Egészségügyi adatok az Európai Unióban: GDPR, EHDS és az Önt megillető jogok

A laboreredményei a laboratóriumban. A zárójelentése a kórházban. A vényei a patikában és a nemzeti rendszerben. Mindegyik „az Ön” birtokában van erkölcsi értelemben, de évekig a törvény nem mondta ki egyértelműen, hogy elektronikus úton kérheti őket, azonnal, használható formátumban megkaphatja, és bárhová magával viheti. 2025-től ez megváltozik.

Ez az útmutató közérthetően magyarázza el azokat a törvényeket, amelyek az Európai Unióban az egészségügyi adatait szabályozzák: a 2018 óta hatályos GDPR-t és az EHDS-t, az Európai Egészségügyi Adattérről szóló rendeletet, amely 2025 márciusában lépett hatályba, és 2031-ig fokozatosan kerül bevezetésre. Ez nem jogi szöveg; ez egy térkép az Önt megillető jogokról és arról, hogy mikor válnak azok konkrétan érvényesíthetővé.

GDPR: az egészségügyi adatok „különleges kategóriát” képeznek

Az Általános Adatvédelmi Rendelet (GDPR) külön kezeli az egészségügyi adatokat a többitől: ezek különleges kategóriát képeznek, a 9. cikkben említve a genetikai és biometrikus adatok mellett. Feldolgozásuk alapvetően tilos, kivéve pontosan meghatározott esetekben: az Ön kifejezett hozzájárulása, orvosi ellátás, közérdek az egészségügyben, kutatás megfelelő garanciákkal.

Ez mit jelent az Ön számára konkrétan:

• Bármely alkalmazásnak, laboratóriumnak vagy klinikának, amely az Ön egészségügyi adatait feldolgozza, világos jogalappal kell rendelkeznie, és közérthetően tájékoztatnia kell arról, hogy mit tesz azokkal.
• Az általános GDPR-jogok az egészségügyi adatokra is vonatkoznak: hozzáférés (annak megtekintése, hogy milyen adatok vannak Önről), helyesbítés, törlés (korlátokkal, mivel az orvosi dokumentációknak jogi megőrzési időtartamuk van), hordozhatóság (az adatok strukturált, általánosan használt, géppel olvasható formátumban történő átvétele), valamint a bizonyos adatkezelések elleni tiltakozás joga.
• A válaszadási határidő egy hozzáférési kérelemre egy hónap, amely bonyolult esetekben két hónappal meghosszabbítható. A hozzáférés ingyenes.
• A tárhely számít. Az adatok az EU-n kívülre csak garanciákkal (megfelelőségi határozatok, általános szerződési feltételek) továbbíthatók. Egy olyan alkalmazás, amely az Ön adatait az EU-ban tárolja, ezt a kérdést kiküszöböli.

A GDPR megadta a jogokat. Amit nem adott meg, az a formátum és az infrastruktúra: kérhetett hozzáférést, de PDF-et vagy papírköteget kapott hónapok múlva, és a kórház nem volt köteles arra, hogy képes legyen azt egy másik kórháznak elküldeni. Pontosan ezt a hiányosságot pótolja az EHDS.

EHDS: mi ez és miért fontos

Az Európai Egészségügyi Adattérről szóló (EU) 2025/327 rendelet 2025 márciusában jelent meg, és 2025. március 26-án lépett hatályba. Ez az első európai jogszabály, amely mind a 27 tagállam számára meghatározza, hogyan kell az egészségügyi adatoknak áramolniuk: Ön és orvosai között („elsődleges felhasználás”), valamint szigorú szabályok mellett kutatás és közpolitika céljára („másodlagos felhasználás”).

Három központi gondolat:

1. Elektronikus, azonnali és ingyenes hozzáférése van az egészségügyi adataihoz egy nemzeti hozzáférési szolgáltatáson keresztül, és letöltheti, kiegészítheti, korlátozhatja azokat, és láthatja, ki olvasta őket.
2. Az adatok közös formátumban áramlanak (az európai elektronikus egészségügyi nyilvántartási csereformátum, EEHRxF), olyan szabványokon alapulva, mint a HL7 FHIR, így egy spanyolországi kórház el tudja olvasni a romániai összefoglalóját.
3. Az elektronikus egészségügyi nyilvántartási rendszereknek közös követelményeknek kell megfelelniük az interoperabilitás és a naplózás terén, megfelelőségi nyilatkozattal, ami egyfajta CE-jelölés az orvosi szoftverek számára.

Az Ön jogai az EHDS alapján, egyenként

A rendelet II. fejezetének cikkei konkrétan biztosítják az Ön számára:

Hozzáférés. Az elektronikus egészségügyi adatokhoz való azonnali, ingyenes és könnyen olvasható formában történő hozzáférés joga az ország hozzáférési szolgáltatásán keresztül. „Azonnali” azt jelenti, hogy írásbeli kérelem és az egy hónapos GDPR-os várakozási idő nélkül, egy kivétellel: egy orvos késleltetheti bizonyos eredményekhez való hozzáférést (például egy súlyos diagnózis) mindaddig, amíg személyesen nem tájékoztatta Önt.

Letöltés. Az európai csereformátumban elektronikus másolat átvételének joga, legalábbis a prioritási kategóriák esetében, és annak továbbítása az Ön által választott egészségügyi szolgáltatóhoz, bármely tagállamban.

Beszúrás. Az elektronikus nyilvántartásához információk hozzáadásának joga (például otthoni mérések), amely egyértelműen jelölve van, mint az Ön által bevitt adat, hogy az orvos meg tudja különböztetni a klinikai adatoktól.

Helyesbítés. A téves adatok javítására irányuló kérelem online, a hozzáférési szolgáltatáson keresztül.

Korlátozás. Az egészségügyi szakemberek bizonyos adatokhoz vagy a teljes nyilvántartáshoz való hozzáférésének korlátozására irányuló jog; aki korlátoz, tájékoztatást kap arról, hogy vészhelyzetben az információ hiánya befolyásolhatja az ellátást.

Hozzáférési információk. Annak megtekintésének joga, hogy ki, mikor és melyik intézményből férhetett hozzá az adataihoz: a hozzáférési napló kötelezővé és a beteg számára láthatóvá válik.

Meghatalmazott. Más személy (szülő, felnőtt gyermek, gondviselő) kijelölésének joga, hogy az Ön nevében hozzáférjen az adataihoz.

Tiltakozás a másodlagos felhasználás ellen. Az adatai (pszeudonimizált vagy anonimizált) kutatási, statisztikai vagy közpolitikai célú felhasználása elleni tiltakozás joga, az egyes tagállamok által meghatározott feltételek mellett. Ez nem abszolút jog, de létezik, és az államoknak be kell vezetniük.

A prioritási kategóriák: mi áramlik először

Az EHDS nem írja elő, hogy mindennek az első naptól elérhetőnek kell lennie. Meghatározza az elektronikus egészségügyi adatok prioritási kategóriáit, amelyeknek az európai csereformátumban kell létezniük, és hozzáférhetőnek és továbbíthatónak kell lenniük:

1. A betegösszefoglaló (allergiák, gyógyszerek, állapotok, oltások; gyakorlatilag az International Patient Summary vagy annak európai megfelelője).
2. Elektronikus vények és elektronikus gyógyszertári kiadások.
3. Orvosi képalkotás és képalkotási jelentések.
4. Laboratóriumi eredmények.
5. Zárójelentések.

Európai szinten a MyHealth@EU infrastruktúra (korábbi nevén eHDSI) már összekapcsolja a nemzeti kapcsolattartó pontokat, és a csatlakoztatott országok között lehetővé teszi a betegösszefoglalók és az elektronikus vények cseréjét. Az EHDS ezt kötelezővé teszi, és kiterjeszti a többi kategóriára.

Mikor lép életbe ténylegesen

Itt tévednek a legtöbb sajtócikkek. A rendelet 2025-ben lépett hatályba, de fokozatosan alkalmazandó:

• 2027. március 26.: a rendelet általános alkalmazása; a tagállamoknak rendelkezniük kell digitális egészségügyi hatóságokkal és egészségügyi adatokhoz való hozzáférést biztosító szervekkel, és az alapvető szabályok működőképessé válnak.
• 2029. március 26.: a betegjogok és a szolgáltatók kötelezettségei a betegösszefoglaló és az elektronikus vények (az első két prioritási kategória) esetében, az elektronikus egészségügyi nyilvántartási rendszerekre vonatkozó követelmények, valamint a másodlagos felhasználás első szakasza.
• 2031. március 26.: ugyanezek a kötelezettségek a képalkotás, laboratóriumi eredmények és zárójelentések esetében, valamint a másodlagos felhasználás többi része.
• Azoknak a tagállamoknak, amelyeknek szükségük van rá, bizonyos határidők meghosszabbíthatók, a Bizottság értesítése mellett.

Ez mit jelent az Ön számára: a GDPR-jogok már most is megilletik. Az EHDS jogok fokozatosan válnak érvényesíthetővé, kezdve az összefoglalóval és a vényekkel 2029-ben. Addig is sok állam és szolgáltató önkéntesen vagy nemzeti jogszabályok révén vezeti be őket, és a komoly alkalmazások már az európai formátumra építenek.

Mit jelent az Ön által használt alkalmazásokra nézve

Az EHDS elsősorban az egészségügyi szolgáltatók által használt rendszereket és a nemzeti hozzáférési szolgáltatásokat szabályozza. A wellness alkalmazások (fitness, alvás, táplálkozás) önkéntes rezsimmel rendelkeznek: a gyártó bejelentheti, hogy az alkalmazás interoperábilis egy elektronikus egészségügyi nyilvántartási rendszerrel, és regisztrálhatja azt egy európai adatbázisban; ez nem kötelezettség. Azok az alkalmazások, amelyek az Ön személyes orvosi nyilvántartását tárolják, a két világ között helyezkednek el: nem egészségügyi szolgáltatók, de értékük közvetlenül nő azzal, ahogyan szorosan követik az európai formátumot.

Az EHDS szellemében érdemes feltenni egy alkalmazásnak a következő kérdéseket:

• Tárolja az adataimat szabványos formátumban (FHIR, kódokkal) és teljes egészében exportálja, hogy elvihessem egy szolgáltatóhoz vagy a nemzeti hozzáférési szolgáltatáshoz?
• Megmutatja, hogy ki, mit értett el a nyilvántartásomban?
• Lehetővé teszi-e a hozzáférés engedélyezését és visszavonását kategória és időszak szerint?
• Világosan megjelöli-e, hogy mit vittem be, szemben azzal, ami orvostól vagy laboratóriumból származik (eredet)?
• Az EU-ban tárolja az adataimat?

Ha a válaszok „igen”, az alkalmazás már ott tart, ahol az európai jog szerint az egész rendszernek kellene lennie.

Hogyan érvényesítheti jogait, ma

Nem kell 2029-ig várnia, hogy elkezdje.

1. Kérjen hozzáférést a GDPR alapján bármely szolgáltatótól, amely az Ön adatait tárolja: kórház, laboratórium, magánklinika. Írásban, hivatkozva a GDPR 15. cikkére; egy hónapjuk van válaszolni. Kérjen elektronikus formátumot, és ha tudnak, strukturáltat.
2. Használja a nemzeti portált, ahol létezik. Számos állam kínál már betegösszefoglalót, vényeket és néhány eredményt online; ellenőrizze, mit kínál az Ön országa, és mennyit tud letölteni.
3. Tegye bele a kapott információkat a személyes nyilvántartásába, kódolva, hogy exportálható és összehasonlítható legyen. A laboreredményekről szóló útmutató elmagyarázza, miért fontosak a kódok.
4. Kérje a hozzáférési naplót, ahol már létezik (néhány nemzeti rendszer kínálja), és szokja meg az olvasását.
5. Írjon a privacy@ címre bármely szolgáltatónál, ha valami nem világos. A komoly szolgáltatásoknak van dedikált címe, és válaszolnak.

Hogyan segít az Anpheros

Az Anpheros az EHDS elveire épül, még mielőtt azok kötelezővé válnának: az Ön nyilvántartása HL7 FHIR R4 erőforrásokkal, szabványos kódokkal, az Európai Unióban kerül tárolásra; bármikor teljes egészében exportálhatja, beleértve az IPS összefoglalót is; minden hozzáférés egy klinikától, egy alkalmazástól vagy egy AI asszisztenstől az Ön beleegyezését igényli, korlátozott ideig, visszavonhatóan, és a naplóban marad, amit láthat; minden adatdarabnak meg van jelölve az eredete (az Ön által bevitt, dokumentumból beolvasott, eszközről vagy szolgáltatótól származó). Az Ön adataival kapcsolatos kéréseket, beleértve a fiók törlését is, a privacy@anpheros.com címen kezeljük, a GDPR határidőin belül.

Gyakori kérdések

Jelenti az EHDS azt, hogy bárki láthatja az adataimat Európa-szerte?

Nem. Az EHDS az Önt kezelő egészségügyi szakemberek hozzáférését szabályozza, naplózással és az Ön korlátozási jogával, valamint a pszeudonimizált adatok másodlagos felhasználását, egy hozzáférési szerv engedélyével és tiltakozási joggal. Nem hoz létre egy központi európai adatbázist mindenki nyilvántartásáról.

Kérhetem ma az adataimat FHIR formátumban?

A GDPR alapján kérheti a hordozhatóságot „strukturált, általánosan használt és géppel olvasható formátumban”; a szolgáltató dönti el a pontos formátumot, és nem köteles FHIR-t kínálni. Az EHDS alapján, 2029-től az összefoglaló és a vények esetében az európai csereformátum kötelezővé válik. Addig is kérdezze meg: sok rendszer már képes rá.

Az adaim egy személyes nyilvántartási alkalmazásban az EHDS hatálya alá tartoznak?

Az alkalmazás maga nem egészségügyi szolgáltató, így az EHDS szolgáltatókra vonatkozó kötelezettségei nem vonatkoznak rá közvetlenül; a GDPR teljes egészében rá vonatkozik. Az EHDS közvetve fontos számára: minél inkább használja az európai formátumot, annál könnyebben juthatnak el adatai a szabályozott rendszerekhez.

Megtagadhatom az adaim kutatási célú felhasználását?

Igen, az EHDS tiltakozási jogot biztosít a másodlagos felhasználás ellen, amelyet minden tagállam bevezet (a konkrét mechanizmus eltérő). A kutatási célra felhasznált adatokat pszeudonimizálják vagy anonimizálják, és csak biztonságos környezetben férnek hozzájuk, nem töltik le szabadon.

Mit tegyek, ha egy kórház megtagadja az adaim átadását?

Küldje el a kérést írásban, hivatkozva a GDPR 15. cikkére, és őrizze meg a bizonyítékot. Ha egy hónapon belül (vagy indoklással három hónapon belül) nem kap választ, joga van panaszt tenni a nemzeti adatvédelmi hatóságnál. 2029-től a prioritási kategóriák esetében a nemzeti hozzáférési szolgáltatás útvonalát is igénybe veheti.