Actualul considerent 75 din Regulamentul General privind protecţia datelor (GDPR), legislaţie ce urmează să se aplice începând cu 25 mai 2018, aduce în discuţie o serie de criterii pe care trebuie să le luăm în considerare atunci când suntem interesaţi de dimensiunea riscului uneia sau mai multor prelucrări de date personale, asupra vieţii private a persoanelor vizate şi asupra dreptului lor la protecţia datelor cu caracter personal; criteriile abordează în special prejudiciile sau consecinţele unor prelucrări de date asupra persoanelor, fie ele consecinţe de natură morală, materială sau de altă natură.
„Riscul pentru drepturile şi libertăţile persoanelor fizice, prezentând grade diferite de probabilitate de materializare şi de gravitate, poate fi rezultatul unei prelucrări a datelor cu caracter personal care ar putea genera prejudicii de natură fizică, materială sau morală, în special în cazurile în care: prelucrarea poate conduce la discriminare, furt sau fraudă a identităţii, pierdere financiară, compromiterea reputaţiei, pierderea confidenţialităţii datelor cu caracter personal protejate prin secret profesional, inversarea neautorizată a pseudonimizării sau la orice alt dezavantaj semnificativ de natură economică sau socială; persoanele vizate ar putea fi private de drepturile şi libertăţile lor sau împiedicate să-şi exercite controlul asupra datelor lor cu caracter personal; datele cu caracter personal prelucrate sunt date care dezvăluie originea rasială sau etnică, opiniile politice, religia sau convingerile filozofice, apartenenţa sindicală; sunt prelucrate date genetice, date privind sănătatea sau date privind viaţa sexuală sau privind condamnările penale şi infracţiunile sau măsurile de securitate conexe; sunt evaluate aspecte de natură personală, în special analizarea sau previzionarea unor aspecte privind randamentul la locul de muncă, situaţia economică, starea de sănătate, preferinţele sau interesele personale, fiabilitatea sau comportamentul, locaţia sau deplasările, în scopul de a se crea sau de a se utiliza profiluri personale; sunt prelucrate date cu caracter personal ale unor persoane vulnerabile, în special ale unor copii; sau prelucrarea implică un volum mare de date cu caracter personal şi afectează un număr larg de persoane vizate." (considerentul 75)
Nu-mi doresc să exagerez atunci când spun că „purtarea pe drumuri" a persoanelor vizate, datorită neglijenţei unor funcţionari sau angajaţi, având în atribuţii prelucrarea unor date cu caracter sensibil, cum sunt datele medicale, ori datorită unei legislaţii inadecvate în domeniul asigurărilor de sănătate, constituie un asemenea prejudiciu. Cred că autorităţile cu atribuţii trebuie să ia măsuri atât legislative, cât şi de aplicare a legii, astfel încât să se evite prejudiciul cauzat asiguraţilor, datorită unei protecţii inadecvate şi lipsei măsurilor tehnice şi organizatorice necesare unei prelucrări de calitate a datelor în sistemul asigurărilor de sănătate.
Iată un exemplu ilustrativ:
Un student este interesat să-şi rezolve o problemă de sănătate, astfel că face primul drum: se îndreaptă către medicul de familie solicitându-i un bilet de trimitere pentru investigaţii. Medicul de familie accesează sistemul de evidenţă a asiguraţilor (prelucrare de date personale) şi constată că studentul nu figurează în baza de date ca fiind asigurat, deşi apare ca fiind salariat pentru o perioadă de câteva luni în anul anterior vizitei la medicul de familie; acesta îi comunică studentului că nu poate să-i ofere un bilet de trimitere deoarece nu mai este asigurat (consecinţă gravă asupra persoanei fizice).
Studentul este destul de contrariat, deoarece articolul 224 alin. (1) din Legea nr. 95/2006 privind reforma în domeniul sănătăţii stabileşte că „Următoarele categorii de persoane beneficiază de asigurare, fără plata contribuţiei: a) toţi copiii până la vârsta de 18 ani, tinerii de la 18 ani până la vârsta de 26 de ani, dacă sunt elevi, inclusiv absolvenţii de liceu, până la începerea anului universitar, dar nu mai mult de 3 luni, ucenici sau studenţi şi dacă nu realizează venituri din muncă;". Studentul porneşte la al doilea „drum": se deplasează la casa de asigurări de sănătate (CNAS) pentru a lămuri lucrurile. Aici i se prelucrează datele în sistem şi i se comunică, că apare ca angajat în anul anterior pentru perioada de 4 luni în prima parte a anului 2017 şi, dacă doreşte să fie din nou asigurat, atunci ar trebui să vină cu o adeverinţă la zi de la universitate pentru a i se schimba statusul.
După al treilea drum efectuat pentru obţinerea adeverinţei de student, i se operează datele în sistemul CNAS şi devine asigurat. Dar studentul, adică persoana vizată, rămâne cu multe nelămuriri, căci raportarea s-a făcut la CNAS de către angajator pentru doar o lună din anul anterior, iar acesta i-a trecut angajarea pentru o perioadă de aproximativ 4 luni de zile; în plus, nimeni nu l-a informat că o asemenea prelucrare de date va avea consecinţe asupra dreptului său la sănătate şi că este necesar să plimbe hârtii pe la tot felul de companii şi autorităţi, în cazul în care „îndrăzneşte" să lucreze pentru o lună part-time.
Al patrulea drum este pentru a se lămuri ce i s-a întâmplat (drum în circuit), astfel că îşi vizitează angajatorul, verifică actele trimise de acesta la CNAS, apoi se duce la CNAS, căci prelucrările sale de date nu se potrivesc. Surpriza mare este că la casa de asigurări de sănătate, este minunat totul: apare ca fiind asigurat încă de anul trecut de la data expirării contractului de muncă şi i se comunică de un angajat că, probabil, nu a funcţionat bine sistemul de evidenţiere a medicului său de familie.
Câteva concluzii generale şi specifice asupra situaţiei pe care am descris-o şi care nu este singulară, căci altfel nu-mi permiteam să o expun (unele drumuri pe care nu le-am menţionat, căci nu erau necesare, ci mai degrabă voluptoase, sunt cele pe care le fac studenţii pe la mine pentru a-mi cere lămuriri cum se poate să nu primească bilet de trimitere de la medicul de familie):
1. Sistemul de prelucrare în domeniul asigurărilor de sănătate este defectuos şi prejudiciază probabil numeroase persoane.
2. Atunci când categoria de persoane face parte din cea a asiguraţilor fără plata contribuţiei, cum este cazul elevilor sau studenţilor spre exemplu, grija actualizării şi exactităţii datelor revine operatorului de date (în cazul de faţă Casa Naţională de Asigurări de Sănătate).
3. Sistemul de evidenţă şi prelucrare nefiind alimentat corect creează prejudicii atât asupra persoanelor fizice, cât şi asupra medicilor de familie, aceştia din urmă fiind puşi fără voia şi fără ştiinţa lor într-o situaţie de potenţial conflict cu persoanele vizate contrariate şi acestea din urmă de ce li se întâmplă.
4. Este evident că într-un domeniu de date cu caracter sensibil, la modul general, statul „aşteaptă" să vină careva cu soluţii, căci oricum taxele se colectează, aspect care nu corespunde deloc cu obligaţiile pe care le are potrivit RGDP/GDPR, de exactitate a datelor, de interoperabilitate, de protecţie adecvată, de implementare de măsuri tehnice şi organizatorice pentru conformare.
5. În cazul de faţă, prelucrarea propriu-zisă are nuanţe din păcate de nelegalitate vădită, deoarece inclusiv actuala legislaţie, cum este legea nr. 677/2001 privind protecţia persoanei fizice faţă de prelucrarea datelor cu caracter personal şi libera circulaţie a acestor date, pretinde ca accesul la baza de date să fie documentat şi autorizat, ori aşa cum aţi reţinut fiecare de pe la CNAS, introduce, prelucrează, şterge înscrieri anterioare şi nu răspunde nimeni. Este evident că există şi bună credinţă, însă exercitarea drepturilor de rectificare şi de acces la justiţie presupun ca orice prelucrare să rămână documentată.
Spre finalul articolului (căci analiza continuă!), putem observa şi alte aspecte care nu ţin neapărat de prelucrarea datelor, dar şi de măsuri legislative de protecţie a anumitor categorii de persoane, cum sunt studenţii sau elevii. Am putea chiar privi lucrurile la modul: de ce să le înceteze calitatea de asigurat atunci când se angajează, dar ei rămân studenţi mai departe? S-ar evita atâtea complicaţii dar s-ar sprijini şi mediul privat sau public în a fi interesaţi să angajeze asemenea categorii pentru care există scutire de la plata contribuţiei. Dar aceasta nu este o propunere, ci rămâne o întrebare la care societatea trebuie să reflecteze.
