Vaše zdravotní údaje v Evropské unii: GDPR, EHDS a práva, která skutečně máte

Vaše laboratorní výsledky jsou v laboratoři. Vaše propouštěcí zpráva v nemocnici. Vaše recepty v lékárně a v národním systému. Všechny jsou „vaše“ v morálním smyslu, ale po léta zákon jasně neříkal, že si je můžete vyžádat elektronicky, obdržet najednou, ve formátu, který byste mohli použít, a vzít si je kamkoli chcete. Od roku 2025 to říká.

Tento průvodce vysvětluje jednoduchým jazykem dva zákony, které upravují vaše zdravotní údaje v Evropské unii: GDPR, platné od roku 2018, a EHDS, nařízení o Evropském prostoru pro zdravotní údaje, platné od března 2025 a zaváděné postupně do roku 2031. Nejedná se o právní text; je to mapa vašich práv a toho, kdy se stávají konkrétními.

GDPR: zdravotní údaje jsou „zvláštní kategorie“

Obecné nařízení o ochraně osobních údajů (GDPR) považuje zdravotní údaje za oddělené od ostatních: jde o zvláštní kategorii, popsanou v článku 9, spolu s genetickými a biometrickými údaji. Jejich zpracování je v zásadě zakázáno, s přesnými výjimkami: váš výslovný souhlas, lékařská péče, veřejný zájem na zdraví, výzkum s bezpečnostními opatřeními.

Co to pro vás konkrétně znamená:

• Jakákoli aplikace, laboratoř nebo klinika, která zpracovává vaše zdravotní údaje, musí mít jasný právní základ a musí vám jednoduchým jazykem sdělit, co s nimi dělá.
• Máte obecná práva podle GDPR i pro zdravotní údaje: přístup (abyste viděli, co o vás drží), opravu, výmaz (s omezeními, protože lékařské záznamy mají zákonné lhůty uchovávání), přenositelnost (abyste obdrželi své údaje ve strukturovaném, běžně používaném, strojově čitelném formátu) a právo vznést námitku proti určitému zpracování.
• Lhůta pro odpověď na žádost o přístup je jeden měsíc, s možností prodloužení o dva měsíce ve složitých případech. Přístup je zdarma.
• Hostování je důležité. Údaje mohou být přenášeny mimo EU pouze s bezpečnostními opatřeními (rozhodnutí o odpovídající ochraně, standardní doložky). Aplikace, která uchovává vaše údaje v EU, tuto otázku odstraňuje.

GDPR dalo práva. Co nedalo, byl formát a infrastruktura: mohli jste požádat o přístup, ale obdrželi jste PDF nebo hromadu papírů, po měsících, a nemocnice nebyla povinna je moci poslat do jiné nemocnice. To je přesně mezera, kterou EHDS vyplňuje.

EHDS: co to je a proč je to důležité

Nařízení (EU) 2025/327 o Evropském prostoru pro zdravotní údaje bylo zveřejněno v březnu 2025 a vstoupilo v platnost 26. března 2025. Je to první evropský akt, který pro všech 27 členských států stanoví, jak mají zdravotní údaje proudit: mezi vámi a vašimi lékaři („primární použití“) a za přísných pravidel pro výzkum a veřejnou politiku („sekundární použití“).

Tři hlavní myšlenky:

1. Máte elektronický, okamžitý a bezplatný přístup ke svým zdravotním údajům prostřednictvím národní přístupové služby a můžete si je stáhnout, doplňovat, omezovat a vidět, kdo si je přečetl.
2. Údaje proudí ve společném formátu (evropský formát pro výměnu elektronických zdravotních záznamů, EEHRxF), založeném na standardech, jako je HL7 FHIR, takže nemocnice ve Španělsku si může přečíst váš souhrnný záznam z Rumunska.
3. Systémy elektronických zdravotních záznamů musí splňovat společné požadavky na interoperabilitu a logování, s prohlášením o shodě, jakousi značkou CE pro lékařský software.

Vaše práva podle EHDS, jedno po druhém

Články v kapitole II nařízení vám konkrétně dávají:

Přístup. Právo na okamžitý, bezplatný a snadno čitelný přístup k vašim elektronickým zdravotním údajům prostřednictvím přístupové služby vaší země. „Okamžitě“ znamená bez písemné žádosti a měsíčního čekání podle GDPR, s jednou výjimkou: lékař může přístup k některým výsledkům (např. vážná diagnóza) odložit, dokud vám je osobně nesdělí.

Stažení. Právo obdržet elektronickou kopii v evropském výměnném formátu, alespoň pro prioritní kategorie, a přenést ji poskytovateli zdravotní péče dle vašeho výběru v kterémkoli členském státě.

Vložení. Právo přidávat informace do svého elektronického záznamu (např. domácí měření), jasně označené jako vámi zadané, aby je lékař mohl odlišit od klinických údajů.

Oprava. Právo požádat o opravu nesprávných údajů online, prostřednictvím přístupové služby.

Omezení. Právo omezit přístup profesionálů k určitým údajům nebo k celému záznamu; ten, kdo omezuje, je informován, že v případě nouze mohou chybějící informace ovlivnit péči.

Informace o přístupu. Právo vidět, kdo k vašim údajům přistupoval, kdy a z jaké instituce: přístupový log se stává povinným a viditelným pro pacienta.

Zástupce. Právo jmenovat jinou osobu (rodiče, dospělé dítě, opatrovníka), která bude mít k vašim údajům přístup vaším jménem.

Námitka proti sekundárnímu použití. Právo vznést námitku proti použití vašich údajů (pseudonymizovaných nebo anonymizovaných) pro výzkum, statistiky nebo veřejnou politiku za podmínek stanovených každým členským státem. Není to absolutní právo, ale existuje a státy ho musí implementovat.

Prioritní kategorie: co proudí jako první

EHDS nevyžaduje, aby bylo vše dostupné od prvního dne. Definuje prioritní kategorie elektronických zdravotních údajů, které musí existovat v evropském výměnném formátu a být přístupné a přenositelné:

1. Souhrnný záznam pacienta (alergie, léky, stavy, očkování; v praxi Mezinárodní souhrnný záznam pacienta nebo jeho evropský ekvivalent).
2. Elektronické recepty a elektronické výdeje.
3. Lékařské snímky a zprávy z nich.
4. Laboratorní výsledky.
5. Propouštěcí zprávy.

Na evropské úrovni již infrastruktura MyHealth@EU (dříve eHDSI) propojuje národní kontaktní místa a umožňuje mezi propojenými zeměmi výměnu souhrnných záznamů pacienta a elektronických receptů. EHDS to činí povinným a rozšiřuje to na další kategorie.

Kdy se to skutečně uplatňuje

Zde se většina tiskových článků mýlí. Nařízení vstoupilo v platnost v roce 2025, ale uplatňuje se postupně:

• 26. března 2027: obecné uplatňování nařízení; členské státy musí mít orgány pro digitální zdravotnictví a orgány pro přístup ke zdravotním údajům a základní pravidla se stanou funkčními.
• 26. března 2029: práva pacientů a povinnosti poskytovatelů pro souhrnný záznam pacienta a elektronické recepty (první dvě prioritní kategorie), požadavky na systémy elektronických zdravotních záznamů a první fáze sekundárního použití.
• 26. března 2031: stejné povinnosti pro snímky, laboratorní výsledky a propouštěcí zprávy, plus zbytek sekundárního použití.
• Pro členské státy, které to potřebují, mohou být některé lhůty prodlouženy s oznámením Komisi.

Co to pro vás znamená: práva podle GDPR již máte nyní. Práva podle EHDS se stanou vynutitelnými postupně, počínaje souhrnným záznamem a recepty v roce 2029. Do té doby je mnoho států a poskytovatelů implementuje dobrovolně nebo prostřednictvím národní legislativy a seriózní aplikace již staví na evropském formátu.

Co to znamená pro aplikace, které používáte

EHDS reguluje především systémy používané poskytovateli zdravotní péče a národní přístupové služby. Wellness aplikace (fitness, spánek, výživa) mají dobrovolný režim: výrobce může prohlásit, že aplikace je interoperabilní se systémem elektronických zdravotních záznamů a zaregistrovat ji v evropské databázi; není to povinnost. Aplikace, které uchovávají váš osobní lékařský záznam, sedí mezi oběma světy: nejsou poskytovateli zdravotní péče, ale jejich hodnota přímo roste s tím, jak úzce se drží evropského formátu.

Otázky, které stojí za to položit aplikaci, v duchu EHDS:

• Uchovává mé údaje ve standardním formátu (FHIR, s kódy) a exportuje je kompletně, abych si je mohl vzít k poskytovateli nebo na národní přístupovou službu?
• Ukazuje mi, kdo k čemu přistupoval v mém záznamu?
• Umožňuje mi udělit a odebrat přístup podle kategorií a období?
• Jasně označuje, co jsem zadal já, oproti tomu, co pochází od lékaře nebo laboratoře (původ)?
• Hostuje mé údaje v EU?

Pokud jsou odpovědi „ano“, aplikace je již tam, kde chce mít celý systém evropské právo.

Jak dnes využít svá práva

Nemusíte čekat do roku 2029, abyste začali.

1. Požádejte o přístup podle GDPR od jakéhokoli poskytovatele, který o vás drží údaje: nemocnice, laboratoř, soukromá klinika. Písemně, s odkazem na článek 15 GDPR; mají jeden měsíc na odpověď. Požádejte o elektronický formát a, pokud mohou, o strukturovaný.
2. Použijte národní portál, kde existuje. Několik států již nabízí souhrnný záznam pacienta, recepty a některé výsledky online; zkontrolujte, co vaše země nabízí a kolik z toho si můžete stáhnout.
3. Vložte, co obdržíte, do svého osobního záznamu, kódovaně, aby byl exportovatelný a srovnatelný. Průvodce laboratorními výsledky vysvětluje, proč kódy hrají roli.
4. Požádejte o přístupový log, kde již existuje (některé národní systémy ho nabízejí), a zvykněte si ho číst.
5. Napište na adresu privacy@ jakékoli služby, když je něco nejasné. Seriózní služby mají dedikovanou adresu a odpovídají.

Jak Anpheros pomáhá

Anpheros je postaven na principech EHDS ještě předtím, než se stanou povinnými: váš záznam je uložen jako zdroje HL7 FHIR R4 se standardními kódy v Evropské unii; můžete si jej kdykoli kompletně exportovat, včetně souhrnného záznamu IPS; každý přístup kliniky, aplikace nebo asistenta s umělou inteligencí vyžaduje váš souhlas na omezenou dobu, odvolatelný, a zůstává v logu, který můžete vidět; každý kus dat má označený původ (zadaný vámi, naskenovaný z dokumentu, z přístroje nebo od poskytovatele). Žádosti týkající se vašich dat, včetně smazání účtu, jsou řešeny na privacy@anpheros.com v rámci lhůt GDPR.

Časté otázky

Znamená EHDS, že kdokoli může vidět mé údaje po celé Evropě?

Ne. EHDS reguluje přístup zdravotnických profesionálů, kteří vás léčí, s logováním a vaším právem omezit přístup, a sekundární použití s pseudonymizovanými údaji, pod autorizací přístupového orgánu a s právem vznést námitku. Nevytváří centrální evropskou databázi záznamů všech.

Mohu si dnes vyžádat své údaje ve formátu FHIR?

Podle GDPR si můžete vyžádat přenositelnost ve „strukturovaném, běžně používaném a strojově čitelném formátu“; poskytovatel rozhoduje o přesném formátu a není povinen nabízet FHIR. Podle EHDS, od roku 2029 pro souhrnný záznam a recepty, se evropský výměnný formát stává povinným. Do té doby se ptejte: mnoho systémů to již umí.

Spadají mé údaje v aplikaci osobního záznamu pod EHDS?

Samotná aplikace není poskytovatelem zdravotní péče, takže se na ni přímo nevztahují povinnosti EHDS pro poskytovatele; GDPR se na ni plně vztahuje. EHDS je pro ni důležité nepřímo: čím více používá evropský formát, tím snáze se vaše údaje mohou dostat do regulovaných systémů.

Mohu odmítnout, aby mé údaje byly použity pro výzkum?

Ano, EHDS poskytuje právo vznést námitku proti sekundárnímu použití, implementované každým členským státem (konkrétní mechanismus se liší). Údaje použité pro výzkum jsou pseudonymizované nebo anonymizované a přístupné pouze v bezpečných prostředích, nikoli volně ke stažení.

Co mám dělat, když mi nemocnice odmítne vydat mé údaje?

Zašlete žádost písemně, s odkazem na článek 15 GDPR, a uchovejte si doklad. Pokud neobdržíte odpověď do jednoho měsíce (nebo tří s odůvodněním), máte právo podat stížnost u národního úřadu pro ochranu osobních údajů. Od roku 2029, pro prioritní kategorie, budete mít také možnost využít národní přístupovou službu.