Datele copiilor și GDPR: reguli de bază pentru clinicile de terapie

Un centru de terapie știe despre copiii pe care îi primește lucruri pe care puține alte organizații le știu: diagnostice, rezultatele evaluărilor, comportamente, notițe din fiecare ședință, uneori și detalii despre familie. Sunt date care merită protejate cu grijă, iar Regulamentul general privind protecția datelor (GDPR) cere asta explicit.

Ce urmează nu este consultanță juridică. Este o listă de reguli de bază, ca să știi ce întrebări să pui și unde să te uiți mai atent. Deciziile concrete se iau împreună cu un specialist.

Datele de sănătate sunt o categorie aparte

GDPR tratează datele privind sănătatea ca pe o categorie specială de date. Pentru un centru de terapie, asta înseamnă aproape tot ce este clinic: diagnosticul, evaluările, planul de intervenție, notițele de ședință, rapoartele de progres. Faptul că este vorba de copii cere și mai multă grijă, pentru că ei nu își pot apăra singuri interesele.

Practic, pentru aceste date ai nevoie de un motiv mai solid și de măsuri de protecție mai atente decât pentru, de exemplu, lista de contacte a furnizorilor.

Temeiul legal și informarea părinților

Orice prelucrare de date are nevoie de un temei legal clar, iar pentru datele de sănătate GDPR cere în plus o condiție specială. În unele situații, aceasta este consimțământul explicit al părinților. În altele, prelucrarea se poate sprijini pe un alt temei. Care se potrivește pentru fiecare activitate a centrului este o întrebare pentru un avocat specializat sau pentru un responsabil cu protecția datelor.

Indiferent de temei, părinții trebuie informați limpede, de la început:

• Ce date colectezi și de ce ai nevoie de fiecare.
• Cine are acces la ele, în centru și în afara lui.
• Cât timp le păstrezi.
• Ce drepturi au și cui se adresează.

Fotografiile și clipurile cu copilul merită o discuție separată. Un clip folosit în echipă ca să urmărești progresul nu este același lucru cu o fotografie publicată pe pagina centrului. Pentru orice folosire în afara terapiei, cere separat acordul părinților și păstrează dovada lui.

Acces doar pentru cine are nevoie

Un principiu simplu: fiecare om din echipă vede doar ce îi trebuie pentru munca lui. Terapeutul are nevoie de programele copiilor cu care lucrează. Recepția are nevoie de calendar și de datele de contact, nu de evaluări. Contabilul are nevoie de facturi, nu de notițele de ședință.

Câteva obiceiuri contează la fel de mult ca regulile scrise:

• Fără grupuri de mesagerie personale pentru informații clinice despre copii.
• Fără liste de copii și diagnostice trimise ca atașament pe email.
• Conturi individuale, nu o parolă comună a centrului, ca să știi cine a făcut ce.
• Acces închis imediat când cineva pleacă din echipă.

Cât timp păstrezi datele

GDPR cere ca datele să nu fie păstrate mai mult decât este necesar. Pentru un centru de terapie, asta înseamnă să stabilești dinainte, pe categorii, ce se întâmplă cu datele unui copil după ce terapia se încheie. Unele documente, cum sunt cele contabile, au termene de păstrare stabilite de alte legi. Pentru restul, stabilește durata împreună cu un specialist și scrie-o în informarea pentru părinți.

Drepturile părinților

Printre drepturile pe care părinții le au asupra datelor copilului:

• Dreptul de acces: să afle ce date ai despre copil și să primească o copie.
• Dreptul la rectificare: să ceară corectarea datelor greșite.
• Dreptul la ștergere: să ceară ștergerea datelor, cu excepțiile prevăzute de lege, de exemplu documentele pe care centrul este obligat să le păstreze.

Regulamentul cere un răspuns fără întârzieri nejustificate, în general în cel mult o lună. Stabilește dinainte cine din centru primește aceste cereri și cum le rezolvă, ca să nu improvizezi când apare prima.

Când ceva nu merge bine

Un telefon pierdut cu fișe deschise, un email trimis greșit, un cont folosit de altcineva: incidentele se întâmplă și în centrele atente. Contează ce faci după:

• Notează imediat ce s-a întâmplat, ce date sunt implicate și ce ai făcut ca să oprești problema.
• Evaluează riscul pentru copii și familii, împreună cu specialistul cu care lucrezi.
• Anunță autoritatea: Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal trebuie informată în cel mult 72 de ore de la momentul în care ai aflat, cu excepția cazului în care este puțin probabil ca incidentul să creeze un risc pentru persoanele implicate.
• Informează familiile atunci când riscul pentru ele este ridicat.

Cine te ajută

Unele organizații sunt obligate să numească un responsabil cu protecția datelor (DPO), în funcție de activitatea lor și de datele pe care le prelucrează. Dacă centrul tău se încadrează, ce temei legal folosești și cât timp păstrezi datele sunt decizii pentru un DPO sau pentru un avocat specializat în protecția datelor. O discuție la început este mai simplă decât corectarea unei greșeli mai târziu.

În TempoApp

În TempoApp, fiecare om din echipă are un rol: Admin, Coordonator, Terapeut sau Recepție. Recepția lucrează cu programările și cu familiile fără acces la evaluări și la rapoartele clinice, iar sumele de bani le văd doar Adminii. Părinții intră cu un cod de acces primit de la clinică și văd doar copilul lor. Datele fiecărei clinici sunt păstrate separat de ale celorlalte clinici, un jurnal de activitate arată cine a modificat ce, iar un Admin poate șterge definitiv fișa unui copil, cu ședințele și fișierele lui. Rămân facturile, pe care legea contabilității cere să fie păstrate, și jurnalul de activitate, pe care nimeni din clinică nu îl poate modifica sau șterge, ca să rămână o dovadă completă a ce s-a făcut.