Adatfeldolgozói szerződés rendelőknek: mit tartalmazzon, és mire figyeljen aláírás előtt

Ki az adatkezelő és ki az adatfeldolgozó a rendelőben?

Az adatkezelő az, aki eldönti, milyen célra és milyen eszközökkel kezel személyes adatot. Egy magánrendelőben ez maga a rendelő: ő dönti el, mit kér be a foglaláskor, mit rögzít a kartonban, meddig őrzi, és kik férnek hozzá. Az adatfeldolgozó az, aki a rendelő nevében, a rendelő utasítása szerint kezeli az adatokat.

Tipikus adatfeldolgozók egy rendelő körül:

• a rendelői program vagy páciens CRM szolgáltatója,
• az online időpontfoglaló és az emlékeztető üzeneteket küldő szolgáltatás,
• a telefonos asszisztens vagy a weboldali chatbot üzemeltetője,
• a felhős tárhely, a levelezés és a mentés szolgáltatója,
• a rendszergazda, ha hozzáfér a gépekhez és a szerverhez,
• a könyvelő programja, ha páciensnevet tartalmazó számlák kerülnek bele.

Az Európai Adatvédelmi Testület 07/2020. iránymutatása részletesen leírja, hogyan kell eldönteni, ki melyik szerepben van. A lényeg: ha a szolgáltató nem dönthet arról, mire használja az adatot, és csak a rendelő megbízásából dolgozik vele, akkor adatfeldolgozó. Ha saját célra is felhasználná, például saját marketingre, akkor már nem csak adatfeldolgozó, és ezt a szerződésnek és a páciensek tájékoztatásának is tükröznie kell.

Mit ír elő a GDPR 28. cikke?

A rendelet szerint a rendelő csak olyan adatfeldolgozót vehet igénybe, amely megfelelő garanciákat nyújt arra, hogy az adatkezelés megfelel a rendelet követelményeinek. A kapcsolatot írásban, elektronikus formában is megköthető szerződésben kell rendezni, amely rögzíti az adatkezelés tárgyát, időtartamát, jellegét és célját, a személyes adatok típusát, az érintettek kategóriáit, valamint a rendelő jogait és kötelezettségeit.

A 28. cikk (3) bekezdése felsorolja, mit kell az adatfeldolgozónak vállalnia. Rendelői nyelvre fordítva:

1. Csak utasításra dolgozik. Az adatokat csak a rendelő dokumentált utasítása szerint kezeli, és nem használja saját célra.
2. Titoktartás. Aki nála hozzáfér az adatokhoz, titoktartásra kötelezett.
3. Biztonság. Megteszi a 32. cikk szerinti, a kockázattal arányos technikai és szervezési intézkedéseket.
4. Alvállalkozók csak engedéllyel. További adatfeldolgozót csak a rendelő előzetes, egyedi vagy általános írásos engedélyével von be, és ugyanazokat a kötelezettségeket az alvállalkozókra is továbbadja.
5. Segít a páciensek kérelmeinél. Ha egy páciens hozzáférést, helyesbítést vagy törlést kér, a szolgáltató segít a kérelem teljesítésében.
6. Segít a biztonságban és az incidenskezelésben. Közreműködik a 32-36. cikk szerinti feladatokban, például egy adatvédelmi incidens bejelentésében.
7. A szerződés végén visszaad vagy töröl. A rendelő választása szerint minden adatot visszaad vagy töröl, kivéve, ha jogszabály tárolást ír elő.
8. Ellenőrizhető. Minden információt rendelkezésre bocsát, amely a megfelelés igazolásához kell, és lehetővé teszi az ellenőrzést.

Ha a szolgáltató saját mintát ad, ezek a pontok általában benne vannak. A különbség a részletekben van, és ezek a részletek döntik el, mennyire tudja a rendelő a saját kötelezettségeit teljesíteni.

6 kérdés, amit aláírás előtt tegyen fel

1. Hol vannak az adatok?

Kérdezze meg, melyik országban vagy régióban vannak a szerverek, és van-e adattovábbítás az Európai Gazdasági Térségen kívülre. Ha van, a szerződésnek meg kell neveznie a jogalapot, például általános adatvédelmi kikötéseket vagy megfelelőségi határozatot. Egészségügyi adatnál ez nem formalitás: a pácienseknek adott tájékoztatásban is szerepelnie kell.

2. Kik az alvállalkozók?

Egy mai szoftver ritkán fut egyetlen cég gépein. Felhős tárhely, levélküldő, SMS szolgáltató, hangfeldolgozás, hibakövető rendszer: mind további adatfeldolgozó lehet. Kérje el a listát, és nézze meg, hogyan értesítik, ha új alvállalkozó jön, és van-e lehetősége tiltakozni. Ha a szolgáltató a listát sem kérésre, sem nyilvánosan nem adja ki, az figyelmeztető jel.

3. Milyen gyorsan jelez incidenst?

A GDPR 33. cikke szerint a rendelőnek az adatvédelmi incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával azután kell bejelentenie a NAIH-nak, hogy tudomást szerzett róla, kivéve, ha valószínűsíthetően nem jár kockázattal. Az adatfeldolgozó a rendelet szerint indokolatlan késedelem nélkül értesíti a rendelőt. A gyakorlatban érdemes konkrét határidőt kérni, például 24 vagy 48 órát, hogy a rendelőnek maradjon ideje a saját bejelentésére. A NAIH oldalán részletes tájékoztató van az incidensek kezeléséről.

4. Milyen formátumban kapja vissza az adatokat?

A „visszaadja vagy törli” mondat önmagában kevés. Kérdezze meg, milyen formátumban kapja vissza az adatokat (például CSV, Excel, PDF a dokumentumokhoz), mennyi idő alatt, és van-e ennek külön díja. Az egészségügyi dokumentációt az Eüak. 30. §-a szerint évtizedekig meg kell őrizni, így a szerződés vége nem jelentheti az adatok elvesztését. Erről részletesen a dokumentáció megőrzési ideje oldalon írtam.

5. Mit vállal pontosan a biztonságról?

A „megfelelő intézkedések” általános mondat. Kérje, hogy a szerződés vagy egy melléklete nevezze meg a főbbeket: titkosítás átvitel közben és tároláskor, szerepkörös jogosultság, hozzáférési napló, mentés és a visszaállítás próbája, kétlépcsős azonosítás. Ezek alapján tudja a rendelő a saját nyilvántartásában is leírni, milyen védelem van az adatain.

6. Mi történik szerződésbontáskor és csődnél?

Kérdezze meg, mennyi ideig férhet még hozzá az adataihoz a felmondás után, és mi történik, ha a szolgáltató megszűnik. Egy jó szerződésben van átmeneti idő az adatok kimentésére, és a törlést a szolgáltató írásban igazolja.

Gyakori hibák a rendelőkben

• Nincs szerződés a „kis” szolgáltatókkal. A rendelői programmal van DPA, de az SMS küldővel, a levelezéssel vagy a rendszergazdával nincs.
• A szerződés régebbi, mint az eszköz. A rendelő új funkciót kapcsolt be, például hívásrögzítést vagy chatbotot, de a szerződés és a tájékoztató nem követte.
• Senki nem tudja, hol van a szerződés. Ellenőrzéskor vagy incidensnél percek számítanak, nem az, hogy ki melyik e-mailben kapta meg.
• Közös belépés a szolgáltatónál. Ha mindenki ugyanazzal a felhasználóval lép be, a napló nem mutatja meg, ki mit csinált, és a szerződésben vállalt biztonság a rendelő oldalán sérül.
• A szolgáltató saját célra is használ adatot. Ha a szerződés szerint a szolgáltató például termékfejlesztésre vagy statisztikára felhasználhatja az adatokat, nézze meg pontosan, mire, és hogy ez összefér-e a páciensek tájékoztatásával.

Hogyan tartsa rendben a szerződéseket?

A GDPR 30. cikke szerint az adatkezelőnek nyilvántartást kell vezetnie az adatkezelési tevékenységeiről, és ebben a címzettek is szerepelnek. Egy rendelőben ehhez elég egy egyszerű táblázat, oszloponként:

1. a szolgáltató neve és a szolgáltatás,
2. milyen adatot lát (elérhetőség, időpont, egészségügyi adat),
3. van-e aláírt adatfeldolgozói szerződés, és hol van,
4. az alvállalkozók listájának helye,
5. az adatok helye (ország vagy régió),
6. az utolsó felülvizsgálat dátuma.

Évente egyszer, és minden új eszköz bevezetésekor nézze át. Közben frissítse az adatkezelési tájékoztatót is, mert a páciensnek tudnia kell, kik a címzettek, legalább kategória szerint.

Saját szerződés vagy a szolgáltató mintája?

Kisebb rendelőnél ritkán reális, hogy minden szolgáltatóval egyedi szerződést tárgyaljon. A szolgáltatók általában saját mintát adnak, és ez rendben van, ha a fenti elemek benne vannak. A minta elfogadása előtt viszont érdemes egy összevetést készíteni: melyik pont felel a 28. cikk (3) bekezdésének egyes elemeire, és hol hiányos. Ha valami hiányzik, például az incidensjelzés határideje vagy az alvállalkozók listájának elérhetősége, kérjen kiegészítést írásban. Egy komoly szolgáltató erre válaszol.

Ha a rendelőnek van adatvédelmi tisztviselője vagy tanácsadója, a mintákat ő nézze át egyszer, és készítsen belőle egy rövid ellenőrzőlistát. Így a következő szolgáltatónál már a recepcióvezető vagy a tulajdonos is gyorsan végig tudja nézni, és csak az eltéréseket kell szakemberrel megbeszélni.

Ha holnap kezdene: tennivalók

1. Írja össze, milyen szolgáltatók látnak betegadatot a rendelőben, a kicsiket is.
2. Mindegyiknél nézze meg, van-e aláírt adatfeldolgozói szerződés.
3. Ahol nincs, kérje el a szolgáltató mintáját, és tegye fel a fenti 6 kérdést.
4. Kérje el az alvállalkozók listáját, és jegyezze fel, hol érhető el.
5. Rögzítse a táblázatban az incidensjelzés határidejét szolgáltatónként.
6. Frissítse az adatkezelési tájékoztatót, ha új címzett került a képbe.
7. Tegye a naptárba az éves felülvizsgálatot.

Ez a cikk általános tájékoztatás, nem jogi tanácsadás. Egy konkrét szerződés megítéléséhez adatvédelmi szakember vagy jogász segítségét érdemes kérni.

Mit tesz ebben a ClinicAI

A ClinicAI-hoz adatfeldolgozói szerződés tartozik, amelynek mintáját előre elolvashatja az adatfeldolgozási szerződés oldalon. Benne van az incidensjelzés határideje, az alvállalkozók kezelése és az adatok visszaadása szabványos formátumban a szerződés végén. A további adatfeldolgozók listája a Biztonság oldalon olvasható. A hozzáférés szerepkörökkel és naplózással működik a páciens CRM-ben, a fájlok pedig titkosított, mentett tárhelyre kerülnek a NAS kiváltás moduljával. Ha a szerződéssel kapcsolatban kérdése van, írjon nekem.