Az Európai Unió egészére vonatkozó egységes adatvédelmi rendelet (GDRP) május 25-ével kerül bevezetésre. A rendelet megköveteli a tisztességes és átlátható adatkezelést továbbá, hogy az érintettek tájékoztatást kapjanak az adatkezelés tényéről és céljairól.

Az új adatvédelmi rendelet alapján az érintettek főbb jogai a következők:

• a rájuk vonatkozó személyes adatokhoz való hozzáférés;
• azok helyesbítése;
• törlése;
• kezelésének korlátozása;
• a profilalkotás és az automatizált adatkezelés elleni tiltakozás;
• az adathordozhatósághoz való jog.

A rendeletben külön cikkely foglalkozik a „személyes adatok különleges kategóriáinak”, ezen belül az EGÉSZSÉGÜGYI ADATOKNAK a  kezelésével. A jogszabály az alábbi esetekre tekintettel engedélyezi  ezeknek az adatoknak a kezelését, kikötve, hogy ezen adatok kezelése olyan személy által, vagy felelősségével történik, aki uniós vagy tagállami jogban meghatározott szakmai titoktartási kötelezettség hatálya alatt áll:

• adatkezelés megelőző egészségügyi vagy munkahelyi egészségügyi célokból,
• a munkavállaló munkavégzési képességének felmérése, orvosi diagnózis felállítása, egészségügyi vagy szociális ellátás vagy kezelés nyújtása kapcsán,
• illetve ha az az egészségügyi és/vagy a szociális rendszerek és szolgáltatások irányítása érdekében szükséges, uniós vagy tagállami jog alapján vagy egészségügyi szakemberrel kötött szerződés alapján kerül rá sor.

A rendelet lehetővé teszi, hogy a tagállamok további feltételeket – köztük korlátozásokat – alkalmazzanak a genetikai adatok, a biometrikus adatok és az egészségügyi adatok kezelésére vonatkozóan. Ezt az Emberi Erőforrások Minisztériuma (Emmi) kezdeményezthetné a Kormánynál, ám nincs róla információ, hogy történt volna ilyen lépés. 

A GDPR előírja, hogy adatvédelmi tisztviselőt kell kijelölni, ha az adatkezelő vagy az adatfeldolgozó fő tevékenységei a személyes adatok különleges kategóriáiba tartozó adatok, lásd egészségügyi adatok nagy számban történő kezelését foglalják magukban. A „fő tevékenységek” az adatkezelő vagy az adatfeldolgozó céljainak eléréséhez szükséges legfontosabb műveleteket jelentik. Például egy kórház tekintetében az egészségügyi adatok kezelése, a betegek egészségügyi nyilvántartása az egyik fő tevékenység, emiatt a kórházaknak adatvédelmi tisztviselőt kell kijelölniük.

Félő, hogy a kis- és közepes vállalkozások, szemben a nagy egészségügyben érintett vállalkozásokkal és központi intézményekkel nehezen fognak tudni megfelelni az egységes szabályozásban foglalt rendelkezéseknek.

Maga a törvényalkotó is késedelemben van az európai általános adatvédelmi rendelet (GDPR) zökkenőmentes bevezetéséhez szükséges törvénymódosításokkal. Egyebek közt nem történt még központi intézkedés, hogy a GDPR hatálybalépése előtt elfogadjanak egy olyan jogszabályt, amely lehetővé teszi, hogy a NAIH május 25-e után is adatvédelmi hatóságként működjön.