GDPR în clinică: acordurile pacienților și cât păstrezi datele

Pentru consultație, fișă, analize și tratament nu ai nevoie de consimțământul GDPR al pacientului: temeiul e art. 9 alin. (2) lit. h) din Regulamentul (UE) 2016/679 (RGPD), pentru că datele sunt prelucrate de profesioniști ținuți de secretul profesional. Ce îi datorezi pacientului e o informare clară (art. 13). Consimțământul îl ceri doar pentru ce nu ține de actul medical: mesaje promoționale, poze pentru site sau rețele sociale și alte asemenea, fiecare separat și niciodată pre-bifat.

Partea cu păstrarea datelor e mai puțin clară: pentru documentele medicale din ambulatoriu nu am găsit un termen unic stabilit prin lege, așa că termenul îl fixezi tu, în scris, și îl poți justifica. Mai jos, pe rând, ce se cere și unde se greșește.

Temeiul legal: de ce „acordul GDPR” la consultație e o greșeală

Datele de sănătate sunt o categorie specială (art. 9 RGPD). Prelucrarea lor e interzisă, cu excepțiile din art. 9 alin. (2). Pentru o clinică, excepția de bază e lit. h): prelucrarea e necesară pentru medicina preventivă sau a muncii, diagnostic medical, asistență medicală sau tratament, iar alin. (3) cere ca datele să fie prelucrate de un profesionist sau sub responsabilitatea unui profesionist supus secretului profesional.

Pe lângă art. 9, fiecare prelucrare are și un temei din art. 6: executarea contractului de servicii medicale (lit. b)), obligații legale ale clinicii, cum ar fi cele fiscale sau de raportare (lit. c)), interesul legitim pentru lucruri ca supravegherea video (lit. f)).

Dacă ceri totuși „consimțământul GDPR” pentru consultație, creezi o problemă: consimțământul se poate retrage oricând (art. 7 alin. (3)), iar clinica nu poate șterge fișa unui pacient care se răzgândește. Temeiul greșit nu te protejează, ci te încurcă.

Trei lucruri care se confundă des:

• Acordul pacientului informat (Legea nr. 95/2006, art. 660) e acordul pentru o intervenție medicală cu potențial de risc. E un act medical, nu un consimțământ GDPR.
• Confidențialitatea din Legea nr. 46/2003: informațiile despre pacient sunt confidențiale chiar și după deces (art. 21) și se pot da altcuiva doar cu consimțământul explicit al pacientului sau dacă legea o cere (art. 22). Pentru alți furnizori de servicii medicale implicați în tratament, consimțământul nu mai e obligatoriu (art. 23).
• CNP-ul: Legea nr. 190/2018 permite prelucrarea lui în situațiile din art. 6 alin. (1) RGPD (art. 4). Dacă îl prelucrezi pe temeiul interesului legitim, legea cere garanții suplimentare, între care numirea unui responsabil cu protecția datelor. Cere CNP-ul atunci când ai o obligație legală sau o nevoie medicală reală, nu din obișnuință la orice formular.

Informare sau consimțământ: tabelul

Nota de informare

Informarea din art. 13 spune: cine e operatorul și cum îl contactezi, scopurile și temeiurile, cui se transmit datele (laborator, casă de asigurări, furnizorul de software), cât timp se păstrează, drepturile pacientului (acces, rectificare, opoziție, plângere la ANSPDCP) și, dacă ai, datele responsabilului cu protecția datelor. Se dă la momentul colectării: afișată la recepție, pe site și pe o foaie pe care pacientul o poate lua. Pacientul nu trebuie să o semneze ca „acord”; poți nota în dosar că a primit-o.

Consimțământul, unde chiar e nevoie de el

Consimțământul valabil e liber, specific, informat și lipsit de ambiguitate (art. 4 pct. 11), iar clinica trebuie să poată dovedi că l-a primit (art. 7 alin. (1)). În practică:

• nimic pre-bifat: considerentul 32 al RGPD spune explicit că tăcerea, căsuțele bifate dinainte sau lipsa de reacție nu înseamnă consimțământ;
• câte o bifă pentru fiecare scop: un acord pentru oferte pe WhatsApp nu acoperă și pozele pentru Facebook;
• fără condiționare: consultația nu depinde de acordul pentru marketing;
• retragerea la fel de ușoară ca acordarea (art. 7 alin. (3)): un mesaj „STOP” sau un link de dezabonare, nu o cerere depusă la sediu.

Pentru mesajele comerciale prin e-mail, SMS sau alte comunicații electronice, Legea nr. 506/2004 (art. 12) cere consimțământul prealabil al destinatarului.

Rezultatele pe e-mail, WhatsApp sau SMS

Trimiterea rezultatelor face parte din serviciul medical, deci nu ai nevoie de consimțământ GDPR pentru prelucrarea în sine. Canalul, însă, contează: un e-mail greșit sau un telefon folosit de toată familia înseamnă date de sănătate ajunse la altcineva, iar art. 32 RGPD îți cere măsuri de securitate potrivite riscului.

Ce e prudent să faci:

• întreabă pacientul pe ce canal vrea rezultatele și notează alegerea, numărul sau adresa, data, în dosarul lui;
• verifică numărul și adresa la recepție, citindu-le cu voce tare;
• trimite un link securizat, nu documentul atașat, ca să nu rămână rezultatul într-o conversație pe care o pot vedea și alții;
• separă acest acord de cel pentru marketing: cine vrea rezultatele pe WhatsApp nu a acceptat și ofertele pe WhatsApp.

Cât păstrezi datele

RGPD nu dă termene, ci un principiu: datele se păstrează cel mult cât e necesar scopului (art. 5 alin. (1) lit. e)). Termenele concrete vin din legislația națională.

Documentele medicale. Pentru fișele și documentele medicale din ambulatoriu nu am găsit un termen de păstrare unic, stabilit expres prin lege. Codul de deontologie medicală în vigoare din 2026 nu fixează un astfel de termen, iar ghidul GDPR al Colegiului Medicilor recomandă verificarea termenului stabilit la nivelul României. Ce rămâne de făcut:

• fixează termenele în nomenclatorul documentelor de arhivă al clinicii, pe care Legea Arhivelor Naționale nr. 16/1996 îl cere fiecărui creator de documente (art. 8);
• scrie în politica de păstrare motivul fiecărui termen (continuitatea îngrijirii, apărarea în eventuale litigii, obligații speciale pentru anumite documente);
• treci termenul în nota de informare;
• la expirare, distruge sau anonimizează în siguranță și păstrează evidența distrugerii.

Pentru alegerea concretă a termenelor, mai ales la documentele medicale, discută cu un jurist.

Celelalte date au termenele lor: documentele contabile, după legislația contabilă (întreabă contabilul); datele pentru marketing, până la retragerea acordului; înregistrările video, vezi mai jos.

Dreptul de acces: când pacientul cere „tot ce aveți despre mine”

Pacientul are acces la datele lui medicale (Legea nr. 46/2003, art. 24) și dreptul de acces din art. 15 RGPD. Se aplică ambele:

• copiile documentelor medicale se eliberează în cel mult 48 de ore de la înregistrarea cererii, pe formularele din anexele 3 și 4 la normele aprobate prin Ordinul MS nr. 1410/2016 (art. 9);
• pentru restul cererii din art. 15 (ce date ai, în ce scop, cui le-ai dat, cât le păstrezi), RGPD dă o lună (art. 12 alin. (3));
• prima copie e gratuită, iar pacientul nu trebuie să-ți spună de ce o vrea. În cauza C-307/22, Curtea de Justiție a UE a decis că prima copie a fișei medicale se dă gratuit chiar dacă pacientul o cere ca să-l acționeze în judecată pe medic. O taxă rezonabilă se poate cere doar pentru copiile suplimentare.

E mult mai ușor să răspunzi la timp dacă poți scoate din program, dintr-o dată, fișele, documentele și istoricul unui pacient.

Camerele video

Camerele în spațiile comune (intrare, recepție, sală de așteptare, holuri) se bazează de regulă pe interesul legitim al clinicii (art. 6 alin. (1) lit. f)), pentru siguranța oamenilor și a bunurilor. Câteva reguli:

• semnul de avertizare la intrarea în zona supravegheată, cu informațiile esențiale (cine supraveghează, scopul, cum afli mai multe), iar informarea completă la recepție sau pe site. E abordarea „pe niveluri” din Ghidul 3/2019 al Comitetului European pentru Protecția Datelor;
• nu în cabinete, vestiare sau toalete: acolo intruziunea în viața privată e prea mare față de scopul de securitate (principiul reducerii la minimum, art. 5 alin. (1) lit. c));
• pentru angajați, Legea nr. 190/2018 (art. 5) permite supravegherea video la locul de muncă pe temeiul interesului legitim numai dacă interesul e temeinic justificat, angajații au fost informați în prealabil, complet și explicit, au fost consultați reprezentanții lor, metodele mai puțin intruzive nu au fost suficiente, iar înregistrările se păstrează proporțional cu scopul, cel mult 30 de zile, cu excepțiile prevăzute de lege sau temeinic justificate;
• accesul la înregistrări doar pentru persoanele desemnate, cu evidența celor care le-au vizionat sau descărcat.

Responsabilul cu protecția datelor (DPO)

Art. 37 alin. (1) lit. c) RGPD cere un DPO când activitatea principală constă în prelucrarea pe scară largă a categoriilor speciale de date, inclusiv a datelor de sănătate. Legea nr. 190/2018 trimite la aceleași condiții (art. 10).

Considerentul 91 al RGPD spune că prelucrarea datelor pacienților de către un medic individual nu ar trebui considerată la scară largă. Pentru o clinică cu mai mulți medici, laborator și multe mii de pacienți, răspunsul nu e automat: evaluarea ține de numărul de pacienți, volumul de date, durata și aria geografică. Indiferent de concluzie, scrie evaluarea și motivele și păstreaz-o. Dacă prelucrezi CNP-ul pe temeiul interesului legitim, Legea nr. 190/2018 cere oricum numirea unui DPO (art. 4 alin. (2)).

Un lucru care se uită: pentru că prelucrezi date de sănătate în mod curent, scutirea de la registrul activităților de prelucrare pentru firmele sub 250 de angajați nu se aplică clinicilor (art. 30 alin. (5)). Registrul trebuie să existe.

Breșa de securitate: 72 de ore

Un laptop furat cu fișe, un e-mail cu rezultate trimis altui pacient, un cont spart, un dulap cu dosare lăsat deschis peste noapte: toate pot fi încălcări ale securității datelor. Ce cere RGPD:

• notificarea ANSPDCP în cel mult 72 de ore de la momentul în care ai aflat, dacă încălcarea poate genera un risc pentru persoane (art. 33 alin. (1)). ANSPDCP are un formular online pentru asta pe dataprotection.ro;
• informarea pacienților afectați fără întârzieri nejustificate, dacă riscul pentru ei e ridicat (art. 34);
• evidența internă a tuturor încălcărilor, inclusiv a celor pe care nu le-ai notificat, cu faptele, efectele și măsurile luate (art. 33 alin. (5)).

Ghidul GDPR al Colegiului Medicilor descrie un caz real în care ANSPDCP a constatat încălcarea art. 33 la un cabinet stomatologic care nu notificase o breșă, deși fusese anunțat de ea chiar de pacient. Pregătește dinainte cine decide, cine scrie notificarea și cine vorbește cu pacienții.

Furnizorul de software e persoană împuternicită

Când datele pacienților stau într-un program în cloud, furnizorul lui prelucrează date în numele clinicii, deci e persoană împuternicită (art. 28 RGPD), iar clinica rămâne operator. Ai nevoie de un contract scris care să prevadă cel puțin că furnizorul:

• prelucrează datele doar după instrucțiunile tale scrise;
• își obligă oamenii la confidențialitate;
• ia măsurile de securitate din art. 32;
• nu folosește alți subcontractori fără autorizarea ta și îți spune de orice schimbare;
• te ajută să răspunzi cererilor pacienților și la breșe;
• la final, șterge sau îți returnează datele, la alegerea ta;
• îți pune la dispoziție informațiile necesare pentru audit.

Întrebările de pus înainte de semnare: unde sunt serverele (în UE sau nu), cât de des se face backup și dacă e testat, cine sunt subcontractorii, ce primești la încetarea contractului și în ce format. Mai multe despre alegerea programului, în ghidul despre cum alegi un program pentru clinică.

Mai sunt și alți împuterniciți: laboratorul partener, firma de IT, firma de arhivare, cea de distrugere a documentelor, firma care întreține camerele video. Fiecare are nevoie de același tip de contract.

Greșeli frecvente

• „Acordul GDPR” semnat la recepție ca temei pentru consultație, uneori într-un singur formular cu marketingul.
• Căsuța de newsletter bifată dinainte pe formularul de pe site sau pe tabletă.
• Rezultate trimise pe numărul vechi al pacientului sau pe adresa unei rude, fără verificare.
• Nicio politică de păstrare: fișele se țin „pentru totdeauna” fără motiv scris, sau se aruncă fără evidența distrugerii.
• Cerere de copie taxată de la prima copie sau rezolvată după două săptămâni.
• Cameră în cabinet „pentru siguranța medicului”, fără evaluare și fără semn.
• Contract cu furnizorul de software fără clauze de prelucrare a datelor, sau doar termenii și condițiile acceptați la instalare, necitiți.
• Breșa ascunsă pentru că „n-a aflat nimeni”, fără evidență internă.
• Toți angajații văd toate fișele, inclusiv recepția și contabilul.

Pe scurt

• Ai o notă de informare (art. 13), afișată la recepție și pe site, care spune și cât păstrezi datele.
• Nu ceri consimțământ pentru consultație și tratament; îl ceri separat pentru marketing și poze.
• Nicio căsuță de consimțământ nu e bifată dinainte, iar retragerea e simplă.
• Canalul pe care pacientul vrea rezultatele e notat în dosarul lui.
• Termenele de păstrare sunt în nomenclatorul de arhivă și în politica de păstrare, cu motivele lor.
• Copiile documentelor medicale se dau în 48 de ore, iar prima copie e gratuită.
• Camerele sunt doar în spațiile comune, cu semn la intrare; înregistrările nu se țin peste 30 de zile fără motiv.
• Ai evaluat în scris dacă ai nevoie de DPO și ai registrul activităților de prelucrare.
• Știi cine face notificarea în 72 de ore și ții evidența internă a breșelor.
• Ai contract de prelucrare (art. 28) cu furnizorul de software și cu ceilalți împuterniciți.

Cum te ajută MedNexus

În Baza MedNexus stabilești ce vede fiecare cont, pe profiluri de acces: recepția, de exemplu, poate lucra fără acces la fișele medicale. Pacientul citește și semnează acordurile pe tabletă, iar documentul semnat intră direct în dosarul lui, alături de fișele de consultație și documentele medicale, așa că le găsești pe toate într-un loc când pacientul cere o copie. Cu modulul Laborator, rezultatele ajung la pacient pe WhatsApp sau e-mail printr-un link sigur, iar pentru analizele sensibile clinica le poate elibera manual.

Pentru datele din aplicație, clinica e operator, iar MedNexus e persoană împuternicită, pe baza unui acord de prelucrare a datelor (art. 28). Aplicația și backupurile stau pe servere din Uniunea Europeană, cu copii de siguranță de patru ori pe zi, verificate săptămânal printr-o restaurare de probă. La încetarea contractului, clinica primește la cerere o arhivă completă în formate deschise. Vezi Baza MedNexus sau cere o demonstrație.