Dacă ar fi să folosesc un termen binecunoscut în rândul specialiștilor români în domeniul protecție și securității datelor cu caracter personal, aș spune că o noua "bazaconie" (termen folosit de fostul premier) a fost lansată de autoritățile care au modificat pe ultima sută de metri, înainte de redeschiderea școlilor în 8 februarie, procedura privind testarea anti COVID-19 a elevilor. Mai exact, Ministerul Sănătății a modificat formularul pentru părinți, prin care aceștia pot exprima consimțământul din punct de vedere medical pentru testare a copilului lor cu teste antigen rapide în școală, potrivit documentului publicat duminică seara la ora 23:00, cu doar o oră înainte să înceapă prima zi de școală din Semestrul al II-lea. Noutatea acestui document este declarația pentru prelucrarea datelor cu caracter personal care a fost inclusă în acest formular și nu se mai completează separat. Ca specialist, nu îmi pot da seama cu exactitate ce ar trebui să reprezinte acest document: consimțământ medical informat ( Art.660 - L 95/2006) și/sau consimțământ GDPR (Art.4 pct. 11- RGPD 679/2016) pentru că nu respectă condițiile de validitate pentru nici una din acestea și nu respectă nici principiul fundamental al minimizării datelor.
Nu este prima, și poate nici ultima, dată când autoritățile române pun părinții specialiști în acest domeniu, în fața unei dileme: refuz să semnez un document eronat având în vedere faptul că experiența și etica profesională mă împiedică să fac acest lucru sau semnez pentru a nu crea neplăceri copilului la școală? Anul trecut, Ministerul Educației condiționa accesul în sala de examen de existența unui astfel de formular de consimțământ din partea părinților.
„Declar prin prezenta că sunt de acord cu utilizarea și prelucrarea datelor mele cu caracter personal de către cabinetul medical din cadrul unității de învățământ preuniversitar X, inclusiv pentru transmiterea datelor la Direcția de Sănătate Publică/Direcția de Sănătate Publică a Municipiului București, rezultate din prezentul consimțământ depus voluntar la unitatea de învățământ.” Așa sună "consimțământul" (și ghilimelele nu sunt puse în mod accidental) privind prelucrarea datelor cu caracter personal care în această formă numai consimțământ nu este. Ar fi putut fi o simplă informare cu indicarea temeiului legal corect și respectarea Art. 13 din GDPR. Altfel, această măsură nu conduce decât la creșterea birocrației, generând un munte de documente inutile și fără valoare juridică, datorită faptului că nu respecta cerințele minimale stabilite de lege.
Acest formular trebuie analizat și din prisma condițiilor de validitate a unui consimțământ medical informat. Art. 660 din Legea 95/2006 stabilește că informațiile relevante trebuie transmise pacientului la un nivel științific rezonabil pentru puterea de înțelegere a acestuia și trebuie să conțină cel puțin diagnosticul, natura și scopul tratamentului, riscurile și consecințele tratamentului propus, alternativele viabile de tratament, riscurile și consecințele lor și pronosticul bolii fără aplicarea tratamentului. Lipsa informării corespunzătoare introduce riscuri juridice pentru cadrele medicale, mai ales în lipsa unui contact direct medic-pacient în momentul în care se obține acest consimțământ medical informat.
Nu cred că este normal ca după cei aproape trei ani de când se aplică Regulamentul (UE) 679/2016 (GDPR), în România consimțământul să fie în continuare prima opțiune a operatorilor de date cu caracter personal atunci când se dorește identificarea unui temei legal. Se poate explica ușor prin “puterea obișnuinței”, prin cunoștințe superficiale asupra modificărilor introduse de noua legislație sau prin faptul că Responsabilul cu protecția datelor (DPO) încă nu și-a câștigat locul de drept și nu a reușit să provoace o schimbare fundamentală în cadrul organizațiilor. Utilizarea eronată a temeiului de prelucrare nu conduce neapărat la încălcarea Regulamentului și la aplicarea unei amenzi și este de fapt o dovadă clară a cunoașterii precare din partea operatorilor a prevederilor și principiilor Regulamentului (UE) 679/2016 (GDPR).
Obținerea unui consimțământ prin solicitarea ”vă rog semnați aici, aici și aici” nu este o metodă de conformare față de principiile GDPR, este o rezolvare de formă, pentru a scăpa de o “corvoadă”, prin care am reușit doar să creștem birocrația, am creat formulare noi ca să ne protejăm în cazul în care pacientul ne dă în judecată. Chiar și așa, avantajul va fi de partea persoanei vizate pentru că va putea spune oricând că ”nu am fost informat corect, nu am înțeles ce mi s-a spus / cerut să fac, consimțământul nu este conform GDPR, nu a fost obținut în mod real sau nu am fost informat în prealabil”. Un consimțământ, pentru a fi valabil conform GDPR, trebuie să îndeplinească mult mai multe condiții decât semnătura pacientului.
Ca specialist îmi doresc să învățăm într-un final să folosim corect acest temei legal și să apelăm la el atunci când am epuizat toate celelalte variante. Cu toții ar trebui să știm că Regulamentul (UE) 679/2016 (GDPR) a schimbat fundamental ierarhia din Directiva 95/46/EC (abrogată) și din Legea 677/2001 (abrogată) cu care eram obișnuiți, înlocuind-o cu egalitatea între temeiurile de prelucrare. Astfel, legalitatea prelucrării datelor poate fi justificată conform articolul 6 alineatul 1 din Regulament prin: temei legal, interes vital, interes legitim, relație contractuală sau interes public și este nevoie de consimțământul persoanei vizate de exemplu, în cazul activităților de marketing sau al studiilor medicale voluntare.
Nu pot decât să recomand Autorităților din România să studieze prima dată celelalte temeiuri de prelucrare a datelor personale, deoarece, de cele mai multe ori, există deja obligații legale de prelucrare a datelor sau un contract care stă la baza prelucrărilor sau poate fi cu ușurință demonstrat un interes legitim, public sau vital. Abia după eliminarea oricărui alt posibil temei putem ajunge la ipoteza utilizării consimțământului, studiind cu atenție ce se întâmplă în cazul retragerii acestuia, dacă sunt condiții de retragere facilă a consimțământului și dacă este liber exprimat.
Consimțământul medical informat vs. Consimțământul GDPR
Nu trebuie să facem confuzie între “consimțământul pacientului folosit ca temei legal de prelucrare a datelor cu caracter personal” și “consimțământul medical informat” care este, de fapt, un document prin care se traduc într-un limbaj comun termenii de specialitate care definesc un act medical, cu scopul de a obține acceptul în cunoștință de cauză al pacientului si care vizează relația medic-pacient și informațiile legate de actul medical si repercusiunile acestuia.
Articolul 4 alin. 11 din Regulamentul 679/2106 definește “consimţământul” persoanei vizate ca fiind “orice manifestare de voinţă liberă, specifică, informată şi lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr-o declaraţie sau printr-o acţiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate”. Trebuie analizat în această situație și conținutul considerentului 42, care precizează: “Consimţământul nu ar trebui considerat ca fiind acordat în mod liber dacă persoana vizată nu dispune cu adevărat de libertatea de alegere sau nu este în măsură să refuze sau să îşi retragă consimţământul fără a fi prejudiciată.”. Condițiile de utilizare a consimțământului ca temei legal de prelucrare a datelor cu caracter personal sunt descrise pe larg în cuprinsul art. 7 din Regulamentul 679/2016, astfel că, orice operator trebuie să demonstreze că persoana vizată și-a dat consimțământul informat pentru prelucrarea datelor sale cu caracter personal, printr-o alegere liberă autentică și cererea în vederea obținerii consimțământului trebuie să fie într-o formă care o diferențiază de celelalte aspecte, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu.
Pentru obținerea unui consimțământ valid (ca temei de prelucrare GDPR) trebuie întrunite mai multe condiții, precum faptul că:
- trebuie să fie liber exprimat și obținut distinct de orice alt acord,
- trebuie să fie acordat în cunoștință de cauză,
- trebuie acordat pentru un scop specific,
- toate motivele prelucrării trebuie precizate clar,
- trebuie să fie explicit și acordat printr-un act pozitiv (de exemplu, o căsuță pe care persoana fizică trebuie să o bifeze explicit online sau o semnătură pe un formular),
- trebuie să folosească un limbaj clar și simplu și să fie clar vizibil și
- nu în ultimul rând, consimțământul poate fi retras, iar acest lucru trebuie menționat.
Pentru a fi acordat în mod liber consimțământul, pacientul trebuie să aibă libertatea de a alege și trebuie să poată să refuze sau să își retragă consimțământul, fără a fi pus în dezavantaj sau fără a suporta prejudicii. Consimțământul nu este acordat în mod liber, de exemplu, dacă există un dezechilibru clar între persoana fizică și unitatea medicală (de exemplu, relația pacient-medic sau angajator-angajat) sau atunci când o societate/organizație le solicită persoanelor fizice să aprobe prelucrarea unor date cu caracter personal care nu sunt necesare ca o condiție pentru executarea unui serviciu.
Pentru ca o persoană să își dea consimțământul în cunoștință de cauză, acesteia trebuie să i se ofere în prealabil cel puțin următoarele informații (notă de informare): identitatea organizației care prelucrează datele, informații privind scopurile în care sunt prelucrate datele, informații privind tipul de date care se va prelucra, posibilitatea de retragere a consimțământului dat, dacă este cazul, informații privind faptul că datele vor fi utilizate pentru luarea de decizii bazate exclusiv pe prelucrarea automată, inclusiv crearea de profiluri. În cazul în care consimțământul se referă la un transfer internațional, persoana vizată va fi informată cu privind riscurile posibile ale transferurilor de date în țări terțe care nu fac obiectul unei decizii a Comisiei privind caracterul adecvat și nu există garanții adecvate.