Comisia Europeană a publicat un studiu privind „ Evaluarea normelor statelor membre ale UE privind datele de sănătate în lumina GDPR ”. Studiul constată că, deși Regulamentul General privind Protecția Datelor (GDPR) stabilește reguli direct aplicabile în toate statele membre, au rămas variații în ceea ce privește legislației la nivel național în ceea ce privește prelucrarea datelor cu caracter personal în domeniul sănătății. Acest lucru a dus la o abordare fragmentată, în statele membre UE, a modului în care prelucrarea datelor personale pentru serviciile de sănătate și cercetare, având un impact negativ asupra cooperării transfrontaliere pentru furnizarea de îngrijiri medicale precum și asupra  modului în care este administrat sistemul de sănătate, sănătatea publică sau cercetarea.

Obiectivul studiului a fost de a examina și de a prezenta normele legale ale statelor membre UE care guvernează prelucrarea datelor de sănătate în lumina GDPR. Scopul a fost de a evidenția diferențele și de a identifica elemente care ar putea afecta schimbul transfrontalier de date privind sănătatea în UE pentru asistență medicală sau pentru cercetare, inovare și elaborarea politicilor și să examineze potențialul acțiunilor la nivelul UE pentru a sprijini utilizarea datelor și reutilizare.

Studiul s-a bazat pe o serie de ateliere de lucru destinate experților în domeniu, organizate în prima jumătate a anului 2020, cu participarea reprezentanților din Ministerele Sănătății, reprezentanții părților interesate, Autoritățile pentru Protecția Datelor și experți independenți, realizându-se mai multe consultări online între părțile interesate din întreaga UE.

Studiul a identificat potențiale acțiuni viitoare la nivelul UE, inclusiv coduri de conduită orientate către părțile interesate, precum și noi legislații specifice și sectoriale specifice la nivelul UE. Pe lângă cerințele legale și de guvernanța, studiul indică, de asemenea, necesitatea unei abordări mai armonizate în toate statele membre în ceea ce privește infrastructura tehnică, interoperabilitatea tehnică și semantică. Calitatea și modul în care sunt obținute  datele, abilitățile digitale și dezvoltarea capacităților pentru utilizarea primară și secundară a datelor de sănătate au fost, de asemenea, domenii identificate în care o abordare armonizată ar putea fi benefică.

Studiul subliniază cât de importantă este cooperarea la nivelul UE între statele membre și părțile interesate relevante, cu un accent deosebit pe interesele pacienților. Studiul specifică faptul că aceștia ar trebui să fie sprijiniți ca agenți activi în propria lor sănătate și îngrijire, cu capacitate deplină de a-și exercita drepturile legate de datele de sănătate.

În concluzie, se consideră că dezvoltarea Spațiului european de date privind sănătatea, inclusiv legislația specifică care urmează să fie adoptată pentru a completa propunerea pentru un act de guvernanță a datelor, oferă oportunitatea ideală de a se baza pe sugestiile prezentate în studiu. În plus, se consideră că se asigură că datele de sănătate pot fi utilizate pentru a promova o mai bună îngrijire a pacienților, sisteme de sănătate mai rezistente și o mai bună colaborare în domeniul protecției sănătății publice și a cercetării în domeniul sănătății în întreaga Uniune Europeană.

STUDIUL POATE FI CONSULTAT AICI:

• https://ec.europa.eu/health/sites/health/files/ehealth/docs/ms_rules_health-data_en.pdf

ANEXA PRIVIND DATELE PENTRU FIECARE TARA ( România pagina 181):

• https://ec.europa.eu/health/sites/health/files/ehealth/docs/ms_rules_health-data_annex_en.pdf

Autoritatea Europeană pentru Protecția Datelor (EDPS) a emis în data de 29 Octombrie 2020 un document strategic care vizează monitorizarea conformității instituțiilor, organismelor, oficiilor și agențiilor europene în legătură cu cu transferurile de date cu caracter personal către țări terțe și, în special Statele Unite, după ce CJUE a emis în iulie 2020 Hotărârea „Schrems II”. Obiectivul este ca transferurile internaționale în curs și viitoare să fie efectuate în conformitate cu legislația UE privind protecția datelor.

Wojciech Wiewiórowski a declarat: „ Transferurile de date cu caracter personal de către instituțiile europene către țări terțe ar trebui să respecte Carta drepturilor fundamentale a UE, precum și legislația UE aplicabilă privind protecția datelor, în special capitolul V din Regulamentul (UE) 2018/1725 . În acest scop, strategia se bazează pe cooperarea și responsabilitatea operatorilor pentru a evalua dacă standardul de protecție în esență echivalent, pe baza hotărârii Curții, este garantată atunci când se efectuează transferuri de date cu caracter personal către țări terțe. În plus, EDPS va continua să coopereze îndeaproape cu alte autorități pentru protecția datelor (DPA) în cadrul Comitetului european pentru protecția datelor (EDPB), astfel încât datele cu caracter personal ale persoanelor să fie protejate în mod constant în întreaga UE / SEE, atunci când au loc transferuri de date către țări terțe ”. 

Hotărârea are consecințe importante asupra tuturor instrumentelor juridice utilizate pentru a transfera date cu caracter personal din SEE către orice țară terță, inclusiv transferuri între autoritățile publice. În timp ce strategia își propune să aducă toate transferurile în conformitate cu hotărârea pe termen mediu, EDPS a identificat două priorități pe care trebuie să le abordeze pe termen scurt: contractele în curs de desfășurare a operatorului și / sau contractele de procesare către împuterniciți care implică transferuri de date către țări terțe, cu un accent deosebit pe cele efectuate în Statele Unite.

În acest context, EDPS a elaborat un plan de acțiune pentru a raționaliza măsurile de conformitate și de aplicare, făcând distincție între acțiunile de conformitate pe termen scurt și mediu.

Pe măsură ce strategia continuă să fie pusă în aplicare, EDPS încurajează cu tărie toate instituțiile europene să evite transferurile de date cu caracter personal către Statele Unite pentru noi operațiuni de prelucrare sau noi contracte cu furnizorii de servicii.

În acest context, Portalul dpo-NET.ro - Data Protection Officers Network continuă organizarea evenimentelor dpo.TALKS și organizează împreună cu NeoPrivacy România, CERT-RO - Centrul Național de Răspuns la Incidente de Securitate Cibernetică, Inperspective, Bunnyshell și NewsMAN  în data de 2 Noiembrie 2020, în intervalul orar 10.00-11.30, o dezbatere cu tema "SCHREMS II – Avem soluții?" care își propune să aducă în prim plan efectele deciziei Curții Europene de Justiție privind invalidarea Privacy Shield, punând accentul în primul rând pe soluții.

Vom analiza efectele acestei decizii împreună cu Daniela Cireașă, Senior Partner NeoPrivacy Romania, Mihai Guranda, șef Serviciu Juridic și Resurse Umane CERT-RO, Alex Gheorghe, CEO Inperspective, Alin Dobra, CEO Bunnyshell și Florina Coca, Marketing Manager NewsMAN.

• WEBINARUL ESTE TRANSMIS LIVE PE YouTube si pe pagina de Facebook Dpo-NET.ro - Data Protection Officers Network - https://www.facebook.com/dponet.ro
• Accesul este GRATUIT și nu necesită înscriere în cazul în care nu se dorește certificat de participare.
• Evenimentul este înregistrat si este disponibil GRATUIT în spațiul public pentru a asigura accesul unui numar cat mai mare de persoane.
• Aveti posibilitatea de a adresa intrebari speakerilor, inca din momentul inregistrarii, sau in direct si organizatorii se vor stradui sa va raspunda in cadrul sesiunii de intrebari si raspunsuri.

AGENDA - dpo.TALKS - "SCHREMS II – Avem soluții? " - 2 Noiembrie 2020 - 10.00-11.30

• Invitați:
  • Mihai Guranda, șef Serviciu Juridic și Resurse Umane CERT-RO
  • Alex Gheorghe, CEO Inperspective
  • Alin Dobra, CEO Bunnyshell
  • Florina Coca, Marketing Manager NewsMAN
• Moderator: Daniela Cireașă, Senior Partner NeoPrivacy Romania

10.00 - 10.45 - Analiza implicațiilor acestei decizii 

1. Este decizia Curții Europene de Justiție denumita „Schrems II” in beneficiul actual al mediului de business European si extra-European?
2. Ce sunt Clauzele Contractuale Standard si de ce nu pot fi in prezent utilizate ca solutie de conformare cu Decizia Schrems II?
3. Pozitia Guvernului U.S.A față de această decizie a Curții Europene de Justiție
4. Cum este perceputa aceasta Decizie de către companiile care trebuie sa o respecte?
5. Poate fi aplicata această Decizie? Acordurile de prelucrare date semnate in prezent de companii trebuie sa fie completate/modificate in sensul Deciziei Schrems II?

10.45 - 11.15 - Soluții

1. Pseudonimixare si criptare ca solutii privind respectarea Schrems II
2. Avem solutii alternative la nivel national sau European la instrumentele create si controlate de Statele Unite ale Americii (Google, Microsoft, HubSpot, Calendly, MailChimp si altele)?
3. Prezentare a doua soluții românești: NEWSMAN și BUNNYSHELL
4. Cat costa aplicarea solutiilor existente conforme cu Decizia Schrems II?

11.15 - 11.30 - Sesiune de intrebari si raspunsuri

Toti participantii vor primi un certificat de participare nominal, în cazul în care completează formularul de înscriere de mai jos.

Presa internațională anunță amendarea retailer-ului H&M de către Autoritatea de Supraveghere din Germania cu suma de 35,258,707.95 euro. Compania înregistrată în Hamburg și având un service center în Nuernberg, păstra evidențe extinse încă din anul 2014 privind viața privată a propriilor angajați. Informațiile erau stocate pe un drive intern (internal network drive).

Informațiile stocate erau următoarele:

1. Vacanțe;
2. Concedii medicale - inclusiv absențe de scurtă durată (!) - după care managerii purtau cu angajații reîntorși la muncă anumite discuții denumite “Welcome Back Talks”, în urma cărora obțineau și stocau detalii despre experiențele concrete avute în vacanță, simptome suferite de angajați în urma anumitor afecțiuni sau boli și diagnostice primite în urma controalelor și inspecțiilor medicale.
3. Erau astfel obținute informații extinse despre viața privată a subalternilor inclusiv din discuțiile purtate în spatiile comune ale sediului (floor talks), de la detalii insignifiante la date despre desfășurarea în timp a unor aspecte care se petreceau în viața (privată a) angajaților.

Toate acestea erau utilizate de H&M pentru a-și profila angajații. Hard-drive-ul pe care erau stocate datele a fost “înghețat” de către Autoritatea privind Protecția Datelor din Hamburg, care ulterior a solicitat transferul acestui hard cu informațiile stocate, pentru a fi analizate (aproximativ 60 de giga de informație!). Plata angajaților lezați de către H&M prin aceste practici a unor compensații bănești, a fost de asemenea sugerată în cadrul investigației.

Amenda astfel acordată, vine ca un exemplu oferit companiilor care sunt avertizate cu privire la specificul datelor prelucrate, la calitatea acestora și scopul concret al oricărei prelucrări. În final, H&M s-a arătat transparentă pe parcursul investigației și urmează a oferi compensații angajaților afectați, încercând astfel să își păstreze (sau recupereze) imaginea pătată ca urmare a acestor practici.

Recent, H&M a anunțat închiderea cu caracter permanent a 250 de magazine la nivel global. Amenda emisă este în quantum de 16% din profitul trimestrial al retailer-ului (215 milioane de euro).

Concluzia noastră, este aceea că organizațiile pe care le reprezentați, trebuie să limiteze operațiunile interne de prelucrare a datelor personale ale angajaților, exclusiv la acele prelucrări cerute (prevăzute) de lege. Munca trebuie să reprezinte un cadru sigur pentru datele cu caracter personal, un mediu în care pot fi aprofundate relații de prietenie, fără a-ți privi cu suspiciune colegii sau șefii. Un astfel de mediu de lucru nu poate fi cultivat, fără a câștiga încrederea propriilor angajați.