Căminele private procesează zilnic date din categoria specială conform Art. 9 GDPR: stare de sănătate, medicație, observații clinice, fotografii ale rezidentului. Acest tip de date are cel mai înalt nivel de protecție legală — și cele mai mari amenzi când e gestionat greșit.
Iată cele 5 obligații pe care orice cămin privat din România trebuie să le aibă rezolvate în 2026, în ordinea priorității.
1. Clarifică rolul: ești operator sau procesator?
Diferența contează enorm: operatorul decide ce date colectează și de ce, procesatorul doar execută. În majoritatea cazurilor, căminul tău e operator pentru datele rezidenților și familiilor. Furnizorii tehnici (platforme software, cloud) sunt procesatori.
Acțiune imediată: identifică toți procesatorii cu care lucrezi (WhatsApp, Google Drive, contabilitatea externă, software-ul de farmacie) și semnează Data Processing Agreement (DPA) cu fiecare. Fără DPA, oricare dintre ei poate atrage o sancțiune asupra ta.
2. DPIA — Data Protection Impact Assessment
Procesarea datelor din Art. 9 (sănătate) obligă la realizarea unui DPIA conform Art. 35 GDPR. E un document care evaluează riscurile pentru drepturile rezidenților și măsurile pe care le-ai luat să le mitighezi.
DPIA-ul nu e un formular bifat o dată — e un proces iterativ. Trebuie reactualizat când:
- Adăugi o tehnologie nouă (software, dispozitiv medical, AI)
- Schimbi un procesator (treci de la WhatsApp la o platformă dedicată)
- Începi un nou tip de procesare (de ex. constante vitale, monitorizare video)
- Anual, ca verificare formală
3. DPO — când e obligatoriu?
Art. 37 GDPR + Legea 190/2018 impun DPO (Data Protection Officer) când procesezi pe scară largă date din Art. 9. Pentru un cămin mic (sub 50 rezidenți), poți argumenta că nu e „large scale”. Pentru un grup de 3+ cămine sau peste 100 rezidenți total, DPO devine obligatoriu de facto.
DPO poate fi extern (firmă specializată, contract DPaaS la 200-500€/lună) sau intern (angajat cu certificare CIPP/E). Pentru cele mai multe cămine private, soluția externă e mai practică.
Notifică oficial DPO-ul la ANSPDCP printr-un formular online — nu costă nimic, dar e obligatoriu.
4. Consimțământ explicit pentru date sănătate
Pentru datele Art. 9, ai nevoie de consimțământ explicit, granular și revocabil al rezidentului (sau tutorelui legal). Asta NU e o căsuță bifată în contractul de internare. Trebuie să fie:
- Specific: separat pe categorii — date medicale, fotografii, mesaje cu familia
- Voluntar: rezidentul poate refuza fără ca asta să afecteze accesul la îngrijire
- Informat: explicăm de ce avem nevoie, cu cine partajăm, cât păstrăm
- Revocabil: la cerere, ștergem datele în 30 zile
Pentru rezidenți cu capacitate redusă (demență avansată), consimțământul vine de la tutore legal — documentat formal.
5. Drepturile rezidenților + audit log
Rezidentul (sau familia, dacă are mandat) poate cere oricând:
- Acces la datele lui (Art. 15) — răspuns în 30 zile
- Rectificare dacă datele sunt greșite (Art. 16)
- Ștergere (right to be forgotten, Art. 17) — cu excepții legale (audit, antifraud)
- Portabilitate către alt cămin sau către familie (Art. 20)
- Opoziție la prelucrare în anumite cazuri
Pentru fiecare cerere, trebuie să poți răspunde cu un raport: cine a accesat datele rezidentului, când, pentru ce. Asta e audit log-ul — un document care la ANSPDCP cere existență obligatorie pentru date Art. 9.
Sancțiuni reale ANSPDCP 2024-2025
ANSPDCP a aplicat în ultimii 2 ani amenzi de 5.000 - 50.000 EUR pentru centre medicale și cămine private din România. Cele mai frecvente cauze:
- Lipsa DPIA pentru date sănătate (≈ 15.000 EUR mediu)
- Lipsa registrului de evidență a prelucrărilor (≈ 8.000 EUR)
- Lipsa DPO acolo unde era obligatoriu (≈ 10.000 EUR)
- Nerespectarea termenului de 30 zile la cererea de ștergere (≈ 5.000 EUR)
- Scurgeri de date pe canale neoficiale (WhatsApp, Facebook) — cele mai mari amenzi
Cum începi mâine
- Inventariază procesatorii actuali. Semnează DPA cu toți cei lipsă.
- Contractează un DPO extern (200-400 EUR/lună basic plan).
- Realizează DPIA inițial cu DPO-ul (one-off ~800-1500 EUR).
- Update T&C + formular consimțământ în limba română, clară.
- Asigură-te că ai audit log automat — manual nu mai e fezabil.
Investiția totală minimă: 3.000-5.000 EUR în primul an pentru compliance basic. Față de o amendă posibilă de 15-50.000 EUR, e raport favorabil.