Objectives: Aiming to strengthen EU citizens' fundamental privacy rights in the digital age the new European General Data Protection Regulation shall apply from May 25th 2018. It will require companies processing personal data to implement a set of organizational and technical controls for ensuring proper handling of these data. Obviously this applies for companies providing eHealth services. As HL7 offers a lot of material to support security and privacy for handling personal healthcare data, this paper aims at showing which HL7 standards and components can be used to support the implementation of GDPR related controls. Methods: The paper shows some key facts of the European GDPR as well as analyzes HL7 standards and components in the security and privacy domain to provide a basic mapping. Results: As a result the paper provides a table mapping HL7 artifacts to GDPR requirements. Conclusion: The paper shows, that consequently using HL7 security and privacy standards and components e fficiently helps to implement GDPR requirements.

• MeSH
• Confidentiality MeSH
• European Union MeSH
• Health Level Seven standards   MeSH
• Humans MeSH
• Personally Identifiable Information * MeSH
• Computer Security MeSH
• Health Information Systems standards   organization & administration   MeSH
• Check Tag
• Humans MeSH

Nové právní předpisy, především obecné nařízení o ochraně osobních údajů (GDPR - General Data Protection Regulation), kladou na zdravotnictví poměrně náročná kritéria. Nicméně institut lékařského tajemství, který je prastarou lékařskou zvyklostí a je i součástí různých právních a stavovských předpisů, obsahuje i mnohé prvky dnešní ochrany osobních údajů a mezi odbornou lékařskou veřejností není ničím novým. Pod heslem GDPR se však skrývají i kroky, které lze směle označit za přinejmenším sporné. Takovým sporným opatření jsou třeba v poslední době zaváděná elektronická vyvolávací zařízení, jaká známe třeba z pošt. Nejsou nezbytným opatřením k ochraně osobních údajů v čekárnách lékařských ordinací, nejsou vyžadovány ze strany právních předpisů, a to ani s ohledem na GDPR, a z hlediska lékařské etiky jsou dokonce přinejmenším problematické. Bude-li GDPR aplikováno podobným způsobem, jako je tomu v případě povinných elektronických vyvolávacích systémů, ochraně osobních údajů to rozhodně neprospěje a užitečný nástroj, jakým GDPR bezesporu je, to bude jen zbytečně diskreditovat. Klíčová slova: elektronické vyvolávací systémy, GDPR, lékařská etika, ochrana osobních údajů, pacient

The new legislation, in particular the General Regulation on Personal Data Protection (GDPR), constitutes relatively demanding criteria on healthcare. However, the institute of medical secrets, which is an ancient medical practice and is part of various legal and professional regulations, contains many elements of today´s protection of personal data and is not new among the professional medical public. Under the GDPR, however, there are steps that can be labelled as at least controversial. Such disputable measures have recently been to introduce electronic queue management systems, as we know from post offices. They are not a necessary measure for the protection of personal data in the waiting rooms of ambulances, they are not required by law, even with regard to GDPR and from the point of view of medical ethics are even at least problematic. If GDPR is applied in a similar way, it does not really benefit from the protection of personal data, and a useful tool like GDPR will be undoubtedly discredited. Keywords: electronic queue management systems, GDPR, medical ethics, personal data protection, patient

• Keywords
• elektronické vyvolávací systémy, GDPR,
• MeSH
• Confidentiality MeSH
• Ethics, Medical MeSH
• Humans MeSH
• Personally Identifiable Information MeSH
• Patients MeSH
• Check Tag
• Humans MeSH
• Publication type
• Research Support, Non-U.S. Gov't MeSH

​Kniha provede procesem zavedení povinného nařízení EU o ochraně osobních údajů známého pod názvem General Data Protection Regulation - GDPR. Povinnost dopadne na všechny subjekty, které zpracovávají osobní údaje občanů EU - tedy na valnou většinu firem, organizací, obcí, škol nebo státních institucí.; ?Kniha provede procesem zavedení povinného nařízení EU o ochraně osobních údajů známého pod názvem General Data Protection Regulation - GDPR. Povinnost dopadne na všechny subjekty, které zpracovávají osobní údaje občanů EU - tedy na valnou většinu firem, organizací, obcí, škol nebo státních institucí.

• Keywords
• Právo,
• MeSH
• Confidentiality legislation & jurisprudence   MeSH
• European Union MeSH
• Civil Rights MeSH

• NML Fields
• právo, zákonodárství

?Kniha provede procesem zavedení povinného nařízení EU o ochraně osobních údajů známého pod názvem General Data Protection Regulation - GDPR. Povinnost dopadne na všechny subjekty, které zpracovávají osobní údaje občanů EU - tedy na valnou většinu firem, organizací, obcí, škol nebo státních institucí.

• MeSH
• Confidentiality legislation & jurisprudence   MeSH
• European Union MeSH
• Civil Rights MeSH
• Publication type
• Handbook MeSH

• Conspectus
• Ústavní právo. Správní právo
• NML Fields
• právo, zákonodárství

• About
• Evropská unie. Authority

Background: We present our current approaches to improving personal data protection in (i) large (regional/ national/international) scale health information exchanges (HIEs) and (ii) UK NHS IG toolkit and ISO 27001-compliant trustworthy research environments (TREs) for discovery science communities. In particular we examine impacts of the General Data Protection Regulation (GDPR) on these technology designs and developments and the responses we have made to control complexity. Methods: The paper discusses multiple requirements to implement the key GDPR principles of “data protection by design” and “data protection by default”, each requiring new capabilities to embed multiple security tests and data protection tools in common deployable infrastructures. Methods are presented for consistent implementation of diverse data processing use cases. Results: We describe how modular compositions of GDPRcompliant data processing software have been used to implement use case(s) and deliver information governance (IG) requirements transparently. Security surveillance analysis is embedded throughout the application lifecycle, namely at design, implementation and operation (runtime) phases. A solution is described to the challenge of integrating coherent research (analytic) environments for authorized researchers to access data and analytic tools without compromising security or privacy. Conclusion: We recognise the need for wider implementation of rigorous interoperability standards concerning privacy and security management. Standards can be disseminated within low-cost commodity infrastructures that are shared across consortium partners. Comprehensive model-based approaches to information management will be fundamental to guaranteeing security and privacy in challenging areas such as ethical use of artificial intelligence in medicine. The target architecture is still in evolution but needs a number of communitycollaborative API developments to couple advanced specifications fulfilling all IG requirements.

• Keywords
• GDPR,
• MeSH
• Electronic Data Processing standards   MeSH
• Health Information Interoperability standards   MeSH
• Health Information Management * methods   MeSH
• Computer Security standards   MeSH
• Health Information Systems standards   MeSH

The European Union (EU) General Data Protection Regulation (GDPR) imposes legal responsibilities concerning the collection and processing of personal information from individuals who live in the EU. It has particular implications for the remote monitoring of cardiac implantable electronic devices (CIEDs). This report from a joint Task Force of the European Heart Rhythm Association and the Regulatory Affairs Committee of the European Society of Cardiology (ESC) recommends a common legal interpretation of the GDPR. Manufacturers and hospitals should be designated as joint controllers of the data collected by remote monitoring (depending upon the system architecture) and they should have a mutual contract in place that defines their respective roles; a generic template is proposed. Alternatively, they may be two independent controllers. Self-employed cardiologists also are data controllers. Third-party providers of monitoring platforms may act as data processors. Manufacturers should always collect and process the minimum amount of identifiable data necessary, and wherever feasible have access only to pseudonymized data. Cybersecurity vulnerabilities have been reported concerning the security of transmission of data between a patient's device and the transceiver, so manufacturers should use secure communication protocols. Patients need to be informed how their remotely monitored data will be handled and used, and their informed consent should be sought before their device is implanted. Review of consent forms in current use revealed great variability in length and content, and sometimes very technical language; therefore, a standard information sheet and generic consent form are proposed. Cardiologists who care for patients with CIEDs that are remotely monitored should be aware of these issues.

• MeSH
• Electronics MeSH
• Cardiology * MeSH
• Humans MeSH
• Monitoring, Physiologic MeSH
• Advisory Committees MeSH
• Computer Security MeSH
• Check Tag
• Humans MeSH
• Publication type
• Journal Article MeSH
• Research Support, Non-U.S. Gov't MeSH

Obecné nařízení o ochraně soukromých údajů (General Data Protection Regulation, GDPR) Evropské unie (EU) stanovuje právní odpovědnost při shromažďování a zpracování osobních informací o osobách žijících v EU. Tento dokument má zvláštní důsledky pro dálkové monitorování implantovaných elektronických přístrojů v kardiologii (cardiac implantable electronic device, CIED). Tato zpráva společné pracovní skupiny Evropské asociace pro srdeční rytmus (European Heart Rhythm Association) a Výboru pro regulační záležitosti Evropské kardiologické společnosti (European Society of Cardiology, ESC) doporučuje jednotný právní výklad GDPR. Výrobce i nemocnice je nutno považovat za společné správce údajů shromážděných dálkovým monitorováním (v závislosti na architektuře systému) a musejí mít uzavřenu vzájemnou smlouvu definující jejich příslušné úlohy; byla vypracována obecná předloha této smlouvy. Alternativou k tomuto uspořádání jsou dva nezávislí správci. Správci údajů jsou i kardiologové v soukromé praxi. Poskytovatelé monitorovacích platforem jako třetí strana mohou působit jako zpracovatelé údajů. Výrobci musejí vždy shromažďovat a zpracovávat minimální objem nezbytných identifikovatelných údajů, a kdykoli je to možné, mít přístup pouze k pseudonymizovaným údajům. Byla popsána zranitelná místa v oblasti kybernetické bezpečnosti při přenosu údajů mezi implantovaným přístrojem u pacienta a vysílačem/přijímačem; výrobci proto musejí používat bezpečné komunikační protokoly. Pacienty je třeba informovat o nakládání s jejich dálkově monitorovanými údaji a jejich použití, a ještě před implantací přístroje je nutno získat jejich informovaný souhlas. Rozbor v současnosti používaných formulářů souhlasu odhalilo velké rozdíly v jejich délce a obsahu a někdy i používání velmi odborných výrazů; proto byl navržen standardní informační list a obecný formulář souhlasu. Kardiologové pečující o pacienty s dálkově monitorovanými CIED by měli mít o těchto otázkách povědomí.

The European Union (EU) General Data Protection Regulation (GDPR) imposes legal responsibilities concerning the collection and processing of personal information from individuals who live in the EU. It has particular implications for the remote monitoring of cardiac implantable electronic devices (CIEDs). This report from a joint Task Force of the European Heart Rhythm Association and the Regulatory Affairs Committee of the European Society of Cardiology (ESC) recommends a common legal interpretation of the GDPR. Manufacturers and hospitals should be designated as joint controllers of the data collected by remote monitoring (depending upon the system architecture) and they should have a mutual contract in place that defines their respective roles; a generic template is proposed. Alternatively, they may be two independent controllers. Self-employed cardiologists also are data controllers. Third-party providers of monitoring platforms may act as data processors. Manufacturers should always collect and process the minimum amount of identifiable data necessary, and wherever feasible have access only to pseudonymized data. Cybersecurity vulnerabilities have been reported concerning the security of transmission of data between a patient's device and the transceiver, so manufacturers should use secure communication protocols. Patients need to be informed how their remotely monitored data will be handled and used, and their informed consent should be sought before their device is implanted. Review of consent forms in current use revealed great variability in length and content, and sometimes very technical language; therefore, a standard information sheet and generic consent form are proposed. Cardiologists who care for patients with CIEDs that are remotely monitored should be aware of these issues.

• Keywords
• GDPR,
• MeSH
• Safety MeSH
• Data Management ethics   organization & administration   trends   legislation & jurisprudence   MeSH
• Consent Forms ethics   statistics & numerical data   MeSH
• Informed Consent ethics   MeSH
• Cardiology methods   MeSH
• Humans MeSH
• Monitoring, Physiologic * ethics   instrumentation   MeSH
• Personally Identifiable Information ethics   organization & administration   trends   legislation & jurisprudence   MeSH
• Health Care Surveys statistics & numerical data   MeSH
• Telemedicine ethics   methods   instrumentation   trends   MeSH
• Check Tag
• Humans MeSH

Health systems advance towards personalized, preventive, predictive, participative precision (5P) medicine, considering the individual's health status, contexts and conditions. This results in fully distributed, highly dynamic, highly complex business systems and processes with multiple, comprehensively cooperating actors from different specialty and policy domains, using their specific methodologies, terminologies, ontologies, knowledge and skills. Rules and regulations governing the business process as well as the organizational, legal and individual conditions, thereby controlling the behavior of the system, are called policies. Trust and confidence needed for running such system are strongly impacted by security and privacy concerns controlled by corresponding policies. The most comprehensive policy dealing with security and privacy requirements and principles in any business collecting, processing and sharing personal identifiable information (PII) is the recently implemented European General Data Protection Regulation (GDPR). This paper investigates how GDPR supports healthcare transformation and how this can be implemented based on international standards and specifications.

• MeSH
• Medicine * MeSH
• Personally Identifiable Information MeSH
• Delivery of Health Care * MeSH
• Privacy MeSH
• Computer Security * MeSH
• Publication type
• Journal Article MeSH

V oblasti řízení rizik došlo v poslední době k dramatickým změnám. Tyto změny jsou akcelerovány zejména zvyšujícím se tlakem ze strany legislativy. Ta zcela zásadním způsobem posiluje význam řízení rizik, zavádí (nejen) pro zdravotnická zařízení řadu povinností a také zpřísňuje sankce za jejich nedodržení. Typickým příkladem je současná novela zákona 181/2014 o kybernetické bezpečnosti. Nebo nařízení Evropského parlamentu a Rady EU 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, známé též jako „Obecné nařízení o ochraně osobních údajů“, zkráceně pak jen „GDPR“ (General Data Protection Regulation). Poznatky z každodenní praxe však ukazují, že řízení rizik často není věnována náležitá pozornost. Nedostatky v oblasti řízení aktiv a rizik a neprovádění auditů patří mezi nejčastější zjištění v rámci všech kontrol, které dosud provedl Národní bezpečnostní úřad (Adam Kučínský, 2017, Národní bezpečnostní úřad, konference ISSS 2017).

• Keywords
• GDPR, ochrana osobních údajů, audit,
• MeSH
• Patient Safety MeSH
• Documentation MeSH
• Confidentiality MeSH
• Quality of Health Care MeSH
• Patient Advocacy MeSH
• Personally Identifiable Information MeSH
• Safety Management MeSH
• Software MeSH
• Computer Security MeSH

Publikace si klade za cíl poskytnout základní informace týkající se GDPR čili Obecného nařízení Evropského parlamentu a Rady (EU) podnikatelskému sektoru, ale i veřejné správě a neziskovým organizacím. Snahou autorského kolektivu bylo formou srozumitelnou i pro neprávníky přiblížit vše, co GDPR a předpisy související přináší do praxe. Publikace překračuje obvyklý rámec právního textu a srozumitelnou formou vysvětluje problematiku ochrany osobních údajů i z hlediska řízení procesů, informačních technologií, technického zabezpečení prostor, spisové služby atd. Výklad se nezaměřuje pouze na speciální předpisy o ochraně osobních údajů, ale zařazuje problematiku do širšího právního rámce, tj. řeší problematiku ochrany osobnostních práv i další oblasti. Součástí výkladu jsou i příklady z rozhodovací praxe soudů. Jedná se tedy o komplexní návod, jak si při ochraně osobních údajů a implementaci GDPR počínat v každodenní praxi i z hlediska dlouhodobé koncepční práce. Nakladatelská anotace

• Keywords
• General Data Protection Regulation,
• MeSH
• Confidentiality legislation & jurisprudence   MeSH
• Personally Identifiable Information legislation & jurisprudence   MeSH
• Computer Security MeSH
• Publication type
• Handbook MeSH

• Conspectus
• Ústavní právo. Správní právo
• NML Fields
• právo, zákonodárství
• NML Publication type
• kolektivní monografie