Confidențialitatea datelor medicale: drepturile pacientului

Confidențialitatea datelor medicale este unul dintre drepturile fundamentale ale pacientului. Diagnosticul, rezultatele analizelor, tratamentele urmate, antecedentele medicale și datele de identificare nu pot fi comunicate oricărei persoane doar pentru că aceasta este rudă, coleg, angajator sau apropiat al pacientului.

În România, protecția informațiilor medicale este reglementată atât de Legea drepturilor pacientului nr. 46/2003, cât și de Regulamentul general privind protecția datelor, cunoscut drept RGPD sau GDPR. Aceste reguli se aplică spitalelor, clinicilor, cabinetelor medicale, laboratoarelor, farmaciilor, medicilor, asistenților și altor entități care colectează ori utilizează date despre sănătate.

Există însă situații în care anumite informații pot fi transmise fără un consimțământ separat: atunci când sunt necesare pentru acordarea tratamentului, când o obligație legală impune comunicarea sau când trebuie protejate sănătatea publică ori interesele vitale ale unei persoane.

Articolul de mai jos explică cine poate vedea dosarul medical, ce drepturi au rudele, cum se solicită copii după documente și ce poate face pacientul dacă datele sale au fost divulgate fără drept. Informațiile legislative au fost verificate în luna iulie 2026.

Ce sunt datele medicale?

Datele medicale sunt informații personale care dezvăluie aspecte despre sănătatea fizică sau mintală a unei persoane. Acestea sunt considerate categorii speciale de date cu caracter personal și beneficiază de un nivel ridicat de protecție.

În această categorie pot intra:

diagnosticele și suspiciunile de diagnostic;
rezultatele analizelor și investigațiilor;
scrisorile medicale și biletele de externare;
rețetele, tratamentele și schemele de medicație;
istoricul consultațiilor și al internărilor;
informațiile despre intervenții chirurgicale;
datele genetice și anumite date biometrice;
informațiile despre dizabilități sau afecțiuni cronice;
datele privind sănătatea mintală;
informațiile despre sarcină, fertilitate și sănătatea reproducerii;
fotografiile clinice și imaginile medicale;
datele din dosarul electronic de sănătate;
informațiile care rezultă din acordarea unui serviciu medical.

Chiar și simpla informație că o persoană s-a prezentat la o anumită clinică poate dezvălui indirect date despre sănătatea sa. De exemplu, prezența într-o secție de oncologie, psihiatrie sau boli infecțioase poate permite formularea unor concluzii sensibile.

Ce prevede legea despre confidențialitatea datelor medicale?

Legea nr. 46/2003 privind drepturile pacientului stabilește că informațiile referitoare la starea pacientului, rezultatele investigațiilor, diagnostic, prognostic, tratament și date personale sunt confidențiale chiar și după decesul acestuia.

Regula generală este că informațiile confidențiale pot fi furnizate numai dacă pacientul își exprimă consimțământul explicit sau dacă legea cere în mod expres comunicarea lor.

În același timp, RGPD tratează datele privind sănătatea drept o categorie specială. Prelucrarea lor este, în principiu, interzisă, dar regulamentul stabilește mai multe excepții. Datele pot fi utilizate, de exemplu, atunci când acest lucru este necesar pentru:

medicină preventivă;
stabilirea unui diagnostic;
acordarea de asistență medicală sau tratament;
gestionarea serviciilor și sistemelor de sănătate;
protejarea intereselor vitale ale unei persoane;
îndeplinirea unei obligații legale;
motive importante de sănătate publică;
un scop pentru care pacientul și-a dat consimțământul explicit.

Prin urmare, consimțământul nu este singurul temei care permite utilizarea datelor medicale. Un spital nu trebuie să solicite un acord separat pentru fiecare operațiune indispensabilă consultației, diagnosticului, tratamentului, facturării legale sau raportărilor obligatorii. Instituția trebuie însă să utilizeze numai datele necesare, să limiteze accesul și să le protejeze prin măsuri tehnice și organizatorice adecvate.

Cine poate avea acces la datele medicale ale pacientului?

Persoana sau instituția	Poate avea acces?	În ce condiții?
Pacientul	Da	Are dreptul să își acceseze datele și să solicite copii după documentele medicale.
Medicii și personalul implicat în tratament	Da	Numai în măsura necesară acordării îngrijirilor și îndeplinirii atribuțiilor profesionale.
Persoana desemnată de pacient	Da	În limitele acordului exprimat și consemnat în documentele medicale.
Soțul, copiii, părinții sau alte rude	Nu automat	Au nevoie de desemnarea pacientului, de calitatea de reprezentant legal sau de un alt temei prevăzut de lege.
Autoritățile publice	Uneori	Doar în situațiile și limitele stabilite prin lege.
Angajatorul	Nu la dosarul complet	Poate primi numai informațiile permise de legislația muncii și a medicinei muncii, nu acces nelimitat la diagnostic și istoric.
Asiguratorul	Limitat	Numai pentru datele necesare și în baza unui temei juridic aplicabil.

Pacientul are dreptul să își vadă dosarul medical?

Da. Legea drepturilor pacientului stabilește că pacientul are acces la datele medicale personale. Acest drept privește informațiile păstrate de spital, clinică, laborator sau cabinet în legătură cu serviciile medicale acordate.

Pacientul poate solicita, în funcție de situație, copii după:

foaia de observație clinică;
rezultatele analizelor;
buletinele investigațiilor imagistice;
scrisorile medicale;
biletele de externare;
consimțămintele semnate;
protocoalele operatorii;
documentele privind tratamentul administrat;
alte înscrisuri medicale care îl privesc.

În cât timp trebuie eliberate copiile documentelor medicale?

Normele de aplicare a Legii nr. 46/2003 prevăd că solicitarea se adresează în scris instituției medicale. Copiile documentelor medicale solicitate trebuie eliberate în termen de maximum 48 de ore de la înregistrarea cererii.

Unitatea poate utiliza formulare proprii bazate pe modelele prevăzute de normele legale și trebuie să verifice identitatea solicitantului. Această verificare nu reprezintă, în sine, un refuz al accesului, ci o măsură necesară pentru a evita transmiterea documentelor unei persoane neautorizate.

Dreptul de acces prevăzut de RGPD presupune și posibilitatea de a afla ce date sunt prelucrate, în ce scop, de unde provin, cui au fost comunicate și cât timp sunt păstrate, în limitele stabilite de lege.

Are familia dreptul să afle diagnosticul pacientului?

Relația de rudenie nu oferă automat acces la diagnosticul, analizele sau tratamentul unei persoane adulte care își poate exprima voința. Soțul, soția, părinții, copiii sau frații nu pot solicita dosarul medical complet doar invocând legătura de familie.

Pacientul poate decide:

cine poate primi informații;
ce informații pot fi comunicate;
prin ce modalitate pot fi transmise;
dacă acordul este valabil pentru o anumită perioadă;
dacă dorește retragerea desemnării.

Este recomandat ca pacientul să comunice clar personalului medical numele persoanei care poate fi informată. În cazul internării, această opțiune poate fi consemnată în documentele spitalului.

Pacientul are și dreptul de a cere în mod expres să nu fie informat despre anumite aspecte și de a desemna o altă persoană care să primească informațiile în locul său. Acest drept trebuie analizat împreună cu regulile privind consimțământul informat al pacientului.

Când pot medicii să comunice date între ei?

Informațiile pot fi transmise altor furnizori de servicii medicale implicați în tratamentul pacientului atunci când comunicarea este necesară pentru continuitatea îngrijirilor. În această situație, legea nu impune întotdeauna obținerea unui consimțământ separat pentru fiecare schimb de informații.

De exemplu, medicul de familie, medicul specialist, laboratorul și spitalul pot avea nevoie să utilizeze anumite informații pentru:

stabilirea diagnosticului;
evitarea unor interacțiuni medicamentoase;
verificarea alergiilor;
interpretarea analizelor;
pregătirea unei intervenții;
continuarea tratamentului după externare;
acordarea unei a doua opinii medicale.

Accesul nu trebuie să fie mai larg decât este necesar. Faptul că o persoană lucrează într-un spital sau într-o clinică nu îi oferă dreptul de a consulta dosarele tuturor pacienților. Accesarea din curiozitate a fișei unei rude, a unui coleg sau a unei persoane cunoscute poate reprezenta o încălcare gravă a confidențialității.

Ce se întâmplă dacă pacientul nu își poate exprima voința?

În urgențe sau în situații în care pacientul este inconștient ori nu își poate exprima consimțământul, medicii pot prelucra datele necesare pentru protejarea vieții și acordarea îngrijirilor medicale.

Comunicarea către familie trebuie realizată cu prudență și în limitele permise de lege. Necesitatea unei intervenții urgente nu transformă automat toate datele din istoricul medical în informații publice și nu oferă oricărui aparținător acces nelimitat la documente.

Dacă pacientul are un reprezentant legal sau a desemnat anterior o persoană, personalul medical va ține cont de acest lucru în condițiile prevăzute de lege.

Cine poate accesa datele medicale ale unui minor?

În cazul minorilor, părintele sau reprezentantul legal exercită, de regulă, drepturile necesare pentru luarea deciziilor medicale și poate primi informațiile necesare îngrijirii copilului.

Totuși, trebuie respectate:

interesul superior al copilului;
capacitatea sa de înțelegere;
dreptul la demnitate și viață privată;
regulile speciale aplicabile anumitor servicii medicale;
limitările impuse prin hotărâri judecătorești sau măsuri de protecție.

Pe măsură ce minorul dobândește capacitatea de a înțelege situația, acesta trebuie implicat în procesul de informare și luare a deciziilor, în limitele prevăzute de legislația aplicabilă.

Ce se întâmplă cu datele medicale după deces?

Potrivit Legii nr. 46/2003, informațiile medicale rămân confidențiale și după decesul pacientului. Aceasta este o protecție prevăzută de legislația medicală românească, chiar dacă RGPD este orientat în principal spre protejarea datelor persoanelor fizice în viață.

Persoana desemnată de pacient

Pacientul poate desemna, printr-un acord consemnat în anexa la foaia de observație clinică generală, o persoană care să aibă acces deplin la informațiile confidențiale atât în timpul vieții sale, cât și după deces.

Accesul moștenitorilor

Forma actuală a art. 24 din Legea drepturilor pacientului prevede că, atunci când pacientul s-a aflat în imposibilitatea de a-și exprima consimțământul și a intervenit decesul, informațiile medicale pot fi accesate pe baza certificatului de calitate de moștenitor.

Unitatea sanitară poate solicita documente care dovedesc identitatea și calitatea persoanei, precum și declarațiile prevăzute de cadrul legal. Fiecare cerere trebuie analizată în raport cu situația concretă și cu forma actualizată a legislației.

Poate angajatorul să afle diagnosticul angajatului?

Angajatorul nu are, în mod obișnuit, dreptul să consulte dosarul medical complet al angajatului și nici să primească automat diagnosticele, investigațiile sau istoricul tratamentelor.

În medicina muncii pot fi comunicate concluziile necesare stabilirii aptitudinii pentru postul ocupat, eventualele restricții și măsurile de protecție prevăzute de lege. Comunicarea nu trebuie să depășească informațiile necesare scopului profesional.

Un certificat de concediu medical, o fișă de aptitudine sau un document cerut printr-o procedură legală nu echivalează cu accesul angajatorului la întregul dosar medical.

Poate o companie de asigurări să solicite date medicale?

O companie de asigurări poate solicita anumite informații atunci când acestea sunt necesare pentru evaluarea unui risc, soluționarea unui dosar de daună sau executarea unui contract, dar nu beneficiază de acces nelimitat la toate datele pacientului.

Solicitarea trebuie să fie:

clară și transparentă;
limitată la datele necesare;
bazată pe un temei juridic;
însoțită de informarea persoanei;
gestionată prin măsuri adecvate de securitate.

Pacientul trebuie să citească atent formularele prin care i se solicită acordul și să verifice ce date vor fi transmise, cui, în ce scop și pentru ce perioadă.

Pot fi publicate fotografii sau cazuri medicale pe internet?

Publicarea unei fotografii clinice, a unei filmări, a unui diagnostic sau a unui caz din care pacientul poate fi identificat necesită o analiză separată față de acordul pentru tratament.

Consimțământul pentru efectuarea unei proceduri medicale nu înseamnă automat și acceptul pentru:

publicarea imaginilor pe site-ul clinicii;
postarea lor pe Facebook, Instagram sau TikTok;
utilizarea într-o reclamă;
prezentarea într-un material promoțional;
transmiterea către presă;
folosirea în scop educațional în afara condițiilor legale.

Acordul pentru utilizarea publică a imaginii trebuie să fie specific, informat și separat de consimțământul medical. Refuzul pacientului nu ar trebui să afecteze calitatea serviciilor medicale primite.

Dacă un caz este prezentat ca fiind anonim, eliminarea numelui nu este întotdeauna suficientă. Combinația dintre vârstă, localitate, diagnostic rar, data intervenției și fotografii poate permite identificarea persoanei.

Este sigură transmiterea analizelor prin e-mail sau WhatsApp?

Transmiterea electronică a documentelor medicale poate fi utilă, dar presupune riscuri. Clinica sau cabinetul trebuie să verifice identitatea destinatarului și să utilizeze metode proporționale cu sensibilitatea informațiilor.

Printre problemele frecvente se numără:

introducerea greșită a adresei de e-mail;
trimiterea documentului către un număr de telefon vechi;
utilizarea unui dispozitiv comun;
lipsa unei parole pentru documentele sensibile;
păstrarea conversațiilor pe conturi personale ale angajaților;
fotografierea documentelor fără măsuri de securitate;
transmiterea analizelor către aparținători fără verificarea acordului pacientului.

Pacientul poate solicita informații despre canalul folosit, măsurile de protecție și modalitatea prin care își poate actualiza datele de contact.

Ce drepturi are pacientul potrivit RGPD?

În funcție de situație și de temeiul prelucrării, pacientul poate beneficia de mai multe drepturi:

Dreptul la informare – să afle cine îi prelucrează datele, în ce scop și pentru cât timp.
Dreptul de acces – să primească informații și copii ale datelor care îl privesc.
Dreptul la rectificare – să solicite corectarea datelor inexacte.
Dreptul la restricționare – să ceară limitarea temporară a anumitor utilizări, când sunt îndeplinite condițiile legale.
Dreptul la opoziție – poate fi exercitat în anumite situații, în funcție de temeiul utilizării datelor.
Dreptul de a depune o plângere – pacientul se poate adresa Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal.

Poate pacientul cere ștergerea tuturor datelor medicale?

Dreptul la ștergerea datelor, numit uneori „dreptul de a fi uitat”, nu este absolut. Spitalele, clinicile și cabinetele pot avea obligații legale de păstrare a documentelor medicale pentru anumite perioade.

O cerere de ștergere poate fi refuzată atunci când păstrarea este necesară pentru:

respectarea unei obligații legale;
acordarea și documentarea asistenței medicale;
apărarea unui drept în instanță;
motive de interes public în sănătate;
arhivare sau cercetare în condițiile legii.

Operatorul trebuie să explice motivul pentru care datele nu pot fi șterse și să limiteze utilizarea lor la scopurile permise.

Ce înseamnă o încălcare a confidențialității?

O încălcare poate apărea prin divulgare intenționată, eroare umană, acces neautorizat sau măsuri de securitate insuficiente.

Exemple posibile:

un angajat consultă fără motiv dosarul unei persoane cunoscute;
rezultatele analizelor sunt trimise altui pacient;
diagnosticul este discutat pe hol, în prezența altor persoane;
documentele sunt lăsate la vedere într-o zonă publică;
o clinică publică fotografii înainte și după tratament fără acord valid;
un aparținător primește informații deși pacientul a interzis comunicarea;
un fișier medical este trimis la o adresă de e-mail greșită;
datele sunt accesate printr-un cont comun, fără evidența utilizatorilor;
un dispozitiv care conține informații medicale este pierdut sau furat.

Nu orice incident produce automat același nivel de risc. Instituția trebuie să evalueze natura datelor, numărul persoanelor afectate, consecințele posibile și măsurile necesare pentru limitarea prejudiciului.

Ce poate face pacientul dacă datele sale au fost divulgate?

1. Să păstreze dovezile

Pacientul ar trebui să păstreze mesajele, e-mailurile, capturile de ecran, documentele, numele persoanelor implicate și data la care a aflat despre incident.

2. Să se adreseze unității medicale

Poate transmite o cerere scrisă către conducerea spitalului sau clinicii și, dacă există, către responsabilul cu protecția datelor. Cererea poate solicita:

explicarea incidentului;
identificarea datelor divulgate;
indicarea destinatarilor;
oprirea comunicării neautorizate;
corectarea datelor;
măsurile luate pentru prevenirea repetării.

Potrivit RGPD, operatorul trebuie, în mod obișnuit, să răspundă unei cereri privind drepturile persoanei în cel mult o lună. În situații complexe, termenul poate fi prelungit în condițiile regulamentului, iar persoana trebuie informată.

3. Să depună plângere la ANSPDCP

Dacă nu primește răspuns sau consideră răspunsul nesatisfăcător, pacientul poate depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, însoțită de dovezile disponibile.

4. Să folosească și procedurile medicale sau juridice aplicabile

În funcție de faptă, pacientul se poate adresa conducerii unității, comisiei de etică, organizației profesionale competente sau instanței. O divulgare a datelor poate avea consecințe disciplinare, contravenționale, civile și, în anumite situații, penale.

Pentru alegerea instituției potrivite poate fi consultat și ghidul InfoClinic despre depunerea unei sesizări medicale.

Cum poate pacientul să își protejeze mai bine datele?

Să indice clar persoana care poate primi informații în numele său.
Să actualizeze numărul de telefon și adresa de e-mail din evidențele clinicii.
Să nu trimită documente medicale prin conturi sau dispozitive publice.
Să verifice destinatarul înainte de a transmite analize sau scrisori medicale.
Să citească formularele de consimțământ înainte de semnare.
Să ceară explicații dacă acordul include marketing, fotografii sau publicarea unui caz.
Să protejeze parolele conturilor și aplicațiilor medicale.
Să solicite în scris accesul la documente atunci când are nevoie de o evidență completă.
Să păstreze copii ale cererilor și răspunsurilor primite.

Confidențialitatea și drepturile generale ale pacientului

Protecția datelor medicale nu este un drept izolat. Ea este legată de demnitate, viață privată, informare corectă, consimțământ, acces la documente și libertatea de a decide cine poate primi informații.

O prezentare mai amplă a cadrului legal este disponibilă în articolul Legislație medicală: drepturile pacientului.

Întrebări frecvente despre confidențialitatea datelor medicale

Poate soțul sau soția să primească rezultatele analizelor?

Nu automat. Pentru un pacient adult care își poate exprima voința este necesară desemnarea persoanei, consimțământul pacientului sau un alt temei legal aplicabil.

Poate medicul să discute cu un alt medic despre pacient?

Da, atunci când schimbul de informații este necesar pentru diagnostic, tratament sau continuitatea îngrijirilor. Comunicarea trebuie limitată la datele relevante.

Poate pacientul cere o copie a foii de observație?

Da. Solicitarea se adresează în scris unității sanitare. Normele prevăd eliberarea copiilor documentelor medicale solicitate în maximum 48 de ore de la înregistrarea cererii.

Poate recepția unei clinici spune la telefon diagnosticul pacientului?

Informațiile nu ar trebui comunicate fără verificarea identității și a dreptului persoanei de a le primi. Personalul trebuie să urmeze procedurile de confidențialitate ale unității.

Rudele pot vedea dosarul medical după deces?

Datele rămân confidențiale. Accesul este posibil pentru persoana desemnată de pacient și, în situația reglementată de art. 24 alin. (3) din Legea nr. 46/2003, pe baza certificatului de calitate de moștenitor.

Poate clinica publica o fotografie cu pacientul dacă nu îi arată numele?

Nu întotdeauna. Persoana poate fi identificată prin imagine, voce, tatuaje, context sau alte detalii. Pentru publicarea unui material identificabil este necesar un temei juridic valabil, de regulă un acord specific și informat.

Poate pacientul cere ștergerea dosarului medical?

Poate formula o cerere, dar dreptul la ștergere nu este absolut. Unitatea poate fi obligată legal să păstreze documentele o anumită perioadă.

Unde se depune o plângere privind datele medicale?

Pacientul se poate adresa mai întâi unității medicale sau responsabilului cu protecția datelor. Dacă problema nu este rezolvată, poate depune o plângere la ANSPDCP și poate utiliza celelalte căi legale aplicabile.

Concluzie

Confidențialitatea datelor medicale protejează viața privată, demnitatea și siguranța pacientului. Diagnosticul, analizele, tratamentul și istoricul medical nu pot fi dezvăluite oricărei persoane, iar simpla relație de rudenie nu oferă automat acces la aceste informații.

Pacientul are dreptul să își consulte datele, să solicite copii ale documentelor, să desemneze o persoană care poate fi informată și să afle cum sunt utilizate informațiile sale. Medicii și instituțiile pot prelucra date fără un consimțământ separat atunci când acest lucru este necesar pentru îngrijirea medicală sau impus de lege, dar trebuie să respecte secretul profesional, limitarea accesului și securitatea informațiilor.

În cazul unei divulgări neautorizate, este important ca pacientul să păstreze dovezile, să solicite explicații în scris și să se adreseze instituțiilor competente. Pentru o situație individuală complexă, poate fi necesară consultarea unui avocat sau a unui specialist în protecția datelor.

Surse și informații legislative

Informațiile prezentate au scop educativ și general. Articolul nu reprezintă consultanță juridică și nu înlocuiește analiza unui avocat, a responsabilului cu protecția datelor sau a instituției competente într-un caz concret.