Зміст
- 1. Дані про здоров’я — спеціальна категорія
- 2. Правові підстави для обробки даних про здоров’я
- 3. Обов’язковість DPO — хто має призначити?
- 4. Електронна медична картка (НЗІС)
- 5. Строки зберігання медичних даних
- 6. Відеоспостереження в медичних закладах
- 7. Витік даних про здоров’я — повідомлення КЗЛД і пацієнтів
- 8. Обмін даними між лікувальними закладами
- 9. Телемедицина та дистанційні огляди
- Поширені запитання
1. Дані про здоров’я — спеціальна категорія
Згідно зі ст. 4, п. 15 GDPR, «дані про стан здоров’я» означають персональні дані, пов’язані з фізичним або психічним здоров’ям фізичної особи, включно з наданням медичних послуг, які розкривають інформацію про стан її здоров’я.
Ст. 9, пар. 1 GDPR за загальним правилом забороняє обробку даних про здоров’я. Вони належать до так званих «спеціальних категорій персональних даних» поряд із генетичними даними, біометричними даними, расовим походженням та іншими.
Що охоплюють дані про здоров’я?
Їхній обсяг ширший, ніж здається на перший погляд:
Захворювання та діагнози
Перенесені й поточні захворювання, діагностичні коди (МКХ-10), хронічні стани.
Результати обстежень
Лабораторні результати, діагностична візуалізація, патологоанатомічні висновки, функціональні тести.
Медична історія
Анамнез, попередні госпіталізації, хірургічні втручання, алергії, щеплення.
Рецепти та терапія
Призначені ліки, дозування, плани лікування, фізіотерапевтичні процедури.
Дані медичного страхування
ЄГН (як ідентифікатор у системі охорони здоров’я), номер медичного страхування, дані НЗОК.
Дані з медичних пристроїв
Дані з моніторів рівня глюкози в крові, кардіостимуляторів, фітнес-трекерів (коли їх використовують для лікування), апаратів моніторингу.
Важливо: навіть «непряма» інформація про здоров’я захищена
Згідно з пунктом 35 преамбули GDPR дані про здоров’я охоплюють також номер, символ або відмітну ознаку, присвоєну фізичній особі для цілей охорони здоров’я. Це означає, що навіть сам факт того, що особа є пацієнтом певного спеціаліста (наприклад, онколога, психіатра), може становити інформацію про здоров’я. Інформація про інвалідність, рішення ТЕЛК і дані з листків непрацездатності також є даними про здоров’я.
2. Правові підстави для обробки даних про здоров’я
Оскільки обробка даних про здоров’я за загальним правилом заборонена (ст. 9(1) GDPR), потрібен виняток за ст. 9(2) у поєднанні з правовою підставою за ст. 6(1).
Основна підстава: медична мета (ст. 9(2)(з))
Для безпосереднього надання медичної допомоги основною правовою підставою НЕ є згода пацієнта. Згідно зі ст. 9, пар. 2, літерою «з» GDPR обробка допустима, коли вона необхідна для цілей профілактичної медицини або медицини праці, медичної діагностики, надання медичної чи соціальної допомоги, лікування або управління системами й послугами охорони здоров’я чи соціального захисту.
Це прямо підтверджено також у пункті 53 преамбули GDPR, який зазначає, що обробка даних про здоров’я для цілей охорони здоров’я не повинна вимагати згоди суб’єкта.
Чому згода НЕ є підставою для безпосереднього надання медичної допомоги?
Згода за GDPR має бути надана добровільно (ст. 7, пункт 43 преамбули). У відносинах лікар–пацієнт важко гарантувати добровільність — пацієнт залежить від лікаря й може відчувати примус. Крім того, якщо пацієнт відкличе згоду, лікар буде зобов’язаний припинити обробку, що може поставити під загрозу здоров’я пацієнта. Тому ст. 9(2)(з) є належною підставою.
Коли потрібна згода?
| Діяльність | Правова підстава | Згода? |
|---|---|---|
| Огляд, діагностика, лікування | Ст. 9(2)(з) — медична мета | НІ |
| Виписування рецепта | Ст. 9(2)(з) — медична мета | НІ |
| Внесення медичної послуги до НЗІС | Ст. 9(2)(з) + Закон про здоров’я | НІ |
| Доступ пацієнта до його електронної медичної картки в НЗІС | Ст. 28д, ч. 2 Закону про здоров’я | ТАК — явно виражена письмова |
| Маркетинг медичних послуг | Ст. 9(2)(а) — згода | ТАК — явно виражена |
| Передавання особам поза медичною сферою (страховикам, роботодавцям) | Ст. 9(2)(а) — згода | ТАК — явно виражена |
| Участь у науковому дослідженні | Ст. 9(2)(й) — наукові цілі + згода | ТАК (зазвичай) |
| Публікація фото/відео лікування | Ст. 9(2)(а) — згода | ТАК — явно виражена |
| Додаткові (нелікувальні) послуги | Ст. 9(2)(а) — згода | ТАК |
Увага: інформована медична згода ≠ згода за GDPR
«Інформована згода» за ст. 87–89 Закону про здоров’я (на медичні процедури) відрізняється від згоди на обробку персональних даних за GDPR. Вони мають різні правові підстави, різну форму й різні наслідки відкликання. Не поєднуйте їх в одному формулярі.
3. Обов’язковість DPO — хто має призначити?
Згідно зі ст. 37, пар. 1, літерою «в» GDPR призначення відповідальної особи із захисту даних (DPO) обов’язкове, коли основна діяльність контролера полягає в масштабній обробці спеціальних категорій даних. Дані про здоров’я є спеціальною категорією.
Ключове питання: що означає «масштабна»? Згідно з Настановами WP243 EDPB (переглянутими), чинники охоплюють: кількість осіб, яких стосується обробка, обсяг даних, тривалість обробки та географічне охоплення.
| Тип закладу | Обов’язковість DPO | Обґрунтування |
|---|---|---|
| Лікарня (МБАЛ, УМБАЛ) | ОБОВ’ЯЗКОВО | Масштабна обробка даних про здоров’я — тисячі пацієнтів, численні відділення |
| Спеціалізована лікарня | ОБОВ’ЯЗКОВО | Масштабна обробка, чутливі дані (онкологія, психіатрія тощо) |
| Групова практика / Медичний центр | ДУЖЕ ЙМОВІРНО | Багато спеціалістів, значна кількість пацієнтів — зазвичай досягає порогу «масштабності» |
| Лабораторія (МДЛ, МДД) | ЙМОВІРНО | Великий обсяг досліджень, багато пацієнтів від різних лікарів |
| Аптека (мережа) | ЙМОВІРНО | Обробляє рецепти, дані медичного страхування, великий потік пацієнтів |
| Окрема аптека | Рекомендовано | Менший масштаб, але обробляє рецепти й дані про здоров’я |
| Лікар / Стоматолог з індивідуальною практикою | НЕ обов’язково | Настанови WP243 Робочої групи за ст. 29 (схвалені EDPB) наводять лікарів з індивідуальною практикою як приклад, коли призначення DPO зазвичай не є обов’язковим — обробка не є «масштабною» |
Практична порада: навіть коли це не обов’язково
Навіть якщо ви не зобов’язані призначати DPO, наполегливо рекомендуємо визначити контактну особу з питань захисту даних. Дані про здоров’я пов’язані з високим ризиком, а залучення спеціаліста значно зменшує ймовірність порушень. Докладніше читайте в нашій статті про DPO — відповідальну особу із захисту даних.
4. Електронна медична картка (НЗІС)
Національна інформаційна система охорони здоров’я (НЗІС) — централізована система, врегульована ст. 28б–28д Закону про здоров’я. Вона є центральним реєстром електронної охорони здоров’я в Болгарії та порушує ключові питання щодо GDPR.
Основні характеристики НЗІС:
- Автоматичне створення — електронна медична картка створюється під час внесення першого медичного запису про особу
- Обов’язкове внесення записів — усі медичні послуги (огляди, обстеження, діагнози, рецепти, госпіталізації) мають бути внесені до НЗІС
- Строк зберігання: 50 років — записи зберігаються 50 років із моменту створення
- Контролер: Міністерство охорони здоров’я — МОЗ є контролером НЗІС, а лікувальні заклади в цьому контексті є обробниками персональних даних
Доступ пацієнта до електронної медичної картки
Згідно зі ст. 28д, ч. 2 Закону про здоров’я доступ пацієнта до власної електронної медичної картки потребує явно вираженої письмової згоди. Постанова Н-6 від 2022 р. передбачає 5 чинних способів надання такої згоди:
- За допомогою кваліфікованого електронного підпису (КЕП)
- За допомогою персонального ідентифікаційного коду (ПІК) НАП/НОІ
- За допомогою засобу електронної ідентифікації (eID)
- Через письмову заяву на папері в лікувальному закладі
- Через уповноважену особу (з нотаріально посвідченою довіреністю)
Європейський простір даних про здоров’я (EHDS)
Регламент (ЄС) 2025/327 (Європейський простір даних про здоров’я) ухвалено у 2025 р., і він суттєво змінить середовище обробки даних про здоров’я в ЄС:
Первинне використання (з березня 2027 р.) — пацієнти отримають право на доступ до своїх даних про здоров’я в електронному форматі та право на їх перенесення між державами-членами. Медичні фахівці матимуть транскордонний доступ до даних пацієнтів.
Вторинне використання (з березня 2029 р.) — анонімізовані/псевдонімізовані дані про здоров’я можна буде використовувати для наукових досліджень, інновацій і громадського здоров’я через спеціалізовані органи доступу.
5. Строки зберігання медичних даних
Принцип обмеження зберігання (ст. 5(1)(д) GDPR) вимагає зберігати дані лише стільки, скільки необхідно. Однак в охороні здоров’я діє багато спеціальних законодавчих вимог:
| Тип документа / даних | Строк | Правова підстава |
|---|---|---|
| Історія хвороби (стаціонарна) | 15 років | Постанова № 1 від 2017 р. про умови та порядок ведення медичної документації |
| Амбулаторні листки та картки | 10 років | Постанова 1/2014 |
| Лабораторні результати | 2–5 років | Залежно від виду дослідження та внутрішніх правил |
| Рецепти та рецептурні книжки | 5 років | Постанова 4/2009 про умови та порядок призначення й відпуску ліків |
| Профілактична документація | 3 роки | Постанова 1/2014 |
| Електронна медична картка (НЗІС) | 50 років | Ст. 28г Закону про здоров’я |
| Дані та звіти НЗОК | 5 років після припинення страхування | Закон про медичне страхування + Національний рамковий договір |
| Згоди на обробку (GDPR) | 5 років після відкликання або останньої обробки | GDPR ст. 7(1) — підтвердження згоди + строк позовної давності |
Право на видалення — обмеження щодо медичних даних
Право на видалення за ст. 17 GDPR НЕ застосовується, коли обробка необхідна для цілей профілактичної медицини або медицини праці (ст. 17(3)(в)). На практиці пацієнт не може вимагати видалення медичних записів у межах установлених законом строків. Однак він має право на доступ (ст. 15) і виправлення (ст. 16) неточних даних.
6. Відеоспостереження в медичних закладах
Багато лікарень і клінік використовують відеоспостереження для безпеки. У медичному закладі ризики вищі — камери можуть знімати пацієнтів у вразливому стані.
Правова підстава
Відеоспостереження в медичних закладах зазвичай ґрунтується на ст. 6(1)(е) GDPR — законний інтерес (безпека пацієнтів, персоналу та майна). Потрібна оцінка балансу між законним інтересом і правами суб’єктів.
Категоричні заборони:
- Камери в кабінетах для огляду та маніпуляційних
- Камери в кімнатах для лікування та процедур
- Камери в зонах, де пацієнти роздягаються
- Камери в туалетах і ванних кімнатах
- Камери в кімнатах відпочинку персоналу
Обов’язкові заходи:
Інформаційні таблички
Видимі позначення на кожному вході до зони з камерами — хто здійснює спостереження, з якою метою, контактні дані контролера/DPO.
Оцінка впливу (DPIA)
Відеоспостереження в медичних закладах майже завжди потребує DPIA за ст. 35 GDPR — систематичний моніторинг + вразливі суб’єкти.
Обмежений строк зберігання
Записи зазвичай зберігаються від 7 до 30 днів залежно від мети; КЗЛД не встановлює фіксованого строку, а вимагає пропорційності, якщо немає конкретної причини для довшого зберігання (наприклад, інциденту).
Обмежений доступ
Доступ до записів мають отримувати лише визначені особи з чітко обґрунтованою потребою. Ведіть журнал доступу.
Докладніше про вимоги GDPR до відеоспостереження читайте в нашій спеціалізованій статті: Відеоспостереження та GDPR.
7. Витік даних про здоров’я — повідомлення КЗЛД і пацієнтів
Порушення безпеки даних про здоров’я належать до найтяжчих інцидентів за GDPR. Ці дані є чутливими, а наслідки майже завжди тяжкі — від дискримінації до загрози життю.
Дані про здоров’я = майже завжди витік із високим ризиком
Згідно з Настановами EDPB щодо повідомлення про порушення, витік даних про здоров’я майже автоматично кваліфікується як високоризиковий. Це означає подвійний обов’язок:
Ст. 33 GDPR — повідомлення КЗЛД протягом 72 годин із моменту виявлення.
Ст. 34 GDPR — повідомлення постраждалих пацієнтів без невиправданої затримки, коли порушення може спричинити високий ризик для їхніх прав і свобод.
Приклади тяжких інцидентів:
- Атака програмою-вимагачем, яка шифрує бази даних пацієнтів
- Несанкціонований доступ працівника до медичних записів відомої особи
- Втрата ноутбука з незашифрованими даними пацієнтів
- Надсилання медичних результатів на помилкову електронну адресу
- Хакерська атака на портал НЗІС лікувального закладу
Дії в разі інциденту:
Виявлення та локалізація
Зупиніть витік. Ізолюйте уражені системи. Збережіть докази.
Оцінка ризику
Визначте, які дані постраждали, скільки пацієнтів це стосується та які можливі наслідки.
Повідомлення КЗЛД
Протягом 72 годин подайте повідомлення до Комісії із захисту персональних даних.
Повідомлення пацієнтів
Щодо даних про здоров’я — майже завжди необхідне. Повідомляйте чітко й конкретно.
Докладний покроковий посібник читайте тут: Витік персональних даних — що робити в перші 72 години.
8. Обмін даними між лікувальними закладами
У медичній практиці лікувальним закладам часто потрібно обмінюватися даними пацієнтів. Ст. 28 Закону про здоров’я визначає допустимі випадки:
| Мета передавання | Допустимо? | Умови |
|---|---|---|
| Продовження лікування (направлення до спеціаліста) | ТАК | Необхідно для безперервності допомоги. Мінімізація — лише відповідні дані. |
| Загроза здоров’ю або життю пацієнта | ТАК | Невідкладні ситуації — без потреби у згоді. |
| Ідентифікація особи | ТАК | Коли пацієнт не може сам повідомити, хто він (непритомність, деменція). |
| Громадське здоров’я (епідемії, нагляд) | ТАК | Ст. 9(2)(и) GDPR — суспільний інтерес у сфері громадського здоров’я. |
| Медична експертиза (ТЕЛК, НЕЛК) | ТАК | Законна підстава для медичної експертизи працездатності. |
| Анонімізоване наукове дослідження | ТАК | Після повної анонімізації GDPR більше не застосовується. За псевдонімізації — додаткові заходи. |
| Маркетинг іншого закладу | НІ | Не є допустимою правовою підставою для передавання даних про здоров’я. |
| Передавання страховикам без згоди | НІ | Потрібна явно виражена згода пацієнта. |
Принцип мінімізації (ст. 5(1)(в) GDPR)
Навіть коли передавання допустиме, слід надавати лише дані, необхідні для конкретної мети. Якщо ви направляєте пацієнта до кардіолога, не потрібно надсилати всю його стоматологічну історію. Використовуйте захищені канали зв’язку та ведіть реєстр передавання даних.
9. Телемедицина та дистанційні огляди
Завдяки змінам до Закону про здоров’я від 2024 р. дистанційна медична діяльність була офіційно врегульована в болгарському законодавстві. Проєкт Постанови про дистанційну медичну допомогу пройшов громадське обговорення (завершене в липні 2025 р.), і очікується набрання ним чинності.
Вимоги GDPR до телемедицини:
Наскрізне шифрування
Увесь відео/аудіозв’язок між лікарем і пацієнтом має бути зашифрований. Стандартні споживчі платформи (Viber, Messenger) НЕ підходять.
Внесення записів до НЗІС
Усі дистанційні медичні послуги мають вноситися до НЗІС, як і очні. Зокрема діагнози, призначення та рекомендації.
Автентифікація пацієнта
Потрібна надійна ідентифікація пацієнта — за ЄГН, номером медичного страхування або за допомогою електронної ідентифікації.
Інформована згода
Пацієнта слід поінформувати про особливості дистанційного огляду, включно з обмеженнями та ризиками обробки даних.
Безпека даних (ст. 32 GDPR)
Належні технічні заходи: шифрування під час зберігання, контроль доступу, журнали доступу, регулярне тестування безпеки.
DPIA для нових технологій
Впровадження телемедичної платформи є «новим типом обробки» — імовірно, потребує DPIA за ст. 35 GDPR до запуску.
Увага: платформи для телемедицини
Телемедична платформа є обробником персональних даних у розумінні ст. 28 GDPR. Потрібен договір про обробку даних (DPA). Перевірте: де зберігаються дані (ЄЕП?), чи є субпідрядники за межами ЄС, чи відповідає платформа ISO/IEC 27001:2022, ISO/IEC 27701:2019 (PIMS) та ISO 27799 (спеціальному стандарту для сфери охорони здоров’я) або еквівалентному стандарту та чи шифруються записи під час зберігання.
Поширені запитання
Чи потрібен моєму приватному лікарському кабінету DPO?
Якщо ви лікар з індивідуальною практикою (наприклад, сімейний лікар або стоматолог), ви НЕ зобов’язані призначати DPO. EDPB (WP243) прямо виключає лікарів з індивідуальною практикою. Але якщо ви групова практика або медичний центр із багатьма спеціалістами, обов’язок, імовірно, застосовується. Докладніше читайте в нашій статті про DPO.
Чи може пацієнт вимагати видалення своїх медичних даних?
Право на видалення (ст. 17 GDPR) НЕ застосовується, коли обробка необхідна для цілей профілактичної медицини або медицини праці (ст. 17(3)(в)). Медичні записи зберігаються протягом установлених законом строків (наприклад, 15 років для історії хвороби). Однак пацієнт має повне право на доступ (ст. 15) і виправлення неточних даних (ст. 16).
Які дані автоматично вносяться до НЗІС?
До НЗІС вносяться всі медичні послуги: огляди, обстеження, діагнози, терапії, направлення, рецепти та госпіталізації. Електронна медична картка створюється автоматично під час внесення першого медичного запису й зберігається 50 років (ст. 28г Закону про здоров’я). Доступ пацієнта потребує явно вираженої письмової згоди (ст. 28д, ч. 2).
Чи потрібно повідомляти КЗЛД про витік даних пацієнтів?
Так, майже завжди. Дані про здоров’я є спеціальною категорією за ст. 9 GDPR, а порушення їхньої безпеки вважається високоризиковим. Ви маєте повідомити КЗЛД протягом 72 годин (ст. 33), а постраждалих пацієнтів — без невиправданої затримки (ст. 34). Перегляньте наш посібник щодо витоку даних.
Чи можу я використовувати телемедицину й обробляти дані пацієнтів дистанційно?
Так. Змінами до Закону про здоров’я від 2024 р. дистанційну медичну діяльність офіційно врегульовано. Потрібні: зв’язок із наскрізним шифруванням, внесення записів до НЗІС, інформована згода та дотримання GDPR (ст. 32). Уникайте незашифрованих споживчих платформ, таких як Viber або Messenger.
