Paciento sveikatos duomenys yra specialių kategorijų asmens duomenys pagal BDAR 9 straipsnį. Klinika gali juos tvarkyti DI įrankyje tik turėdama 9 straipsnyje numatytą pagrindą (sveikatos priežiūros atveju dažniausiai remiamasi 2 dalies h punktu), sudariusi sutartį su tiekėju, žinodama, kur duomenys tvarkomi, ir, kai rizika didelė, atlikusi poveikio duomenų apsaugai vertinimą. Paciento informacija yra konfidenciali ir pagal Pacientų teisių ir žalos sveikatai atlyginimo įstatymo 8 straipsnį.
Kokie teisiniai pagrindai taikomi?
| Situacija | Dažniausias pagrindas | Ką įvertinti |
|---|---|---|
| DI padeda dokumentuoti ar analizuoti gydomo paciento duomenis | BDAR 6 str. ir 9 str. 2 d. h punktas, 9 str. 3 d. | Ar įrankis būtinas tikslui pasiekti, ar duomenis tvarko paslaptį saugoti įpareigoti asmenys |
| DI naudojamas moksliniam tyrimui, kuriame tvarkomi pacientų duomenys | BDAR 9 str. 2 d. j punktas ir nacionalinė teisė arba sutikimas | Etikos ir tyrimų reglamentavimas, pseudonimizavimas |
| Pacientas pats naudoja klinikos pasiūlytą DI programėlę | Dažnai sutikimas ar sutartis | Ar sutikimas tikrai laisvas, kaip jį atšaukti |
| DI mokymas ar tobulinimas naudojant klinikos duomenis | Reikia atskiro įvertinimo | Ar tai suderinama su pirminiu tikslu (6 str. 4 d.) |
Sutikimas sveikatos priežiūroje nėra universalus sprendimas. Jis turi būti laisvas, o pacientas, kuriam reikia gydymo, dažnai nesijaučia galintis atsisakyti. Todėl dažniau remiamasi h punktu, o sutikimu grindžiamos papildomos, nebūtinos funkcijos.
Ką sako VDAI?
Valstybinė duomenų apsaugos inspekcija 2025 m. gegužės 29 d. paskelbtuose klausimuose ir atsakymuose apie DI sistemas nurodo, kad prieš pasirenkant sistemą reikia įvertinti tiekėją ir jo saugumo priemones, nustatyti tikslą, savo statusą, teisinį pagrindą ir būtinus duomenis. Taip pat reikia vertinti visus gyvavimo ciklo etapus, o jei tikslą galima pasiekti be asmens duomenų, rinktis šį būdą. Kaip bendrų duomenų valdytojų pavyzdį VDAI mini kelių ligoninių bendrą sprendimą naudoti DI sistemą pacientų anamnezėms vertinti.
Kodėl reikia atsargumo įrašant konsultacijas
VDAI 2020 m. rekomendacijoje dėl pacientų konsultavimo nuotoliniu būdu nurodė, kad sveikatos priežiūros pokalbių telefonu įrašymas, net ir asmeniui sutikus, paprastai būtų laikomas nesuderinamu su BDAR duomenų kiekio mažinimo principu, o susirašinėjimas ir vaizdo duomenys paprastai neturėtų būti įrašomi ir saugomi.
Rekomendacija skirta nuotolinėms konsultacijoms ir parengta prieš išplintant DI raštvedžiams, tačiau jos logika svarbi ir juos naudojant. Jei konsultacija įrašoma, klinika turi pagrįsti, kodėl tai būtina, kiek laiko įrašas saugomas ir kodėl negalima pasiekti tikslo mažiau duomenų reikalaujančiu būdu, pavyzdžiui, apdorojant garsą neišsaugant įrašo. Plačiau skaitykite puslapyje „DI raštvedžiai konsultacijoms“.
Tiekėjai ir sutartys
DI įrankio tiekėjas, tvarkantis paciento duomenis klinikos vardu, yra duomenų tvarkytojas. Su juo būtina sudaryti BDAR 28 straipsnyje numatytą sutartį. Patikrinkite:
- kur fiziškai tvarkomi ir saugomi duomenys, įskaitant atsargines kopijas;
- kokie subtvarkytojai pasitelkiami, ypač DI modelių teikėjai;
- ar duomenys naudojami modeliams mokyti ar tobulinti ir ar tai galima uždrausti;
- kiek laiko saugomi garso įrašai, transkripcijos ir santraukos, kaip jie ištrinami;
- kokios saugumo priemonės taikomos ir kaip tiekėjas praneša apie pažeidimus;
- ar galima gauti duomenų tvarkymo žurnalus, jei paciento prašymu reikės nustatyti, kas buvo daroma su jo duomenimis.
Pseudonimizavimas ir nuasmeninimas
Jei DI naudojamas analizei ar mokymams, pirmiausia klauskite, ar reikia asmenį identifikuojančių duomenų. Pseudonimizavimas (vardų, asmens kodų pakeitimas kodais) mažina riziką, bet duomenys lieka asmens duomenimis. Medicinos duomenyse asmenį identifikuoti gali padėti ir reta diagnozė, tiksli data ar nedidelė gyvenvietė, todėl vien pašalinti vardą neužtenka.
Paciento teisės, kai naudojamas DI
Paciento teisės pagal BDAR galioja ir tada, kai jo duomenis tvarko DI įrankis. Pacientas gali prašyti susipažinti su savo duomenimis (15 str.), ištaisyti netikslius duomenis (16 str.), o tam tikrais atvejais ir apriboti tvarkymą ar nesutikti su juo. Praktiškai tai reiškia, kad klinika turi žinoti, kur saugomi DI sugeneruoti juodraščiai ir transkripcijos, ir galėti juos rasti. Jei DI įrašė klaidingą informaciją, ji taisoma taip pat kaip bet kuri kita medicinos dokumento klaida.
Kas keisis pradėjus veikti Europos sveikatos duomenų erdvei?
Reglamentas (ES) 2025/327 dėl Europos sveikatos duomenų erdvės paskelbtas 2025 m. kovo 5 d. Jis taikomas nuo 2027 m. kovo 26 d., o atskiros nuostatos pradedamos taikyti etapais 2029 ir 2031 m. Klinikoms tai reikš naujus reikalavimus elektroninių sveikatos įrašų sistemoms ir naujas galimybes naudoti duomenis tyrimams pagal leidimų sistemą.
Ši informacija yra bendro pobūdžio ir nėra teisinė konsultacija. Sveikatos duomenų tvarkymo teisėtumas priklauso nuo konkrečios situacijos, todėl pasitarkite su klinikos duomenų apsaugos pareigūnu ar teisininku.
Reikia įvertinti DI įrankį, kuriuo tvarkomi paciento duomenys?
Aprašykite įrankį ir nurodykite, kokie duomenys į jį pateks. Padėsime suformuluoti klausimus tiekėjui ir pasiruošti vertinimui.
Dažniausi klausimai
Ar klinikai reikia paciento sutikimo naudoti DI?
Ne visada. BDAR 9 straipsnio 2 dalies h punktas leidžia tvarkyti sveikatos duomenis sveikatos priežiūros tikslais, kai tai būtina diagnostikai ir gydymui, o duomenis tvarko paslaptį saugoti įpareigoti specialistai. Tačiau reikia įvertinti, ar konkretus DI įrankis būtinas tam tikslui. Kai kuriais atvejais, pavyzdžiui, įrašant konsultacijas, gali reikėti papildomų garantijų.
Ar pseudonimizuoti duomenys jau nebėra asmens duomenys?
Ne. Pseudonimizuoti duomenys, kuriuos pasitelkus papildomą informaciją galima susieti su asmeniu, pagal BDAR lieka asmens duomenimis. Pseudonimizavimas sumažina riziką, bet BDAR taikomas toliau. Tik tikrai anoniminiams duomenims BDAR netaikomas.
Ar galima naudoti DI įrankį, kurio serveriai yra už ES ribų?
Galima tik turint BDAR V skyriuje numatytą perdavimo pagrindą, pavyzdžiui, Europos Komisijos sprendimą dėl tinkamumo ar standartines sutarčių sąlygas, ir įvertinus riziką. Sveikatos duomenims tvarkyti klinikos dažnai renkasi tiekėjus, kurie duomenis tvarko ES.
Ar reikia poveikio duomenų apsaugai vertinimo?
BDAR 35 straipsnio 3 dalies b punkte numatytas privalomas vertinimas, kai dideliu mastu tvarkomi specialių kategorijų duomenys. Diegiant naują DI technologiją paciento duomenims tvarkyti, vertinimą dažniausiai verta atlikti net ir mažesnėje klinikoje, prieš pradedant bandomąjį projektą.