Shumica e sektorëve në Shqipëri ende po presin të mësojnë se si do të zbatohet ndaj tyre regjimi i mbrojtjes së të dhënave. Shëndetësia nuk po pret. Ajo tashmë e di.

Gjatë vitit 2025 Komisioneri kreu 15 hetime administrative në sektorin shëndetësor. Jo në spitale dhe jo në sistemin publik: 8 prej tyre në klinika dentare dhe 7 në laboratorë mjekësorë. Në shkurt 2026 zyra e Komisionerit vijoi duke mbledhur përfaqësues pikërisht të këtyre dy grupeve për të kaluar nëpër gjetjet dhe, sipas formulimit të vet, për të forcuar "kulturën e përgjegjësisë dhe transparencës në trajtimin e të dhënave, veçanërisht për kategoritë e veçanta si të dhënat shëndetësore".

Lexojeni ngadalë, sepse kjo tregon diçka për mënyrën si punon ky rregullator. Ai nuk nisi nga kontrolluesi më i madh që mund të gjente. Zgjodhi një kategori ofruesish privatë të vegjël dhe të mesëm, inspektoi pesëmbëdhjetë prej tyre, dhe pastaj mblodhi pjesën tjetër të kategorisë për t'i treguar se çfarë gjeti. Nëse drejtoni një klinikë, një studio dentare ose një laborator në Shqipëri, ju nuk ndodheni në një horizont të largët rreziku zbatimi. Ju ndodheni në segmentin që Komisioneri ka zgjedhur tashmë të trajtojë.

Ka edhe një arsye të dytë pse ky sektor është përpara të tjerëve. Të dhënat shëndetësore kanë instrumentin e tyre. Udhëzimi nr. 02, datë 30.04.2025, "Për mbrojtjen e të dhënave personale shëndetësore" u nxor sipas Ligjit nr. 124/2024, i cili është i përafruar me GDPR-në, dhe shfuqizoi Udhëzimin nr. 49 të vitit 2020. Është një rregullore sektoriale dhe jo koment i përgjithshëm, dhe është shumë më specifik se vetë ligji për atë që duhet të bëjë një ofrues, deri te kanalet që mund të përdorni për t'i dërguar një rezultat pacientit. Një pjesë e mirë e këshillave që qarkullojnë në Shqipëri për "GDPR-në për klinikat" nuk e përmend fare.

Ky artikull mbulon çfarë i bën ligjërisht të ndryshme të dhënat shëndetësore, çfarë kërkon realisht Udhëzimi 02/2025, përpunimin që kryen një klinikë ose laborator tipik shqiptar pavarësisht nëse e ka shkruar, dhe më pas, modul pas moduli, si përdoret PrivaxisOS për ta mbajtur secilin prej këtyre detyrimeve dhe për të lënë provën pas.

Një sqarim kohor që në fillim. Detyrimi për vlerësimin e ndikimit (neni 31 / GDPR neni 35) dhe konsultimi paraprak (neni 32 / GDPR neni 36) bëjnë pjesë te dispozitat e shtyra për në fillim të vitit 2027. Këtu nuk ndryshon asgjë praktike. Gjithçka tjetër në këtë artikull, përfshirë nenin 9, detyrimin e regjistrimit, të drejtat e subjekteve, sigurinë, njoftimin e cenimeve, detyrimin për DPO-në dhe të gjithë Udhëzimin 02/2025, zbatohet tani.

Pse të dhënat shëndetësore janë ligjërisht të ndryshme

Sipas nenit 9 të Ligjit 124/2024 / GDPR nenit 9, përpunimi i të dhënave sensitive është i ndaluar si pikënisje dhe bëhet i ligjshëm vetëm kur plotësohet një nga kushtet e nenit 9(2). Të dhënat shëndetësore bien pikërisht brenda kësaj ndalese. Po ashtu edhe të dhënat gjenetike, gjë që ka rëndësi për laboratorët.

Kushti që e bën të ligjshme punën e zakonshme klinike është neni 9(2)(ë). Ia vlen ta saktësojmë, sepse një këshillues i trajnuar me GDPR-në do të kapë nga zakoni "nenin 9(2)(h)", shkronjë që në nenin 9(2) të ligjit shqiptar nuk ekziston fare. Dhjetë kushtet e paragrafit janë shënuar me shkronjat e alfabetit shqip, a, b, c, ç, d, dh, e, ë, f, g, ndaj kushti shëndetësor që i përgjigjet nenit 9(2)(h) të GDPR-së është (ë). Vini re fqinjët: (e) është interesi publik thelbësor dhe (f) shëndeti publik, ndaj një shenjë diakritike e humbur çon në një bazë ligjore krejt tjetër. Neni 9(2)(ë) lejon përpunimin që

"është i nevojshëm për qëllime të mjekësisë parandaluese ose në kontekstin e shëndetit në punë, për vlerësimin e aftësisë për punë të punëmarrësit, për diagnozë mjekësore, për ofrimin, trajtimin ose menaxhimin e shërbimeve shëndetësore ose të kujdesit shëndetësor mbi bazën e ligjit, ose në zbatim të një kontrate me një profesionist të shëndetësisë, dhe me kusht që përpunimi të kryhet nga punonjës që i nënshtrohen sekretit profesional ose nga një punonjës nën përgjegjësinë e tij ose nga një person tjetër që i nënshtrohet sekretit profesional".

Prej kësaj rrjedhin tri pasoja praktike, dhe secila përmbys diçka që klinikat e besojnë zakonisht.

Baza juaj ligjore pothuajse kurrë nuk është pëlqimi. Klinikat zakonisht vendosin një kuti pëlqimi në fund të formularit të pranimit dhe e trajtojnë si licencë për gjithçka që vjen pas. Është instrumenti i gabuar. Neni 9(2)(ë) tashmë e bën të ligjshme diagnozën dhe trajtimin; shtimi i pëlqimit mbi të nuk sjell mbrojtje, sjell detyrim, sepse pëlqimi sipas nenit 8 / GDPR nenit 7 duhet të jepet lirisht dhe mund të tërhiqet në çdo kohë. Një pacient që tërheq "pëlqimin" për kartelën e vet klinike krijon një problem që e keni shpikur vetë. Pëlqimi ka një rol të vërtetë dhe të ngushtë në një klinikë, që mbulon marketingun, pjesëmarrjen në kërkime, publikimin e një fotografie rasti ose ndarjen e një kartele me dikë që nuk ka të drejtë ligjore mbi të. Trajtimi i tij si bazë për vetë trajtimin mjekësor errëson pikërisht rastet ku ai vërtet ka rëndësi.

Kushti lidhet me njerëzit, jo me sistemet. Neni 9(2)(ë) plotësohet vetëm kur përpunimi kryhet nga dikush i lidhur me sekretin profesional, ose që punon nën përgjegjësinë e një personi të tillë. Prandaj deklarata e konfidencialitetit e recepsionistit, kushtet e kontraktorit të IT-së dhe të drejtat e aksesit të një nëpunësi faturimi nuk janë punë administrative rutinë. Janë pjesë mbajtëse të bazës suaj ligjore. Nëse një person i palidhur mund të hapë kartelat klinike, kushti që e bën të ligjshëm përpunimin nuk plotësohet për atë akses.

Një klinikë ka shumë gjasa të ketë detyrimin për një DPO. Neni 33(1)(c) / GDPR neni 37(1)(c) kërkon që kontrolluesi të caktojë një nëpunës për mbrojtjen e të dhënave kur "veprimtaritë kryesore të kontrolluesit ose të përpunuesit çojnë në përpunim në shkallë të gjerë të të dhënave sensitive ose të të dhënave për dënimet penale". Veprimtaria kryesore e një klinike ose laboratori është përpunimi i të dhënave shëndetësore, ndaj për elementin "veprimtari kryesore" nuk ka diskutim. Pyetja e vetme e hapur është "shkalla e gjerë", të cilën ligji nuk e përkufizon. Pranohet përgjithësisht se një praktikë individuale nuk e plotëson; një spital qartësisht po; një laborator që nxjerr mijëra rezultate në muaj, ose një grup dentar me disa qendra, qëndron shumë më pranë skajit të spitalit sesa mendojnë shumica e pronarëve. Kjo është një pyetje për t'iu përgjigjur me vetëdije dhe për ta shkruar, jo për ta lënë pa shqyrtuar. Vini re gjithashtu se neni 33(2) lejon që një grup shoqërish tregtare të caktojë një DPO të vetëm, lehtësisht i aksesueshëm nga çdo anëtar i grupit, që është mënyra si duhet ta zgjidhë normalisht një grup me disa klinika. Udhëzuesi ynë për detyrimet e DPO-së sipas Ligjit 124/2024 i trajton kriteret të plota.

Çfarë kërkon realisht Udhëzimi 02/2025

Udhëzimi zbatohet për të gjithë personat fizikë dhe juridikë që veprojnë në sistemin shëndetësor, publik ose privat, për organet e tjera përgjegjëse për mbikëqyrjen e kujdesit shëndetësor, dhe për përpunuesit që veprojnë për llogari të tyre. Dispozitat e tij më të dobishme, sipas radhës me të cilën do të prekin:

Provojeni, kur t'ju kërkohet (neni 2.1 dhe 2.2). Kontrolluesit dhe përpunuesit duhet të respektojnë parimet e mbrojtjes së të dhënave dhe duhet të jenë në gjendje të provojnë para autoritetit mbikëqyrës se përpunimi është në përputhje. Ky është parimi i përgjegjshmërisë i rithënë brenda sektorit shëndetësor, dhe është fjalia që përcakton se si ndihet një inspektim.

Të miturit dhe përfaqësuesit ligjorë (neni 2.4). Kur pacienti është i mitur dhe nuk është në gjendje të japë pëlqimin, pëlqimi jepet nga përfaqësuesi ligjor, pra prindi ose kujdestari ligjor. Praktikat dentare dhe pediatrike duhet ta kenë këtë të pasqyruar në mënyrën si hapen kartelat dhe se kush mund të tërheqë rezultatet.

Të dhënat gjenetike (neni 3). Të dhënat gjenetike janë të dhëna sensitive dhe përpunohen vetëm në rastet e parashikuara në nenin 9 të ligjit. Ato mblidhen vetëm kur ekzistojnë masat e përshtatshme të mbrojtjes dhe kur parashikohet me ligj ose është shprehur pëlqimi; mund të përpunohen për parandalim, diagnozë ose trajtim të subjektit ose të një anëtari të familjes së tij biologjike, ose për kërkime shkencore, dhe përdoren vetëm për ato qëllime. Subjekti ka të drejtë të njihet me informacionin për të dhënat e veta gjenetike, dhe kontrolluesi duhet t'i garantojë aksesin në formën dhe mënyrën më të përshtatshme. Çdo laborator që ofron testim gjenetik ose prenatal vepron drejtpërdrejt mbi këtë nen.

Si mund të transmetohen rezultatet (neni 4.4). Kjo është dispozita që ka më shumë gjasa të shkelet në Shqipëri këtë javë. Rregullat zbatohen për dosjet mjekësore elektronike dhe për adresat elektronike që mundësojnë përhapjen dhe shkëmbimin e të dhënave shëndetësore, dhe në çdo rast duhet zgjedhur rruga më e përshtatshme dhe e sigurt. Udhëzimi pastaj thotë shprehimisht se nuk duhen përdorur adresa personale ose aplikacione si WhatsApp për këtë përhapje. Dërgimi i një rezultati laboratorik te WhatsApp-i i pacientit nga telefoni personal i një punonjësi nuk është zonë gri, efikasitet apo mirësjellje. Është pikërisht praktika që udhëzimi emërton.

Kush mund t'i marrë të dhënat shëndetësore (neni 4.6 deri 4.8). Të dhënat mund të shkojnë vetëm te kontrollues ose përpunues të autorizuar me ligj për të pasur akses, ose kur pacienti jep pëlqimin për atë përhapje. Shoqëritë e sigurimit janë të autorizuara të kenë akses vetëm deri në nivelin që parashikon një ligj i posaçëm, ose deri në nivelin që ka pranuar pacienti, duke zbatuar masa mbrojtëse të përshtatshme (4.7). Punëmarrësit nuk cilësohen marrës të autorizuar të të dhënave shëndetësore të individëve, përveç sipas kushteve që udhëzimi parashikon për përpunimin në kontekstin e punësimit (4.8). Kërkesa e mjekësisë së punës, "na dërgoni rezultatet për punonjësin tonë", ka një përgjigje të qartë, dhe zakonisht është jo.

Informimi paraprak kur të dhënat lëvizin mes profesionistëve (neni 4.1 dhe 4.2). Kur të dhënat shëndetësore përhapen nga profesionistë të ndryshëm të shëndetësisë me qëllim administrimin e kujdesit për një individ, pacienti duhet të informohet paraprakisht, përveç kur kjo është e pamundur për shkak të nevojës dhe urgjencës. Kur përhapja bazohet në pëlqim, pëlqimi mund të tërhiqet në çdo kohë.

Ruajtja (neni 5). Të dhënat shëndetësore nuk duhet të ruhen në formë që lejon identifikimin më gjatë se sa është e nevojshme; afati i ruajtjes caktohet në përputhje me legjislacionin specifik sipas të cilit vepron kontrolluesi, lexuar së bashku me ligjin për mbrojtjen e të dhënave; dhe pas përfundimit të afatit të dhënat shkatërrohen ose anonimizohen. Vini re çfarë nuk bën kjo: udhëzimi nuk cakton vetë asnjë numër vitesh. Ky është një element i hapur që çdo ofrues duhet ta mbyllë kundrejt legjislacionit shëndetësor shqiptar dhe rregullave të veta profesionale, jo me hamendje, dhe është mangësia më e zakonshme që presim në një sektor ku "i mbajmë të gjitha përgjithmonë" është parazgjedhja.

Detyrimi i informimit (neni 7). Pacientët duhet të informohen përpara mbledhjes ose në komunikimin e parë, në gjuhë të qartë dhe të përshtatshme që u lejon të kuptojnë plotësisht përpunimin e parashikuar, dhe përmes kujdestarit ligjor kur pacienti nuk është në gjendje ta marrë informacionin drejtpërdrejt. Kur përpunimi kryhet me mjete automatike, kontrolluesi duhet të garantojë transmetimin në një format të strukturuar, interaktiv dhe të lexueshëm nga makina kur të dhënat transferohen te një kontrollues tjetër.

Konfidencialiteti dhe siguria (neni 8). Përpunimi është i ligjshëm vetëm kur kryhet nga profesionistë të shëndetësisë që kanë detyrimin e ruajtjes së sekretit profesional dhe konfidencialitetit, ose nga persona të tjerë që i nënshtrohen një detyrimi të tillë (8.1); masat e sigurisë duhet të rishikohen në mënyrë periodike (8.2); dhe 8.3 rendit pastaj shtatë kontrolle të detyrueshme. Ato janë shënuar me shkronjat e alfabetit shqip, gjë që ia vlen të thuhet sepse është gabimi i dytë i lehtë i citimit në këtë fushë:

  • (a) parandalimi i aksesit të çdo personi të paautorizuar në instalimet e përdorura për përpunimin, pra kontrolli i hyrjes;
  • (b) parandalimi i hyrjes së paautorizuar në të dhënat e përpunuara në sistemin e informacionit, si dhe i çdo konsultimi, modifikimi ose fshirjeje të paautorizuar;
  • (c) parandalimi i përdorimit të sistemeve të automatizuara nga persona të paautorizuar me anë të pajisjeve të transmetimit, pra kontrolli i përdorimit;
  • (ç) garantimi i mundësisë së kontrollit dhe konstatimit për individët ose subjektet te të cilët mund të komunikohen të dhënat shëndetësore me pajisjet e transmetimit, pra kontrolli i komunikimit;
  • (d) garantimi i mundësisë së kontrollit se kush ka pasur qasje në sistem dhe cilat të dhëna shëndetësore janë futur në sistemin e informacionit, kur dhe nga kush, pra kontrolli i hedhjes së të dhënave;
  • (dh) parandalimi i leximit, kopjimit, ndryshimit ose fshirjes së paautorizuar të të dhënave shëndetësore gjatë komunikimit dhe transmetimit të bazës së të dhënave, pra kontrolli i transmetimit;
  • (e) mbrojtja e të dhënave duke bërë kopje të sigurisë, pra kopjet rezervë.

Së fundi, 8.4 kërkon që kontrolluesit dhe përpunuesit publikë e privatë të dokumentacionit mjekësor të hartojnë rregullore të brendshme që reflektojnë parimet e përcaktuara në legjislacionin për mbrojtjen e të dhënave dhe në udhëzim. Një rregullore e brendshme e shkruar nuk është opsionale.

Kërkimi shkencor (neni 9). Përpunimi për kërkim ka nevojë për masa të përshtatshme mbrojtjeje; të dhënat duhet të anonimizohen kur qëllimi i kërkimit e lejon dhe të pseudonimizohen në fazën e ndarjes së identifikimit kur nuk e lejon; të dhënat e një pjesëmarrësi që tërhiqet duhet të shkatërrohen ose anonimizohen në mënyrë që nuk komprometon vlefshmërinë shkencore të kërkimit, duke e informuar atë; dhe rezultatet nuk duhet të publikohen në një formë që mundëson identifikimin e subjektit.

Pajisjet e lëvizshme (neni 10) duhet të shoqërohen nga masa të përshtatshme sigurie që garantojnë verifikimin e personit përkatës dhe enkriptimin gjatë transmetimit. Transferimet ndërkombëtare (neni 11) ndjekin nenet 39 deri 42 të ligjit, që u korrespondojnë neneve 44 deri 49 të GDPR-së, së bashku me aktet nënligjore që miraton Komisioneri. Mosbatimi sanksionohet sipas nenit 94 të ligjit (neni 12.2), ekuivalenti shqiptar i nenit 83 të GDPR-së, tavani i sipërm i të cilit është i shprehur në lekë, 2.000.000.000 lekë ose 4% e xhiros vjetore botërore, cila të jetë më e lartë.

Lexoni nenin 8.3 dhe nenin 5 së bashku dhe keni formën e problemit. Udhëzimi kërkon një regjistër aksesi, një rregull ruajtjeje dhe një rregullore të brendshme të dokumentuar, për të dhëna që shumica e klinikave shqiptare i mbajnë në një sistem menaxhimi që askush nuk e ka konfiguruar për asnjërën prej tyre, plus një arkiv letre, plus një kuti postare të përbashkët, plus të paktën një telefon.

Përpunimi që kryen realisht një klinikë ose laborator

Përpara se të ndihmojë ndonjë mjet, inventari duhet të jetë i ndershëm. Ky është grupi realist i veprimtarive të përpunimit për një klinikë private ose laborator diagnostik të mesëm shqiptar. Shumica e ofruesve, kur u kërkohet të rendisin përpunimin e tyre, përmendin katër të parat dhe ndalen.

  1. Regjistrimi dhe identifikimi i pacientit. Neni 9(2)(ë), ndërsa neni 7 mbulon të dhënat e kontaktit. Numri i identifikimit mblidhet zakonisht nga zakoni dhe jo nga nevoja.
  2. Rezervimi i takimeve me telefon, në vend, nga faqja ose me mesazh në rrjete sociale. Neni 9(2)(ë) ose kontrata. Simptoma e shkruar në një formular online është e dhënë shëndetësore që në çastin që mbërrin.
  3. Kartela klinike dhe historiku i trajtimit. Neni 9(2)(ë). Aksesi rrallë kufizohet sipas rolit.
  4. Rezultatet laboratorike dhe imazherike. Neni 9(2)(ë). Kanali i transmetimit është ekspozimi, sipas nenit 4.4 të Udhëzimit 02/2025.
  5. Referimi te laboratorët e jashtëm dhe rezultatet prej tyre. Neni 9(2)(ë) plus një analizë si përpunues ose kontrollues i përbashkët sipas nenit 26. Shpesh nuk ka fare marrëveshje me shkrim.
  6. Mostrat ose imazhet e dërguara jashtë vendit për analizë ose lexim të dytë. Nenet 39 deri 42 dhe neni 11 i Udhëzimit 02/2025. Shpesh të padokumentuara, dhe kërkojnë një vlerësim ndikimi të transferimit.
  7. Testimi gjenetik dhe prenatal. Neni 9(2)(ë) plus neni 3 i Udhëzimit 02/2025. Kufizimi i qëllimit është i rreptë, dhe ka një dimension të familjes biologjike.
  8. Faturimi dhe kërkesat ndaj sigurimeve. Neni 9(2)(ë), ndërsa aksesi i siguruesit kufizohet nga neni 4.7 i Udhëzimit 02/2025. Siguruesit zakonisht marrin më shumë se ç'u takon.
  9. CCTV në recepsion, korridore dhe salla pritjeje. Interesi legjitim sipas nenit 7 plus Udhëzimi 03/2025. Ruajtja është 72 orë kur mjedisi monitorohet vazhdimisht, përndryshe maksimumi 30 ditë.
  10. Regjistrimi i telefonatave. Neni 7 ose pëlqimi. Zakonisht pa njoftim dhe pa rregull ruajtjeje.
  11. Komunikimi me pacientët përmes një porte SMS ose një aplikacioni konsumator. Ky është problemi i nenit 4.4, dhe njëkohësisht një marrëdhënie me përpunues.
  12. Faqja e internetit, moduli i rezervimeve, analitika dhe piksejt e reklamave. Pëlqimi për gjurmuesit jothelbësorë, plus Udhëzimi 04/2025 për marketingun e drejtpërdrejtë. Një piksel reklamimi në një faqe për një trajtim nxjerr jashtë një përfundim shëndetësor.
  13. Vlerësimet, dëshmitë dhe fotografitë para dhe pas. Pëlqim i shprehur. Imazhet e pacientëve janë të dhëna shëndetësore në kontekst.
  14. Marketingu ndaj pacientëve të mëparshëm me fushata rikujtuese dhe promocione. Pëlqimi, Udhëzimi 04/2025 dhe mbrojtjet për të miturit nën 18 vjeç. Rikujtimi për ndjekje klinike dhe marketingu nuk janë i njëjti qëllim.
  15. Të dhënat e punonjësve dhe kandidatëve, dhe mjekësia e punës. Neni 9(2)(b) për elementin e punësimit dhe sigurimeve shoqërore, me Udhëzimin 42 për kandidatët për punë dhe Udhëzimin 11 për punonjësit në sektorin privat. Kartelat shëndetësore të stafit shpesh mbahen pranë atyre të pacientëve.
  16. Provat klinike të barnave, kur zbatohen. Udhëzimi 18, që vijon të jetë i listuar në fuqi. Rrallë i hartëzuar në programin e privatësisë.

Pikat 5, 6, 9, 11 dhe 12 janë aty ku bien inspektimet, sepse janë ato që përfshijnë dikë jashtë godinës.

Pesë dështime që shfaqen në këtë sektor

Rezultatet udhëtojnë me aplikacione konsumatore. Të emërtuara në nenin 4.4 të Udhëzimit 02/2025. Zgjidhja është një vendim për kanalin, një marrëveshje përpunuesi për portën që përdorni vërtet, dhe një rregull stafi që i mbijeton së premtes më të ngarkuar.

Të gjithë shohin gjithçka. Një llogari e përbashkët për recepsionin, ose një sistem pa ndarje rolesh, dështon njëkohësisht nenin 9(2)(ë), që e lidh ligjshmërinë me personat nën sekret profesional, dhe nenin 8.3(b) e (d) të Udhëzimit 02/2025. Komisionerit nuk i duhet ekspertizë forenzike për ta gjetur këtë. Pyet kush mund të hapë një kartelë dhe sheh përgjigjen.

Marrëdhënia me laboratorin e jashtëm është e padokumentuar. Një klinikë dërgon mostra te një laborator referues dhe merr rezultatet prapa, me vite, mbi një marrëveshje tregtare që nuk e përmend kurrë mbrojtjen e të dhënave. Neni 26 / GDPR neni 28 kërkon një kontratë me shkrim që mbart kushtet e detyrueshme, me nënpërpunuesit e autorizuar me shkrim. Nëse mostrat ose imazhet dalin nga Shqipëria, zbatohen edhe nenet 39 deri 42. Udhëzuesi ynë për menaxhimin e përpunuesve sipas Ligjit 124/2024 paraqet grupin e klauzolave.

Ruajtja është "përgjithmonë". Neni 5 i udhëzimit kërkon një afat të caktuar kundrejt legjislacionit që rregullon veprimtarinë tuaj, dhe më pas shkatërrim ose anonimizim. "Nuk kemi fshirë kurrë asgjë" është një përgjigje që i tregon inspektorit edhe sa i madh do të ishte cenimi juaj.

CCTV-ja funksionon pa autoritetin e askujt. Udhëzimi 03/2025 kërkon një vendim të brendshëm të dokumentuar që miraton llojet dhe pozicionet e kamerave dhe zonat e sakta të monitoruara, ndalon kamerat në hapësira ekskluzivisht private, cakton ruajtjen në 72 orë kur mjedisi monitorohet vazhdimisht nga personeli dhe maksimumi 30 ditë përndryshe, dhe kërkon tabelat standarde. Kamerat e sallave të pritjes në klinika zakonisht instalohen nga një kontraktor sigurie dhe nuk trashëgohen nga askush. E trajtuam këtë në hollësi te kamerat që keni instaluar.

Modul pas moduli: si e mbart këtë PrivaxisOS

Më poshtë është zbatimi i secilit modul pikërisht për këtë sektor: përpunimi që mban, neni ose udhëzimi që provon, dhe gjurma që lë pas për një inspektim.

1. Regjistri i veprimtarive të përpunimit, sipas nenit 27

Gjashtëmbëdhjetë veprimtaritë e mësipërme janë regjistri. Moduli ROPA i kthen ato nga një dokument që dikush e ndërtoi një herë në zëra me pronarë: menaxheri i laboratorit mban pikat 4 deri 7, drejtuesi i financës pikën 8, menaxheri i praktikës 9 deri 11, marketingu 12 deri 14, burimet njerëzore 15. Çdo zë mbart qëllimin, bazën ligjore, dhe këtu fusha e bazës duhet të jetë në gjendje të shprehë nenin 9(2)(ë) dhe jo një listë të formësuar sipas GDPR-së, kategoritë e të dhënave përfshirë shenjën për të dhënat sensitive, marrësit, çdo transferim jashtë Shqipërisë me masën mbrojtëse, afatin e ruajtjes dhe masat e sigurisë.

Dy pika specifike për sektorin. Së pari, përjashtimi për organizatat e vogla në nenin 27 nuk ju vlen: ai bie kur përpunimi ka gjasa të sjellë rrezik për të drejtat dhe liritë, kur nuk është i rastësishëm, ose kur përfshin të dhëna sensitive apo të dhëna për dënimet penale, dhe një klinikë i dështon të tria testet pavarësisht numrit të punonjësve. Një praktikë dentare me dymbëdhjetë veta ka të njëjtin detyrim regjistri si një spital. Së dyti, fusha e ruajtjes është aty ku mbyllet pyetja e hapur nga neni 5 i Udhëzimit 02/2025, sipas veprimtarisë, me legjislacionin e mbështetur të shënuar pranë numrit, që është pikërisht forma që merr pyetja e një inspektori. Regjistri me të cilin nis çdo inspektim i kalon një nga një fushat e nenit 27.

Rrjedha e miratimit ka më shumë rëndësi këtu se në shumicën e sektorëve, sepse personi që di se çfarë ndodh me një mostër nuk është personi që do të përgjigjet për të. Hartim nga njësia, rishikim dhe mbyllje nga DPO-ja, cikël vjetor, eksport për Komisionerin.

2. Të drejtat e subjekteve, sipas neneve 12 deri 21 dhe nenit 6 të Udhëzimit 02/2025

Pacientët janë grupi me më shumë gjasa në Shqipëri që i ushtron të drejtat herët, sepse ajo që duan, një kopje e kartelës së vet, është konkrete dhe gjithmonë janë ndier të zotët e saj. Neni 6 i Udhëzimit 02/2025 rithekson të drejtën për të ditur nëse të dhënat po përpunohen, për të marrë pa vonesë informacion në formë të kuptueshme, për të pasur akses, dhe për të kërkuar korrigjimin ose fshirjen e të dhënave që nuk janë të rregullta, të vërteta, të plota ose që janë përpunuar në kundërshtim me ligjin, me arsye ligjore të detyrueshme për çdo refuzim dhe me të drejtën e ankimit pranë Komisionerit.

Moduli i kërkesave mbulon mekanikën, përfshirë një formular publik kërkese në shqip, verifikimin me email, një faqe gjurmimi dhe radhën e brendshme me afatin 30-ditor të nenit 12 / GDPR nenit 12 dhe zgjatjen në 60 ditë gjithsej të njoftuar brenda 30 ditëve të para. Vlera specifike për sektorin qëndron te modelet e vendimmarrjes që ju detyron t'i regjistroni:

  • Aksesi në një kartelë klinike prek të dhëna të palëve të treta pothuajse çdo herë, sepse historiku familjar përmend të afërm dhe letrat e referimit përmendin klinicistë të tjerë. Përgjigjja është redaktim i dokumentuar, jo refuzim.
  • Fshirja zakonisht refuzohet pjesërisht. Kur legjislacioni shëndetësor cakton një afat ruajtjeje, kartela mbetet; zëri në listën e marketingut largohet. Rezultati i saktë është plotësim i pjesshëm me bazën ligjore të regjistruar për secilën gjysmë, dhe çdo refuzim i njoftuar brenda 30 ditëve me arsye dhe me rrugët e ankimit.
  • Transportueshmëria rrallë zbatohet. Neni 18 / GDPR neni 20 lidhet me të dhënat që ka dhënë vetë subjekti, kur përpunimi mbështetet në miratimin e tij ose në një kontratë dhe kryhet me mjete automatike, gjë që e nxjerr jashtë saj një kartelë klinike të mbajtur sipas nenit 9(2)(ë) mbi bazën e ligjit. Pacientët i marrin prapë të dhënat e tyre përmes të drejtës së aksesit, por dallimi përcakton formatin që u detyroheni dhe nëse një klinikë konkurrente mund të kërkojë transferim të drejtpërdrejtë.
  • Të miturit dhe përfaqësuesit. Neni 2.4 i Udhëzimit 02/2025 e vendos pëlqimin te përfaqësuesi ligjor kur i mituri nuk mund ta japë, dhe moduli regjistron kush e bëri kërkesën dhe në çfarë cilësie, që është pyetja që bëhet pas.
  • Verifikimi i identitetit nuk është pengesë këtu, është kontrolli. Një kërkesë për kartelën mjekësore të dikujt tjetër, e plotësuar, është një cenim i të dhënave sensitive i shkaktuar nga dora juaj, dhe sipas nenit 29 / GDPR nenit 33 do të njoftonit pastaj Komisionerin brenda 72 orëve për një dështim të procesit tuaj.

Udhëzuesi ynë për afatin 30-ditor trajton bazat e refuzimit dhe kurthet në to.

3. Vlerësimet e privatësisë, sipas neneve 31 dhe 32

Një klinikë ose laborator i plotëson pa mund treguesit e rrezikut të lartë: përpunimi në shkallë të gjerë i të dhënave të kategorive të veçanta është vetë modeli i biznesit, dhe CCTV-ja shton mbi të monitorimin sistematik. Vlerësimet që e vlejnë veten në këtë sektor:

  • DPIA për një sistem ose qendër të re. Marrja ose zëvendësimi i një sistemi menaxhimi klinike apo informacioni laboratorik, hapja e një qendre të re, futja e portaleve të pacientëve ose e rezultateve online, ose nisja e çdo shërbimi testimi gjenetik a prenatal sipas nenit 3 të Udhëzimit 02/2025.
  • DPIA për CCTV-në në recepsion dhe zonat e trajtimit, vlerësuar kundrejt Udhëzimit 03/2025: zonat, pozicionet e kamerave, vendimi i brendshëm miratues, ruajtja në 72 orë ose 30 ditë, dhe tabelat.
  • Vlerësimi i rrezikut të furnitorit për laboratorin referues, furnitorin e sistemit të menaxhimit, ofruesin e imazherisë ose teleradiologjisë, portën SMS, mikpritësin cloud dhe zyrën e faturimit, duke provuar testin e "garancive të mjaftueshme" të nenit 26(1) / GDPR nenit 28(1) përpara nënshkrimit.
  • Vlerësimi i ndikimit të transferimit për mostrat, imazhet ose kartelat e dërguara jashtë vendit për analizë ose lexim të dytë, sipas neneve 39 deri 42 dhe nenit 11 të Udhëzimit 02/2025.
  • Vlerësimi i rrezikut të sigurisë i ndërtuar drejtpërdrejt mbi grupin e kontrolleve të nenit 8.3 të Udhëzimit 02/2025, i përdorur si pyetësor: aksesi në ambiente, aksesi në sistem, përdorimi, komunikimi, regjistrimi i qasjeve, transmetimi dhe kopjet rezervë.

Pika e fundit është ajo për t'u vënë re. Neni 8.3 i Udhëzimit 02/2025 është shkruar si një listë me shtatë kontrolle. Kthimi i tij drejtpërdrejt në një shabllon vlerësimi ju jep një vlerësim struktura e të cilit pasqyron instrumentin kundrejt të cilit do t'ju vlerësojë Komisioneri, gjë që është pozitë materialisht më e fortë se një pyetësor i përgjithshëm sigurie. Vlerësimi caktohet te personat që realisht i mbajnë përgjigjet, kontraktori i IT-së, menaxheri i laboratorit dhe menaxheri i praktikës, dhe kthehet si një regjistrim i vetëm me rezultat, datë dhe autor.

Kur rreziku i mbetur qëndron i lartë pas zbutjes, zbatohet konsultimi paraprak sipas nenit 32 / GDPR nenit 36. Komisioneri jep mendimin jo më vonë se 60 ditë nga marrja e kërkesës, me zgjatje jo më shumë se 45 ditë të tjera kur përpunimi i parashikuar është kompleks, dhe me vendimin e arsyetuar për zgjatjen të njoftuar brenda 30 ditëve të para. Për një klinikë që planifikon një qendër të re ose një portal pacientësh, kjo është pikë e planit të projektit dhe jo formalitet. Vlerësimet e ndikimit sipas nenit 31 i trajton nxitësit.

4. Furnitorët dhe përpunuesit, sipas nenit 26

Lista e furnitorëve në sektorin shëndetësor është më e gjatë dhe më e ndjeshme se ç'presin shumica e kontrolluesve, dhe është lista që një inspektor kërkon e para pas regjistrit. Moduli i furnitorëve mban çdo përpunues me kontratën e tij me shkrim, nëntë kushtet e detyrueshme të nenit 26(3) / GDPR nenit 28(3) të hartëzuara, nënpërpunuesit e autorizuar me shkrim sipas nenit 26(2), vendndodhjen e përpunimit dhe vlerësimin e lidhur.

Për këtë sektor regjistri duhet të kapë në veçanti laboratorin referues; furnitorin e sistemit të klinikës ose laboratorit dhe këdo që e strehon atë; imazherinë, PACS-in dhe çdo lexues teleradiologjie; portën SMS ose të mesazheve që përdoret për të njoftuar pacientët, e cila pas nenit 4.4 të Udhëzimit 02/2025 është kontroll përputhshmërie po aq sa furnitor; zyrën e faturimit ose kontabilitetit; ndërmjetësin ndaj siguruesve, i kufizuar nga neni 4.7; ofruesin e faqes dhe të modulit të rezervimeve; dhe kontraktorin e mbështetjes së IT-së që mund të arrijë sistemin klinik, deklarata e konfidencialitetit e të cilit është pjesë e bazës suaj sipas nenit 9(2)(ë).

Pika që moduli e bën strukturore është ajo që i mund klinikat: burimet njerëzore nënshkruajnë me zyrën e pagave, menaxheri i laboratorit me laboratorin referues, pronari me programin, dhe askush nuk e mban pamjen e plotë. Përgjegjësia sipas nenit 26 nuk shpërndahet njësoj si nënshkrimet.

5. Skanimi i faqes

Faqet e klinikave janë rrezik veçanërisht i mprehtë, për një arsye që nuk lidhet posaçërisht me Shqipërinë: faqja që po lexon një vizitor është në vetvete një përfundim shëndetësor. Një etiketë reklamimi ose analitike e palës së tretë në një faqe për trajtim të fertilitetit, onkologji ose implante dentare transmeton faktin se një shfletues i identifikueshëm e pa atë faqe. Të dhënat e kategorive të veçanta të nxjerra nga sjellja dhe të zbuluara te një përpunues që askush nuk e ka vlerësuar lexohen njësoj sipas nenit 9 / GDPR nenit 9 si kudo tjetër, me Udhëzimin 04/2025 për marketingun e drejtpërdrejtë përkrah tij.

Moduli i skanimit skanon çdo domen dhe raporton cookie-t e vendosura dhe qëllimin e tyre, gjurmuesit e palëve të treta të pranishëm dhe ku i dërgojnë të dhënat, si dhe një rezultat rreziku për çdo domen. Për një klinikë gjërat specifike për t'u kërkuar janë pikseli i reklamave në faqet e trajtimeve, moduli i integruar i rezervimeve që vendos cookie-t e veta, moduli i bisedës që merr përshkrime simptomash, instalimi i analitikës me veçoritë e reklamimit të ndezura si parazgjedhje, dhe etiketa që një agjenci e shtoi dy vjet më parë dhe askush nuk e dokumentoi. Verifikimi i sjelljes së pëlqimit, pra nëse një gjurmues i caktuar aktivizohet përpara se vizitori të ketë rënë dakord, është një aftësi më vete ende në zhvillim; ajo që provon skanimi sot është çfarë vendoset dhe dërgohet realisht, që është inventari mbi të cilin mbështetet pjesa tjetër e analizës.

6. Inteligjenca e përputhshmërisë

Nenet 2.1 dhe 2.2 të Udhëzimit 02/2025 kërkojnë që kontrolluesi të jetë në gjendje të provojë përputhshmërinë para autoritetit mbikëqyrës. Neni 8.4 kërkon që rregulloret e brendshme të ekzistojnë si rregullore e shkruar. Neni 8.2 kërkon që masat e sigurisë të rishikohen periodikisht, detyrim që mbetet i padukshëm nëse asgjë nuk regjistron se rishikimi ndodhi.

Qendra e përputhshmërisë është aty ku takohen këto të tria: një pamje e vetme mbi plotësinë e regjistrit, kërkesat e hapura dhe kohën e mbetur, vlerësimet në proces dhe rishikimet e vonuara, marrëveshjet e munguara me furnitorët dhe gjetjet e paadresuara të skanimit, me një rezultat përputhshmërie që del nga regjistrimi operativ dhe jo i mbledhur me dorë për një mbledhje. Duke pasur parasysh se Komisioneri ka inspektuar pesëmbëdhjetë ofrues në këtë sektor dhe ka mbledhur pjesën tjetër për të diskutuar gjetjet, aftësia për t'iu përgjigjur pyetjes "ku jemi sot" pa dy javë vrapim nuk është përfitim abstrakt.

7. Platforma në themel, dhe dispozita që i përgjigjet saktësisht

Neni 8.3(d) i Udhëzimit 02/2025 kërkon që kontrolluesi të garantojë mundësinë e kontrollit se kush ka pasur qasje në sistem dhe cilat të dhëna shëndetësore janë futur në të, kur dhe nga kush. Ky është detyrim regjistrimi auditimi i shkruar brenda legjislacionit dytësor shqiptar për shëndetësinë, pothuajse me të njëjtat fjalë që do të përdorte një specifikim produkti.

Kundrejt listës së nenit 8.3, shtresa e platformës mbart leje sipas rolit, ku DPO-ja sheh gjithçka ndërsa personi i kontaktit i njësisë sheh vetëm fushën e vet dhe pjesëmarrësi i vlerësimit vetëm pyetësorin e tij, duke iu përgjigjur 8.3(b) dhe (c); gjurmë auditimi mbi çdo veprim me përdoruesin, kohën dhe kontekstin, duke iu përgjigjur 8.3(d); dhe kontrolle dukshmërie që i mbajnë shënimet e brendshme të brendshme ndërsa pacienti sheh statusin që i takon. Izolimi i mjedisit të klientit, faqet publike në shqip si parazgjedhje që asnjë pacient të mos i duhet të lexojë anglisht për të ushtruar një të drejtë ligjore, dhe njoftimet kundrejt afateve e plotësojnë pamjen. Të njëjtat kontrolle janë ato që neni 28 / GDPR neni 32 kërkon prej jush në nivelin e vetë ligjit.

Dy kontrolle të nenit 8.3 shprehimisht nuk i takojnë platformës dhe duhen caktuar diku tjetër në program: 8.3(a), kontrolli i aksesit fizik në ambientet ku kryhet përpunimi, dhe 8.3(e), kopjet rezervë të sigurisë. Një hartë modulesh që nënkupton në heshtje se programi i mbyll të gjitha kontrollet është lloji i pretendimit që dështon në takim.

Një radhë nëntëdhjetë ditësh për një klinikë ose laborator

Javët 1 dhe 2. Vendosni me shkrim pyetjen e nenit 33: a janë veprimtaritë tuaja kryesore përpunim në shkallë të gjerë i të dhënave sensitive, dhe pra a është i detyrueshëm një DPO? Regjistroni arsyetimin sido që të jetë përgjigjja. Inventarizoni gjashtëmbëdhjetë veprimtaritë e mësipërme kundrejt realitetit tuaj dhe hapni regjistrin.

Javët 3 deri 5. Mbyllni pyetjen e ruajtjes nga neni 5 i Udhëzimit 02/2025 sipas veprimtarisë, kundrejt legjislacionit shëndetësor që ju rregullon. Hartoni rregulloren e brendshme që kërkon neni 8.4. Ndreqni problemin e kanalit të transmetimit te neni 4.4: vendosni rrugën, kontraktoni portën, njoftoni stafin dhe shkruajeni në rregullore.

Javët 6 deri 8. Vendosni çdo përpunues nën një kontratë sipas nenit 26, duke nisur nga laboratori referues dhe furnitori i sistemit. Kryeni vlerësimin e transferimit për gjithçka që del nga Shqipëria. Kryeni vlerësimin e sigurisë kundrejt grupit të kontrolleve të nenit 8.3.

Javët 9 deri 12. Ngrini rrugën e të drejtave për pacientët në shqip dhe kryeni një provë të vërtetë nëpër të. Sillni CCTV-në në përputhje me Udhëzimin 03/2025: vendimin e brendshëm miratues, zonat, ruajtjen dhe tabelat. Skanoni faqen dhe merruni me atë që ndodhet në faqet e trajtimeve. Pastaj shikoni rezultatin e përputhshmërisë dhe ndreqni atë që thotë se mungon.

Një kontroll i shkurtër gatishmërie

A mund ta nxirrni sot regjistrin tuaj, me afatin e ruajtjes për kartelat klinike dhe legjislacionin mbi të cilin mbështetet të shkruar pranë? A e dini çdo person që mund të hapë një kartelë pacienti, dhe a është secili prej tyre nën detyrimin e sekretit profesional? A ekziston një rregullore e brendshme e shkruar, siç kërkon neni 8.4? A ka një regjistër aksesi që do të tregonte kush e hapi një kartelë të caktuar muajin e kaluar? A mund të emërtoni çdo organizatë që merr të dhëna shëndetësore prej jush, dhe të nxirrni një kontratë sipas nenit 26 për secilën? A del gjë nga Shqipëria, dhe a ka një vlerësim transferimi për të? A mund të kërkonte një pacient kartelën e vet në shqip pa i shkruar personalisht një mjeku, dhe a do të mbërrinte përgjigjja brenda 30 ditëve? Dhe a ka dërguar dikush një rezultat me WhatsApp këtë javë?

Nëse përgjigjja e fundit është po, filloni që aty. Komisioneri e ka shkruar tashmë atë pikë.

Nëse doni ta drejtoni këtë si program dhe jo si projekt, shërbimet tona DPO e mbulojnë sektorin drejtpërdrejt, dhe faqet sipas sektorit tregojnë si zbatohet e njëjta strukturë diku tjetër.