2 octombrie 2026 · 7 min de citit

GDPR în medicină: ce trebuie să știe orice clinică și ce amenzi s-au dat deja

Prim-plan pe rotițele numerotate ale unui lacăt cu cifru, simbol pentru securitate.

Un pacient își face analizele la o clinică din România. După câteva zile află că rezultatele lui au ajuns pe email la alt pacient, iar el le-a primit pe ale celuilalt. Nu a fost un atac informatic, ci o adresă de email greșită. Clinica a fost amendată^[1].

Cazul e real și destul de tipic. Cele mai multe probleme de GDPR din medicină pornesc de la situații obișnuite: un email trimis greșit, un cont cu acces prea larg, o cerere a unui pacient rămasă fără răspuns sau un program folosit fără să se știe unde ajung datele.

De ce datele medicale au un regim special

GDPR are o categorie separată pentru datele cele mai sensibile, iar datele privind sănătatea fac parte din ea. Regula generală e că prelucrarea lor e interzisă, cu câteva excepții precise. Una dintre ele e îngrijirea medicală oferită de profesioniști obligați să păstreze secretul profesional^[2]. O clinică are deci voie să prelucreze date de sănătate, dar trebuie să le protejeze mai atent decât majoritatea organizațiilor.

Obligațiile unei clinici

Securitatea datelor. Măsuri tehnice și organizatorice potrivite cu riscul: acces limitat, parole, criptare, copii de siguranță^[2].
Notificarea incidentelor în 72 de ore. Dacă datele ajung unde nu trebuie, clinica anunță autoritatea în cel mult 72 de ore. Când riscul pentru pacienți e mare, îi anunță și pe ei^[2].
Dreptul de acces al pacientului. Pacientul poate cere o copie a datelor sale, inclusiv a dosarului medical. Clinica răspunde, de regulă, în cel mult o lună^[2].
Contracte cu furnizorii. Orice furnizor care prelucrează date în numele clinicii (program medical, laborator extern, servicii cloud, dictare) trebuie să aibă un contract de prelucrare (DPA)^[2].
Evaluarea de impact (DPIA). E obligatorie înainte de prelucrările cu risc ridicat, cum sunt cele pe scară largă de date de sănătate sau introducerea unei tehnologii noi^[2].
Responsabilul cu protecția datelor (DPO). E obligatoriu când activitatea principală presupune prelucrarea pe scară largă a datelor de sănătate, cum e cazul spitalelor și al rețelelor de clinici^[2].

Cât de mari pot fi amenzile

Pentru cele mai grave încălcări, GDPR permite amenzi de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală la nivel mondial, în funcție de care sumă e mai mare^[2]. Valoarea amenzii depinde de gravitate, de numărul de pacienți afectați și de cât de bine a cooperat clinica.

În România, spitalele și celelalte instituții publice au un regim separat, prevăzut de Legea 190/2018. Autoritatea dă mai întâi un avertisment și un plan de remediere. Dacă planul nu e respectat, urmează amenzi între 10.000 și 200.000 de lei^[3]. Clinicile private nu beneficiază de acest pas intermediar.

Amenzi date deja în România

Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a amendat deja mai multe unități medicale. Sumele sunt mici, iar cazurile pornesc de la greșeli obișnuite:

Exemple de amenzi ANSPDCP pentru unități medicale
Caz	Ce s-a întâmplat	Sancțiune
Centru medical (2025)	Rezultatele analizelor a doi pacienți au fost trimise încrucișat, pe email nesecurizat. Clinica nu a notificat incidentul.	Amendă de aproximativ 2.000 €, plus avertismente pentru lipsa notificării^[1]
Clinică stomatologică (2025)	Un pacient a cerut acces la propriul dosar medical, iar clinica nu a putut dovedi că i-a răspuns.	Amendă de aproximativ 1.000 €, plus obligația de a răspunde complet și de a instrui personalul^[4]
Clinică stomatologică (2026)	O fostă angajată a copiat datele pacienților și i-a contactat pentru alt cabinet. Clinica nu a răspuns solicitărilor autorității.	Amendă de aproximativ 2.000 €, după un avertisment și o măsură corectivă neîndeplinită^[5]

Cazurile nu sunt izolate. Potrivit raportului CMS despre amenzile GDPR din sănătate, în 2023 România s-a numărat printre țările cu cele mai multe amenzi aplicate în acest domeniu, imediat după Italia^[6].

Amenzi în alte țări din Europa

Până în 2024, autoritățile din 26 de țări aplicaseră peste 200 de amenzi GDPR în sectorul medical, în valoare totală de aproximativ 16,5 milioane de euro^[6]. Câteva cazuri arată ce urmăresc autoritățile.

Portugalia

Spitalul Barreiro-Montijo a primit în 2018 o amendă de 400.000 de euro, una dintre primele date în baza GDPR. Sistemul spitalului permitea accesul la dosarele medicale pentru 985 de utilizatori cu profil de medic, deși spitalul avea doar 296 de medici^[7]. Conturile de acces nu erau administrate.

Franța

Dedalus Biologie, un furnizor de software pentru laboratoare, a fost amendat cu 1,5 milioane de euro după ce datele medicale a aproape 500.000 de persoane au ajuns publice. Autoritatea franceză a constatat lipsa contractului de prelucrare, extragerea mai multor date decât ceruse clientul și lipsa criptării^[8]. Pentru clinici, cazul arată că și furnizorii trebuie aleși și verificați atent.

Irlanda

Cea mai mare amendă din sănătate în 2023 a fost dată în Irlanda: 460.000 de euro, după un atac ransomware care a afectat aproximativ 70.000 de persoane^[6].

Majoritatea acestor amenzi au pornit de la probleme simple: emailuri trimise greșit, conturi lăsate active, cereri ignorate sau furnizori fără contract. Toate pot fi corectate cu proceduri clare.

Pe listă a apărut un risc nou: instrumentele AI folosite fără reguli. Un medic care copiază un rezultat de analize în ChatGPT ca să-l transforme în raport trimite date de sănătate unei companii cu care clinica nu are niciun contract. Am scris despre acest subiect în articolul Scrii rapoarte medicale cu ChatGPT?

Listă de verificare pentru clinica ta

Fiecare angajat are acces doar la datele de care are nevoie, iar conturile foștilor angajați sunt închise.
Rezultatele se trimit printr-un canal securizat, nu pe email simplu cu atașament.
Există o procedură scrisă pentru incidente: cine anunță, pe cine și în ce termen.
Cererile pacienților de acces la dosar au un responsabil și un termen urmărit.
Fiecare furnizor care lucrează cu datele pacienților are un DPA semnat.
Știi unde sunt stocate și procesate datele, ideal în UE.
Există o regulă clară despre instrumentele AI permise și despre datele care nu au voie să iasă din sistem.
Personalul face periodic o instruire scurtă despre protecția datelor și despre AI.
Răspunzi la timp când autoritatea cere informații. Lipsa de cooperare poate fi ea însăși motiv de amendă.

Cum protejează Dictaris Neo datele

Un instrument de dictare medicală lucrează cu cele mai sensibile date ale clinicii, așa că am construit Dictaris Neo pornind de la cerințele de conformitate. Datele pacienților sunt procesate exclusiv în UE, conform GDPR. Fiecare client primește un DPA, subprocesatorii sunt publicați, iar datele sunt criptate atât în tranzit, cât și în repaus. Detalii găsești pe pagina de securitate și confidențialitate și pe cea despre regiunile de găzduire.

Acest articol are scop informativ și nu reprezintă consultanță juridică. Pentru situația clinicii tale, discută cu responsabilul cu protecția datelor (DPO) sau cu un avocat.