DREPTURILE PERSOANEI VIZATE

A. Drepturi asigurate de principiul transparenței prelucrării datelor personale

• Operatorul trebuie să informeze persoana vizată cu privire la prelucrarea datelor sale referitoare la sănătate
• Informațiile trebuie să includă cel puțin:
  • • identitatea și datele de contact ale operatorului (ex. cabinet) și ale persoanelor împuternicite de operator[1] [2] (ex. furnizorul unei aplicații informatice), dacă este cazul
    • scopul în care sunt prelucrate datele și, dacă este cazul, temeiul juridic relevant pentru acesta
    • durata de păstrare a datelor
    • destinatarii sau categoriile de destinatari ai datelor, precum și transferurile de date planificate către o țară terță sau o organizație internațională
    • posibilitatea, dacă este cazul, de a se opune prelucrării datelor lor, în condițiile prevăzute de articolul 21 din RGPD
    • condițiile și mijloacele puse la dispoziția persoanei vizate pentru a-și exercita, prin intermediul operatorului, drepturile de acces, rectificare și ștergere a datelor sale

• Atunci când este necesar și în vederea asigurării unei prelucrări corecte și transparente, informațiile trebuie să includă, de asemenea:
  • • posibilitatea ca datele lor să fie prelucrate ulterior într-un scop compatibil, în conformitate cu garanțiile corespunzătoare prevăzute de lege și în conformitate cu condițiile prevăzute la articolul 5 alin.1 lit.b) din RGPD
    • posibilitatea de a depune o plângere la o autoritate de supraveghere
    • existența deciziilor automatizate, inclusiv crearea de profiluri, care este permisă numai în cazul în care este prevăzută de lege și sub rezerva unor garanții adecvate. Exemplu: identificarea, localizarea și monitorizarea unui pacient la distanță prin intermediul unor aplicații mobile și profilarea comportamentului acestuia. Orice decizie se ia în privința persoanei trebuie să aibă un factor uman în spate și să existe un control uman.

• Aceste informații ar trebui să fie furnizate înainte de colectarea datelor sau la prima comunicare.

• Informațiile trebuie să fie inteligibile și ușor accesibile, într-un limbaj clar și simplu și adaptate circumstanțelor, pentru a permite persoanei vizate să înțeleagă pe deplin prelucrarea prevăzută. În special, în cazul în care persoana vizată este incapabilă din punct de vedere fizic sau juridic să primească informațiile, acestea pot fi furnizate persoanei care o reprezintă legal. În cazul în care o persoană incapabilă din punct de vedere juridic este capabilă să înțeleagă, aceasta ar trebui, de asemenea, să fie informată înainte de prelucrarea datelor.

• Operatorul nu este obligat să furnizeze aceste informații în cazul în care persoana vizată deține deja informațiile necesare. În plus, în cazul în care datele cu caracter personal nu sunt colectate direct de la persoana vizată, operatorul nu este obligat să o informeze în cazul în care prelucrarea este prescrisă în mod expres de lege sau dacă acest lucru se dovedește a fi imposibil, de exemplu, în cazul în care datele de contact ale persoanei vizate s-au schimbat și aceasta nu poate fi găsită sau nu este accesibilă, sau dacă implică eforturi disproporționate din partea operatorului, în special în cazul prelucrării în scopuri de arhivare în interes public și în scopuri de cercetare științifică sau istorică sau în scopuri statistice.
• Dorința unei persoane de a nu fi informată cu privire la un diagnostic sau la un prognostic ar trebui respectată, cu excepția cazului în care acest lucru constituie un risc grav pentru sănătatea altor persoane.
• Operatorul nu este obligat să informeze persoana vizată în cazul în care acest lucru este prevăzut de lege și este necesar și proporțional într-o societate democratică, din motivele specificate expres de lege.

B. Drepturi care asigură controlul persoanei vizate asupra legalității și calității prelucrărilor de date: accesul la date, rectificarea, ștergerea, opoziția la prelucrare și portabilitatea datelor

• Persoana vizată are dreptul de a ști dacă datele cu caracter personal care o privesc sunt prelucrate și, în caz afirmativ, de a obține – fără întârzieri sau cheltuieli excesive și într-o formă inteligibilă – comunicarea datelor sale și de a avea acces, în aceleași condiții, cel puțin la următoarele informații:

• • • scopul sau scopurile prelucrării
    • categoriile de date cu caracter personal în cauză
    • destinatarii sau categoriile de destinatari ai datelor și transferurile de date preconizate către o țară terță sau o organizație internațională
    • perioada de păstrare
    • raționamentul care stă la baza prelucrării datelor atunci când rezultatele unei astfel de prelucrări le sunt aplicate, în special în cazul creării de profiluri

• Persoana vizată (pacientul spre exemplu) are dreptul la ștergerea datelor prelucrate cu încălcarea legislației de protecție a datelor cu caracter personal, în special a RGPD

• Persoana vizată (pacient sau aparținător) are dreptul de a obține rectificarea datelor care o privesc. De asemenea, persoana vizată are dreptul de a se opune, din motive legate de situația sa personală, prelucrării datelor sale privind sănătatea, cu excepția cazului în care acestea sunt anonimizate sau dacă operatorul demonstrează un motiv imperios și legitim pentru continuarea prelucrării datelor.

• În cazul în care cererea de rectificare sau de ștergere a datelor este refuzată sau în cazul în care obiecția persoanei vizate este respinsă, aceasta are la dispoziție o cale de atac.

• Persoana vizată are dreptul de a nu face obiectul unei decizii care să o afecteze în mod semnificativ și care să se bazeze exclusiv pe prelucrarea automatizată, inclusiv crearea de profiluri, a datelor sale referitoare la sănătate. O derogare de la această interdicție ar fi posibilă numai în cazul în care o astfel de prelucrare se bazează pe consimțământul persoanei vizate sau este necesară din motive de interes public substanțial. Măsurile prevăzute de lege ar trebuie să fie proporționale cu scopul urmărit, să respecte esența dreptului la protecția datelor și să prevadă garanții adecvate și specifice pentru a proteja drepturile și libertățile fundamentale ale persoanei vizate.

• În cazul în care prelucrarea este efectuată prin mijloace automate, persoana vizată ar trebui să poată obține de la operator, în condițiile prevăzute de lege, punerea la dispoziție – într-un format structurat, interoperabil și ușor de citit automat – a datelor sale cu caracter personal în vederea transmiterii acestora către un alt operator (portabilitatea datelor). De asemenea, persoana vizată ar trebui să poată solicita operatorului să transmită datele direct unui alt operator.

• Profesioniștii din domeniul sănătății trebuie să pună în aplicare toate măsurile necesare pentru a asigura respectarea exercitării efective a acestor drepturi ca parte a eticii lor profesionale.

• Drepturile persoanei vizate pot face obiectul unor restricții în cazul în care aceste restricții sunt prevăzute de lege și reprezintă măsuri necesare și proporționale într-o societate democratică, în conformitate cu articolul 23 din RGPD.

• Legea trebuie să prevadă garanții adecvate care să asigure respectarea drepturilor persoanei vizate.