GDPR για ιατρεία: πού κρύβεται το ρίσκο στο site και στα ψηφιακά σου εργαλεία
Ένα site ιατρείου μαζεύει δεδομένα υγείας πιο συχνά απ’ όσο νομίζεις: σε μια φόρμα ραντεβού, σε ένα pixel, σε ένα μήνυμα στο Viber. Δες πού κρύβεται το ρίσκο και τι έχουν ήδη τιμωρήσει οι αρχές.
Γιατί τα δεδομένα των ασθενών θέλουν άλλη προσοχή
Για τον GDPR, τα δεδομένα υγείας είναι «ειδική κατηγορία» δεδομένων (άρθρο 9). Επιτρέπεται να τα επεξεργάζεσαι για την ιατρική φροντίδα, όχι όμως για οτιδήποτε άλλο χωρίς σωστή νομική βάση. Για τον γιατρό προστίθεται και το ιατρικό απόρρητο.
Το Δικαστήριο της ΕΕ έχει κρίνει ότι δεδομένα υγείας δεν είναι μόνο ο ιατρικός φάκελος. Μπορεί να είναι ακόμα και η επίσκεψη σε μια σελίδα με ευαίσθητο περιεχόμενο ή μια παραγγελία σε φαρμακείο. Άρα στον GDPR για ιατρεία μετράει και το site σου, οι φόρμες του και τα εργαλεία που τρέχουν πίσω του.
Και οι έλεγχοι δεν αφορούν μόνο τα μεγάλα νοσοκομεία. Τα τελευταία χρόνια η Αρχή Προστασίας Δεδομένων έχει ασχοληθεί με ιδιώτες γιατρούς και πολυιατρεία: για γονιό που δεν πήρε πρόσβαση στα δεδομένα του παιδιού του, για φωτογραφίες ασθενούς που έμειναν στο Instagram αφού εκείνη ανακάλεσε τη συγκατάθεσή της, για μια απεικονιστική εξέταση που χάθηκε και κόστισε σε πολυιατρείο 30.000 ευρώ.
Φόρμες και online ραντεβού
Η φόρμα ραντεβού είναι συχνά το πρώτο σημείο όπου ο ασθενής γράφει τι έχει. Αν το μήνυμα καταλήγει σε ένα κοινό email που ανοίγουν πολλοί, αποθηκεύεται χωρίς προστασία ή ζητά περισσότερα απ’ όσα χρειάζεσαι για να κλείσεις το ραντεβού, το ρίσκο είναι δικό σου.
Με τις πλατφόρμες online ραντεβού, το πρώτο ερώτημα είναι ποιος είναι υπεύθυνος για τι. Όταν ένας πάροχος επεξεργάζεται δεδομένα για λογαριασμό σου, ο GDPR ζητά γραπτή σύμβαση μαζί του (άρθρο 28). Πολλά ιατρεία δεν ξέρουν αν την έχουν υπογράψει ή τι λέει.
Cookies, pixels και analytics
Τα περισσότερα sites έχουν εργαλεία μέτρησης και διαφήμισης, όπως το Google Analytics ή το pixel της Meta. Σε ένα site ιατρείου, αυτά μπορεί να στέλνουν σε τρίτους ποιες σελίδες είδε κάποιος, π.χ. μια σελίδα για θεραπεία της κατάθλιψης, μαζί με στοιχεία που τον ταυτοποιούν.
Το ρίσκο δεν είναι θεωρητικό. Στη Σουηδία, το φαρμακείο Apoteket πλήρωσε το 2024 πρόστιμο 37 εκατ. κορωνών, περίπου 3,2 εκατ. ευρώ, επειδή το pixel της Meta στο site του έστελνε στοιχεία για αγορές σχετικές με την υγεία. Στη Νορβηγία, μια ιδιωτική κλινική με online ραντεβού δέχτηκε επίπληξη το 2025 για pixels της Google και της Bing χωρίς έγκυρη συγκατάθεση.
Στην Ελλάδα, η Αρχή Προστασίας Δεδομένων ζητά από το 2020 συγκατάθεση για κάθε cookie που δεν είναι απαραίτητο, με το «Απορρίπτω» εξίσου εύκολο με το «Αποδέχομαι». Ένα banner όμως δεν αρκεί από μόνο του. Μετράει τι πραγματικά τρέχει στο site πριν και μετά την επιλογή του επισκέπτη, και αυτό φαίνεται μόνο με τεχνικό έλεγχο.
Email, Viber και αποτελέσματα εξετάσεων
Ένα αποτέλεσμα εξέτασης σε λάθος παραλήπτη είναι από τα πιο εύκολα λάθη. Η Αρχή έχει ήδη εξετάσει περίπτωση διαγνωστικού κέντρου που έστειλε με email αποτελέσματα ασθενούς σε τρίτο πρόσωπο. Η ζημιά αποφεύχθηκε μόνο επειδή το αρχείο ήταν κρυπτογραφημένο.
Το ίδιο ρίσκο έχουν και οι συνομιλίες με ασθενείς από το προσωπικό κινητό, σε εφαρμογές που δεν ελέγχει το ιατρείο. Δεν χρειάζεται να σταματήσεις να επικοινωνείς ψηφιακά. Χρειάζεται να ξέρεις ποιο κανάλι χρησιμοποιείς για τι, ποιος έχει πρόσβαση και τι γίνεται αν χαθεί ένα κινητό.
Εργαλεία AI και chatbots
Το να επικολλήσεις ένα ιστορικό στο ChatGPT για να γράψεις πιο γρήγορα μια ιατρική επιστολή μοιάζει αθώο. Στην πράξη, στέλνεις δεδομένα υγείας σε έναν τρίτο πάροχο. Στην Ολλανδία, η αρχή προστασίας δεδομένων χαρακτήρισε το 2024 σοβαρή παραβίαση την περίπτωση υπαλλήλου ιατρείου που έβαλε ιατρικά δεδομένα ασθενών σε AI chatbot.
Αν σκέφτεσαι ένα AI chatbot στο site, που απαντά σε ερωτήσεις ασθενών, το ερώτημα είναι τι κρατάει από τις συζητήσεις, πού και για πόσο. Και από τον Αύγουστο του 2026 ισχύουν οι κανόνες διαφάνειας του AI Act: ο επισκέπτης πρέπει να ξέρει ότι μιλά με AI.
Όταν κάτι πάει στραβά
Μια χαμένη συσκευή, ένα site που παραβιάστηκε, ένα email σε λάθος παραλήπτη. Αν αφορά δεδομένα ασθενών, ο GDPR δίνει 72 ώρες για γνωστοποίηση στην Αρχή Προστασίας Δεδομένων, και σε σοβαρές περιπτώσεις πρέπει να ενημερωθούν και οι ίδιοι οι ασθενείς.
Το 2026 η Αρχή επέβαλε πρόστιμο 25.000 ευρώ στο Γενικό Νοσοκομείο Θεσσαλονίκης «Γ. Γεννηματάς – Ο Άγιος Δημήτριος». Μια λίστα χειρουργείων με τηλέφωνα και παθήσεις 2.820 ασθενών έμεινε ανεβασμένη στο site του για μήνες και εμφανιζόταν στη Google. Η γνωστοποίηση έγινε σε 96 ώρες αντί για 72, και οι ασθενείς δεν ενημερώθηκαν ποτέ. Οι 72 ώρες περνούν γρήγορα όταν δεν έχεις σχέδιο για την ώρα της κρίσης.
Συχνές ερωτήσεις για τον GDPR στο ιατρείο
Χρειάζομαι DPO ως γιατρός;
Συνήθως όχι, αν είσαι ιδιώτης γιατρός. Ο GDPR και η ίδια η Αρχή αναφέρουν την επεξεργασία δεδομένων ασθενών από ιδιώτη γιατρό ως παράδειγμα επεξεργασίας που δεν είναι «μεγάλης κλίμακας». Για κλινικές, διαγνωστικά κέντρα και νοσοκομεία η απάντηση είναι συχνά διαφορετική.
Πρέπει να δηλώσω στην Αρχή ότι κρατάω αρχείο ασθενών;
Όχι, η παλιά γνωστοποίηση καταργήθηκε με τον GDPR. Πρέπει όμως να μπορείς να δείξεις ότι συμμορφώνεσαι. Ακόμα και ένα μικρό ιατρείο χρειάζεται αρχείο δραστηριοτήτων επεξεργασίας, γιατί επεξεργάζεται δεδομένα υγείας.
Πόσο καιρό κρατάω τον ιατρικό φάκελο;
Σύμφωνα με τον Κώδικα Ιατρικής Δεοντολογίας (άρθρο 14), τα ιδιωτικά ιατρεία κρατούν τον φάκελο για δέκα χρόνια από την τελευταία επίσκεψη του ασθενούς, ενώ οι κλινικές και τα νοσοκομεία για είκοσι.
Ο GDPR για ιατρεία δεν είναι ένα κείμενο πολιτικής απορρήτου στο κάτω μέρος της σελίδας. Είναι το πώς δουλεύουν στην πράξη το site, οι φόρμες και τα εργαλεία σου. Στη CNCTECH δουλεύουμε με πάνω από 150 πελάτες στον χώρο της υγείας και ελέγχουμε το τεχνικό κομμάτι: τι συλλέγει το site, πού πηγαίνουν τα δεδομένα και τι τρέχει πριν από τη συγκατάθεση. Για τα νομικά κείμενα, τον τελευταίο λόγο τον έχει ο νομικός ή ο DPO σου.
Το άρθρο έχει ενημερωτικό χαρακτήρα και δεν αποτελεί νομική συμβουλή. Για συγκεκριμένες περιπτώσεις, απευθύνσου σε νομικό σύμβουλο ή στον υπεύθυνο προστασίας δεδομένων (DPO).
