Az egészségügyi adatok védelme és a GDPR megfelelőség a szakemberek számára

Az egészségügyi adatok különleges helyet foglalnak el az európai szabályozási környezetben. A GDPR (9. cikk) által különleges kategóriájú érzékeny adatoknak minősített adatok erősített védelmi szabályozás hatálya alá tartoznak, amely az összes olyan szakemberre vonatkozik, aki ezekkel az adatokkal dolgozik: egészségügyi intézmények, kölcsönös segélyegyesületek, egészségügyi szoftver-szerkesztők, laboratóriumok, otthoni gondozási szolgáltatások, e-egészségügyi és telemedicina szolgáltatók. 2026-ban a szabályozási környezet tovább sűrűsödött — az Európai Egészségügyi Adatterület (EEDS) fokozatos bevezetésétől kezdve a CNIL frissített ajánlásain és az EU-ban kihirdetett rekordos szankciókon keresztül, a megfelelőség már nem opcionális. Ez a cikk pontról pontra ismerteti az alkalmazandó kötelezettségeket és a kezelések biztonságossá tételéhez szükséges legjobb gyakorlatokat.

Mit jelent az egészségügyi adat a GDPR értelmében?

A GDPR (2016/679 rendelet, 4. cikk, 15. bekezdés) az egészségügyi adatokat olyan személyes jellegű adatokként határozza meg, amelyek „egy természetes személy fizikai vagy mentális egészségállapotára vonatkoznak, ideértve az egészségügyi ellátást is, és amely információkat tartalmaznak az illető egészségállapotáról".

Egy szélesebb körű fogalmi meghatározás, mint amilyennek első pillantásra tűnik

Ez a meghatározás sokkal többet foglal magában, mint a hagyományos orvosi aktákban szereplő adatok. Az alábbiak tartoznak ide:

• Orvosi előzmények, diagnózisok, receptek és elemzési eredmények;
• Összekapcsolt eszközök által gyűjtött adatok (órák, glükózmérő szenzorok, menstruációs nyomkövetési alkalmazások);
• Adminisztratív adatok, amelyek lehetővé teszik az egészségállapot levezetését (megtérítési arány, konzultációk gyakorisága);
• Szociális biztosítási számok (NIR), ha azokat orvosi információkkal kombinálják.

Franciaország CNIL-je az egészségügyi adatraktárakra (EDS) vonatkozó referencia döntésében pontosította, hogy a fogalmat széles értelemben kell értelmezni. Így egy látható fogyatékosságot feltáró egyszerű fénykép vagy egy biometrikus adat (retinalenyomat) szintén az alkalmazási terület alá tartozik.

Miért van rá szükség az erősített védelemnek?

Az egészségügyi adatok érzékenységének oka diszkriminációs potenciáljuk. Az egészségállapot nyilvánosságra hozatala egy személy munkavállalási lehetőségeire, biztosítási szerződésére, hitellehetőségeire hathat, vagy magánéletét veszélyeztetheti. A CNIL becslése szerint 2024-ben az általa kapott értesítések több mint 36%-a egészségügyi adatokat érintő sérülés volt — ez az első kategória a megsértett adatok között.

Az egészségügyi adatok kezelésére vonatkozó konkrét jogi alapok

A GDPR 9. cikk 1. bekezdése az érzékeny adatok kezelésének tilalmát rögzíti, amely korlátozott kivételekkel rendelkezik. Az egészségügyi szakemberek számára az alkalmazható jogi alapok főként a következők:

Kifejezett hozzájárulás (9. cikk, 2. bekezdés, a) pont)

A hozzájárulásnak szabad, konkrét, tájékozott és egyértelmű lennie, amely világos affirmativ cselekvéssel kell kifejezésre jusson. Az egészségügyi szektorban ez az alap gyakran nem megfelelő a közönséges ellátáshoz (orvos/páciens közötti erőegyensúly miatt), de nélkülözhetetlen a kutatási célú, marketing- vagy nyilvános egészségügyi alkalmazások használatára vonatkozó kezelésekhez.

Jó gyakorlat 2026-ban: az aláírás használata az egészségügyi szektorban a betegek hozzájárulásának nyomonkövethetően és időbélyeggel rögzített módon történő összegyűjtésére, ami megkönnyíti a bizonyítékot a felügyelet esetén.

Ellátás és preventív medicina (9. cikk, 2. bekezdés, h) pont)

Ez az elsődleges jogi alap azoknak az egészségügyi szakembereknek, akik a gondozási kapcsolat keretében adatokat kezelnek. Ezt azzal a feltétellel lehet alkalmazni, hogy a kezelést — vagy egy olyan szakember felelőssége alatt — végzik, aki a magánélethez való joggal rendelkező személy.

Közérdek és kutatás (9. cikk, 2. bekezdés, i) és j) pont)

A közegészségügyi célú kezelések (járványügyi megfigyelés, gyógyszerfelügyelet) vagy tudományos kutatás céljából ezek a kivételek alkalmazhatók. Franciaországban az informatikai és szabadságjogokról szóló törvény (65-68. cikkek) és az Egészségügyi Adatok Nemzeti Rendszerét (SNDS) szabályozó rendelet meghatározza a hozzáférés feltételeit.

A kezelésért felelős adatkezelő konkrét kötelezettségei

Legyen szó orvosi rendelőről vagy digitális egészségügyi megoldás szerkesztőjéről, az obligations öt pilléren alapulnak.

1. Kezelések nyilvántartása (30. cikk)

Minden adatkezelőnek vagy feldolgozónak vezetnie kell egy nyilvántartást, amely dokumentálja az egyes kezeléseket: célja, jogi alapja, adatkategóriák, megőrzési időtartam, továbbítotti, biztonsági intézkedések. A CNIL megköveteli, hogy ez a nyilvántartás naprakész legyen és felügyeleti vizsgálat során késedelem nélkül bemutatható legyen.

2. Az adatvédelemhez kapcsolódó hatásvizsgálat (AIPD / 35. cikk)

Az egészségügyi adatok nagyméretű kezelése vagy profilalkotási célú felhasználása kötelezően megköveteli az AIPD-t (DPIA angolul). A CNIL közzétett egy olyan kezelések listáját, amelyek kötelezően AIPD alá tartoznak, beleértve az egészségügyi adatraktárakat, az egészségi állapot nyomon követésére szolgáló mobilalkalmazásokat és az összekapcsolt orvostechnikai eszközöket.

Az elektronikus dokumentumok jogi értékéről ebben az összefüggésben a szolgáltatóknak gondoskodniuk kell arról, hogy gyűjtési mechanizmusaik megfeleljenek a bizonyítási követelményeknek.

3. Adatvédelmi tisztségviselő (DPA) kijelölése

A DPA kijelölése kötelező a következő szervezetek számára:

• Az egyesített egészségügyi szakemberek (kórházak, idősek otthonai, 50-nél nagyobb gondozási szervezetek);
• Egészségügyi kölcsönös és biztosítók;
• Nagyméretű adatokat kezelő egészségügyi szoftver szerkesztők.

2024 óta a CNIL erősítette ellenőrzéseit a DPA szerepének hatékonyságára vonatkozóan, különösen az ő valós függetlenségét és erőforrásait ellenőrizve.

4. Az információs rendszerek biztonsága (32. cikk)

A technikai és szervezeti intézkedéseknek arányosnak kell lenniük a kockázattal. A CNIL különösen az alábbiak alkalmazását ajánlja:

• Az végpontok közötti titkosítás tárolt és átvitt adatoknál;
• Az álnévesítés amennyiben a célja ezt megengedi;
• Szigorú hozzáférés-ellenőrzések bevezetése (többfaktoros hitelesítés);
• Rendszeres biztonsági másolatok tesztelve és a főhálózattól leválasztva;
• Üzletmenet-folytonossági terv (BCP) az egészségügyi adatokhoz igazítva.

Az NIS 2 irányelv (2025. március 26-i törvénnyel átültetett Francia jogba) alkalmazásának bevezetése óta az egészségügyi szektor lényeges entitásai — beleértve a kórházakat, az orvostechnikai eszközöket gyártókat és bizonyos laboratóriumokat — még szigorúbb kibervédelmi követelmények alá esnek, az ANSSI felé kötelezően 24 órán belül értesítendő jelentős incidensek.

5. Adatvédelmi incidensek értesítése (33. és 34. cikk)

Minden egészségügyi adatok kezelésében lezajló sérülést az ANSSI felé 72 órán belül kell bejelenteni. Ha a sérülés magas kockázatot jelent az érintett személyek jogainak és szabadságainak tekintetében, az érintett betegeket szintén indokolatlan késedelem nélkül tájékoztatni kell.

2024-ben a CNIL késedelmi szankciók kihirdetésével emlékeztetett arra, hogy a gyors reagálás önmagában a megfelelőség követelménye.

Az egészségügyi adatok tárolása: speciális francia kötelezettség

Franciaországban a 2016. január 26-i törvény (Közegészségügyi Törvénytár L. 1111-8. cikke) előírja, hogy a személyes jellegű egészségügyi adatokat HDS certificált szolgáltató (Egészségügyi Adatok Tárolóhelye) nálunk tároljanak. Ezt a tanúsítványt az ISO 27001 szabvány és az ANS HDS referenciakeret alapján akkreditált szervezetek adják ki, amely hat különálló tevékenységet fedez le.

Ki tartozik az HDS tanúsítványkövetelmény alá?

Minden olyan szereplő tartozik ide, aki adatokat tárol, adminisztrál vagy működtet harmadik félnek: felhőszolgáltatók, az EHD (Megosztott Orvosi Mappa) szerkesztői, telemedicina platformok és — 2023-tól — olyan nyilvános egészségügyi alkalmazás szerkesztői, akik azonosítható adatokat őriznek meg.

Az HDS-tanúsított tárolóhelyek használata nem mentesíti a felelős adatkezelőt saját kötelezettségei alól: imperialívusképp kell formalizálnia egy GDPR 28. cikknek megfelelő feldolgozási szerződést, amely részletezi a tárolóhelyre vonatkozó utasításokat, biztonsági garanciákat és auditálási módszereket.

Az Európai Egészségügyi Adatterület (EEDS): milyen hatások 2026-ban?

Az EEDS rendelet (2025 végén elfogadott és amelynek első rendelkezései fokozatosan 2027-ig lépnek hatályba) meghatározza az egészségügyi adatok határon átnyúló hozzáférésének kereteit kutatás, innováció és közegészségügy számára. A francia szakemberek számára két azonnali hatás:

1. Az erősített hordozhatósági jog betartása kötelező (strukturált, gépek által olvasható formátum) a betegnyilvántartásokhoz;
2. Az egészségügyi primer adatok reklámcélú felhasználásának tilalma, még hozzájárulással sem — egy szigorúbb korlátozás, mint maga a GDPR.

Ezek az evolúciók szükségessé teszik az adatvédelmi irányelvek és feldolgozási szerződések frissítését 2026 végéig. Azok a szakemberek, akik az eIDAS-nak megfelelő elektronikus aláírási eszközöket használnak, lényeges előnyre tehetnek szert a hozzájárulások és engedélyek nyomonkövetésében az auditálás során a megfelelőség igazolásához.

Betegek jogai és a GDPR-jogok gyakorlása

A betegek rendelkeznek az összes GDPR-jogokkal (hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás), néhány szektorszintű módosítással.

Hozzáférési jog az egészségügyi adatokhoz

A beteg kérheti orvosi aktáinak összes adataihoz való hozzáférést (Közegészségügyi Törvénytár L. 1111-7. cikk). A szakembernek 8 nap áll rendelkezésére (48 óra a friss adatokhoz, közelmúltbeli kórházi tartózkodásokhoz) és 2 hónap a régebbi adatokhoz. A CNIL és az Ombudsman egyaránt szankcionálták az ilyen kéréseket megtagadó vagy késleltetett intézményeket.

Törléshez való jog és annak korlátai

A „jog az elfelejtésre" törvényi megőrzési időtartamok által korlátozott: 20 év a felnőtt orvosi aktákhoz, 28 év, ha az aktus a nagykorúság előtt történt. Ezek a törvényi határidők előbbvalóak az idő előtti törlési kérelmekhez képest — az adatkezelőnek ezt világosan el kell magyaráznia a betegnek.

Az igények elektronikus úton történő kezelése

Az intézmények számára, amelyek eljárásaikat digitalizálták, a jogok gyakorlásához kapcsolódó kérések biztonságos űrlapokon keresztül küldhetők és kezelhetők. Az igények és válaszok minősített elektronikus időbélyegzése jó gyakorlatnak tekinthető, amely lehetővé teszi a szabályozási határidők betartásának bizonyítékát egy CNIL-ellenőrzéskor.

Az egészségügyi adatok védelme vonatkozó alkalmazandó jogi keret

Az egészségügyi szakemberek és technológiai partnereik megfelelőségét az európai és nemzeti szövegek artikulációja alapján kell kezelni.

GDPR — Az (EU) 2016/679 rendelet 2016. április 27-ből : a eszközrendszer alapja, amely az egészségügyi adatokat érzékeny adatokként minősíti (4. cikk, 15. bekezdés), tilalmazza azok kezelését korlátozott kivételek kivételével (9. cikk, 2. bekezdés), AIPD-t követel (35. cikk), DPA kijelölést (37. cikk), incidensértesítést (33-34. cikk) és arányos biztonsági intézkedéseket (32. cikk). Az előírt szankciók 20 millió euróig vagy az éves világszintű forgalom 4%-áig terjednek — a magasabb összeg kerül alkalmazásra.

Informatikai és Szabadságjogi Törvény (1978. január 6-i, módosított 78-17. törvény): átülteti a GDPR-t a francia jogba, felhatalmazza a CNIL-t egészségségi szektorra vonatkozó konkrét referenciakeret elfogadására és meghatározza az SNDS-hez való hozzáférés módszereit.

Közegészségügyi Törvénytár — L. 1111-7. és L. 1111-8. cikkek: biztosítják a beteg jogát orvosi aktáihoz való hozzáféréshez és a tanúsított HDS-nél való tárolási kötelezettséget.

HDS Referenciakeret (Egészségügyi Adatok Tárolóhelye): az Egészségügyi Digitális Ügynökség (ANS) által közzétéve, hat tanúsítási tevékenységet határoz meg, amely a fizikai infrastruktúrát, a platformot és az alkalmazott szoftvereket fedezi.

NIS 2 Irányelv — (EU) 2022/2555 irányelv, amelyet Franciaországban a 2025. március 26-i törvény ültet át: az egészségügyi szektor lényeges entitásai (30 000-nél több beteg/év fölötti kórházak, IIb és III osztályú orvostechnikai eszközök gyártói, referencialaboratóriumok) számára erősített kibervédelmi kötelezettségeket ír elő, különösen az ANSSI-nak történő 24 órás bejelentési kötelezettséget jelentős incidens esetén, valamint az évente tesztelt incidens-reagálási tervek bevezetését.

eIDAS n° 910/2014 rendelet és eIDAS 2.0 (Az (EU) 2024/1183 rendelet): az elektronikus aláírások jogi értékét szabályozzák, amelyeket hozzájárulásokhoz, digi­talizált orvosi aktákhoz és szolgáltatókkal kötött szerződésekhez használnak. Az elektronikus aláírás vagy minősített aláírás ajánlott azokhoz az aktusokhoz, amelyeknél a bizonyítási érték vitatható lehet.

EEDS Rendelet (Az Európai Egészségügyi Adatterületre vonatkozó EU-rendelet, 2025): megerősíti a betegek jogait elsődleges adataikhoz és szabályozza az adatok másodlagos használatát kutatás céljából, az egyes tagállamokban egészségügyi adatokhoz való hozzáférés szervezéseinek létrehozásával.

Konkrét jogi kockázatok: az CNIL közigazgatási bírságain túl az adatkezelők személyes felelősségi perként (GDPR 82. cikk), büntető üldözésként (Büntető Törvénytár 226-17. cikk, jogi személyekre maximum 5 év börtön és 300 000 € bírság) és hírnévbeli kárként való felelősségre számíthatnak, amelynek gazdasági hatása gyakran meghaladja az amende összegét.

Használati forgatókönyvek: GDPR megfelelőség és egészségügyi adatok a gyakorlatban

Forgatókönyv 1 — Egészségügyi klinikák csoportja körülbelül 1200 ággyal

A magánklinikák körülbelül 1200 ágyas csoportja (három helyen szétosztva) papír alapú betegbeleegyezéseket kezel, amelyeket kevéssé biztonságos fizikai szekrényekben tárolt mappákban írtak le. Egy belső auditáláskor az CNIL ellenőrzésének előkészítésére számos hiányosságot azonosítottak: lehetetlen volt gyorsan megtalálni a több mint két évvel ezelőtti beleegyezéseket, nincs nyomonkövethetőség az orvosvideofelügyelethez és harmadik felektől történő továbbítások (biztosítók, levelező orvosok) adataihoz.

Az vezetőség egy minősített elektronikus aláírási megoldást vezetett be az intézeti információs rendszerbe integrálva. Hat hónappal később mért eredmények: a betegnyilvántartáshoz való hozzáférési kérések feldolgozási ideje 14-ről 4 munkanapra esett vissza (71%-os csökkenés), a beleegyezés keresésének ideje 45 percről kevesebb, mint 2 percre csökkent, és a csoport megkapta a tanúsítást az alkalmazotti réteghez.

Forgatókönyv 2 — Telemedicina megoldás szerkesztője szakterületenkénti specialistáknak

Egy telemedicina platformot szerkesztő vállalat (körülbelül 4000 aktív orvosfelhasználó) egy jelentős kockázatnak volt kitéve: szervereit egy amerikai felhőszolgáltatónál tárolták a GDPR 28. cikknek megfelelő szerződési záradék és HDS tanúsítvány nélkül. A platform azonban konzultációs jelentéseket, recepteket és klinikai fényképeket gyűjtött.

Egy külső DPA-val végzett hatásvizsgálat (AIPD) után a vállalat átköltözött egy Franciaország talajában HDS-tanúsított szolgáltatóhoz, felülvizsgálta az összes feldolgozási szerződést és integrált egy tájékozott, horodátumozottal ellátott hozzájárulási mechanizmust minden konzultáció előtt. Beállított egy belső 12 órás incidens-bejelentési eljárást is, amely megengedi a CNIL felé esedékes 72 órás határidő betartását. A megfelelőségi költségeket 180 000 eurón becsülték — az azonos szakterületi szereplővel szembeni ugyanabban az évben az CNIL által kihirdetett 400 000 euró bírsághoz képest.

Forgatókönyv 3 — Független patikák hálózata

Körülbelül negyven független patika csoportja egy centralizált kezelőrendszert használt, amely a receptúra történetét és hűségadatokat (implicite egészségügyi profilokhoz kötötten) kezel. DPA kijelölésének hiánya és naprakészen tartott kezelési nyilvántartás nélkül a csoport nem volt képes 30 napban reagálni egy beteg joggyakorlási kérésére.

Nyolc hónapra elosztott megfelelőségi projekt lehetővé tette a mutualizált DPA kijelölését (a KKV csoportok számára gyakori és megengedett megoldás), 23 különálló kezelés dokumentálását a nyilvántartásban, a megőrzési időtartamok politikájának áttekintését (a hűségadatokat indoklás nélkül 10 évig tartották meg) és a patikészakképzett összes személyzetének képzését a helyes reagálási módszerekről, ha beteg vagy ellenőr kérést nyújtana be. Az ex-ante becsült amende-kockázat meghaladta a 150 000 eurót.

Gyakran ismételt kérdések

A mobil alkalmazás által összegyűjtött egészségügyi adatok a GDPR hatálya alá esnek?

Igen, amint az alkalmazás egy személy egészségállapotát feltételezni engedő adatokat gyűjt (szívfrekvencia, menstruációs nyomonkövetés, vércukorszint, étrend), ezek az adatok az egészségügyi adatok a GDPR 4. cikkének 15. bekezdése értelmében. A szerkesztő az adatkezelő és kifejezett hozzájárulást kell szereznie, az adatokat HDS-tanúsított szolgáltatónál kell tárolnia és AIPD-t kell végezni, ha a kezelés nagyméretű.

Egy magánorvos önmagában kell-e DPA-t kijelölnie?

Nem, a DPA kijelölése nem kötelező egyedül vagy kevés orvosból álló rendelőben működő magánorvosnak, kivéve ha a kezelések nagymértékű egészségügyi adatokkal foglalkoznak. Azonban ez az orvos még mindig felelős adatkezelő és köteles vezetni a kezelések nyilvántartását, alkalmazni az adatminimalizálás elvét, és képes lenni betegei joggyakorlásával kapcsolatos kérésekre szabályozási határidőn belül válaszolni.

Milyen szankciókat szabhat ki a CNIL az egészségügyi adatok megsértésé­ben?

A CNIL közigazgatási szankciókat szabhat ki, amelyek 20 millió eurót vagy az éves világszintű forgalom 4%-át érhetik el, a magasabb összeg kerül alkalmazásra. Az amende mellett kötelező intézkedést hirdethet ki betartási obligációval, vagy nyilvánosságra hozhatja a döntést. A büntetőjogi téren a Büntető Törvénytár 226-17. cikke maximum 5 év börtönt és 300 000 euró bírságot irányoz elő jogi személyekre.

Egy feldolgozó (szoftver, felhő) felelős az egészségügyi adatok szivárgásáért?

Igen. A GDPR (28. és 82. cikkek) az adatkezelő és feldolgozó közös felelősségét állapítja meg az érintett személyekre nézve. A feldolgozó közvetlenül felelős, ha az adatkezelő utasításain túl cselekedett vagy nem teljesítette saját GDPR-kötelezettségeit. Ezért elengedhetetlen egy precíz feldolgozási szerződés formalizálása és annak biztosítása, hogy az tárolóhely az egészségügyi adatokhoz HDS-tanúsított legyen.

Az HDS tanúsítvány kötelező az egészségügyi digitális terület összes szereplőjénél?

Az HDS tanúsítvány kötelező olyan szolgáltatónak, amely harmadik félt képvisel az egészségügyi adatokat tartalmazó információs rendszereket tárol, felügyeli vagy működtet. Ezért érvényes a felhőszolgáltatókra, az orvosi SaaS szerkesztőkre és a telemedicina platformokra. Ezzel szemben azoknak az egészségügyi szakembereknek, akik saját adataikat tárolják (feldolgozó nélkül), közvetlenül nem kell e kötelezettség alá esni, de továbbra is a GDPR 32. cikkének biztonsági intézkedéseit betartaniuk.

Összefoglalás

Az egészségügyi adatok védelme 2026-ban az egyik legbonyolultabb és legfelügyeltebb szabályozási kérdés a digitális szectorban. A GDPR, az Informatikai és Szabadságjogi Törvény, az HDS-tárolási kötelezettség, az NIS 2 irányelv és az Európai Egészségügyi Adatterület megjelenése között a szakembereknek folyamatos felügyeletet kell fenntartaniuk és megfelelőségüket öt pilléren kell strukturálniuk: kezelések nyilvántartása, AIPD, DPA, műszaki biztonság és a betegek jogainak kezelése.

A Certyneo az egészségügyi szektort támogatja a biztonságos eljárások digitalizálásában: horodátumozott hozzájárulások gyűjtése, minősített elektronikus aláírás a feldolgozókkal kötött szerződésekhez, az egyes aktusok bizonyítási nyomonkövethetősége. Tudjon meg arról, hogy megoldásunk hogyan erősítheti GDPR-megfelelőségét az egészségügyi szakembereknek szentelt terület meglátogatásával vagy ingyenes kezdésével a Certyneoen.