙΑ ΟΚΑΝΑ (απόφαση 114/2012): έγγραφα, μεταξύ των οποίων, καταστάσεις με αναλύσεις ούρων και αποτελέσματα μετρήσεων βενζοδιαζεπινών και οπιοειδών που περιέχουν ευαίσθητα προσωπικά δεδομένα υγείας θεραπευομένων-μελών, έγιναν αντικείμενο παράνομης διάδοσης σε τρίτους, καθώς βρέθηκαν σε κάδους απορριμμάτων κοντά σε κτίριο πρώην Μονάδας του ΟΚΑΝΑ. ΟΚΑΝΑ: το περιστατικό συνέβη εκ παραδρομής, κυρίως λόγω των πιεστικών χρόνων και των δυσκολιών της μετακόμισης… Πρόστιμο 3.000 € ΕΛΑΦΡΥΝΤΙΚΗ ΠΕΡΙΠΤΩΣΗ: ο ΟΚΑΝΑ, ευαισθητοποιούμενος στο περιστατικό, προέβη άμεσα στη σύνταξη και κοινοποίηση στο προσωπικό του εγκυκλίου σχετικά με θέματα προστασίας προσωπικών δεδομένων των θεραπευομένων-μελών του και τη διαδικασία που πρέπει να ακολουθείται, όταν διενεργείται μεταφορά και μετεγκατάσταση θεραπευτικής μονάδας του ΟΚΑΝΑ

ΠΕΡΙΠΤΩΣΙΟΛΟΓΙΑ ΠΑΡΑΝΟΜΗ ΧΟΡΗΓΗΣΗ ΙΑΤΡΙΚΟΥ ΦΑΚΕΛΟΥ (αποφάσεις 56/2014, 58/2014) Συνιστά παράνομη επεξεργασία η χορήγηση από νοσηλευτικά ιδρύματα ιατρικών γνωματεύσεων σε τρίτους μετά από σχετική εισαγγελική παραγγελία χωρίς την προηγούμενη άδεια της Αρχής κατ’ άρθρο 7 παρ. 2 του ν. 2472/1997 - σύσταση στα νοσηλευτικά ιδρύματα ώστε στο μέλλον να διαβιβάζουν τις σχετικές αιτήσεις στην Αρχή για τη λήψη της απαιτούμενης από το νόμο άδειας, - επέβαλε δε στα νοσηλευτικά ιδρύματα πρόστιμο για την παραβίαση της υποχρέωσης ενημέρωσης των υποκειμένων των δεδομένων κατ’ άρθρο 11 παρ. 3 του ν. 2472/1997

ΠΕΡΙΠΤΩΣΙΟΛΟΓΙΑ Παραβίαση δικαιώματος πρόσβασης πρόστιμο σε κλινική για μη ικανοποίηση του δικαιώματος πρόσβασης ασθενούς και για παράλειψη λήψης των κατάλληλων μέτρων για την ασφάλεια της επεξεργασίας των δεδομένων. Aσθενής κατήγγειλε ότι, μετά από μη επιτυχημένη χειρουργική επέμβαση στο χέρι του λόγω κατάγματος, ζήτησε εγγράφως από την κλινική να του χορηγήσει τον ιατρικό του φάκελο στον οποίο έπρεπε να περιλαμβάνεται και σχετική ακτινογραφία, προκειμένου να τον αποστείλει στις ΗΠΑ για να διαπιστωθεί αν μπορούσε να αποκατασταθεί η βλάβη. Η κλινική δεν απάντησε στον προσφεύγοντα, ως είχε υποχρέωση. Περαιτέρω, από τον έλεγχο προέκυψε ότι η κλινική τηρούσε ιατρικό φάκελο του προσφεύγοντος, από τον οποίο έλειπε η σχετική ακτινογραφία, χωρίς αυτό να μπορεί να αιτιολογηθεί από την κλινική. Συνεπώς: αφενός μεν παραβίαση αφού δεν ικανοποίησε, ως είχε υποχρέωση, το δικαίωμα πρόσβασης του ασθενούς στον ιατρικό του φάκελο, αφετέρου δε παραβίαση γιατί δεν έλαβε όλα τα κατάλληλα οργανωτικά και τεχνικά μέτρα για την ασφάλεια των δεδομένων και την προστασία τους από τυχαία ή αθέμιτη απώλεια.

ΠΕΡΙΠΤΩΣΙΟΛΟΓΙΑ ΔΙΑΒΙΒΑΣΗ ΙΑΤΡΙΚΩΝ ΑΠΟΤΕΛΕΣΜΑΤΩΝ ΜΕ E-MAIL (απόφαση 164/2014) Ιδιώτης κατήγγειλε ότι το διαγνωστικό κέντρο στο οποίο υποβλήθηκε σε αιματολογικές εξετάσεις ενδέχεται να απέστειλε τα αποτελέσματα των ιατρικών του εξετάσεων μέσω ηλεκτρονικού ταχυδρομείου (e-mail) σε τρίτο μη εξουσιοδοτημένο πρόσωπο. Ο καταγγέλλων είχε εγγράφως συγκατατεθεί στην αποστολή των ιατρικών του αποτελεσμάτων μέσω ηλεκτρονικού ταχυδρομείου και είχε ο ίδιος χειρόγραφα συμπληρώσει τα απαιτούμενα στοιχεία στο έντυπο της σχετικής αίτησης. Ωστόσο, δεν έλαβε ποτέ στη δηλωθείσα διεύθυνση ηλεκτρονικού ταχυδρομείου τα αποτελέσματα των ιατρικών του εξετάσεων. Δεν υπήρξε κοινοποίηση σε τρίτο πρόσωπο. Ανεπιτυχής αποστολή. Η Αρχή έκρινε ότι η διαδικασία που ακολουθεί το διαγνωστικό κέντρο για την αποστολή των ιατρικών αποτελεσμάτων μέσω ηλεκτρονικού ταχυδρομείου δεν πληροί τις απαιτήσεις του άρθρου 10 του ν. 2472/1997 για το απόρρητο και την ασφάλεια της επεξεργασίας

ΠΟΤΕ ΕΠΙΤΡΕΠΕΤΑΙ Η ΔΙΑΒΙΒΑΣΗ ΜΕ E-mAIL η ικανοποίηση του δικαιώµατος πρόσβασης του ασθενούς στα ιατρικά αρχεία νοσηλευτικού ιδρύµατος µε την αποστολή αποτελεσµάτων κλινικών ή παρακλινικών εξετάσεων µέσω ηλεκτρονικού ταχυδροµείου από νοσηλευτικό ίδρυµα Ν.Π.∆.∆., επιτρέπεται, όταν ο ασθενής, ως υποκείµενο των δεδοµένων έχει εγγράφως ζητήσει ρητά η αποστολή των δεδοµένων αυτών της υγείας του να πραγµατοποιηθεί µε ηλεκτρονικό ταχυδροµείο.

i) Ο ενδιαφερόµενος ασθενής θα πρέπει να υποβάλλει εγγράφως την αίτησή του για την αποστολή των ιατρικών αποτελεσµάτων του µέσω ηλεκτρονικού ταχυδροµείου, και να επιδεικνύει επίσηµο έγγραφο (π.χ. Α∆Τ) που να επιβεβαιώνει την ταυτότητά του. ii) Συνίσταται η πραγµατοποίηση επαλήθευσης της δηλωθείσας διεύθυνσης ηλεκτρονικού ταχυδροµείου, προς αποφυγή λανθασµένης καταχώρισης στο πληροφοριακό σύστηµα του νοσηλευτικού ιδρύµατος ή αποστολής µηνύµατος ηλεκτρονικού ταχυδροµείου σε λάθος παραλήπτη (βλ. ιδίως απόφαση Αρχής 164/2014, δηµοσιευµένη στην ιστοσελίδα της). ΠΡΟΥΠΟΘΕΣΕΙΣ

iii) Τα ιατρικά αποτελέσµατα των ασθενών που αποστέλλονται µε ηλεκτρονικό ταχυδροµείο θα πρέπει να είναι κρυπτογραφηµένα µε χρήση διεθνώς αποδεκτών προτύπων αλγορίθµων κρυπτογράφησης, τα οποία µόνο ο παραλήπτης (ασθενής, ως υποκείµενο των δεδοµένων) µπορεί να αποκρυπτογραφήσει. Ο ασθενής πρέπει να λαµβάνει από το νοσηλευτικό ίδρυµα ισχυρό συνθηµατικό αποκρυπτογράφησης, µε µέσο διαφορετικό του µηνύµατος ηλεκτρονικού ταχυδροµείου (π.χ. SMS, έγγραφο) iv) Η αποστολή των ιατρικών αποτελεσµάτων των ασθενών θα πρέπει να ανατίθεται από το νοσηλευτικό ίδρυµα σε συγκεκριµένους εξουσιοδοτηµένους υπαλλήλους του νοσοκοµείου, οι οποίοι πρέπει να δεσµεύονται εγγράφως σχετικά µε την τήρηση της εχεµύθειας και της εµπιστευτικότητας ). ΠΡΟΥΠΟΘΕΣΕΙΣ

v) Τα αποστελλόµενα µηνύµατα ηλεκτρονικού ταχυδρομείου θα πρέπει να τηρούνται στο νοσηλευτικό ίδρυµα, προκειμένου να διευκολύνεται η λογοδοσία (accountability), σε περίπτωση καταστροφής, αλλοίωσης ή µη εξουσιοδοτηµένης πρόσβασης στα δεδοµένα, καθώς και να διασφαλίζεται η ορθή εκπλήρωση της υποχρέωσης του νοσηλευτικού ιδρύµατος για την ικανοποίηση του δικαιώµατος πρόσβασης, µέσω της αποστολής ηλεκτρονικού ταχυδροµείου. ΠΡΟΥΠΟΘΕΣΕΙΣ

vi) Η διαµόρφωση των Η/Υ, µέσω των οποίων πραγματοποιείται η αποστολή των µηνυµάτων ηλεκτρονικού ταχυδρομείου, πρέπει να επιτρέπει τον έλεγχο των λειτουργιών τους, αποτρέποντας µη εξουσιοδοτηµένες ενέργειες χρηστών οι οποίες θα µπορούσαν να οδηγήσουν σε απώλεια, καταστροφή ή µη εξουσιοδοτηµένη επεξεργασία προσωπικών δεδοµένων. Επιπλέον, στους Η/Υ πρέπει να εξασφαλίζεται προστασία από κακόβουλο λογισµικό µε αντιϊκά προγράµµατα (antivirus). Τα προγράµµατα θα πρέπει να είναι ενηµερωµένα µε τους ορισµούς των ιών, τουλάχιστον ανά ηµέρα και µε τις ενηµερώσεις των µηχανών ανά εβδοµάδα. ∆εν θα πρέπει να υπάρχει δυνατότητα απενεργοποίησης των αντιϊκών προγραµµάτων από τους χρήστες. ΠΡΟΥΠΟΘΕΣΕΙΣ

vii) Θα πρέπει να απαγορεύεται η εξαγωγή προσωπικών δεδοµένων των ασθενών µε τη χρήση αποσπώµενων µέσων (π.χ. USB, CD/DVD). Όταν ο εξουσιοδοτηµένος υπάλληλος απομακρύνεται από τον Η/Υ του και αυτός παραµένει σε λειτουργία, πρέπει να ενεργοποιείται η προφύλαξη οθόνης (screen saver) η οποία θα απενεργοποιείται µόνο µε χρήση συνθηµατικού. ΠΡΟΥΠΟΘΕΣΕΙΣ

ΧΡΟΝΟΣ ΤΗΡΗΣΗΣ ΙΑΤΡΙΚΩΝ ΔΕΔΟΜΕΝΩΝ άρθρο 14 παρ. 4 περ. β’ ν. 3418/2005 (Κώδικας Ιατρικής ∆εοντολογίας): υποχρεώνει τους δηµόσιους φορείς παροχής πρωτοβάθµιας και δευτεροβάθµιας φροντίδας να τηρούν για µία εικοσαετία από την τελευταία επίσκεψη του ασθενούς αρχείο µε ορισµένα στοιχεία που περιλαµβάνουν τα αποτελέσµατα των κλινικών και παρακλινικών εξετάσεων. Οι ρυθµίσεις αυτές του ΚΙ∆ για τον χρόνο τήρησης ισχύουν και για τα δεδοµένα υγείας που τυγχάνουν επεξεργασίας µέσω ηλεκτρονικού φακέλου ασθενούς SOS: η άποψη της αρχής είναι ότι μετά το πέρας της χρονικής διάρκειας τήρησης των δεδοµένων πρέπει αυτά να καταστρέφονται µε ασφαλή τρόπο (Οδηγία 1/2005 της ΑΠΔΠΧ) «πλήρης και µόνιµη διαγραφή των δεδοµένων»

ΕΚΠΑΙΔΕΥΣΗ ΠΡΟΣΩΠΙΚΟΥ Ο υπεύθυνος επεξεργασίας οφείλει να παρέχει συνεχή εκπαίδευση και ενηµέρωση των υπαλλήλων σε θέµατα προστασίας προσωπικών δεδοµένων και ασφάλειας: α) Κατά την πρόσληψη πρέπει να κοινοποιεί στους υπαλλήλους την πολιτική ασφάλειας και τον κώδικα δεοντολογίας, β) να τους ενημερώνει για τις ειδικές απαιτήσεις ασφάλειας ανάλογα µε τον ρόλο και τις αρµοδιότητές τους µέσα στον οργανισµό. γ) να ενηµερώνει τους υπαλλήλους για σηµαντικές αλλαγές των διαδικασιών ασφάλειας ή/και την εµφάνιση σηµαντικών ζητηµάτων ασφάλειας και προστασίας προσωπικών δεδοµένων δ) θα πρέπει να παρέχεται διαρκής εκπαίδευση γύρω από τις τεχνολογικές εξελίξεις στο χώρο της ασφάλειας πληροφοριών στους διαχειριστές των συστηµάτων και στους υπαλλήλους του Τµ. Πληροφορικής. ε) «χρήσιµο» να διαθέτει ορισµένο χρονοδιάγραµµα συνεχιζόµενης εκπαίδευσης των υπαλλήλων (ετήσιος χρονοπρογραµµατισµός) σε θέματα προστασίας προσωπικών δεδοµένων και ασφάλειας Στ) συστήνεται η κατάρτιση ειδικότερων ενηµερωτικών εντύπων για την ορθή χρήση του πληροφοριακού συστήµατος και του διαδικτύου