Datele tale medicale în Uniunea Europeană: GDPR, EHDS și ce drepturi ai de fapt

Analizele tale sunt la laborator. Biletul de externare, la spital. Rețetele, la farmacie și în sistemul național. Toate sunt „ale tale” într-un sens moral, dar, ani de zile, legea nu spunea clar că poți să le ceri electronic, să le primești pe loc, într-un format pe care să-l poți folosi, și să le duci unde vrei. Din 2025, spune.

Ghidul acesta explică, pe înțelesul oricui, cele două legi care îți guvernează datele medicale în Uniunea Europeană: GDPR, în vigoare din 2018, și EHDS, regulamentul Spațiului european al datelor de sănătate, în vigoare din martie 2025 și aplicat în etape până în 2031. Nu e un text juridic; e o hartă a drepturilor pe care le ai și a momentului în care devin concrete.

GDPR: datele de sănătate sunt o „categorie specială”

Regulamentul general privind protecția datelor (GDPR) tratează datele despre sănătate separat de restul: sunt o categorie specială, descrisă la articolul 9, alături de datele genetice și biometrice. Prelucrarea lor e, în principiu, interzisă, cu excepții precise: consimțământul tău explicit, îngrijirea medicală, interesul public în sănătate, cercetarea cu garanții.

Ce înseamnă asta pentru tine, concret:

• Orice aplicație, laborator sau clinică care îți prelucrează datele de sănătate trebuie să aibă un temei legal clar și să spună, în limbaj simplu, ce face cu ele.
• Ai drepturile generale GDPR și pentru datele medicale: acces (să vezi ce au despre tine), rectificare, ștergere (cu limite, pentru că dosarele medicale au termene legale de păstrare), portabilitate (să primești datele într-un format structurat, uzual, lizibil automat) și dreptul de a te opune anumitor prelucrări.
• Termenul de răspuns la o cerere de acces este de o lună, prelungibil cu două luni în cazuri complexe. Accesul e gratuit.
• Găzduirea contează. Datele pot fi transferate în afara UE doar cu garanții (decizii de adecvare, clauze standard). O aplicație care îți ține datele în UE elimină această întrebare.

GDPR a dat drepturile. Ce nu a dat e formatul și infrastructura: puteai cere accesul, dar primeai un PDF sau un teanc de hârtii, în luni, iar spitalul nu era obligat să le poată trimite altui spital. Exact golul pe care îl umple EHDS.

EHDS: ce este și de ce e important

Regulamentul (UE) 2025/327 privind Spațiul european al datelor de sănătate a fost publicat în martie 2025 și a intrat în vigoare pe 26 martie 2025. E primul act european care spune, pentru toate cele 27 de state, cum trebuie să circule datele de sănătate: între tine și medici („utilizare primară”) și, cu reguli stricte, către cercetare și politici publice („utilizare secundară”).

Trei idei centrale:

1. Tu ai acces electronic, imediat și gratuit la datele tale de sănătate, printr-un serviciu național de acces, și poți să le descarci, să le completezi, să le restricționezi și să vezi cine le-a citit.
2. Datele circulă într-un format comun (formatul european de schimb al dosarului electronic, EEHRxF), bazat pe standarde ca HL7 FHIR, astfel încât un spital din Spania să poată citi rezumatul tău din România.
3. Sistemele de dosar electronic trebuie să respecte cerințe comune de interoperabilitate și de jurnalizare, cu declarație de conformitate, ca un fel de marcaj CE pentru software-ul medical.

Drepturile tale sub EHDS, unul câte unul

Articolele din capitolul II al regulamentului îți dau, concret:

Acces. Dreptul de a-ți accesa datele electronice de sănătate imediat, gratuit și într-o formă ușor de citit, prin serviciul de acces al țării tale. „Imediat” înseamnă fără cererea scrisă și fără așteptarea de o lună din GDPR, cu o excepție: medicul poate amâna accesul la anumite rezultate (de exemplu un diagnostic grav) până ți-l comunică personal.

Descărcare. Dreptul de a primi o copie electronică în formatul european de schimb, cel puțin pentru categoriile prioritare, și de a o transmite unui furnizor de sănătate la alegere, din orice stat membru.

Completare. Dreptul de a adăuga informații în dosarul tău electronic (de exemplu, măsurători de acasă), marcate clar ca introduse de tine, ca medicul să le distingă de cele clinice.

Rectificare. Dreptul de a cere corectarea datelor greșite, online, prin serviciul de acces.

Restricționare. Dreptul de a limita accesul profesioniștilor la anumite date sau la tot dosarul; cine restricționează e informat că, în urgență, lipsa informației poate afecta îngrijirea.

Informare despre acces. Dreptul de a vedea cine a accesat datele tale, când și din ce instituție: jurnalul de acces devine obligatoriu și vizibil pentru pacient.

Împuternicire. Dreptul de a desemna o altă persoană (un părinte, un copil adult, un tutore) care să-ți acceseze datele în numele tău.

Opoziție la utilizarea secundară. Dreptul de a te opune ca datele tale (pseudonimizate sau anonimizate) să fie folosite pentru cercetare, statistică sau politici publice, în condițiile stabilite de fiecare stat. Nu e un drept absolut, dar există, și statele trebuie să-l implementeze.

Categoriile prioritare: ce circulă primul

EHDS nu cere ca totul să fie disponibil din prima zi. Definește categorii prioritare de date electronice de sănătate, care trebuie să existe în formatul european de schimb și să poată fi accesate și transmise:

1. Rezumatul pacientului (alergii, medicamente, afecțiuni, vaccinuri; în practică, Rezumatul internațional al pacientului sau echivalentul european).
2. Rețetele electronice și dispensările electronice.
3. Imagistica medicală și rapoartele de imagistică.
4. Rezultatele de laborator.
5. Biletele de externare.

La nivel european, infrastructura MyHealth@EU (fostă eHDSI) leagă deja punctele naționale de contact și permite, între țările conectate, schimbul de rezumate ale pacientului și de rețete electronice. EHDS o face obligatorie și o extinde la celelalte categorii.

Când se aplică, de fapt

Aici majoritatea articolelor din presă greșesc. Regulamentul a intrat în vigoare în 2025, dar se aplică în etape:

• 26 martie 2027: aplicarea generală a regulamentului; statele trebuie să aibă autoritățile de sănătate digitală și organismele de acces la date, iar regulile de bază devin operaționale.
• 26 martie 2029: drepturile pacienților și obligațiile furnizorilor pentru rezumatul pacientului și rețetele electronice (primele două categorii prioritare), cerințele pentru sistemele de dosar electronic, și prima etapă a utilizării secundare.
• 26 martie 2031: aceleași obligații pentru imagistică, rezultate de laborator și bilete de externare, plus restul utilizării secundare.
• Pentru statele care au nevoie, anumite termene pot fi prelungite, cu notificare către Comisie.

Ce înseamnă pentru tine: drepturile GDPR le ai deja, acum. Drepturile EHDS devin exigibile treptat, începând cu rezumatul și rețetele în 2029. Până atunci, multe state și furnizori le implementează voluntar sau prin legislație națională, iar aplicațiile serioase construiesc deja pe formatul european.

Ce înseamnă pentru aplicațiile pe care le folosești

EHDS reglementează, în principal, sistemele folosite de furnizorii de sănătate și serviciile naționale de acces. Aplicațiile de wellness (fitness, somn, nutriție) au un regim voluntar: producătorul poate declara că aplicația e interoperabilă cu un sistem de dosar electronic și e înregistrată într-o bază de date europeană; nu e o obligație. Aplicațiile care îți țin dosarul medical personal stau între cele două lumi: nu sunt furnizori de sănătate, dar valoarea lor crește direct cu cât respectă formatul european.

Întrebările pe care merită să le pui unei aplicații, în spiritul EHDS:

• Îmi ține datele în format standard (FHIR, cu coduri) și le exportă complet, ca să le pot duce la un furnizor sau în serviciul național de acces?
• Îmi arată cine a accesat ce din dosarul meu?
• Îmi lasă să dau și să retrag acces pe categorii și pe perioade?
• Îmi marchează clar ce am introdus eu față de ce vine de la un medic sau un laborator (proveniența)?
• Îmi găzduiește datele în UE?

Dacă răspunsurile sunt „da”, aplicația e deja acolo unde legea europeană vrea să ajungă tot sistemul.

Cum îți folosești drepturile, azi

Nu trebuie să aștepți 2029 pentru a începe.

1. Cere accesul, sub GDPR, la orice furnizor care are date despre tine: spital, laborator, clinică privată. În scris, menționând articolul 15 din GDPR; au o lună să răspundă. Cere formatul electronic și, dacă pot, structurat.
2. Folosește portalul național, acolo unde există. Mai multe state oferă deja rezumatul pacientului, rețetele și unele rezultate online; verifică ce oferă al tău și cât din ele poți descărca.
3. Pune ce primești în dosarul tău personal, codificat, ca să fie exportabil și comparabil. Ghidul despre analize explică de ce codurile contează.
4. Cere jurnalul de acces acolo unde există deja (unele sisteme naționale îl oferă) și obișnuiește-te să-l citești.
5. Scrie la privacy@ al oricărui serviciu când ceva nu e clar. Serviciile serioase au o adresă dedicată și răspund.

Cum ajută Anpheros

Anpheros e construit pe principiile EHDS înainte ca ele să devină obligatorii: dosarul tău e stocat ca resurse HL7 FHIR R4 cu coduri standard, în Uniunea Europeană; îl poți exporta complet oricând, inclusiv ca rezumat IPS; fiecare acces al unei clinici, al unei aplicații sau al unui asistent AI cere consimțământul tău, pe o perioadă limitată, revocabil, și rămâne în jurnalul pe care îl vezi; fiecare dată are proveniența marcată (introdusă de tine, scanată dintr-un document, venită de pe un dispozitiv sau de la un furnizor). Cererile legate de datele tale, inclusiv ștergerea contului, se tratează la privacy@anpheros.com, în termenele GDPR.

Întrebări frecvente

EHDS înseamnă că oricine îmi poate vedea datele în toată Europa?

Nu. EHDS reglementează accesul profesioniștilor din sănătate care te îngrijesc, cu jurnalizare și cu dreptul tău de a restricționa, și utilizarea secundară cu date pseudonimizate, sub autorizarea unui organism de acces și cu drept de opoziție. Nu creează o bază de date europeană centrală cu dosarele tuturor.

Pot cere azi datele mele în format FHIR?

Sub GDPR poți cere portabilitatea în „format structurat, uzual și lizibil automat”; furnizorul decide formatul exact și nu e obligat să ofere FHIR. Sub EHDS, din 2029 pentru rezumat și rețete, formatul european de schimb devine obligatoriu. Până atunci, întreabă: multe sisteme pot deja.

Datele mele dintr-o aplicație de dosar personal intră sub EHDS?

Aplicația în sine nu e furnizor de sănătate, deci obligațiile EHDS pentru furnizori nu i se aplică direct; i se aplică GDPR integral. EHDS contează pentru ea indirect: cu cât folosește formatul european, cu atât datele tale pot ajunge mai ușor în sistemele reglementate.

Pot refuza ca datele mele să fie folosite pentru cercetare?

Da, EHDS prevede dreptul de opoziție la utilizarea secundară, implementat de fiecare stat (mecanismul concret diferă). Datele folosite pentru cercetare sunt pseudonimizate sau anonimizate și accesate doar în medii securizate, nu descărcate liber.

Ce fac dacă un spital refuză să-mi dea datele?

Trimite cererea în scris, cu referire la articolul 15 GDPR, și păstrează dovada. Dacă nu primești răspuns într-o lună (sau trei, cu justificare), ai dreptul la plângere la autoritatea națională de protecție a datelor. Din 2029, pentru categoriile prioritare, vei avea și calea serviciului național de acces.