GDPR a ochrana citlivých dat ve farmacii

Transkript

1 GDPR a ochrana citlivých dat ve farmacii JUDr. Ondřej Dostál, Ph.D., LL.M. Head of Pharmaceutical and Healthcare Practice AK PriceWaterhouseCoopers Legal, s.r.o. Program Úvodem Obecné nařízení o ochraně dat: základní informace GDPR v praxi farmaceutické společnosti Next steps, reakce na hrozby Naše zkušenosti ÚOOÚ: Nihil novo 15 let vývoje práva lékařské mlčenlivosti, ochrany soukromí a vedení zdravotnických dokumentací Komplexní přístup v ČR (prostředí, právo, technologie), evropské a globální poznatky ke GDPR 1

2 Co je také GDPR Co je také GDPR 2

3 Obecné nařízení o ochraně dat Základní informace Obecné nařízení o ochraně dat: forma Obecné nařízení ( GDPR ) schváleno v dubnu 2016, účinnost 25. května 2018 Nařízení není směrnice! Přímá závaznost, vymahatelnost práv, riziko trestů Přednost evropského práva před národním kromě odchylek, které Nařízení samo připouští Výrazné zpřísnění stávajících národních předpisů o mlčenlivosti, zdravotnické dokumentaci a předávání dat, zejména co do sankcí 3

4 K čemu je GDPR dobré? V době přijetí staré směrnice a 101/2000 Sb.: Pro připojení k Internetu se tahala šňůra z telefonu byl pro většinu lidí krycí nátěrová hmota Mark Zuckerberg se učil na maturitu Současnost Práce, zábava, nákupy, daně, státní správa v síti Obrovský rozsah povinně, dobrovolně i nedobrovolně předávaných dat Hodnota dat marketing, profilování, kontrola Chybí kontrola nad daty, obrana proti zneužití, právo nebýt online Výsledek společenské poptávky: Nařízení 2016/679, 88 stran, garance práv, až stamilionové sankce Kontext GDPR a zdravotnictví Zkraje tisíciletí: ZD jako autorský výtvor, patří lékaři? Případ Hlinka, 2004 má vdova přístup do ZD? ČR ČLK: Má pacientka právo na opravu zápisu v ZD? Kauza LDN 2008, pozměněná ZD (nic netypického ) Registry: tradice od šedesátých let 4

5 GDPR a zdravotnictví Aplikace GDPR ve zdravotnictví Úroveň IT u zdravotníků a poskytovatelů Laboratorní vzorky, genetická vyšetření Kamerové systémy pro ochranu majetku Nositelné nebo implantovatelné přístroje Telemedicínská řešení Objednací, klientské a premium care systémy Specifika předávání buněk, tkání, vzorků, gamet Obsah GDPR: Definice Osobní údaj: veškeré informace o identifikované nebo identifikovatelné fyzické osobě ( subjekt údajů ); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby Údaj o zdravotním stavu: osobní údaje týkající se tělesného nebo duševního zdraví fyzické osoby, včetně údajů o poskytnutí zdravotních služeb, které vypovídají o jejím zdravotním stavu; 5

6 Obsah GDPR: Definice Pseudonymizace: zpracování osobních údajů tak, že již nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací, pokud jsou tyto dodatečné informace uchovávány odděleně a vztahují se na ně technická a organizační opatření, aby bylo zajištěno, že nebudou přiřazeny identifikované či identifikovatelné fyzické osobě Anonymní údaj (101/2000 Sb.): takový údaj, který buď v původním tvaru nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů, Zpracování: Obsah GDPR: Definice jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení 6

7 Obsah GDPR: Definice Souhlas jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů; Správce: Obsah GDPR: Definice fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů Zpracovatel: fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce 7

8 Obsah GDPR: Definice Profilování: jakákoli forma automatizovaného zpracování osobních údajů spočívající v jejich použití k hodnocení některých osobních aspektů vztahujících se k fyzické osobě, zejména k rozboru nebo odhadu aspektů týkajících se jejího pracovního výkonu, ekonomické situace, zdravotního stavu, osobních preferencí, zájmů, spolehlivosti, chování, místa, kde se nachází, nebo pohybu Zásady GDPR Zásady GDPR pro zpracování dat Zákonnost, korektnost a transparentnost ve vztahu k subjektu Účelové omezení ( Pro určité, výslovně vyjádřené a legitimní účely ) Minimalizace údajů ( přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány ) Přesnost, aktualizace, opravy, výmaz nepřesností Omezení doby uložení Integrita a důvěrnost (zabezpečení proti náhodné ztrátě a neoprávněnému zpracování) Odpovědnost a sankce 8

9 Zpracování údajů - principy Se souhlasem nebo zákonná licence Svoboda uděleného souhlasu Je zřejmé, komu, v jakém rozsahu a k jakému účelu uděluji souhlas Udělení souhlasu oddělené od jiných skutečností Odvolání souhlasu stejně snadné jako udělení Souhlas se zpracováním osobních údajů nelze vázat na nesouvisející smluvní plnění No grandfathering staré souhlasy neplatí, pokud nejsou v souladu s GDPR Základní práva subjektu údajů dle GDPR Přístup na informace zejména: Totožnost a kontakt správce, případně pověřence Účel zpracování a právní základ pro něj Doba, po jakou budou uloženy Informace o zdroji osobních údajů Oprava, výmaz, omezení Oprava nepřesných či doplnění neúplných Právo být zapomenut (nejsou potřebné pro účel; odvolání souhlasu; protiprávní zpracování) Právo na omezení zpracování Přenositelnost údajů Námitky proti zpracování 9

10 Vybrané povinnosti správce dle GDPR Odpovědnost za ochranu údajů S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, jež s sebou zpracování nese, zavede správce jak v době určení prostředků pro zpracování, tak v době zpracování samotného vhodná technická a organizační opatření, jako je pseudonymizace, jejichž účelem je provádět zásady ochrany údajů, jako je minimalizace údajů, účinným způsobem a začlenit do zpracování nezbytné záruky, tak aby splnil požadavky tohoto nařízení a ochránil práva subjektů údajů. Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Zpracovatel Využití pouze zpracovatelů, kteří poskytují dostatečné záruky zavedení vhodných technických a organizačních opatření tak, aby dané zpracování splňovalo požadavky tohoto nařízení a aby byla zajištěna ochrana práv subjektu údajů. Zpracovatel nezapojí do zpracování žádného dalšího zpracovatele bez předchozího konkrétního nebo obecného písemného povolení správce. Vybrané povinnosti správce dle GDPR Ohlašování porušení zabezpečení dozorujícímu úřadu Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění. Oznamování porušení zabezpečení subjektu údajů Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů. 10

11 Vybrané povinnosti správce dle GDPR Posouzení vlivu na ochranu osobních údajů Pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování bude mít za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Předchozí konzultace Správce konzultuje před zpracováním s dozorovým úřadem, pokud z posouzení vlivu na ochranu osobních údajů, že by dané zpracování mělo za následek vysoké riziko v případě, že by správce nepřijal opatření ke zmírnění tohoto rizika. Pověřenci Odvětvové kodexy Vydávání osvědčení Další nástroje dle GDPR Předávání do třetích zemí a záruky Sankce a odpovědnost Právo na stížnost Právo na účinnou soudní ochranu vůči dozorovému orgánu, a vůči správci/zpracovateli Zastoupení neziskovým subjektem Náhrada újmy 11

12 Sankční systém Sankční systém Skutečně efektivní vynutitelnost Trestní, správní i občanskoprávní sankce Nejprve výtka, potom trest Soud a Úřad: lze napadat nečinnost, naopak Úřad může pohnat správce k soudu Sankce z obratu celé skupiny podniků za rok nebo 20mil. EUR, cokoliv je větší Německý pacient si stěžuje u německého ÚOOÚ Neziskovka může pomoci pacientům před soudem Legislativní změny Úpravy platného 101/2000 Sb. Relevantní novely elektronická identifikace, kybernetická bezpečnost Zdravotnické předpisy GDPR se ZoL (378/2007) GDPR se ZoZS (372/2011 Sb.), včetně vyhlášek Termín účinnosti GDPR nedává dostatek času pro legislativní proces 12

13 GDPR v praxi farmaceutické společnosti Oblasti aplikace GDPR ve farmacii Obecné pro všechny podniky Správa osobních údajů zaměstnanců Mzdové systémy, neschopenky Předávání údajů mezi českými, EU a non-eu pobočkami Ochrana IT proti napadení 13

14 Oblasti aplikace GDPR ve farmacii Speciální pro oblast farmacie: Klinický výzkum Klinický výzkum, použití, archivace Nábor a selekce pacientů, data nevybraných pacientů Komunikace se zkoušejícími lékaři, jejich osobní data Ne-studie (varianta marketing, varianta léčba ) a platnost souhlasu pacienta s účastí Oblasti aplikace GDPR ve farmacii Farmakovigilance, hlášení vedlejších účinků a uchování záznamů o reakci Konkrétní dotazy na MAH od pacientů Reporting vůči SÚKL, CÚER Kontext úhrad: Zpracování farmakoekonomických dat Sledování v režimu VILP Ve vztahu poskytovatelů k pojišťovnám otázka ENP Řešení platby za efekt či jiných mechanismů dělby finančního rizika Marketing, pacienti, zdravotníci; klientské programy lékáren a dalších poskytovatelů, využití dat, recepty a DTP 14

15 Oblasti aplikace GDPR ve farmacii Registry se zákonnou úpravou Obecně GDPR registry aprobuje ( vědecké, statistické, historické účely ) Ale přesné vymezení účelu Ale nezbytnost zpracování osobních údajů co do rozsahu (minimalizace dat), proporcionality (nezbytnost) a doby zpracování Ochrana dat (pseudonymizace, anonymizace) Práva subjektu (vědět co se shromažďuje, žádat o opravu, napadat nepotřebnost shromažďování) Registry bez zákonné úpravy Nutný souhlas ke konkrétnímu účelu či účelům, nejde-li o statistická data Oblasti aplikace GDPR ve farmacii Kdo spravuje data? Farmafirma je zpravidla hned několik subjektů (výrobce, MAH, český distributor ) v různých jurisdikcích Souhlas daný jednomu není automaticky platný pro všechny, Vztah správce-zpracovatel, zajištění přeshraniční ochrany dat, smazání nepotřebného atd. Specifické situace u cílené léčby Předání mimořádně citlivých genetických informací a/nebo vzorku po linii lékař-laboratoř-výrobce-lékař V budoucnu půjde patrně o trend, nutno řádně pokrýt souhlasem pacienta již na úrovni ošetřujícího lékaře 15

16 Oblasti aplikace GDPR ve farmacii Různé Prezentace pacientských kazuistik na vědeckých sympoziích, veřejná debata o vzácně nemocných Historické souhlasy (EZK, studie), jejich dobrovolnost, platnost a trvání Projekty zveřejnění odměn lékařů např. za přednášky či studie - dobrovolnost, provázanost souhlasu se smlouvou, trvání souhlasu Širší otázka souhlasu se zdravotní péčí, ergo se zpracováním dat Next steps, reakce na hrozby 16

17 Next steps Do května 2018 je zapotřebí Připravit technické prvky zabezpečení dat v podniku, plně kompatibilní s GDPR Vysvětlit jejich potřebnost a důležitost zaměstnancům i smluvním partnerům Zajistit bezpečnou správu, zpracování a předávání dat vůči zdravotníkům, úřadům, pojišťovnám a dalším K tomu může přispět Kodex chování pro podniky ve zdravotnictví Zpracovaný srozumitelně pro zdravotníky Konzultovaný s regulátorem Připravenost na ochranu dat Je schopen náš tým připravit se na GDPR svépomocí? Osoba s právní kvalifikací s bezpečnostní/it kvalifikací se znalostí prostředí firmy s odhadem budoucích rizik s představivostí Problém provozní slepoty všichni to tak dělají odjakživa Účinnost řady zjistím zanalyzuji rozhodnu zavedu, edukační schopnosti vůči ostatním kolegům a vysvětlení potřebnosti Časová a lidská náročnost Je schopen náš tým udržet trvalou připravenost? Pro GDPR nestačí procesy jednorázově zavést, ale i udržovat Soustavné technologické výzvy (a možná i právní) Má tým rychlejší OODA Loop (observe-orient-decide-act) než hackeři? Zvládne tým troubleshooting vůči regulátorovi a/nebo subjektům dat? Vyplatí se tuto kapacitu udržovat, nebo zvolit outsourcing? 17

18 Připravenost na ochranu dat: role externistů Které oblasti potřebují posílit? Věcná znalost? IT bezpečnost? Právo? Možné oblasti pomoci: Test: počáteční gap analysis Volba a implementace Edukace zaměstnanců, povinná a nepovinná činnost pověřenců pro ochranu osobních údajů (větší entity, nebo skupiny menších entit), školení či dodání vhodných osob Autorizace a vydávání osvědčení dle GDPR Pojištění profesní odpovědnosti Komunikace s ÚOOÚ poskytování stanovisek, povinná a nepovinná předběžná posouzení dopadu, dosažení polehčujících okolností Krizová připravenost (srv.wannacry): Rozpoznání a řešení hrozeb, hlášení regulátorům, řízení vztahů s dotčenými subjekty/poškozenými, public relations Jen rada, nebo připravenost reagovat a převzít odpovědnost? Děkuji za pozornost Ondřej Dostál AK PwC Legal, s.r.o. ondrej.dostal@pwclegal.cz 18