Răspuns scurt: conform GDPR, datele referitoare la sănătate reprezintă o categorie specială. Articolul 9(1) interzice prelucrarea acestora; Articolul 9(2) enumeră excepțiile care ridică interdicția. Pentru o echipă de produs, patru aspecte sunt importante: (a) consimțământul explicit al persoanei, (h) furnizarea de servicii de sănătate de către sau sub responsabilitatea unui profesionist obligat la secret profesional, (i) sănătatea publică și (j) cercetarea științifică cu garanții conform Articolului 89. O excepție de la Articolul 9 este necesară în plus față de o bază legală obișnuită conform Articolului 6, nu în locul acesteia. Prelucrarea datelor de sănătate la scară declanșează, de asemenea, o evaluare a impactului asupra protecției datelor (DPIA) (Articolul 35) și necesită un responsabil cu protecția datelor (DPO) (Articolul 37).
Ce constituie date de sănătate
În conformitate cu GDPR, datele referitoare la sănătate sunt date personale legate de sănătatea fizică sau mentală a unei persoane, inclusiv furnizarea de servicii de sănătate, care dezvăluie informații despre starea lor de sănătate (Articolul 4(15)). Interpretat pe larg, acesta acoperă valorile de laborator, diagnosticele, medicamentele, programările și concediile medicale, precum și orice date din care se poate deduce o afecțiune medicală.
Articolul 4(15) definește datele referitoare la sănătate ca fiind date cu caracter personal legate de sănătatea fizică sau mentală a unei persoane, inclusiv furnizarea de servicii de sănătate, care dezvăluie informații despre starea lor de sănătate. Considerentul 35 și jurisprudența le interpretează în mod larg: o valoare de laborator, un diagnostic, un medicament, o programare la medic, o notă de concediu medical, un număr de pași combinat cu o afecțiune cardiacă, o căutare a unui simptom legată de un cont. Datele care dezvăluie starea de sănătate sunt date de sănătate chiar dacă nu au fost colectate ca atare. Curtea de Justiție a confirmat în 2022 (OT, C-184/20) că datele din care se poate deduce un fapt din categoria specială sunt ele însele date din categoria specială.
Excepțiile importante
Excepțiile din Articolul 9(2) din GDPR care contează cel mai mult pentru produsele de sănătate sunt consimțământul explicit (a), utilizat de aplicațiile de sănătate pentru consumatori și înregistrările controlate de pacient; furnizarea de servicii medicale (h), utilizată de clinici și furnizorii lor de software sub secret profesional; sănătatea publică (i); cercetarea științifică (j) cu garanțiile Articolului 89; și interesul public substanțial (g), pe care se bazează EHDS pentru utilizarea secundară.
| Articolul 9(2) | Cine îl folosește de obicei | Condiții |
|---|---|---|
| (a) Consimțământ explicit | Aplicații de sănătate pentru consumatori, servicii de wellness, înregistrări controlate de pacient | Dat în mod liber, specific, informat, neechivoc, printr-o acțiune afirmativă clară, la fel de ușor de retras ca și de dat; nu este legat de serviciu decât dacă serviciul necesită datele |
| (c) Interese vitale | Acces de urgență | Doar atunci când persoana este fizic sau legal incapabilă să consimtă |
| (h) Furnizarea de servicii de sănătate | Clinici, spitale, medici de familie, furnizorii lor de software ca persoane împuternicite | Necesar pentru diagnostic, îngrijire, tratament sau managementul sistemelor de sănătate, în temeiul legislației UE sau naționale sau al unui contract cu un profesionist, și sub secret profesional (Articolul 9(3)) |
| (i) Sănătatea publică | Autorități de sănătate publică, farmacovigilență | Bazat pe lege care prevede măsuri adecvate |
| (j) Cercetare, statistici, arhivare | Institute de cercetare, registre, platforme care permit cercetarea | Bazat pe lege, proporțional, cu garanții conform Articolului 89 (pseudonimizare, minimizare) |
| (g) Interes public substanțial | Infrastructuri naționale de date de sănătate | Bazat pe lege; EHDS se bazează pe acesta pentru utilizarea secundară |
Un dosar personal de sănătate controlat de pacient funcționează pe baza (a): persoana decide ce să stocheze și cu cine să partajeze. O clinică care scrie în acel dosar funcționează pe baza (h) pentru propria prelucrare, iar consimțământul pacientului guvernează partajarea. O platformă care deservește ambele roluri este un persoană împuternicită pentru clinică (contract conform Articolului 28) și un operator pentru contul pe care îl oferă persoanei. Scrierea acestor informații, pe operațiune de prelucrare, este esența registrelor cerute de Articolul 30.
Consimțământ care contează cu adevărat
Consimțământul explicit pentru datele de sănătate în temeiul GDPR este valabil numai atunci când este o declarație separată, specifică, per scop, dată printr-un act afirmativ clar, informat despre destinatarii datelor, înregistrat cu ora și metoda, și revocabil la fel de ușor cum a fost acordat. Căsuțele pre-bifate, scopurile grupate și aplicațiile inutilizabile fără consimțământul pentru analiză au fost toate declarate invalide.
Reglementatorii au invalidat consimțământul pentru aplicațiile de sănătate din aceleași motive în mod repetat: căsuțe pre-bifate; consimțământ solicitat pentru totul odată; nicio modalitate de a utiliza aplicația fără a consimți la analize; texte de consimțământ care nu numesc destinatarii; nicio cale de retragere. Consimțământul explicit valid pentru datele de sănătate înseamnă o declarație separată, specifică ("Sunt de acord ca Anpheros să stocheze rezultatele de laborator pe care le încarc"), granulară pe scop (stocare; partajare cu o clinică numită; statistici anonimizate), cu o înregistrare a momentului și modului în care a fost acordat și un comutator care îl revocă cu efect imediat asupra prelucrării viitoare. Datele copiilor necesită deținătorul răspunderii părintești, cu praguri de vârstă stabilite de fiecare stat membru între 13 și 16 ani.
Secretul profesional, Articolul 9(3)
Articolul 9(3) din GDPR stabilește condiția de secret pentru excepția legată de asistența medicală: datele de sănătate pot fi prelucrate în temeiul Articolului 9(2)(h) numai de către sau sub responsabilitatea unui profesionist legat de secretul profesional conform legii UE sau naționale, sau de către o altă persoană supusă unei obligații echivalente de confidențialitate.
Furnizorii de software pentru clinici îndeplinesc această cerință prin contract: acordul cu procesatorul impune confidențialitate personalului cu acces, iar accesul este înregistrat.
Dincolo de Articolul 9
O excepție conform Articolului 9(2) nu este singura obligație GDPR pentru datele de sănătate. Prelucrarea necesită, de asemenea, o bază conform Articolului 6, de obicei o evaluare a impactului asupra protecției datelor (DPIA) conform Articolului 35 și un ofițer pentru protecția datelor conform Articolului 37, limite privind deciziile automate conform Articolului 22, un instrument conform Capitolului V pentru transferuri în afara UE, notificare privind breșele în termen de 72 de ore și legi naționale privind dosarele medicale.
- Articolul 6 se aplică în continuare: contract (6(1)(b)) pentru furnizarea serviciului solicitat de persoană, consimțământ (6(1)(a)), obligație legală, sarcină de interes public sau interese legitime, care nu pot fi utilizate pentru a suprascrie Articolul 9.
- Articolul 35 DPIA este obligatoriu pentru prelucrarea la scară largă a categoriilor speciale; majoritatea aplicațiilor de sănătate și toate platformele se încadrează aici. Vezi DPIA pentru o aplicație de sănătate.
- Articolul 37 DPO este obligatoriu pentru activitățile de bază care constau în prelucrarea la scară largă a categoriilor speciale.
- Articolul 22 limitează deciziile bazate exclusiv pe prelucrarea automată cu efecte semnificative, care include triajul automat sau eligibilitatea; datele de sănătate pot fi utilizate pentru acestea numai cu consimțământ explicit sau o bază legală în lege, cu garanții.
- Articolul 44 și următoarele: transferurile în afara UE necesită adecvare (Cadrul UE-SUA privind confidențialitatea datelor pentru companiile certificate din SUA), clauze contractuale standard cu o evaluare a impactului transferului sau un alt instrument din Capitolul V. Găzduirea în UE evită problema pentru datele în repaus; personalul de suport din străinătate nu.
- Articolele 33-34: notificarea încălcării către autoritate în termen de 72 de ore și către persoane atunci când riscul este ridicat, ceea ce pentru datele de sănătate este de obicei cazul.
- Legislația națională adaugă straturi: legi privind secretul medical, legi privind dosarele medicale, perioade de retenție și, în unele țări, reguli specifice pentru aplicațiile de sănătate (certificarea de găzduire HDS din Franța, cadrul DiGA din Germania).
EHDS deasupra
Regulamentul privind Spațiul European al Datelor de Sănătate (2025/327) nu modifică Articolul 9. Acesta adaugă drepturi de acces și portabilitate a datelor de sănătate într-un format comun, obligații pentru sistemele EHR și un sistem de permise pentru utilizarea secundară care se bazează pe Articolul 9(2)(g), (h), (i) și (j) cu propriile garanții și o opțiune de renunțare. Vezi Datele mele medicale în UE.
În Anpheros
Anpheros prelucrează date de sănătate pe baza consimțământului explicit al persoanei pentru dosarul pe care îl păstrează (Articolul 9(2)(a)), pe scop și revocabil în aplicație, și ca persoană împuternicită pentru clinicile care scriu în acel dosar în baza propriei baze legale conform Articolului 9(2)(h). Fiecare acces de către o clinică necesită aprobarea persoanei pentru un domeniu de aplicare și o durată și apare în jurnalul său de acces. Vezi Platforma de consimțământ a pacientului și Cine mi-a vizualizat dosarul medical?.
Această pagină explică reglementările pentru echipele de produs și inginerie. Nu constituie consultanță juridică; textele legate sub Surse sunt autoritatea, iar responsabilul dvs. cu protecția datelor, organismul notificat sau consilierul decide pentru cazul dvs. Ultima revizuire: Octombrie 2026.
Pagini conexe
- DPIA pentru o aplicație de sănătate: listă de verificare și șablon
- Datele mele medicale în UE: GDPR, EHDS și drepturile dvs.
- HIPAA vs GDPR
- De-identificarea datelor de sănătate
- Platforma de consimțământ a pacientului
- Hartă a reglementărilor privind datele de sănătate
- GDPR pentru dezvoltatori (site pentru dezvoltatori)
Surse
- Articolul 9 GDPR, EUR-Lex
- Articolul 4(15) și Considerentul 35 GDPR, EUR-Lex
- EDPB: Linii directoare 05/2020 privind consimțământul
- CJUE, C-184/20 (OT vs. Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Linii directoare privind prelucrarea datelor de sănătate în scop de cercetare în contextul COVID-19 (03/2020)
- Regulamentul (UE) 2025/327 (EHDS), EUR-Lex
Întrebări frecvente
Un număr de pași este o dată de sănătate?
Singur, de obicei nu. Combinat cu alte date care dezvăluie o stare de sănătate (un diagnostic, un program de reabilitare, o afecțiune cardiacă) sau prelucrat pentru a deduce una, devine o dată referitoare la sănătate. Reglementatorii analizează scopul și deducția, nu doar câmpul brut.
Pot folosi interesele legitime pentru datele de sănătate?
Nu. Interesele legitime este o bază conform Articolului 6; datele de sănătate necesită suplimentar o excepție conform Articolului 9(2), iar niciuna dintre acestea nu este interesele legitime. Analizele pe datele de sănătate necesită consimțământ sau anonimizare.
O clinică are nevoie de consimțământul pacientului pentru a păstra dosare?
Nu conform GDPR: prelucrează în temeiul Articolului 9(2)(h) și al legislației naționale privind sănătatea. Consimțământul devine relevant atunci când datele sunt utilizate pentru altceva (partajare cu o aplicație, cercetare, marketing) sau atunci când legislația națională o cere.
Cât timp pot fi păstrate datele de sănătate?
GDPR stipulează nu mai mult decât este necesar; legile naționale privind dosarele medicale stabilesc perioade concrete de retenție pentru dosarele clinice (adesea 10 până la 30 de ani). Un dosar personal controlat de persoană este păstrat atâta timp cât aceasta îl dorește și este șters la cerere.
Încearcă gratuit în sandbox
Primul apel FHIR în 5 minute. Un API HL7 FHIR R4 cu consimțământul pacientului integrat: încearcă-l în sandbox, apoi conectează-ți propria aplicație sau sistemul clinicii.
Gratuit · 30 de pacienți sintetici · fără card
Anpheros construiește un dosar medical pe care pacientul îl controlează și îl poate da oricărei clinici, pe o platformă HL7 FHIR R4, cu sediul în UE. Ghidurile te ajută să-ți înțelegi și să-ți organizezi sănătatea; nu înlocuiesc medicul.
Despre Anpheros →