Instruire GDPR – septembrie – octombrie 2026

Această instruire durează aproximativ 30-60 de minute și este destinată întregului personal al clinicii (medical și non-medical) care are, prin natura activității, acces la date ale pacienților. La final, completați cele două câmpuri de identificare și testul de verificare, apoi apăsați butonul de finalizare.

Identificare persoană instruită

Completați denumirea angajatorului și datele dumneavoastră în formularul de la finalul paginii, imediat înainte de butonul de finalizare. Datele de identificare, precum și rezultatul testului, vor fi păstrate de Battlegroup timp de 3 ani, ca dovadă a efectuării instruirii GDPR.

1. De ce contează protecția datelor în activitatea medicală

Datele despre sănătate sunt printre cele mai sensibile date cu caracter personal pe care le poate deține o organizație. Regulamentul (UE) 2016/679 (GDPR), Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR, precum și obligațiile de secret profesional din legislația sănătății (Legea drepturilor pacientului nr. 46/2003, Codul deontologic) se aplică simultan oricărei persoane care lucrează într-o clinică — nu doar medicilor, ci și asistenților, recepției, personalului administrativ, IT sau de curățenie, în măsura în care aceștia pot vedea sau accesa date ale pacienților.

Nerespectarea acestor reguli nu este doar un risc teoretic: poate atrage sancțiuni pentru clinică din partea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), dar și răspundere disciplinară individuală, iar în cazurile de divulgare a secretului profesional, răspundere penală.

2. Ce sunt datele privind sănătatea

Conform art. 4 pct. 15 GDPR, datele privind sănătatea reprezintă orice informație referitoare la starea de sănătate fizică sau mentală, trecută, prezentă sau viitoare, a unei persoane fizice, care dezvăluie informații despre starea de sănătate a acesteia. Intră aici: diagnostice, rezultate de analize, fișe de observație, rețete, programări la anumite specialități (care pot dezvălui o afecțiune), imagini medicale, dar și informații aparent minore — de exemplu faptul că o persoană a fost programată la un anumit cabinet poate, prin el însuși, să dezvăluie o afecțiune.

Aceste date fac parte din categoria specială prevăzută de art. 9 GDPR, cu regim de protecție consolidat față de datele obișnuite (nume, telefon, adresă).

3. Pe ce bază legală prelucrăm date medicale

Pentru actul medical propriu-zis (consultație, diagnostic, tratament, îngrijire), clinica nu are nevoie, de regulă, de consimțământul explicit al pacientului pentru a-i prelucra datele medicale — temeiul este art. 9 alin. (2) lit. h) GDPR: scopuri de medicină preventivă, diagnostic medical, furnizarea de asistență medicală sau tratament, sub obligația de secret profesional a personalului implicat.

Consimțământul explicit devine necesar pentru activități separate de actul medical propriu-zis, de exemplu: marketing direct (oferte, newslettere), utilizarea imaginilor pacienților în scop promoțional, transmiterea datelor către parteneri comerciali sau participarea într-un studiu clinic. Nu confundați aceste situații: „pacientul a semnat acordul de consultație” nu înseamnă automat că a consimțit și la primirea de mesaje promoționale.

4. Secretul profesional și confidențialitatea

Fiecare persoană din clinică, indiferent de funcție, este ținută de o obligație de confidențialitate cu privire la tot ce află despre pacienți — nu doar diagnostice, ci și simplul fapt că o anumită persoană este pacientul clinicii. Această obligație continuă și după încetarea raportului de muncă.

Accesul la dosarul unui pacient trebuie să fie justificat de un motiv profesional concret („need to know”). Vizualizarea dosarului unei rude, a unui prieten, a unei persoane cunoscute sau a unei personalități publice, fără un motiv medical/administrativ legat de rolul dumneavoastră, este o încălcare — indiferent dacă informația este ulterior „păstrată pentru sine” și nu este divulgată mai departe. Simplul acces nejustificat este deja o problemă.

5. Principiile GDPR, aplicate zilnic

• Minimizare — colectați și consultați doar datele necesare scopului concret (nu răsfoiți dosare „din curiozitate” sau „ca să vedeți”).
• Scop determinat — datele colectate pentru actul medical nu se refolosesc automat pentru alte scopuri (marketing, statistici externe) fără temei separat.
• Exactitate — corectați prompt o eroare observată într-un dosar (nume greșit, dată greșită).
• Limitarea stocării — documentele se păstrează atât cât prevede legislația medicală/arhivistică aplicabilă, nu la infinit și nu mai puțin decât obligația legală.
• Integritate și confidențialitate — măsuri de securitate adecvate: parole individuale, ecrane blocate, dulapuri încuiate, acces limitat.
• Responsabilitate — clinica (și fiecare angajat) trebuie să poată demonstra, la nevoie, că a respectat aceste reguli.

6. Drepturile pacientului — ce faceți când primiți o cerere

Pacienții au drepturi GDPR (acces, rectificare, opoziție, portabilitate) și drepturi specifice din legislația sănătății (acces la propriul dosar medical, în condițiile Legii nr. 46/2003). Un aspect important: dreptul la ștergere („dreptul de a fi uitat”) nu se aplică automat dosarului medical — clinica are obligații legale de arhivare a documentelor medicale pe perioade stabilite de lege, care prevalează, în acea perioadă, asupra unei cereri de ștergere.

Dacă un pacient (sau altcineva) vă solicită direct, verbal sau în scris, acces, copii, ștergere sau corectarea datelor sale: nu răspundeți personal la cerere și nu decideți singur. Redirecționați imediat cererea către responsabilul desemnat / DPO-ul clinicii, notând data și modul în care a fost primită cererea.

7. Reguli practice, zi de zi

• Nu discutați cazuri de pacienți în spații comune — lift, sală de așteptare, hol, la telefon în prezența altor persoane.
• Blocați ecranul calculatorului (Windows+L sau echivalent) de fiecare dată când vă ridicați de la birou, chiar și pentru câteva minute.
• Documentele pe hârtie nu se lasă la vedere pe birou („clean desk”); dosarele se păstrează în dulapuri/spații cu acces controlat.
• Nu fotografiați ecrane sau documente cu date de pacienți și nu le trimiteți pe WhatsApp, grupuri personale sau rețele sociale, nici măcar „între colegi”, nici măcar anonimizat parțial.
• Conturile și parolele sunt individuale — nu se partajează, nici temporar, nici „pentru rapiditate”.
• Verificați identitatea destinatarului înainte de a comunica rezultate sau informații medicale prin telefon sau email; evitați trimiterea necriptată a datelor sensibile prin email fără nicio măsură minimă de protecție (ex. atașament protejat prin parolă).
• Documentele destinate distrugerii (ciorne, printuri greșite cu date de pacienți) se distrug prin mijloace care împiedică reconstituirea (tocător de hârtie), nu se aruncă la gunoiul obișnuit.

8. Transmiterea datelor către terți

Laboratoare partenere, asigurători, angajatori (medicina muncii), autorități publice — fiecare transmitere de date către un terț are nevoie de un temei legal propriu și trebuie limitată la ce este strict necesar. Exemplu concret: o fișă de aptitudine transmisă angajatorului unui pacient conține doar concluzia (apt / inapt / apt condiționat) — niciodată diagnosticul sau detaliile medicale care au stat la baza concluziei.

9. Incidente de securitate — ce faceți dacă observați unul

Un incident de securitate („breach”) înseamnă orice pierdere, acces neautorizat, divulgare accidentală sau alterare a datelor — de exemplu: un dosar pierdut sau uitat undeva, un email trimis către destinatarul greșit, un laptop sau telefon de serviciu pierdut/furat, acces neautorizat la sistemul informatic, un atac informatic (ransomware).

Regula esențială: dacă observați sau suspectați un astfel de incident, anunțați imediat responsabilul/DPO-ul clinicii — chiar dacă nu sunteți sigur de amploarea lui sau credeți că „nu e nimic grav”. Clinica are obligația legală de a evalua și, dacă e cazul, de a notifica ANSPDCP în termen de 72 de ore de la momentul în care a luat cunoștință de incident — un termen care se calculează de la primul semnal, nu de la momentul în care aveți certitudinea gravității. Întârzierea raportării interne poate compromite acest termen.

10. Sancțiuni

Nerespectarea regulilor GDPR poate atrage, pentru clinică, amenzi din partea ANSPDCP (calculate procentual din cifra de afaceri sau în sume fixe, în funcție de gravitate) și, pentru angajat, răspundere disciplinară internă. Divulgarea secretului profesional medical poate constitui, suplimentar, infracțiune conform Codului penal. Aceste consecințe pot fi evitate aproape în întregime prin respectarea regulilor simple descrise mai sus.

11. Rezumat rapid

• Accesați doar datele de care aveți nevoie pentru rolul dumneavoastră.
• Nu discutați, nu fotografiați, nu trimiteți date de pacienți pe canale neautorizate.
• Blocați ecranul, păstrați documentele în siguranță, folosiți parola dumneavoastră proprie.
• Orice cerere a unui pacient privind datele sale → redirecționată imediat către DPO/responsabil, nu rezolvată personal.
• Orice suspiciune de incident de securitate → anunțată imediat, fără întârziere.

Resurse pentru descărcare

Puteți descărca și păstra la locul de muncă următoarele fișe de referință rapidă:

• 📄 10 reguli GDPR la cabinet — fișă de perete
• 📄 Ce faci când observi un incident de securitate a datelor — procedură rapidă
• 📄 Cum răspunzi la o cerere de acces la dosarul medical — ghid rapid

Finalizare instruire

Răspundeți la cele 12 întrebări de mai jos, apoi completați câmpurile de identificare (dacă nu ați făcut-o deja la începutul paginii) și apăsați butonul de finalizare. Este necesar un scor de minimum 75% (9 din 12 răspunsuri corecte) pentru rezultatul „Promovat”. Dacă rezultatul este „Nepromovat”, vă recomandăm să recitiți materialul înainte de a trimite din nou formularul.