DPIA pro zdravotnickou aplikaci: kontrolní seznam a šablona

Krátká odpověď: posouzení vlivu na ochranu osobních údajů (DPIA) je dokument, ve kterém popíšete operaci zpracování, prokážete její nezbytnost a proporcionalitu, posoudíte rizika pro osoby, jejichž údaje se zpracovávají, a zaznamenáte opatření, která tato rizika snižují. Článek 35 GDPR jej činí povinným, pokud zpracování pravděpodobně povede k vysokému riziku, a uvádí rozsáhlé zpracování zvláštních kategorií údajů, kam patří i zdravotní údaje, jako příklad. V praxi každá zdravotnická aplikace s více než několika uživateli a každá platforma pro zdravotní údaje ji potřebuje před zahájením zpracování a přezkoumat ji při změně zpracování. Níže uvedená šablona vychází z článku 35(7) a evropských pokynů; stáhněte si ji na konci.

Kdy je vyžadováno

GDPR článek 35 vyžaduje posouzení vlivu na ochranu osobních údajů (DPIA) vždy, když zpracování pravděpodobně povede k vysokému riziku. Rozsáhlé zpracování zvláštních kategorií údajů, jako jsou zdravotní údaje, je automaticky považováno za spouštěč. Podle kritérií EDPB zdravotnická aplikace obvykle splňuje několik podmínek (citlivé údaje, rozsáhlé zpracování, zranitelné osoby), takže téměř každá zdravotnická aplikace ji potřebuje před zahájením zpracování.

Článek 35(3) uvádí tři automatické spouštěče: systematické a rozsáhlé profilování s významnými dopady; rozsáhlé zpracování zvláštních kategorií údajů (článek 9) nebo trestních údajů; systematické rozsáhlé monitorování veřejných prostor. Kritéria Evropského výboru pro ochranu osobních údajů (z bývalé Pracovní skupiny pro ochranu osobních údajů podle článku 29) přidávají dalších šest; pokud platí dvě nebo více, proveďte DPIA: hodnocení nebo bodování; automatizované rozhodování s právními nebo podobnými účinky; systematické monitorování; citlivé údaje; rozsáhlý rozsah; párování nebo kombinování datových sad; údaje o zranitelných osobách (pacienti se počítají); inovativní využití technologie; bránění osobám ve výkonu práva nebo využívání služby. Zdravotnická aplikace obvykle zasáhne citlivé údaje, rozsáhlý rozsah, zranitelné osoby a často inovativní technologie. Vnitrostátní orgány také zveřejňují seznamy zpracování, které vždy vyžadují DPIA (článek 35(4)); většina z nich zahrnuje zdravotnické aplikace a připojená zařízení.

Kontrolní seznam

Kontrolní seznam pro DPIA zdravotnických aplikací se řídí čtyřmi prvky GDPR článku 35(7): popis zpracování (účely, údaje, aktéři, technologie), posouzení nezbytnosti a proporcionality (právní základ, minimalizace, práva, zpracovatelé, uchovávání), posouzení rizik pro osoby, jejichž údaje jsou používány, a opatření k řešení těchto rizik, následované konzultací, schválením a pravidelnou revizí.

1. Popis zpracování (čl. 35(7)(a))

Účely, jeden po druhém: ukládání záznamů osoby; sdílení s klinikou; připomenutí; anonymizované statistiky; funkce AI.
Kategorie údajů na účel, se zvýrazněnými zdravotními údaji; zdroje (osoba, kliniky, nositelná zařízení, dokumenty); příjemci; uchovávání na kategorii; převody mimo EU a jejich mechanismus.
Subjekty: správce(ři), zpracovatelé (hosting, analytika, nástroje podpory, poskytovatelé AI) s jejich smlouvami; Pověřenec pro ochranu osobních údajů (DPO).
Technologie: architektura, kde se údaje nacházejí, šifrování, identita, logování. Diagram toku dat je nejrychlejší způsob, jak najít to, na co jste zapomněli.

2. Nezbytnost a proporcionalita (čl. 35(7)(b))

Právní základ podle článku 6 a výjimka podle článku 9(2), na účel (Článek 9 GDPR vysvětlen).
Minimalizace údajů: u každého datového prvku, proč je potřebný; co jste se rozhodli nesbírat.
Informace pro osoby (články 13–14) a jak jsou práva (přístup, oprava, výmaz, přenositelnost, námitka, odvolání souhlasu) uplatňována v produktu, nikoli e-mailem podpoře.
Zpracovatelé: smlouvy podle článku 28 jsou uzavřeny; subdodavatelé jsou uvedeni; práva na audit.
Uchovávání a výmaz: konkrétní lhůty a mechanismus, který je vynucuje.

3. Rizika pro osoby (čl. 35(7)(c)) Posuďte pravděpodobnost a závažnost pro každý ze tří klasických případů, pro každý účel:

Neoprávněný přístup (únik, interní hrozba, příliš široké sdílení, klinika vidí více, než bylo schváleno);
Nežádoucí úprava (nesprávné údaje v záznamu, na který se lékař spoléhá, chyby synchronizace, funkce AI zapisující do záznamu);
Ztráta (ztráta záznamu, na který se osoba spoléhá; převzetí účtu; ukončení činnosti dodavatele). Poté zdravotnická specifika: opětovná identifikace "anonymizovaných" statistik; odvození stavů z chování; diskriminace, pokud se údaje dostanou k pojišťovnám nebo zaměstnavatelům; škoda z údajů dětí; lokalizační údaje kolem klinik; SDK třetích stran v aplikaci posílající údaje reklamním sítím (nejčastější zjištění při regulačních auditech zdravotnických aplikací).

4. Opatření (čl. 35(7)(d)) Pro každé riziko, kontrolu a zbytkové riziko: šifrování v klidu a při přenosu; silná autentizace; přístup omezený souhlasem a časem, s logy, které si osoba může přečíst; pseudonymizace v analytice a v logech; žádné SDK pro reklamu nebo sledování třetích stran; oddělená prostředí a syntetická data pro vývoj; zálohy s ověřeným obnovením; revize dodavatelů; reakce na incidenty s 72hodinovou lhůtou; bezpečné vývojové postupy; školení a důvěrnost zaměstnanců; export a výmaz dat v produktu; "kill switch" pro integrace.

5. Konzultace

Rada DPO je zaznamenána (čl. 35(2)); názory osob nebo jejich zástupců jsou v případě potřeby vyžádány (čl. 35(9)), například prostřednictvím uživatelského panelu nebo pacientské asociace.
Pokud zůstává vysoké zbytkové riziko, před zpracováním konzultujte s dozorovým úřadem (čl. 36). Většina dobře kontrolovaných zdravotnických aplikací se k tomuto bodu nedostane; platformy zpracovávající údaje pro mnoho klinik někdy ano.

6. Schválení a revize

Schváleno vedením správce; datováno; verzováno.
Revidováno při změně účelů, údajů, technologie nebo příjemců a nejméně jednou za rok nebo dva (čl. 35(11)).

Typická zjištění v DPIA zdravotnických aplikací

Nejčastější zjištění v DPIA zdravotnických aplikací zahrnují SDK pro analýzu a hlášení chyb, které přijímají identifikátory spolu se zdravotním kontextem, oznámení push, která odhalují zdravotní stav na zamykací obrazovce, podpůrný personál s neomezeným přístupem k databázi, zálohy mimo EU, údaje uchovávané po uzavření účtu, obrazovky souhlasu, které sdružují účely, a "anonymizované" datové sady, které stále identifikují osoby.

Každé z těchto zjištění má konkrétní řešení a DPIA je místem, kde je toto řešení závazně stanoveno.

Šablona

Šablona DPIA na této stránce je vyplnitelný dokument ve formátu Markdown pro zdravotnickou aplikaci, strukturovaný do šesti sekcí (popis zpracování, nezbytnost a proporcionalita, rizika pro osoby, opatření, konzultace, schválení a revize) s tabulkou rizik a tabulkou opatření. Řídí se GDPR článkem 35(7) a kritérii EDPB a představuje výchozí strukturu, nikoli právní poradenství.

Stáhněte si šablonu DPIA. Lze ji importovat do jakéhokoli nástroje pro práci s dokumenty; váš DPO ji přizpůsobí.

V Anpheros

Anpheros udržuje DPIA pro Anpheros Daily a jedno pro Anpheros Platform jako zpracovatel, se výše uvedenou strukturou a rozhodnutími, ke kterým vedla, jsou viditelná v produktu: souhlas na účel, přístup omezený a logovaný, žádné reklamní SDK, hosting v EU, export a výmaz v aplikaci. Viz Transparentnost v oblasti zdraví.

Tato stránka vysvětluje regulaci pro produktové a inženýrské týmy. Nejedná se o právní poradenství; texty uvedené v sekci Zdroje jsou závazné a váš pověřenec pro ochranu osobních údajů, notifikovaný orgán nebo právník rozhodne pro váš případ. Poslední revize: říjen 2026.

Související stránky

Zdroje

Časté otázky

Potřebuji DPIA pro malou aplikaci s několika uživateli?

Pokud zpracovává zdravotní údaje, téměř vždy ano: citlivé údaje a zranitelné osoby již splňují test dvou kritérií a několik národních seznamů explicitně uvádí zdravotnické aplikace. DPIA malé aplikace je jednoduše kratší.

Kdo píše DPIA?

Správce je zodpovědný; v praxi ji píše produktový manažer a vedoucí inženýr s radou DPO, protože znají toky dat. Její úplné outsourcování vytváří dokument, který nikdo nemůže udržovat aktuální.

Musí být DPIA zveřejněno?

Ne. Jedná se o interní dokument odpovědnosti, který se na vyžádání předkládá dozorovému úřadu. Mnoho organizací zveřejňuje souhrn; EHDS a některé národní předpisy vyžadují transparentnost ohledně určitého zpracování.

Jak se DPIA liší od posouzení rizik podle ISO 27001?

Posouzení ISO se zaměřuje na rizika pro organizaci; DPIA se zaměřuje na rizika pro osoby, jejichž údaje jsou zpracovávány. Sdílejí kontroly a důkazy a dobrý bezpečnostní program přispívá do sekce opatření DPIA.

Anpheros Platform

Vyzkoušejte zdarma v sandboxu

První volání FHIR za 5 minut. API standardu HL7 FHIR R4 s integrovaným souhlasem pacienta: vyzkoušejte si ho v sandboxu a poté propojte svou vlastní aplikaci nebo klinický systém.

Vytvořit sandbox zdarma Přečíst návody pro vývojáře →

Zdarma · 30 syntetických pacientů · bez karty

Tento návod slouží pouze pro informační účely a nenahrazuje lékařskou radu. Ohledně rozhodnutí o svém zdraví se poraďte se svým lékařem. V naléhavém případě volejte místní tísňové číslo (v Evropě 112).

Napsal

Tým Anpheros

Anpheros vytváří zdravotní záznamy, které pacient ovládá a může sdílet s jakoukoli klinikou, na platformě HL7 FHIR R4 se sídlem v EU. Tyto průvodce vám pomohou porozumět vašemu zdraví a uspořádat si ho; nenahrazují vašeho lékaře.

O Anpheros →