Impactul Deciziei Curții Constituționale nr. 498 din 17 iulie 2018 asupra reglementării dosarului electronic de sănătate al pacientului

Introducere

Considerentele (4) şi (7) din Regulamentul general privind protecția datelor (GDPR)^[1] prevăd că prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor, iar persoanele fizice ar trebui să aibă control asupra propriilor date cu caracter personal.

Un serviciu public ce implică prelucrarea de date este și dosarul electronic de sănătate al pacientului, serviciu furnizat de Casa Naţională de Asigurări de Sănătate, art. 30 alin. (2) din Legea nr. 95/2006^[2] impunând unităţilor medicale^[3] obligaţia de a utiliza sistemul dosarului electronic de sănătate al pacientului. În acelaşi sens, art. 3 alin. (1) din Normele metodologice privind modalitatea de utilizare şi completare a dosarului electronic de sănătate al pacientului^[4] preciza că acesta „se utilizează în mod obligatoriu la nivelul furnizorilor de servicii medicale”, art. 10 alin. (2) prevăzând sancționarea tuturor furnizorilor de servicii medicale, indiferent dacă aceştia se aflau sau nu în relaţii contractuale cu casele de asigurări de sănătate, în cazul necompletării şi/sau neînregistrării datelor şi informaţiilor în sistemul dosarului electronic de sănătate.

Potrivit art. 6 din normele ante-menţionate, datele şi informaţiile din dosarul electronic de sănătate urmau a fi structurate în modulul „Sumar de urgență”, accesibil tuturor medicilor numai în vederea realizării actului medical, fără a fi necesar acordul pacientului, și alte module, precum cel numit „Istoric medical”, acestea din urmă fiind accesibile medicilor numai cu acordul pacienţilor. Ulterior a fost precizat conţinutul datelor şi informaţiilor medicale cuprinse în modulele acestuia^[5].

Totuşi, în ciuda bunelor intenţii privind creşterea calităţii şi eficienţei actului medical, reglementarea dosarului electronic de sănătate a fost calificată de Curtea Constituţională ca fiind o „intruziune a statului în viaţa intimă, familială şi privată a persoanei”^[6], această măsură etatică luată în considerarea asigurării sănătăţii publice^[7] impunând stocarea datelor medicale ale persoanei pe o anumită platformă electronică, fără ca aceasta să se poată împotrivi în vreun fel.

Curtea Constituţională s-a pronunțat astfel, sesizată fiind de către Avocatul Poporului cu o excepție de neconstituționalitate a dispozițiilor art. 30 alin.(2) și (3) și art. 280 alin. (2) din Legea nr. 95/2006 privind reforma în domeniul sănătății^[8]. Curtea a constatat că întreaga materie a dosarului electronic de sănătate este reglementată în acte de reglementare secundară (Hotărârea Guvernului nr. 34/2015 şi Ordinul ministrului sănătății și al președintelui Casei Naționale de Asigurări de Sănătate nr. 1123/849/2016), legea privind reforma în domeniul sănătăţii nefăcând altceva decât să introducă dosarul electronic de sănătate al pacientului în sistemul normativ de reglementare primară.

Analizând jurisprudenţa Curţii Europene a Drepturilor Omului, Curtea Constituţională a concluzionat că legislația internă trebuie să prevadă garanții adecvate pentru a preveni orice comunicare sau divulgare de date cu caracter personal referitoare la sănătate, care nu este în conformitate cu garanțiile prevăzute de art. 8 din Convenţia Europeană a Drepturilor Omului^[9]. Amintim că, în privinţa dreptului la respectarea vieţii private şi de familie^[10], Convenţia prevede că amestecul unei autorităţi publice în exercitarea acestui drept este admis numai „în măsura în care acesta este prevăzut de lege (s.n.) şi constituie, într-o societate democratică, o măsură necesară pentru securitatea naţională, siguranţa publică, bunăstarea economică a ţării, apărarea ordinii şi prevenirea faptelor penale, protecţia sănătăţii, a moralei, a drepturilor şi a libertăţilor altora”.

Curtea Constituţională a constatat că, deşi instituirea dosarului electronic de sănătate s-a realizat prin lege, aceasta din urmă nu prevede nici o măsură care să poată fi calificată drept garanție a dreptului la viață intimă, familială sau privată, garanţiile fiind pe deplin ignorate în corpul legii. Curtea a subliniat faptul că „dacă statul a instituit, prin lege (s.n.), o măsură în aplicarea dreptului la ocrotirea sănătății persoanei, tot acestuia îi revine obligația de a proteja și garanta caracterul confidențial al informațiilor medicale prelucrate, printr-un act normativ de același nivel, respectiv prin lege (s.n.)”. În plus, obligațiile pozitive asociate celor două drepturi – dreptul la ocrotirea vieţii private, pe de o parte, şi dreptul la ocrotirea sănătăţii, pe de altă parte – sunt corelative și interdependente, astfel că trebuie să existe un just echilibru între acestea, la nivel normativ complementaritatea și proporționalitatea trebuind să caracterizeze relația dintre cele două drepturi constituționale. De aceea, statului nu îi este permis ca, protejând un drept constituțional, precum dreptul la ocrotirea sănătăţii, să o facă în detrimentului celuilalt drept deopotrivă ocrotit, cel la ocrotirea vieţii private, pentru că, în caz contrar, s-ar putea ajunge la situația în care afectarea acestuia din urmă să fie atât de puternică, încât avantajul inițial obținut să apară ca fiind nesemnificativ^[11].

Astfel, Curtea nu a putut decât să constate că, deși ingerința legală în dreptul la viaţă intimă, familială şi privată poate avea un scop legitim precum ocrotirea sănătății persoanei prin ordonarea istoricului său medical și ținerea acestuia de către o autoritate de stat, este adecvată și necesară scopului propus, aceasta nu păstrează un just echilibru între interesele concurente, anume: interesul statului în legătură cu sănătatea publică, interesul persoanei de a-i fi ocrotită sănătatea, dar și interesul persoanei de a-i fi protejată viața intimă, familială și privată^[12], ceea ce ceea ce nu poate conduce decât la constatarea neconstituționalității dispoziţiilor art. 30 alin. (2) şi (3), precum şi a sintagmei „sistemul dosarului electronic de sănătate al pacientului” din cuprinsul art. 280 alin. (2) din Legea nr. 95/2006 în raport cu textul constituțional încălcat.

Astfel, pe de o parte, protecția adecvată a acestui drept trebuie stabilită printr-o lege, ceea ce nu a fost cazul în privința dosarului electronic de sănătate, motiv pentru care textele criticate încalcă art. 26 din Constituție. Pe de altă parte, limitele unei ingerințe etatice prevăzute de lege au fost fixate printr-un act administrativ – H.G. nr. 34/2015 – emis chiar în baza acelei legi, ceea ce încalcă art. 1 alin. (5) din Constituție^[13].

Curtea s-a declarat a nu fi în măsură să analizeze dacă garanțiile cuprinse în actele de reglementare secundară sunt suficiente sau nu, ori dacă ar trebui completate cu alte garanții, o asemenea sarcină și competență putând fi exercitate numai după ce garanțiile respective vor fi fost transpuse şi materializate prin lege, în sens de instrumentum^[14].

Deşi revine legiuitorului obligația de a reglementa garanțiile asociate dreptului la viață intimă, familială și privată, Curtea Constituţională a jalonat totuşi în cadrul deciziei sale conturul acestor garanții legale.

În primul rând, Curtea a subliniat faptul că în centrul acestor garanții legale trebuie să se regăsească consimțământul liber exprimat al pacientului iar legiuitorul are drept obligație constituțională – prin prisma art. 26 privind viaţa intimă, familială şi privată – să nu condiționeze actul medical în sine de efectuarea înscrierilor în dosarul electronic de sănătate, neexistând un raport de corespondență directă între acestea. Curtea a mai amintit şi că „persoana, mai ales dacă este vorba despre sănătatea sa, vădește o vulnerabilitate aparte și este tentată să accepte, total și necondiționat, măsurile legislative promovate de stat și care îi sunt propuse spre acceptare, fără a mai analiza justul echilibru care trebuie să existe între dreptul la ocrotirea sănătății și cel la viață intimă, familială și privată. (…) De aceea, cadrul normativ nu trebuie să o desconsidere și să o plaseze într-un plan secund în raport cu dorința statului de a ține un dosar electronic de sănătate și/sau de a centraliza diverse date medicale (ca măsură obiectivă de ocrotire a sănătății publice)”^[15].

În continuare Curtea a precizat că prelucrarea datelor cu caracter medical trebuie astfel reglementată încât să asigure confidențialitatea acestora iar garanțiile asociate protecției acestor date, chiar reglementate la nivel legal, trebuie să aibă un standard înalt de apărare a confidențialității datelor medicale ale pacientului. Astfel, legiuitorul trebuie să asigure o protecție specifică datelor medicale, prin stabilirea unor garanții puternice, care să ateste nivelul înalt de protecție a datelor cu caracter medical^[16]. În plus, legea ar trebui să prevadă, în mod expres, atât natura răspunderii, cât și sancțiunile – care în sine trebuie să fie corespondente ca intensitate standardului înalt de protecție a datelor medicale – aplicabile persoanelor implicate în gestionarea dosarului electronic de sănătate, în cazul încălcării obligațiilor și garanțiilor ce urmează a fi reglementate prin lege^[17].

De asemenea, Curtea a reamintit faptul că adoptarea ulterioară de hotărâri ale Guvernului, ordine, instrucțiuni și alte asemenea acte ale conducătorilor ministerelor și ale unor organe ale administrației publice centrale de specialitate trebuie să aibă caracter tehnic, asemenea reglementări fiind norme secundare emise în aplicarea și executarea legii^[18].