保护个人健康数据：制药公司 GDPR 合规指南

1. 什么是健康数据？为什么它很敏感？

       健康数据是指与个人身心健康相关的任何信息。例如：

• 疾病诊断，

• 所用药物，

• 血液检测或基因信息，

• 医疗器械使用记录。.

为什么说
健康数据敏感？健康数据直接关系到个人的隐私。如果落入不法分子之手，可能导致歧视或侵犯隐私。因此，土耳其《个人数据保护法》（KVKK）和欧盟《通用数据保护条例》（GDPR）都将健康数据归类为“敏感个人数据”，并制定了更为严格的保护规则。

---

2. 制药公司在哪些方面使用这些数据？

制药公司处理以下领域的健康数据：

• 临床试验： 监测参与者的健康状况，

• 患者支持项目： 旨在提高治疗依从性的服务，

• 市场营销活动： 在产品推广过程中向医生展示的统计数据，

• 药物警戒： 报告和监测药物不良反应。

---

3. 根据《个人数据保护法》（KVKK）应遵守的规则

《个人数据保护法》（KVKK）是土耳其规范个人数据处理并旨在保护个人隐私的基本法律。该法于2016年4月7日生效，法号为6698。.

➤ 明确同意和例外情况

一般而言，处理健康数据需要获得明确同意。
但是，在某些情况下，可能不需要同意。例如：

• 为保护公众健康而进行的数据处理（例如，卫生部审计），

• 根据合同义务进行数据处理（例如，临床研究合同）。.

➤ 提供信息的义务

应以清晰易懂的方式告知相关人员：

• 收集了哪些数据？

• 收集这些资料的原因

• 会与谁分享？

• 应该保存多久？.

➤ 数据安全措施

公司需要采取以下措施：

• 技术措施 （例如加密、防病毒），

• 行政措施 （例如，保密协议、员工培训）。

➤ 必须在 VERBIS 注册

员工人数超过 50 人或年度资产负债表超过 2500 万土耳其里拉的公司必须在 VERBIS（数据控制者注册处）注册。.

---

4. GDPR 下需遵循的规则

GDPR（通用数据保护条例）是欧盟的通用数据保护条例，于 2018 年 5 月 25 日生效。该条例规定了个人数据处理和保护的规则，旨在让居住在欧洲经济区 (EEA) 内的个人对其个人数据拥有更多控制权。.

➤ 合法性原则

        数据收集必须出于特定、明确且合法的目的。例如，出于营销目的收集医生信息可能是合法的；但是，未经患者同意收集数据则违反了GDPR。.

➤ 数据控制者和数据处理者的区别

• 数据控制者： 决定数据处理的目的和方式的个人/组织（例如，制药公司）。

• 数据处理者： 仅按照指示处理数据的个人/实体（例如，呼叫中心服务提供商）。

➤ 数据保护官 (DPO)

如果一家公司处理大量敏感数据，则必须任命一名数据保护官 (DPO)。数据保护官负责监督公司遵守 GDPR 的情况。.

➤ 数据泄露报告

如果发生个人数据泄露（例如数据库攻击），必须在 72 小时内通知相关的欧洲机构。.

---

5. 健康数据可以传输到国外吗？

根据《个人数据保护法》（KVKK）：

在满足以下条件的情况下，可以从土耳其向国外传输数据：

• 如果当事人已明确表示同意，

• 如果数据传输到个人数据保护机构宣布为安全国家的国家，

• 如果存在经机构批准的数据传输协议。.

根据GDPR：

对于欧盟以外的数据传输：

• 由欧盟委员会颁发的安全国家认定，或

• 需要采取适当的保障措施，例如标准合同条款（SCC）。.

---

6. 合规性检查清单

• 编制数据清单（正在收集哪些数据？收集的目的是什么？）。.

• 创建信息和同意书表格。.

• 实施安全措施（加密、访问控制、培训）。.

• 如果属于 GDPR 的管辖范围，则任命一名数据保护官 (DPO)。.

• 与第三方签订数据处理协议。.

• 制定应对潜在数据泄露的应急预案。.

---

为什么适应策略很重要？

KVKK 和 GDPR 不仅是法律义务，对患者安全和企业声誉也至关重要。
如不遵守：

• 根据《个人数据保护法》（KVKK），可处以最高 200 万土耳其里拉的行政罚款。

• 根据 GDPR，违规者可被处以最高相当于全球年营业额 4% 的罚款。.

健康数据的安全处理也是衡量制药公司道德立场的一个指标。.

---

结论

       在制药行业，准确、安全地处理个人健康数据不仅是法律义务，更是企业声誉的基石。
       遵守土耳其《个人数据保护法》(KVKK) 和《通用数据保护条例》(GDPR) 有助于避免处罚，并建立患者和医疗专业人员之间的信任。