欧盟一般数据保护条例(GDPR)对欧盟候选国健康数据管理的影响:塞尔维亚案例研究

介绍

背景

欧洲通用数据保护条例(GDPR) 2016/679 [1]于2016年4月成立，取代了数据保护指令95/46/EC，并详细说明了在欧洲经济区内处理个人数据的限制。自2018年5月起，成员国的所有相关机构都必须遵守GDPR，否则将面临巨额罚款。这一规定也对欧盟(EU)候选国产生了显著影响，作为加入过程的一部分，这些国家正在进行与欧盟协调立法的进程。GDPR的要求还具有强大的全球影响，需要在数据收集、共享和分析方面取得技术进步，并增加对卫生数据的经济兴趣，从而提出了对新的数据共享政策框架的需求[2]．

塞尔维亚共和国就是一个例子，它不是欧盟成员国，但GDPR与之高度相关。塞尔维亚正在通过新的2018年《个人数据保护法》(PDPA18)朝着完全符合GDPR的方向发展，该法案包含了GDPR的大部分(尽管不是全部)条款，为塞尔维亚与其他欧盟国家(包括其邻国)的互动创造了一个特定的监管环境。考虑到塞尔维亚和其他候选国(即北马其顿、阿尔巴尼亚、黑山和土耳其)入盟进程的持续时间，这种情况可能会持续很长一段时间。

目标

本文以塞尔维亚为例，强调了在欧盟候选国实施与gdp相一致的立法的问题，并为任何未来的采用者提供了指导方针。作为欧洲为数不多的中低收入国家之一，塞尔维亚越来越被视为中低收入国家实施研究项目的一个有吸引力的生态系统，本文为在当地开展此类研究提供了一些建议。

塞尔维亚隐私保护概况

2019年修订的2013年《患者权利法》明确规定:(1)所有卫生工作者及其同事应保护个人和健康数据的机密性;(2)尤其敏感资料的处理方式必须始终确保私隐及保密;(3)所有处理此类数据的医疗机构和其他法律实体都有义务建立和维护适当的安全系统和措施。该法案明确规定，除非得到患者或法定代理人的书面同意或法院判决，否则保健工作者和其他处理这些数据的人有义务保密。

最初的2008年个人资料保护法(PDPA08)引入了公共重要性信息和个人资料保护专员的角色，负责该法案的实施、监督和执行。已报告了许多数据泄露或滥用个人和健康数据的案件，由此产生了一系列相关的建议、警告和决定[3.]．专员的干预措施通常不仅涉及纠正行动，还涉及罚款和法庭备案，例如，对未经授权处理个人数据的第一笔罚款是对非法处理健康数据的罚款。但是，专业机构，例如塞尔维亚医疗商会，很少作出刑事定罪和制裁。2018年，共完成数据保护检查1452次;在956起案件中，警告或决定被执行;16起案件要求提起轻罪诉讼;有6起案件被提起刑事诉讼[4]．在1450项已启动的检查中，63项是在卫生保健机构。从2010年到2018年，专员提交了39项刑事指控，导致2起起诉，导致1起缓刑6个月，1起无罪释放。截至2018年底，18项刑事指控的程序仍在进行中。轻罪诉讼的情况要有利得多;在2018年期间，专员提出了19项请求，并收到了轻罪法院的23项裁决，其中18项被定罪。所判处的刑期都是法定的最低量刑。

相比之下，波斯尼亚和黑塞哥维那的个人数据保护局收到148起投诉，处理了40起依据职权2018年会议记录;其中，有5起案件采取了与卫生保健机构和健康保险有关的措施，另有两起案件采取了与卫生数据有关的措施[5]．

专员公署处理的反复发生的事故主要类别如下:

1. 与卫生保健机构处所内可见的纸张和信息形式的卫生文件有关的事件[6，7[1]在这些案件中(占所报告事件的大多数)，载有病人健康状况的文件以不安全的方式保存在保健场所，甚至向来访者提供。在一个例子中，病人的艾滋病毒状况信息贴在他们的床上[8]．
2. 不当处置甚至重复使用载有个人或医疗资料的纸张[9]．
3. 未经适当同意而不当披露名人健康状况[10，11]．
4. 出于政治目的向媒体泄露个人健康数据和记录以羞辱个人[12，13]．
5. 卫生部(MoH)实施的中央综合卫生信息系统(IHIS)案例:2016年至2018年期间，专员就几个技术和法律问题发表了许多意见、警告、建议和结论，例如个人数据保护严重失败，涉及未经授权访问和其他大规模权利滥用的高风险[14]．这些问题大多在2018年之前得到了解决[15]，但与IHIS有关的政策文件及其所载数据的处理方式并未公开。
6. 滥用健康数据作商业及市场推广用途[16，17]．
7. 一款供病人使用的流动应用程序在其使用条款和私隐政策中包括供应商的直接营销和资料分析[18]．没有迹象表明IHIS的数据已被使用，但此应用程序的服务条款目前是空的，相应的Web应用程序也没有[19]．
8. 在不同的政府机构之间传递信息(警方根据过时的法规收集一些城市居民的心理健康诊断;他们随后将其删除)[20.]．
9. 解决法律中关于警察是否可以收集犯罪嫌疑人和受害者的健康数据，或只有在法院手令或有关个人授权的情况下才能提供此类数据的矛盾[21]．
10. 在卫生系统内未经授权、过度或不成比例地收集数据。一些地方国家健康保险基金(NHIF)办事处收集医疗文件，然后删除，促使国家健康保险基金主任禁止这种做法[22，23]．
11. 学生健康中心在定期健康检查期间未经事先授权收集学生性取向数据;当专员介入时，该等资料必须删除[24]．

促成因素

我们分析了上述事件类型，以找出根本原因(表1）.由于缺乏对卫生部门中与数据保护有关的事件或行为的适当分类，基于现有远程医疗分类的工作分类[25]及电子医疗[26]是为了深入了解可能的原因和缺陷。慢性阻塞性肺疾病自我管理这两个显著依赖信任的领域的分类[27]和共同决策[28]提供了一个蓝图，通过观察四个卫生系统层面(患者、从业者、组织和系统)和五个方面(态度、信息和沟通、技能和工具、资源和环境)进一步完善。分类结果见文本框1。

因素的影响(文本框1)被考虑用于列出的事件类型。只有当得出结论认为因素的变化可以防止相关隐私或安全事件的发生时，才会将个别情况类型和因素关联起来。得到的冲击矩阵给出于表1。没有考虑因素和情况之间不透明和累积的关系。例如，考虑一大群受影响患者的态度或技能的改变是否会导致卫生保健提供者或系统级决策者的方向和优先事项的改变，这将超出本文的范围。

即使没有对事件进行全面的定量分析，指示性关联也可以用来得出一些高层次的结论。数据管理问题在卫生系统各级的分布在所有方面大致相同(表1)，并在各层面上保持一致(范围从23/122 18.9%至25/122 20.5%)。虽然患者相关因素仅在少数情况下会影响结果(8/122,6.6%)，但与从业人员(21/122,17.2%)、卫生保健机构(44/122,36.1%)和卫生系统(49/122,40.2%)相关的因素的影响要大得多。对于每种情况类型，如果检查一个层次上的促成因素是否与相邻层次上相同方面的促成因素相匹配，则权威的影响更为明显。看看上面的级别，这种情况发生在92%(67/73)的情况中:一个方面的存在几乎总是与紧接在上面的级别上的相应方面相匹配。相反，这种相关性仅为58.8%(67/114)。换句话说，产生影响的因素往往会一直链接到系统级别。

塞尔维亚的许多卫生保健组织没有管理数据保护的内部法案;有些机构在其法例或商业操守守则中规管保障个人资料[29]．尽管卫生专业人员可能在使用其信息技术(IT)系统方面接受过基本培训，但他们通常没有接受过道德意识和保护敏感患者数据方面的培训。最常见的是，与使用电子健康记录(EHRs)有关的保护和隐私规则是在供应商的倡议和医疗保健组织管理人员的参与下引入的，或者是在事件发生或专员干预后制定的。

塞尔维亚的卫生信息系统也不例外，其他国家的卫生数据集中举措也面临着与法律复杂性有关的争议;项目和数据管理;沟通，期望管理和公众认知[30.]．

值得注意的是，到目前为止，还没有关于卫生系统大量个人数据泄露的报道，尽管塞尔维亚其他领域也发生了一些此类泄露事件，例如，2014年私有化机构网站上未经授权泄露了500多万公民的个人数据，但没有人因此被定罪[31]．

多年来，NHIF一直是这种情况的一个例外。在每位专员作出干预后，公署会立即订定相应的私隐政策及操守守则，并就所有有关保障资料的要求及问题提供详细的答复[32]．其雇员须签署保密协议[29]．随着基础设施、系统和服务的发展，国家卫生基金一直在建立这一领域的能力。

鉴于《个人数据保护法》对数据保护采取高度集中的做法，专员的工作对塞尔维亚对健康数据和一般个人数据保护的态度产生了重大影响。但是，由于缺乏资源，专员无法在其全部能力范围内行动。有人声称专员以现有能力无法完全履行其任务。[4，29]．

与欧盟国家的互动

由于巴尔干国家之间密切的政治、社会和经济联系，其中一些国家是欧盟的正式成员国，GDPR也极大地影响了塞尔维亚卫生保健组织的日常运作。

在塞尔维亚与欧盟邻国克罗地亚、匈牙利、罗马尼亚和保加利亚接壤的边境地区，许多人拥有双重国籍。越来越多的欧盟公民在塞尔维亚定居，因为塞尔维亚离欧盟越来越近，对生活越来越有吸引力。更重要的是，塞尔维亚的一些城市有大量的外籍人士，他们在获得欧盟居留许可或公民身份后，在一个新的国家结束了工作，决定在塞尔维亚度过大部分时间。所有这些人都可能接受常规的初级保健、专家服务，甚至可能接受公共卫生保健组织的长期护理。顺便说一下，许多外籍人士回国的城市都位于塞尔维亚东南部，沿着泛欧运输走廊X，偶尔也会带来一些病人。这些地点的医疗保健组织，与经常与欧盟公民合作的其他组织类似，应评估欧盟公民的涌入，成为全面的GDPR投诉，并设有数据保护官(DPO)和欧盟代表[33]．

在撰写本文时，只有一家在塞尔维亚开展业务的国际医疗保健组织能够在当地市场上使用其国际数据保护和GDPR专业知识[34，35]．此外，任何以欧盟客户为目标的大型本地诊所和供应商协会都必须提前为GDPR合规做好准备[36，37]．

实现挑战

由于塞尔维亚法律的变化，专注于当地市场的公司也需要与GDPR保持一致。然而，即使对公共部门的大型实体来说，这也将是困难的。他们中的大多数不会被激励建立符合gdpr的计划，评估当前的合规水平，审计所有处理的个人数据，并审查其数据保护政策。许多实体也可能认为PDPA18规定的规则是足够的，如果他们有欧盟代表，他们将不知道GDPR要求nonoccasional欧盟的病人。其他GDPR要求，如维护数据处理记录、建立违规程序、提名dpo或在需要时进行隐私影响评估，都包含在PDPA18中。由于数据专员的角色经常与现有的行政职能重叠，虽然保障资料可能与其他业务目标相抵触[38]，这些官员除了内部授权外，还可能依赖外部权威来履行职责，并领导组织朝着法律规定的新规则前进，这将不可避免地对当前的工作过程、舒适度和先前设定的目标产生影响。

保障资料主任的责任

在塞尔维亚公共卫生保健组织受到卫生部和国家卫生基金的压力，要求其减少非医务人员的情况下，在目前的紧缩形势下，聘请专门人员专门处理个人数据将越来越困难。这反映了塞尔维亚的总体情况，许多公司没有人处理个人数据及其保护，在大型系统中，服务是分散的，一些数据存储在纸上，一些存储在公司服务器上。39]．公共卫生保健组织很可能会试图将这些责任转移给卫生部，或者延长与IT供应商和支持承包商的服务合同。虽然中央当局和外部承包商可以提供帮助，但最终需要承担责任的是保健服务提供者。他们必须做的第一件事就是提高他们对所处理的数据类别的理解，投资于正确的技术来保护信息，并实施适当的技术和组织措施来保护数据。考虑到这一点，新的业务干事可能主要从目前的管理人员中征聘，尽管需要特定的技能和全职参与。

在医疗保健提供者一级，一些欧盟国家报告了类似的问题，在这些国家，《通用数据保护条例》的过渡过程被描述为缓慢，并且伴随着培训不足，在提名dpo方面存在问题，以及缺乏对罚款的认识[40]．

在国家层面，专员的新监管角色即将发生变化。它不再负责维护个人数据收集的登记、处理投诉，也不再经常充当裁决和罚款机构，而是将重点转向支持、解释和监督已报告的违规行为，就像采用GDPR的国家的情况一样。38]．它还将更频繁地在有关数据保护的法庭诉讼中扮演相关方的角色。在欧盟国家，在引入GDPR后，国家监管机构最初被72小时内的违规报告和对GDPR的指导要求所淹没[38]．由于据报专员人手不足，以致无法执行旧法例[4，29]，我们有理由认为，他们将再次面临类似的挑战，特别是在实施PDPA18的初期。

向《通用数据保护条例》过渡

新的PDPA于2018年通过，于2019年8月生效，取代了PDPA08。PDPA18废除了中央个人资料登记册，因为保存处理活动记录的责任已完全转移给资料控制者。在过渡期间，尽管取消了中央登记册，但控制者仍有义务向专员提交有关数据处理的记录，并通知他们建立数据处理的意图。此外，尽管PDPA08要求数据处理必须基于个人同意或某些强制处理特定数据内容的法律行为，但PDPA18以与GDPR相同的方式定义了处理的合法性。

作为塞尔维亚立法机构与欧盟协调的更广泛进程的一部分，PDPA18以GDPR为蓝本，并在很大程度上符合GDPR。相反，如果控制者或处理者位于塞尔维亚，则其地域适用范围扩展到在塞尔维亚定居或居住的个人数据的处理，或者处理与在塞尔维亚提供商品或服务有关，或者与在塞尔维亚进行的数据主体监控有关，无论数据处理在何处进行。PDPA18引入了更精确的个人数据定义，以及与GDPR相对应的个人保护机制和权利。它引入了相同的技术和组织个人数据保护措施、个人数据保护官角色、隐私影响评估和违规程序。最后，它规范了个人数据向国外的转移，遵循欧盟的程序来确定目的国是否能够确保足够的数据保护水平。

尽管PDPA18的最高罚则是PDPA08的两倍，达到5万至200万塞尔维亚第纳尔(461.65美元至18464.32美元)，但仍低于GDPR的罚则，后者可能高达2000万欧元(220万美元)，占全球年营业额的4%。相比之下，罗马尼亚政府当局可被罚款2000至43万欧元(2280美元至45,500美元)[41]，这可能会被欧洲委员会调查为太低和对其他组织的歧视[42]．除了在应用PDPA08期间观察到的所有组织、治理、法律和其他挑战之外，这种相对较低的精细水平可能会对PDPA18的有效实现产生负面影响。

在欧盟实施GDPR的第一年，几家大公司被处以应用罚款[38]，由于国家监管机构的能力有限，针对中小型企业和保健组织的案件少得不成比例。在塞尔维亚的PDPA18应用的初始阶段，预计也会出现类似的情况。然而，处理健康和医疗保健数据不仅要受到《个人权利保护法》和《病人权利法》的处罚，而且也是一种可判处最高3年监禁的犯罪行为。此外，虽然专员以前可以发出罚款，但现在这一责任由法院承担，法院到目前为止基本上只发出最低限度的罚款，如上所述。

另一个有争议的变化与GDPR第23条规定的隐私限制有关。PDPA18的相应条款在2017年底公开讨论时规定，相关公民的权利和数据保护义务只能受到法律的限制。在通过的法案中，仅限法律规定被省略了。PDPA18从字面上复制了GDPR的国家公共安全、国防、处理刑事犯罪或重要的公共利益目标等理由，但该条第二段并未提及相应的立法措施应包含具体的缩小规定。相反，它把所需的规定变成在限制权利和义务时必须斟酌情况加以考虑的因素。许多人担心，伴随着薄弱的制衡，这给当局甚至公司以损害公民权利的方式处理个人数据留下了空间。

2018年《个人数据保护法》:首次实施经验

PDPA18没有规定dpo在教育、专业知识、技能和领域经验方面的任何具体条件。尽管PDPA18复制了欧盟数据保护指令2016/680的部分内容[43]作为GDPR关于DPO立场的补充，塞尔维亚DPO没有得到欧盟指南中提供的指导和澄清的支持[44]．为协助机构及私隐专员，专员编制了一份简短的指引[45]．

然而，为了履行其职能，dpo需要拥有多样化和高度异质性的知识和相关工作经验。这项工作的性质也要求dpo成为最高管理层的一部分。一些大型组织也许能够在最高级别中确定合适的个人，并指派他们担任外勤干事的角色，以补充其相关职责，但塞尔维亚的公共卫生部门并非如此，因为那里的管理人员来自卫生保健专业。同时，目前的紧缩指令禁止雇用非医务人员。

鉴于这种情况，专员要求将PDPA18延期一年至2020年9月[46以便有更多的时间来建设能力和提高认识，并使在IT和数据安全方面的投资取得成果。此外，没有向专员提供其新职能所需的财政资源。尽管同样负责公共重要信息的塞尔维亚专员有78名雇员[4]，罗马尼亚数据保护局的雇员已从50人增加到85人，以便能够监督GDPR的实施[41]．

在PDPA18申请开始后的一个星期，在数万名管制员中，只有192名向专员登记了他们的dpo。[47]．这些组织将如何交付PDPA18所要求或暗示的操作程序和流程还有待观察。葡萄牙也有类似的例子，在接受调查的57家诊所中，有4家报告遵守了《通用数据保护条例》，但实际上只有1家指定了DPO [40]．

尽管私营部门公司弥补了GDPR国家信息和技能的缺乏，这些公司开始提供培训、材料、法律咨询和认证，甚至外包DPOs，但直到2019年8月PDPA18申请启动后，这些服务才在塞尔维亚推出。

讨论

塞尔维亚的数据保护执法

塞尔维亚的数据保护文化相对较新，并受到《个人数据保护法》和专员工作的影响。既然GDPR调整正在进行中，过去的经验值得进一步考虑。在过去十年中起作用的促成因素仍然具有很大的影响。向PDPA18过渡强调了DPO、卫生保健组织管理和法院的作用。特别值得回顾迄今为止法院判决的历史。尽管过去所有的健康数据泄露事件都相对较小，但没有一起被视为刑事犯罪。这不仅可以归因于塞尔维亚法院在数据保护问题上的宽松政策，而且还可以归因于这样一种理由，即通过检查和公开警告来处理事件，以提高认识和改变隐私文化，而不是通过输掉一些高风险案件或引发协调一致的政治反应来破坏专员的使命。考虑到GDPR和PDPA18的分散做法，塞尔维亚的数据保护进程和相关做法将越来越多地受到法院和卫生保健组织的态度和能力的影响。

利用塞尔维亚卫生数据进行研究

目前，塞尔维亚利用跨机构数据进行科学研究的情况有限。只有两个例外。一个是公共卫生和系统级数据收集，因为现有的机制可由公共卫生研究所用于人口健康监测，以及由国家卫生基金和卫生部建立的机制，以跟踪和监测卫生保健系统的个人服务提供和总体绩效。另一个例外是在临床试验中收集的数据。不幸的是，两者都有特定的主要目的，不支持能够促进科学研究的灵活的跨机构或事后安排。

除临床试验外，现行立法没有规定在科学研究中重用卫生数据的条件。大多数卫生保健组织都设有伦理委员会，负责监督和分析卫生服务提供过程中伦理标准的应用，批准和监督临床试验和科学研究，并管理新的卫生技术的评价和引进。然而，他们的标准操作程序主要是为临床试验量身定制的。因此，很难建立其他类型的研究或多层次数据合作，除非它们是在卫生系统中央机构的直接主持下进行的，并依赖这些机构已经定期汇总的数据。

根据GDPR，新立法首次详细说明了在处理个人数据时使用假名和个人数据加密的应用。这还澄清了何时需要告知数据主体，权利和目的的例外情况，以及有关科学或历史研究和统计数据存储的限制。

这在一定程度上弥补了塞尔维亚立法与研究界需求之间的差距。为进一步支持卫生数据研究，目前仍缺少这一领域的具体监管框架和行为守则，包括监督和咨询机构，以保障数据在科学研究中的共享、联系和使用。一个公正的机制将确保适当的假名化、匿名化，并充分汇总来自各种来源的已使用的健康数据或相关的健康数据和其他个人数据，从而防止通过与其他现有信息链接来重新识别个人。这样一个实体可以在国家开放数据倡议门户网站内建立[48]，促进在安全、教育、能源、治理、卫生和环境等部门使用开放数据。它提供对数据集的访问和用于数据浏览、下载、发布和更新的应用程序程序接口。

除上文详述的临床试验领域外，塞尔维亚目前没有完善的程序来支持围绕塞尔维亚卫生保健组织创建的数据开展国际研究合作。

在小型企业中，可以与组织的管理机构及其道德委员会作出安排，然后通过合同加以保证。即使这样，以前没有参加过类似项目的小型组织也可能需要卫生当局的批准或支持。数据收集和处理的操作方面可以通过向他们提供自定义数据输入工具或使用现有的EHR系统来获取历史数据和收集其他信息来解决。后一种方法通常需要电子病历供应商的参与，该供应商还可以在将数据交给研究人员之前对其进行匿名化或假名化处理。

涉及多站点数据的广泛研究通常需要中央卫生系统机构的支持，如卫生部、国家卫生基金或国家公共卫生研究所，以及任何相关的研究数据汇总者和电子病历供应商。

由于缺乏准备、匿名化和保证隐私保护的框架，研究人员必须严重依赖当地的专业知识和支持。

一般数据保护条例对医疗保健的直接影响

塞尔维亚是医疗旅游的热门目的地，因为价格低廉，服务质量高，地理位置接近[49]．最受欢迎的专科包括牙科和微创整形和泌尿生殖外科，性别重置是塞尔维亚特别突出的领域之一。50]．也有来自欧盟的普通游客、商务游客，以及往返于希腊、保加利亚和土耳其等成员国的过境游客，这些国家与塞尔维亚类似，是许多欧盟公民和居民的原籍国。

GDPR对于处理欧盟公民和居民数据的非欧盟数据控制者具有域外适用。这主要影响到塞尔维亚针对欧盟公民的私人诊所，尽管一些来访者最终进入了公共医疗机构。

在收集数据时，欧盟患者必须清楚地了解许多事情，包括正在收集哪些数据，哪些组织将看到这些数据，以及数据将被用于哪些用途。虽然医疗保健提供者可以依靠明确的同意或合同来建立数据处理的合法基础，但他们也必须确保满足《通用数据保护条例》规定的所有条件和权利，而实施这些条件和权利的方式对患者来说是切实可行的。在这方面的一个特别挑战是确保遵守当地法律报告和审计义务，同时保持在国际患者的期望和舒适范围内。

除了欧盟实体的标准GDPR要求外，在欧盟成员国没有办事处但仍在欧盟提供产品或服务或系统地监控或收集欧盟人员数据的公司必须指定一名居住在欧盟的法定代表人。此类代表或公司是向任何欧盟公民或数据保护监管机构提出的有关数据保护的任何问题和关切的主要联系人。有一名代表的义务的唯一例外情况是，个人数据的处理只是偶尔发生，因此不太可能对自然人的权利和自由造成风险。这个词偶尔在这个上下文中是模棱两可的。虽然它可能是指因非医疗原因访问塞尔维亚的意外病人或最有可能在交通事故中受伤的过境人员，但它是否也适用于来塞尔维亚接受医疗服务的人?由于这些决定很可能是根据欧盟的信息和营销材料做出的，而且该服务是在欧盟提供的，因此服务提供者应该设立一名欧盟代表。

对欧盟国家关系的影响

由于可能受到《国内生产总值条例》的巨额处罚，欧盟保险公司和卫生部门的其他公司可能决定不与不遵守该条例的塞尔维亚实体合作。因此，塞尔维亚的卫生保健组织必须决定，欧盟医疗旅游的潜在价值是否能抵消实施该法规的成本。对于不直接在欧盟招揽业务的小公司来说，成为执法目标的风险很小，但仍然存在，因为这类公司目前很可能不完全符合GDPR规定。幸运的是，PDPA18已经要求遵守大部分GDPR，除了针对欧盟公民和居民以及涉及欧盟代表。一旦满足国家规定的要求，这使得遵守GDPR变得容易得多。

这同样适用于个别欧盟成员国施加的额外要求，因为GDPR允许个别欧盟国家采用可能比基本GDPR规范更严格的单独规则。就许多塞尔维亚侨民的居住国和主要经济伙伴德国而言，与塞尔维亚最相关的管制资料是德国联邦数据保护法(Bundesdatenschutzgesetz)的具体规定。它对DPOs有更严格的规定，并定义了不易用金钱量化的损害赔偿，例如对疼痛和痛苦的赔偿[51]．即使这些责任不直接适用于塞尔维亚保健服务提供者，它们也可能通过保险公司或中介服务提供者等德国合作伙伴造成重大经济风险。

有人可能会说，对塞尔维亚的卫生保健提供者来说，最安全的短期战略是，一旦治疗结束，将所有记录的健康数据转交给外国病人，同时保留法律要求的财务记录。这将减少长期风险，并强调偶尔。然而，这些供应商仍将处理敏感的个人数据，这将与他们的标准操作程序和当地立法相冲突。最后，一旦塞尔维亚加入欧盟，这种做法将违反欧盟关于跨境医疗保健中患者权利的第2011/24号指令、关于内部市场电子交易的电子识别和信托服务的第910/2014号条例，以及欧盟委员会关于欧洲电子病历交换格式的第2019/243号建议的后续行动。同样的跨境互操作机制也必须提供给出国旅行的塞尔维亚公民，以便其他欧盟国家的医生可以访问他们的健康记录(反之亦然)。

在云平台上存储个人数据

向GDPR的转变可能会产生意想不到的副作用。在塞尔维亚共和国的法律体系中，没有关于云计算服务的具体规定。鉴于PDPA08和与卫生数据相关的部门法律的规定性，各组织不愿采用软件即服务模式，将其数据放在云端或交给外部服务提供商。这导致了本地IT部署，给组织和与这些组织合作的供应商带来了维护问题。PDPA18和GDPR从不同的角度看待数据控制者和处理者之间的关系，并经常武断地争论数据所有权和管理问题。PDPA18有可能促进采用新颖的技术方案;然而，各组织确实需要实际指导，特别是对于通常没有资源和专门知识来制定相关政策和程序、建立伙伴关系和领导实施的小型保健服务提供者。

结论

虽然西欧国家在20世纪70年代就通过了第一部数据保护法律，但塞尔维亚在30多年后才在该领域引入了最初的法规。在过去的10年里，为弥补这一滞后做出了巨大的努力，最近通过了一项与GDPR基本一致的法案。PDPA18通过权力下放和责任分担，从根本上改变了现有的数据保护方法。然而，塞尔维亚，类似于罗马尼亚、英国和西班牙[42]，在其gdpr实施立法中做出了一些有问题的克减，这些问题需要在加入欧盟的过程中解决，以将数据保护标准提高到可接受的水平。

所举的例子表明，除了法律之外，有必要改变数据治理的文化，并引入许多系统改进。既定的法规、专员的工作、媒体对该主题的广泛报道以及个人对个人信息保护重要性的日益认识，都有助于塞尔维亚数据保护领域的显著改善。

PDPA18中的罚款相对较小，特别是对于大型组织。此外，一些组织担心自己是否能满足GDPR的所有要求，可能会决定承担罚款的风险。更重要的是，各级卫生保健组织缺乏必要的监管和部门治理能力，无法监督过渡、执行规则并提供所需的支持和帮助。

塞尔维亚对GDPR引入的数据保护采取了全面的方法。这与美国《健康保险流通与责任法案》(Health Insurance Portability and Accountability Act)规则的垂直限制方法形成了对比，后者为医疗服务提供者和患者提供了更强的部门下游保护，但缺乏足够的上游控制大数据经纪人(52]．由于专员发挥核心作用，《2008年政策纲要》已引入跨部门观点的要素。然而，塞尔维亚卫生部门可能会采用垂直集中的治理方式，而与部门执法和可能降低监管机构影响力相关的风险在美国被视为一种潜在威胁[52]．

鉴于其健康和数据治理系统目前的局限性以及即将出台的立法的潜在问题，在保护个人数据和隐私权以及研究能力方面，向GDPR迈进是否有利于塞尔维亚的卫生系统和医学研究，仍有待观察。尽管迄今已取得重大进展，但直接应用为更先进的卫生数据环境设计的实施方法可能存在风险，但它们也可以刺激社区向前迈进。

塞尔维亚需要在国家一级采取战略方针，系统地消除因数据保护领域资源不足而产生的问题，并进一步发展现代个人数据保护监管和制度环境。这只能通过在卫生工作者和决策者中开展有针对性的教育工作来实现，目的是提高认识，培养工作人员的必要技能和知识。

最后，为了促进大规模的卫生数据研究项目，需要对数据保护治理采取权力下放的做法，同时设立负责制定政策和准则以及设计和监测改进活动的新机构，可能还设有专门针对卫生保健的单独任务。特别重要的是设计能够激励和支持机构管理人员和保健专业人员加强隐私和数据保护的工具。只有这样的办法才能确保这一领域的长期可持续性和进展。