Ваші медичні дані в Європейському Союзі: GDPR, EHDS та права, які ви насправді маєте

Ваші лабораторні результати знаходяться в лабораторії. Виписний лист – у лікарні. Рецепти – в аптеці та в національній системі. Всі вони «ваші» в моральному сенсі, але роками закон чітко не визначав, що ви можете запитувати їх в електронному вигляді, отримувати одразу, у зручному форматі та брати з собою куди завгодно. З 2025 року – визначає.

Цей посібник простими словами пояснює два закони, які регулюють ваші медичні дані в Європейському Союзі: GDPR, що діє з 2018 року, та EHDS, Регламент Європейського простору даних про здоров’я, який набув чинності в березні 2025 року та буде застосовуватися поетапно до 2031 року. Це не юридичний текст; це карта ваших прав та того, коли вони стають конкретними.

GDPR: медичні дані – це «спеціальна категорія»

Загальний регламент про захист даних (GDPR) розглядає медичні дані окремо від інших: це спеціальна категорія, описана в Статті 9, поряд з генетичними та біометричними даними. Їх обробка, в принципі, заборонена, з точними винятками: ваша явна згода, медична допомога, суспільний інтерес у сфері охорони здоров’я, дослідження із забезпеченням захисту.

Що це означає для вас конкретно:

• Будь-який додаток, лабораторія чи клініка, що обробляє ваші медичні дані, повинна мати чітку правову підставу та повідомити вам простою мовою, що вона робить з цими даними.
• Ви маєте загальні права GDPR і щодо медичних даних: доступ (щоб побачити, що вони зберігають про вас), виправлення, видалення (з обмеженнями, оскільки медичні записи мають законодавчо встановлені терміни зберігання), портативність (щоб отримати свої дані у структурованому, загальновживаному, машиночитаному форматі) та право заперечувати проти певної обробки.
• Термін відповіді на запит про доступ становить один місяць, з можливістю продовження на два місяці у складних випадках. Доступ безкоштовний.
• Місце зберігання має значення. Дані можуть передаватися за межі ЄС лише із забезпеченням захисту (рішення про адекватність, стандартні положення). Додаток, який зберігає ваші дані в ЄС, знімає це питання.

GDPR надав права. Чого він не надав – це формату та інфраструктури: ви могли запитувати доступ, але отримували PDF або стос паперів через місяці, і лікарня не була зобов’язана надсилати їх до іншої лікарні. Саме цю прогалину заповнює EHDS.

EHDS: що це таке і чому це важливо

Регламент (ЄС) 2025/327 про Європейський простір даних про здоров’я був опублікований у березні 2025 року і набув чинності 26 березня 2025 року. Це перший європейський акт, який визначає для всіх 27 держав-членів, як мають передаватися медичні дані: між вами та вашими лікарями («первинне використання») та, за суворими правилами, для досліджень та державної політики («вторинне використання»).

Три ключові ідеї:

1. Ви маєте електронний, негайний та безкоштовний доступ до своїх медичних даних через національну службу доступу, і ви можете завантажувати їх, доповнювати, обмежувати та бачити, хто їх читав.
2. Дані передаються у спільному форматі (Європейський формат обміну електронними медичними записами, EEHRxF), на основі стандартів, таких як HL7 FHIR, щоб лікарня в Іспанії могла прочитати ваш витяг з Румунії.
3. Системи електронних медичних записів повинні відповідати спільним вимогам щодо взаємосумісності та журналювання, з декларацією відповідності, своєрідним знаком CE для медичного програмного забезпечення.

Ваші права згідно з EHDS, по черзі

Статті Глави II Регламенту надають вам, конкретно:

Доступ. Право на негайний, безкоштовний та легко читабельний доступ до ваших електронних медичних даних через національну службу доступу вашої країни. «Негайно» означає без письмового запиту та місячного очікування за GDPR, з одним винятком: лікар може відкласти доступ до певних результатів (наприклад, серйозного діагнозу) до моменту особистого повідомлення вам.

Завантаження. Право отримати електронну копію в європейському форматі обміну, принаймні для пріоритетних категорій, та передати її постачальнику медичних послуг за вашим вибором у будь-якій державі-члені.

Внесення. Право додавати інформацію до вашого електронного запису (наприклад, домашні вимірювання), чітко позначену як внесену вами, щоб лікар міг відрізнити її від клінічних даних.

Виправлення. Право запитувати виправлення неточних даних онлайн, через службу доступу.

Обмеження. Право обмежувати доступ фахівців до певних даних або до всього запису; той, хто обмежує, інформується, що в екстреній ситуації відсутність інформації може вплинути на лікування.

Інформація про доступ. Право бачити, хто, коли і з якої установи отримував доступ до ваших даних: журнал доступу стає обов’язковим і видимим для пацієнта.

Представник. Право призначити іншу особу (батька, дорослу дитину, опікуна) для доступу до ваших даних від вашого імені.

Заперечення проти вторинного використання. Право заперечувати проти використання ваших даних (псевдонімізованих або анонімізованих) для досліджень, статистики або державної політики, відповідно до умов, встановлених кожною державою-членом. Це не абсолютне право, але воно існує, і держави повинні його реалізувати.

Пріоритетні категорії: що передається першим

EHDS не вимагає, щоб усе було доступно з першого дня. Він визначає пріоритетні категорії електронних медичних даних, які повинні існувати в європейському форматі обміну та бути доступними для доступу та передачі:

1. Резюме пацієнта (алергії, ліки, стани, вакцинації; на практиці, Міжнародне резюме пацієнта або його європейський еквівалент).
2. Електронні рецепти та електронні відпуски.
3. Медичні зображення та звіти про них.
4. Лабораторні результати.
5. Виписні звіти.

На європейському рівні інфраструктура MyHealth@EU (раніше eHDSI) вже пов’язує національні контактні пункти та дозволяє між підключеними країнами обмін резюме пацієнта та електронними рецептами. EHDS робить це обов’язковим і поширює на інші категорії.

Коли це фактично застосовується

Ось де більшість статей у пресі помиляються. Регламент набув чинності у 2025 році, але застосовується поетапно:

• 26 березня 2027 року: загальне застосування Регламенту; держави-члени повинні мати цифрові органи охорони здоров’я та органи доступу до даних про здоров’я, а базові правила стають операційними.
• 26 березня 2029 року: права пацієнтів та обов’язки постачальників щодо резюме пацієнта та електронних рецептів (перші дві пріоритетні категорії), вимоги до систем електронних медичних записів та перший етап вторинного використання.
• 26 березня 2031 року: ті ж зобов’язання щодо зображень, лабораторних результатів та виписних звітів, а також решта вторинного використання.
• Для держав-членів, яким це потрібно, певні терміни можуть бути продовжені з повідомленням Комісії.

Що це означає для вас: ви вже маєте права GDPR зараз. Права EHDS стають обов’язковими поступово, починаючи з резюме та рецептів у 2029 році. До того часу багато держав та постачальників впроваджують їх добровільно або через національне законодавство, а серйозні додатки вже будуються на основі європейського формату.

Що це означає для додатків, якими ви користуєтеся

EHDS регулює переважно системи, що використовуються постачальниками медичних послуг та національними службами доступу. Додатки для здоров’я (фітнес, сон, харчування) мають добровільний режим: виробник може заявити, що додаток сумісний із системою електронних медичних записів, і зареєструвати його в європейській базі даних; це не є обов’язком. Додатки, що зберігають ваш особистий медичний запис, знаходяться між двома світами: вони не є постачальниками медичних послуг, але їхня цінність зростає безпосередньо з тим, наскільки тісно вони дотримуються європейського формату.

Питання, які варто поставити додатку, в дусі EHDS:

• Чи зберігає він мої дані у стандартному форматі (FHIR, з кодами) та експортує їх повністю, щоб я міг передати їх постачальнику або до національної служби доступу?
• Чи показує він мені, хто, до чого мав доступ у моєму записі?
• Чи дозволяє він мені надавати та відкликати доступ за категоріями та періодами?
• Чи чітко він позначає, що ввів я, а що надійшло від лікаря чи лабораторії (походження)?
• Чи зберігає він мої дані в ЄС?

Якщо відповіді «так», додаток вже там, де, за європейським законодавством, має бути вся система.

Як скористатися своїми правами вже сьогодні

Вам не потрібно чекати 2029 року, щоб почати.

1. Запитуйте доступ за GDPR у будь-якого постачальника, який зберігає ваші дані: лікарні, лабораторії, приватної клініки. Письмово, посилаючись на Статтю 15 GDPR; вони мають один місяць на відповідь. Просіть електронний формат і, якщо можливо, структурований.
2. Використовуйте національний портал, де він існує. Кілька держав вже пропонують резюме пацієнта, рецепти та деякі результати онлайн; перевірте, що пропонує ваша країна і скільки з цього ви можете завантажити.
3. Вносьте отримане до свого особистого запису, кодовано, щоб він був експортованим та порівнюваним. Посібник з лабораторних аналізів пояснює, чому коди мають значення.
4. Запитуйте журнал доступу, де він вже існує (деякі національні системи його пропонують), і звикайте його читати.
5. Пишіть на адресу privacy@ будь-якої служби, коли щось незрозуміло. Серйозні служби мають виділену адресу і відповідають.

Як Anpheros допомагає

Anpheros побудований на принципах EHDS ще до того, як вони стали обов’язковими: ваш запис зберігається як ресурси HL7 FHIR R4 зі стандартними кодами в Європейському Союзі; ви можете експортувати його повністю в будь-який час, включаючи резюме IPS; кожен доступ клініки, додатка чи ШІ-асистента вимагає вашої згоди на обмежений термін, яка може бути відкликана, і залишається в журналі, який ви можете бачити; кожна частина даних має позначене походження (введена вами, відсканована з документа, з пристрою або від постачальника). Запити щодо ваших даних, включаючи видалення облікового запису, обробляються за адресою privacy@anpheros.com, в межах термінів GDPR.

Поширені запитання

Чи означає EHDS, що будь-хто може бачити мої дані по всій Європі?

Ні. EHDS регулює доступ медичних працівників, які вас лікують, з журналюванням та вашим правом на обмеження, а також вторинне використання з псевдонімізованими даними під авторизацією органу доступу та з правом на заперечення. Він не створює центральної європейської бази даних усіх записів.

Чи можу я сьогодні запитувати свої дані у форматі FHIR?

За GDPR ви можете запитувати портативність у «структурованому, загальновживаному та машиночитаному форматі»; постачальник вирішує конкретний формат і не зобов’язаний пропонувати FHIR. За EHDS, з 2029 року для резюме та рецептів, європейський формат обміну стає обов’язковим. До того часу запитуйте: багато систем вже можуть це робити.

Чи підпадають мої дані в додатку для особистих записів під дію EHDS?

Сам додаток не є постачальником медичних послуг, тому зобов’язання EHDS для постачальників до нього безпосередньо не застосовуються; до нього повною мірою застосовується GDPR. EHDS опосередковано впливає на нього: чим більше він використовує європейський формат, тим легше ваші дані можуть потрапити до регульованих систем.

Чи можу я відмовитися від використання моїх даних для досліджень?

Так, EHDS передбачає право на заперечення проти вторинного використання, яке реалізується кожною державою-членом (конкретний механізм відрізняється). Дані, що використовуються для досліджень, псевдонімізовані або анонімізовані та доступні лише в безпечних середовищах, а не завантажуються вільно.

Що робити, якщо лікарня відмовляється надати мені мої дані?

Надішліть запит письмово, посилаючись на Статтю 15 GDPR, і збережіть доказ. Якщо ви не отримаєте відповіді протягом одного місяця (або трьох, з обґрунтуванням), ви маєте право подати скаргу до національного органу із захисту даних. З 2029 року, для пріоритетних категорій, у вас також буде шлях через національну службу доступу.