A cikk első része egy rövid ismertetőt adott az egészségügyi alapellátásról és annak főbb jogszabályi hátteréről. A második részben az egészségügyi adatkezelés során előforduló alapfogalmak kerülnek tárgyalásra. Az egészségügyi adatkezelés során a GDPR és az Info tv. mellett az Eütv. és az Eüak. az alkalmazandó jogszabályok.
III. Alapfogalmak
III.1.
A személyes adat fogalma
A személyes adat az azonosított vagy azonosítható természetes személyre (,,érintett”) vonatkozó bármely információ. Azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján identifikálható. Személyes adat kezelésének minősül továbbá a fénykép, hang-, képfelvétel készítése, valamint személyazonosításra alkalmas fizikai jellemzők gyűjtése is. Az adatkezelő a lehető legteljesebb mértékben felel minden kárért, amely az adatkezeléssel összefüggésben az érintettnél jelentkezik. [GDPR 4. cikk 1. pont]
III.2.
A személyes adatok különleges kategóriái
A személyes adat fogalma mellett a GDPR 9. cikke egy rövid felsorolást ad a személyes adatok különleges kategóriáiról, amelyek a következők:
- faji vagy etnikai származásra;
- politikai véleményre;
- vallási vagy világnézeti meggyőződésre;
- szakszervezeti tagságra utaló személyes adatok;
ide tartoznak továbbá:
- a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok, melyek kezelése tilos.
- a büntetőjogi felelősség megállapítására, a bűncselekményekre vonatkozó személyes adat, valamint fokozott védelem alatt állnak a gyerekek személyes adatai. [GDPR 10. cikk]
A személyes adatok különleges kategóriái esetében, az adatkezelés során különösen körültekintően kell eljárni.
Az adatkezelő és az adatfeldolgozó feladatai közé tartozik különösen: az adatok rögzítése (felvétele), a kezelt adatok számbavétele és nyilvántartása, biztonságos helyen történő tárolása, és amennyiben szükséges, a hatásvizsgálat lefolytatása.
III.3.
Az érintett (beteg/betegek)
Az egészségügyi adatkezelés legfontosabb feladata és célja, a betegek védelme. Azt biztosítja, hogy adataik megfelelően legyenek kezelve, és illetéktelen személy ne férhessen hozzá ezen adatokhoz.
A GDPR 4. cikke értelmében érintett az a természetes személy, aki adatok útján beazonosított vagy beazonosítható. A jogi személyek adatait az adatvédelmi szabályozás nem védi.
III.4.
Adatkezelő
Az adatkezelő az, aki az érintett személyes adatait kezeli; az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza. [GDPR 4. cikk 7. pont]
III.5.
Adatkezelés
Az adatkezelés személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés. [GDPR 4. cikk 2. pont]
Amennyiben nemcsak egy adatkezelő kezeli az érintett adatait, vagyis határozza meg annak célját, és eszközeit, közös adatkezelőknek minősülnek. A felelősségük mértékét és megoszlását közös megállapodásban határozzák meg. [GDPR 26. cikk]
III.6.
Az adatkezelés korlátozása
A tárolt személyes adatok megjelölése jövőbeli kezelésük korlátozása céljából. [GDPR 4. cikk 3. pont]
Az egészségügyi adatkezelés során is előfordulhat, hogy az adatkezelőnek a beteg kérésére korlátoznia kell az adatkezelést.
III.7.
Adatfeldolgozó
Az adatfeldolgozó az adatkezelő tevékenységét segíti. Érdemes megjegyezni, hogy az adatkezelést illetően, nem rendelkezik önálló döntési és rendelkezési jogosultsággal. Az adatfeldolgozó az adatkezelő utasításait követve végzi feladatát. Az adatfeldolgozó az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel. Az eddig leírtakat támasztja alá az Info tv. 25/C. §-a, amely kimondja, hogy adatfeldolgozóként kizárólag olyan személy vagy szervezet járhat el, aki vagy amely megfelelő garanciákat nyújt az adatkezelés jogszerűségének és az érintettek jogai védelmének biztosítására alkalmas műszaki és szervezési intézkedések végrehajtására. Ezen garanciákat az adatfeldolgozónak kell igazolnia az adatkezelő számára. Az Info tv. 25/D. § (3) bek. a) pontja szerint az adatfeldolgozó tevékenysége során kizárólag az adatkezelő írásbeli utasítása alapján jár el. A 25/D. § (3) bekezdés c) pontja értelmében az adatfeldolgozó a tevékenysége során minden megfelelő eszközzel segíti az adatkezelőt az érintettek jogai érvényesítésének elősegítése, ezzel kapcsolatos kötelezettségei teljesítése érdekében. Lényegében ez azt jelenti, hogy az adatfeldolgozó kisegítő, technikai jellegű tevékenységével segíti az adatkezelő munkáját. Ilyen jellegű tevékenység például a gyűjtés vagy a továbbítás.
III.8.
Címzett
A címzett az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, akivel/amellyel a személyes adatot közlik, függetlenül attól, hogy harmadik fél-e. Címzettnek kell tekinteni mindazon személyt, aki az adatot bármilyen célból megkapja. [GDPR 4.cikk 9. pont]
III.9.
Az érintett (beteg) hozzájárulása
Az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez. [GDPR 4. cikk 11. pont]
III.10.
Felügyeleti hatóság
Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) látja el a felügyeleti hatósági feladatokat. A NAIH őrködik az adatok biztonsága felett, betartatja az adatvédelemmel kapcsolatos jogszabályokat, felelős adatvédelem megfelelő működéséért, kikényszeríti a Rendelet (GDPR) és az Info tv. alkalmazását. Felhívja az adatkezelők és adatfeldolgozók figyelmét kötelezettségeikre, valamint tájékoztatja az érintetteket jogaikról. Mindemellett lefolytatja a hatósági vizsgálatokat, és belső nyilvántartást vezet. [GDPR 4. és 51. cikkei]
III.11.
Adatvédelmi incidens
Adatvédelmi incidens az GDPR 4. cikk 12. pontja szerint a biztonság olyan sérülése, amely a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi.
III.12.
Genetikai adat
Egy természetes személy örökölt vagy szerzett genetikai jellemzőire vonatkozó minden olyan személyes adat, amely az adott személy fiziológiájára vagy egészségi állapotára vonatkozó egyedi információt hordoz, és amely elsősorban az említett természetes személyből vett biológiai minta elemzéséből ered. [GDPR 4. cikk 13. pont]
III.13.
Biometrikus adat
Egy természetes személy testi, fiziológiai vagy viselkedési jellemzőire vonatkozó minden olyan sajátos technikai eljárásokkal nyert személyes adat, amely lehetővé teszi vagy megerősíti a természetes személy egyedi azonosítását, ilyen például az arckép vagy a daktiloszkópiai adat. [GDPR 4. cikk 14. pont]
III.14.
Egészségügyi adat
Egy természetes személy testi vagy pszichikai egészségi állapotára vonatkozó személyes adat, ideértve a természetes személy számára nyújtott egészségügyi szolgáltatásokra vonatkozó olyan adatot is, amely információt hordoz a természetes személy egészségi állapotáról. [GDPR 4. cikk 15. pont]
III.15.
Pszichológusi titok
A Pszichológusok Etikai Kódexének (PEK) 5.1. pontja írja a pszichológusi titok fogalmát, amely szerint a pszichológust titoktartási kötelezettség terheli minden – a kliens ellátása során tudomására jutott pszichológiai és személyes adatai vonatkozásában, amelyek a pszichológusi titokkörbe tartoznak. A PEK kimondja, hogy a pszichológus ezeket az adatokat csak az arra jogosult személlyel közölheti, és köteles azokat bizalmasan kezelni. A fentiekben ismertetett kötelezettségek mellett a PEK előírja, hogy a pszichológus e titoktartási kötelezettsége a klienssel való kapcsolatának lezárása után is fennáll.
A PEK 5.1.1. pontja szerint pszichológusi titok körébe tartozik miden, a szakmai tevékenysége során tudomására jutott pszichológiai és személyazonosító adat, továbbá a szükséges vagy folyamatban lévő, illetve befejezett kezelésre vonatkozó, valamint a kezeléssel kapcsolatban megismert egyéb adat, függetlenül attól, hogy az írásbeli, vagy szóbeli közléssel, vagy bármely pszichológiai vizsgálat során ismert meg. [Pszichológusok Etikai Kódexe 5., 5.1., 5.1.1. pontjai]
Fontos megjegyezni, hogy a PEK a pszichológiai titok körében a pszichológiai adat fogalmán kívül a személyazonosító adat kifejezést használja. Azt is lehet mondani, hogy a kezelt adatok körét leszűkíti, specifikálja bizonyos adatok körére, mint például a személyazonosító adatokra.
A PEK értelmezésében ez azért lehet visszás, mert a pszichológiai kezelés során nemcsak pusztán a pszichológiai adat és a személyazonosító adat kerül felvételre és rögzítésre, hanem például testi, fiziológiai vagy szellemi adat is, amely kapcsolódhat a beteg pszichológiai állapotához. Ezért szerencsésebb lenne a személyes adat megfogalmazás, amely egy tágabb körét nyújtja a tárolandó adatokra. A félreértések elkerülése végett ezen belül lehetne példaként említeni a személyazonosító adatok körét, mint például a név, lakhely, tartózkodási hely, TAJ szám, stb.
III. 16.
Pszichológiai adat
A PEK 5.1.2. pontja szerint pszichológiai adat különösen: az érintett értelmi és lelki állapotára, viselkedésmódjára, örökbefogadó szülői, nevelőszülői, gyámi, gondnoki feladatok ellátására, illetve e feladatok ellátására való alkalmasság kizárására, pályaalkalmasságára, illetve a pályaalkalmasság kizárására, kóros szenvedélyére vonatkozó, illetve észlelt, vizsgált, mért, leképezett vagy származtatott adat; továbbá az előzőekkel kapcsolatba hozható, az azokat befolyásoló mindennemű adat (pl. családi környezet, foglalkozás.) [Pszichológusok Etikai Kódexe 5.1.2. pontja]
A pszichológiai kezelések során a pszichológusoknak gondoskodniuk kell az beteg személyes adatainak megfelelő kezeléséről, tárolásáról és védelméről. Korábban alkalmazni kellett a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról szóló 1992. évi LXIII. törvényt. Az Info tv. megalkotásával azonban e törvényt hatályon kívül helyezték. Így hazai szinten 2012. január 1-jétől az Info tv., illetve mellette és természetesen elsődlegesen 2018. május 25-től az egészségügyi adatkezelésre is egységesen a GDPR alkalmazandó.
III. 17.
Orvosi titok
Az Eütv. 25.§ (1)-(7) bek.-i szabályozzák az orvosi titok jogintézményét. A Kommentár szerint itt nem csak az orvosokra, hanem valamennyi betegellátóra vonatkozik a titoktartás szabálya. Az orvosi titok körébe tartozik a beteg minden olyan személyes adata, ezen belül különösen az egészségügyi adata, amelyek állapotával kapcsolatosak, és az ellátás során, az egészségügyi ellátásban résztvevő személyek tudomására jutnak. A betegnek joga van arra, hogy ezen adatokat, így különösen az egészségügyi állapotára vonatkozó adatokat, az ellátásban résztvevő személyek csak az arra jogosulttal közöljék, és azokat bizalmasan kezeljék. Ezen adatok összességét hívja az egészségügyi jog és persze az orvostudomány egységesen orvosi titoknak. [Eütv. 25.§ (1) bek., Kommentár az egészségügyi törvényhez]
Fontos, hogy az Eütv. itt is a személyazonosító adatok kifejezést használja, amely önmagában nem baj, de szerencsésebb volna e fejezet bevezetőjében is utalni először a személyes adatok fogalmára, mivel e fogalom a betegek adatainak tágabb körét fogalja magában. Azaz bővebb jelentéstartalommal bír.
III.18.
Vállalkozás, vállalkozáscsoport, felügyeleti hatóság
A GDPR a következőképpen határozza meg a vállalkozás fogalmát: gazdasági tevékenységet folytató természetes vagy jogi személy, független a jogi formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket is. [GDPR 4. cikk 18. pont]
A GDPR a vállalkozáscsoport fogalmát pedig ekképpen határozza meg: az ellenőrző vállalkozás és az általa ellenőrzött vállalkozások. [GDPR 4. cikk 19. pont]
A felügyeleti hatóság a GDPR megfogalmazása szerint egy tagállam által létrehozott olyan közhatalmi szerv, amelynek feladata a természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint a személyes adatok Unión belüli szabad áramlásának megkönnyítése vonatkozásában e rendelet alkalmazásának ellenőrzése. [GDPR 4. cikk 21. pont; 51. cikk (1) bek.]
III.19.
A tájékoztatáshoz való jog
Bár a tájékoztatáshoz való jog elsősorban a beteg egyik alapjoga az egészségügyi ellátás során, mégis szorosan kapcsolódik az egészségügyi adatkezeléshez. A tájékoztatás során ugyanis a beteg és a kezelőorvos, illetve a betegellátó ,,eszmét cserél”, azaz információt adnak át egymásnak. A beteg például kérdést tesz fel állapotával vagy az adott kezeléssel kapcsolatban, míg az orvos informálja a beteget a beteg által feltett kérdéseknek megfelelően. A betegnek az Eütv. értelmében joga van arra, hogy részletes tájékoztatást kapjon az egészségi állapotáról, a javasolt vizsgálatokról, beavatkozásokról, ezek tervezett időpontjáról, a vizsgálatokkal kapcsolatos döntési jogról, a lehetséges alternatív eljárásokról, módszerekről, az ellátás folyamatáról és várható kimeneteléről, a további ellátásokról és a javasolt életmódról. A betegnek továbbá joga van kérdezni, megismerni az elvégzett vizsgálatok, beavatkozások eredményét, azok sikertelenségét, illetve az eltérő eredményt és annak okait. A betegnek joga van megismerni az ellátásban közvetlenül közreműködő személyek nevét, szakképesítését, illetve beosztását. Ide tartozik a tájékoztatáson alapuló beleegyezés is, hiszen a beteg csak a megfelelő információ birtokában egyezhet bele a kezelésbe. A tájékoztatáshoz szükséges feltételeket mindig a fenntartó (betegellátó) biztosítja. Ha a beteg idegen nyelven beszél joga van a tolmács igénybevételéhez. Az orvos a kezelést megelőzően köteles a beteget tájékoztatni – amennyiben állapota lehetővé teszi – a vizsgálat és a beavatkozás várható/esetleges térítési díjairól értesíteni. [Eütv. 13.§ (1)-(9) bek.]
III.20.
Az egészségügyi dokumentáció megismerésének a joga
A beteg jogosult megismerni a róla készült egészségügyi dokumentációt, a benne szereplő és a gyógykezeléssel összefüggő adatokkal együtt. Ezekről kivonatot és másolatot is készíthet. Jogosult zárójelentést kapni, illetve arra is jogosult, hogy egészségügyi állapotáról egy írásos, összefoglaló vagy kivonatos véleményt kapjon. A beteg jogosult megválasztani, hogy ki jogosult helyette és a nevében az egészségügyi dokumentációba betekinteni. [Eütv. 24.§ (1)-(13) bek.]
Az eddigiekben adott felsorolás nem teljes körű, kizárólag az egészségügyi adatkezelés során előforduló fontosabb alapfogalmakat ismerteti a GDPR, az Info tv., illetve az Eütv. alapján. A GDPR-ból kimaradt fogalmak a következők: tevékenységi központ, képviselő, kötelező erejű vállalati szabályok, érintett felügyeleti hatóság, személyes adatok határokon átnyúló adatkezelése, releváns és megalapozott kifogás, az információs társadalommal összefüggő szolgáltatás, nemzetközi szervezet, harmadik fél, nyilvántartási rendszer, profilalkotás és álnevesítés. A kimarad fogalmak – amennyiben szükséges – külön cikkben kerülnek tárgyalásra.
A cikk harmadik részében az egészségügyi adatkezelés jogalapja, és az adatkezelés során érvényesülő elvek kerülnek röviden ismertetésre.