Datele despre sănătate sunt, în arhitectura GDPR, o categorie specială (art. 9) — protejate suplimentar tocmai pentru că o scurgere nu se repară. Un CNP compromis se poate înlocui greu; un diagnostic ajuns la persoana greșită nu se mai poate retrage. Pentru un spital, o clinică sau un laborator, acesta nu mai este un risc teoretic. Este o realitate documentată în deciziile recente ale ANSPDCP.

Iar tiparul sancțiunilor spune ceva clar: autoritatea nu amendează pentru atacuri cibernetice spectaculoase. Amendează pentru lucruri banale, evitabile, care țin de procedură și disciplină internă.

În februarie 2025, clinica Medstar a fost amendată cu ~9.946 lei (2.000 euro) după o investigație pornită de la o plângere. Constatarea ANSPDCP: clinica a dezvăluit datele privind starea de sănătate ale unei paciente către o altă persoană, iar datele altui pacient i-au fost transmise petentei. Mecanismul? Un schimb de documente între pacienți greșiți. Nu un hacker — o eroare de proces la ghișeu.

În ianuarie 2025, Centrul Medical Unirea a primit aceeași amendă (~9.953 lei). Cauza: la un punct de lucru medical de recoltare probe, au fost expuse public credențialele de acces la contul de e-mail, prin afișare pe monitorul calculatorului. Parola, lipită pe monitor. Atât.

În februarie 2026, o clinică de stomatologie a fost sancționată (~10.190 lei) într-un caz care ar trebui să sperie orice manager de unitate sanitară: o fostă angajată a copiat datele de contact și dosarele medicale ale tuturor pacienților, aceștia fiind contactați ulterior pentru reprogramări la o nouă clinică. Riscul nu vine doar din afară. Vine și de la oameni care pleacă și iau baza de date cu ei.

Trei lecții care se repetă în fiecare decizie

Prima: cele mai multe sancțiuni nu vin din breșe tehnice complexe, ci din lipsa unor proceduri elementare — control al accesului, separarea documentelor între pacienți, gestionarea conturilor la plecarea angajaților. ANSPDCP urmărește constant securitatea prelucrărilor, accesul neautorizat, lipsa transparenței în informare și perioadele de stocare nejustificate.

A doua: factorul uman domină. Angajatul care fotografiază un document, parola pe monitor, dosarul trimis greșit. Tehnologia nu rezolvă asta — instruirea periodică și procedurile clare o fac.

A treia: pentru spitalele publice, regimul sancționator este diferit, dar nu mai blând în consecințe. La autoritățile și organismele publice, ANSPDCP aplică mecanismul Legii 190/2018: o autoritate publică poate primi un maxim de amendă de 200.000 lei, precedat de avertisment și plan de remediere. Dar pentru un incident cibernetic care afectează datele medicale, intră în joc și NIS2 (OUG 155/2024), unde DNSC poate sancționa direct, fără procedura graduală.

Ce ar trebui să facă o unitate sanitară mâine dimineață?

Trei verificări care previn majoritatea cazurilor de mai sus: cine are acces la ce date și de ce (principiul minimizării); ce se întâmplă cu conturile și accesele când un angajat pleacă; și dacă personalul de la ghișeu, recepție și laborator a fost instruit recent pe gestionarea documentelor cu date medicale.

Conformarea GDPR într-o unitate sanitară nu este un dosar care se completează o dată. Este o disciplină zilnică. Deciziile ANSPDCP o demonstrează caz cu caz — și exact aici intervine un audit GDPR independent, care identifică punctele slabe înainte ca ANSPDCP să o facă.