Objectives: Aiming to strengthen EU citizens' fundamental privacy rights in the digital age the new European General Data Protection Regulation shall apply from May 25th 2018. It will require companies processing personal data to implement a set of organizational and technical controls for ensuring proper handling of these data. Obviously this applies for companies providing eHealth services. As HL7 offers a lot of material to support security and privacy for handling personal healthcare data, this paper aims at showing which HL7 standards and components can be used to support the implementation of GDPR related controls. Methods: The paper shows some key facts of the European GDPR as well as analyzes HL7 standards and components in the security and privacy domain to provide a basic mapping. Results: As a result the paper provides a table mapping HL7 artifacts to GDPR requirements. Conclusion: The paper shows, that consequently using HL7 security and privacy standards and components e fficiently helps to implement GDPR requirements.

• MeSH
• důvěrnost informací MeSH
• Evropská unie MeSH
• Health Level Seven normy   MeSH
• lidé MeSH
• osobní údaje * MeSH
• zabezpečení počítačových systémů MeSH
• zdravotnické informační systémy normy   organizace a řízení   MeSH
• Check Tag
• lidé MeSH

Nové právní předpisy, především obecné nařízení o ochraně osobních údajů (GDPR - General Data Protection Regulation), kladou na zdravotnictví poměrně náročná kritéria. Nicméně institut lékařského tajemství, který je prastarou lékařskou zvyklostí a je i součástí různých právních a stavovských předpisů, obsahuje i mnohé prvky dnešní ochrany osobních údajů a mezi odbornou lékařskou veřejností není ničím novým. Pod heslem GDPR se však skrývají i kroky, které lze směle označit za přinejmenším sporné. Takovým sporným opatření jsou třeba v poslední době zaváděná elektronická vyvolávací zařízení, jaká známe třeba z pošt. Nejsou nezbytným opatřením k ochraně osobních údajů v čekárnách lékařských ordinací, nejsou vyžadovány ze strany právních předpisů, a to ani s ohledem na GDPR, a z hlediska lékařské etiky jsou dokonce přinejmenším problematické. Bude-li GDPR aplikováno podobným způsobem, jako je tomu v případě povinných elektronických vyvolávacích systémů, ochraně osobních údajů to rozhodně neprospěje a užitečný nástroj, jakým GDPR bezesporu je, to bude jen zbytečně diskreditovat. Klíčová slova: elektronické vyvolávací systémy, GDPR, lékařská etika, ochrana osobních údajů, pacient

The new legislation, in particular the General Regulation on Personal Data Protection (GDPR), constitutes relatively demanding criteria on healthcare. However, the institute of medical secrets, which is an ancient medical practice and is part of various legal and professional regulations, contains many elements of today´s protection of personal data and is not new among the professional medical public. Under the GDPR, however, there are steps that can be labelled as at least controversial. Such disputable measures have recently been to introduce electronic queue management systems, as we know from post offices. They are not a necessary measure for the protection of personal data in the waiting rooms of ambulances, they are not required by law, even with regard to GDPR and from the point of view of medical ethics are even at least problematic. If GDPR is applied in a similar way, it does not really benefit from the protection of personal data, and a useful tool like GDPR will be undoubtedly discredited. Keywords: electronic queue management systems, GDPR, medical ethics, personal data protection, patient

• Klíčová slova
• elektronické vyvolávací systémy, GDPR,
• MeSH
• důvěrnost informací MeSH
• lékařská etika MeSH
• lidé MeSH
• osobní údaje MeSH
• pacienti MeSH
• Check Tag
• lidé MeSH
• Publikační typ
• práce podpořená grantem MeSH

​Kniha provede procesem zavedení povinného nařízení EU o ochraně osobních údajů známého pod názvem General Data Protection Regulation - GDPR. Povinnost dopadne na všechny subjekty, které zpracovávají osobní údaje občanů EU - tedy na valnou většinu firem, organizací, obcí, škol nebo státních institucí.; ?Kniha provede procesem zavedení povinného nařízení EU o ochraně osobních údajů známého pod názvem General Data Protection Regulation - GDPR. Povinnost dopadne na všechny subjekty, které zpracovávají osobní údaje občanů EU - tedy na valnou většinu firem, organizací, obcí, škol nebo státních institucí.

• Klíčová slova
• Právo,
• MeSH
• důvěrnost informací zákonodárství a právo   MeSH
• Evropská unie MeSH
• občanská práva MeSH

• NLK Obory
• právo, zákonodárství

?Kniha provede procesem zavedení povinného nařízení EU o ochraně osobních údajů známého pod názvem General Data Protection Regulation - GDPR. Povinnost dopadne na všechny subjekty, které zpracovávají osobní údaje občanů EU - tedy na valnou většinu firem, organizací, obcí, škol nebo státních institucí.

• MeSH
• důvěrnost informací zákonodárství a právo   MeSH
• Evropská unie MeSH
• občanská práva MeSH
• Publikační typ
• příručky MeSH

• Konspekt
• Ústavní právo. Správní právo
• NLK Obory
• právo, zákonodárství

• O autorovi
• Evropská unie. Autorita

Background: We present our current approaches to improving personal data protection in (i) large (regional/ national/international) scale health information exchanges (HIEs) and (ii) UK NHS IG toolkit and ISO 27001-compliant trustworthy research environments (TREs) for discovery science communities. In particular we examine impacts of the General Data Protection Regulation (GDPR) on these technology designs and developments and the responses we have made to control complexity. Methods: The paper discusses multiple requirements to implement the key GDPR principles of “data protection by design” and “data protection by default”, each requiring new capabilities to embed multiple security tests and data protection tools in common deployable infrastructures. Methods are presented for consistent implementation of diverse data processing use cases. Results: We describe how modular compositions of GDPRcompliant data processing software have been used to implement use case(s) and deliver information governance (IG) requirements transparently. Security surveillance analysis is embedded throughout the application lifecycle, namely at design, implementation and operation (runtime) phases. A solution is described to the challenge of integrating coherent research (analytic) environments for authorized researchers to access data and analytic tools without compromising security or privacy. Conclusion: We recognise the need for wider implementation of rigorous interoperability standards concerning privacy and security management. Standards can be disseminated within low-cost commodity infrastructures that are shared across consortium partners. Comprehensive model-based approaches to information management will be fundamental to guaranteeing security and privacy in challenging areas such as ethical use of artificial intelligence in medicine. The target architecture is still in evolution but needs a number of communitycollaborative API developments to couple advanced specifications fulfilling all IG requirements.

• Klíčová slova
• GDPR,
• MeSH
• automatizované zpracování dat normy   MeSH
• interoperabilita zdravotnických informací normy   MeSH
• řízení zdravotnických informací * metody   MeSH
• zabezpečení počítačových systémů normy   MeSH
• zdravotnické informační systémy normy   MeSH

Having the means to share research data openly is essential to modern science. For human research, a key aspect in this endeavor is obtaining consent from participants, not just to take part in a study, which is a basic ethical principle, but also to share their data with the scientific community. To ensure that the participants' privacy is respected, national and/or supranational regulations and laws are in place. It is, however, not always clear to researchers what the implications of those are, nor how to comply with them. The Open Brain Consent (https://open-brain-consent.readthedocs.io) is an international initiative that aims to provide researchers in the brain imaging community with information about data sharing options and tools. We present here a short history of this project and its latest developments, and share pointers to consent forms, including a template consent form that is compliant with the EU general data protection regulation. We also share pointers to an associated data user agreement that is not only useful in the EU context, but also for any researchers dealing with personal (clinical) data elsewhere.

• MeSH
• informovaný souhlas pacienta * etika   MeSH
• lidé MeSH
• mozek diagnostické zobrazování   MeSH
• neurozobrazování * etika   MeSH
• šíření informací * etika   MeSH
• subjekty výzkumu * MeSH
• Check Tag
• lidé MeSH
• Publikační typ
• práce podpořená grantem MeSH
• Research Support, N.I.H., Extramural MeSH
• Research Support, U.S. Gov't, Non-P.H.S. MeSH
• úvodníky MeSH

The European Union (EU) General Data Protection Regulation (GDPR) imposes legal responsibilities concerning the collection and processing of personal information from individuals who live in the EU. It has particular implications for the remote monitoring of cardiac implantable electronic devices (CIEDs). This report from a joint Task Force of the European Heart Rhythm Association and the Regulatory Affairs Committee of the European Society of Cardiology (ESC) recommends a common legal interpretation of the GDPR. Manufacturers and hospitals should be designated as joint controllers of the data collected by remote monitoring (depending upon the system architecture) and they should have a mutual contract in place that defines their respective roles; a generic template is proposed. Alternatively, they may be two independent controllers. Self-employed cardiologists also are data controllers. Third-party providers of monitoring platforms may act as data processors. Manufacturers should always collect and process the minimum amount of identifiable data necessary, and wherever feasible have access only to pseudonymized data. Cybersecurity vulnerabilities have been reported concerning the security of transmission of data between a patient's device and the transceiver, so manufacturers should use secure communication protocols. Patients need to be informed how their remotely monitored data will be handled and used, and their informed consent should be sought before their device is implanted. Review of consent forms in current use revealed great variability in length and content, and sometimes very technical language; therefore, a standard information sheet and generic consent form are proposed. Cardiologists who care for patients with CIEDs that are remotely monitored should be aware of these issues.

• MeSH
• elektronika MeSH
• kardiologie * MeSH
• lidé MeSH
• monitorování fyziologických funkcí MeSH
• poradní výbory MeSH
• zabezpečení počítačových systémů MeSH
• Check Tag
• lidé MeSH
• Publikační typ
• časopisecké články MeSH
• práce podpořená grantem MeSH

Obecné nařízení o ochraně soukromých údajů (General Data Protection Regulation, GDPR) Evropské unie (EU) stanovuje právní odpovědnost při shromažďování a zpracování osobních informací o osobách žijících v EU. Tento dokument má zvláštní důsledky pro dálkové monitorování implantovaných elektronických přístrojů v kardiologii (cardiac implantable electronic device, CIED). Tato zpráva společné pracovní skupiny Evropské asociace pro srdeční rytmus (European Heart Rhythm Association) a Výboru pro regulační záležitosti Evropské kardiologické společnosti (European Society of Cardiology, ESC) doporučuje jednotný právní výklad GDPR. Výrobce i nemocnice je nutno považovat za společné správce údajů shromážděných dálkovým monitorováním (v závislosti na architektuře systému) a musejí mít uzavřenu vzájemnou smlouvu definující jejich příslušné úlohy; byla vypracována obecná předloha této smlouvy. Alternativou k tomuto uspořádání jsou dva nezávislí správci. Správci údajů jsou i kardiologové v soukromé praxi. Poskytovatelé monitorovacích platforem jako třetí strana mohou působit jako zpracovatelé údajů. Výrobci musejí vždy shromažďovat a zpracovávat minimální objem nezbytných identifikovatelných údajů, a kdykoli je to možné, mít přístup pouze k pseudonymizovaným údajům. Byla popsána zranitelná místa v oblasti kybernetické bezpečnosti při přenosu údajů mezi implantovaným přístrojem u pacienta a vysílačem/přijímačem; výrobci proto musejí používat bezpečné komunikační protokoly. Pacienty je třeba informovat o nakládání s jejich dálkově monitorovanými údaji a jejich použití, a ještě před implantací přístroje je nutno získat jejich informovaný souhlas. Rozbor v současnosti používaných formulářů souhlasu odhalilo velké rozdíly v jejich délce a obsahu a někdy i používání velmi odborných výrazů; proto byl navržen standardní informační list a obecný formulář souhlasu. Kardiologové pečující o pacienty s dálkově monitorovanými CIED by měli mít o těchto otázkách povědomí.

The European Union (EU) General Data Protection Regulation (GDPR) imposes legal responsibilities concerning the collection and processing of personal information from individuals who live in the EU. It has particular implications for the remote monitoring of cardiac implantable electronic devices (CIEDs). This report from a joint Task Force of the European Heart Rhythm Association and the Regulatory Affairs Committee of the European Society of Cardiology (ESC) recommends a common legal interpretation of the GDPR. Manufacturers and hospitals should be designated as joint controllers of the data collected by remote monitoring (depending upon the system architecture) and they should have a mutual contract in place that defines their respective roles; a generic template is proposed. Alternatively, they may be two independent controllers. Self-employed cardiologists also are data controllers. Third-party providers of monitoring platforms may act as data processors. Manufacturers should always collect and process the minimum amount of identifiable data necessary, and wherever feasible have access only to pseudonymized data. Cybersecurity vulnerabilities have been reported concerning the security of transmission of data between a patient's device and the transceiver, so manufacturers should use secure communication protocols. Patients need to be informed how their remotely monitored data will be handled and used, and their informed consent should be sought before their device is implanted. Review of consent forms in current use revealed great variability in length and content, and sometimes very technical language; therefore, a standard information sheet and generic consent form are proposed. Cardiologists who care for patients with CIEDs that are remotely monitored should be aware of these issues.

• Klíčová slova
• GDPR,
• MeSH
• bezpečnost MeSH
• data management etika   organizace a řízení   trendy   zákonodárství a právo   MeSH
• formuláře souhlasu etika   statistika a číselné údaje   MeSH
• informovaný souhlas pacienta etika   MeSH
• kardiologie metody   MeSH
• lidé MeSH
• monitorování fyziologických funkcí * etika   přístrojové vybavení   MeSH
• osobní údaje etika   organizace a řízení   trendy   zákonodárství a právo   MeSH
• průzkumy zdravotní péče statistika a číselné údaje   MeSH
• telemedicína etika   metody   přístrojové vybavení   trendy   MeSH
• Check Tag
• lidé MeSH

Health systems advance towards personalized, preventive, predictive, participative precision (5P) medicine, considering the individual's health status, contexts and conditions. This results in fully distributed, highly dynamic, highly complex business systems and processes with multiple, comprehensively cooperating actors from different specialty and policy domains, using their specific methodologies, terminologies, ontologies, knowledge and skills. Rules and regulations governing the business process as well as the organizational, legal and individual conditions, thereby controlling the behavior of the system, are called policies. Trust and confidence needed for running such system are strongly impacted by security and privacy concerns controlled by corresponding policies. The most comprehensive policy dealing with security and privacy requirements and principles in any business collecting, processing and sharing personal identifiable information (PII) is the recently implemented European General Data Protection Regulation (GDPR). This paper investigates how GDPR supports healthcare transformation and how this can be implemented based on international standards and specifications.

• MeSH
• lékařství * MeSH
• osobní údaje MeSH
• poskytování zdravotní péče * MeSH
• soukromí MeSH
• zabezpečení počítačových systémů * MeSH
• Publikační typ
• časopisecké články MeSH

V oblasti řízení rizik došlo v poslední době k dramatickým změnám. Tyto změny jsou akcelerovány zejména zvyšujícím se tlakem ze strany legislativy. Ta zcela zásadním způsobem posiluje význam řízení rizik, zavádí (nejen) pro zdravotnická zařízení řadu povinností a také zpřísňuje sankce za jejich nedodržení. Typickým příkladem je současná novela zákona 181/2014 o kybernetické bezpečnosti. Nebo nařízení Evropského parlamentu a Rady EU 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, známé též jako „Obecné nařízení o ochraně osobních údajů“, zkráceně pak jen „GDPR“ (General Data Protection Regulation). Poznatky z každodenní praxe však ukazují, že řízení rizik často není věnována náležitá pozornost. Nedostatky v oblasti řízení aktiv a rizik a neprovádění auditů patří mezi nejčastější zjištění v rámci všech kontrol, které dosud provedl Národní bezpečnostní úřad (Adam Kučínský, 2017, Národní bezpečnostní úřad, konference ISSS 2017).

• Klíčová slova
• GDPR, ochrana osobních údajů, audit,
• MeSH
• bezpečnost pacientů MeSH
• dokumentace MeSH
• důvěrnost informací MeSH
• kvalita zdravotní péče MeSH
• ochrana zájmů pacientů MeSH
• osobní údaje MeSH
• řízení bezpečnosti MeSH
• software MeSH
• zabezpečení počítačových systémů MeSH