Healthtech a GDPR: Co potřebujete vědět při zakládání startupu

Každý čtvrtý AI startup v Česku je zaměřený na healthtech. Upheal, Kardi AI, Macromo, Carebot – všechny tyto úžasné české startupy spojuje jedna věc - pracují s citlivými údaji.

Diagnostické platformy, chytré aplikace, AI detekce, telemedicína – vše se točí kolem dat o našem zdraví. Jak je to se zpracováním osobních údajů v oblasti healthtech? Kam směřuje telemedicína a jaké jsou možnosti využívání dat?

GDPR není jen papírování, které "nějak splníte a bude klid". V healthtech může být rozdíl mezi správně nastaveným zpracováním dat a právním fiaskem tak velký, že vám položí celou firmu. Nezákoné zpracování může způsobit zaříznutí celých investic a obrovské red flags v rámci due dilligence před investicí.

Mimochodem, red flagy v rámci kontroly před investicí v oblasti ochrany osobních údajů v oblasti healthtechu jsou velice časté. Ujistěte se, že váš GDPR setup projde due diligence. Napište nám.

Proto si hned od začátku ujasněte čtyři klíčové otázky:

1. Jaký právní titul používáte pro zpracování zdravotních údajů?
2. Kde a jak data ukládáte a kdo je zpracovává?
3. Jsou vaše data skutečně anonymní, nebo jen pseudonymizovaná?
4. Používáte (a případně jak) AI funkcionality?

Právní titul: Základ, bez kterého to nepůjde

Bez správného právního titulu je každé zpracování osobních údajů nezákonné. I když máte ty nejlepší úmysly. GDPR rozlišuje několik titulů, my si rozebereme ty nejčastější pro healthtech.

Souhlas – nejznámější, ale pozor na něj

✅ Výhoda: Vysoká transparentnost a kontrola ze strany uživatele.

❌ Nevýhoda: Souhlas musí být dobrovolný, informovaný a odvolatelný kdykoliv. Odvolání souhlasu může způsobit ztrátu klíčových dat.

⚠️ Častá chyba: Souhlas by měl být využíván pouze tam, kde opravdu neexistuje jiná zákonnost pro zpracování. Případně naopak tam, kde by souhlas měl být, úplně chybí.

Příklad z praxe:
Máte aplikaci na prevenci migrén. Uživatel si ji stáhne, zadává údaje o bolestech, spánku a životním stylu. V onboardingu odsouhlasí zpracování pro zdravotní doporučení – tohle je v pořádku. Do stejného souhlasu ale přidáte i “souhlas” se zasíláním marketongových sdělení samostatného checkboxu. Výsledek? Neplatný souhlas.

Plnění smlouvy – silnější právní základ, menší využitelnost

Poskytujete zdravotní službu? Pak můžete zpracovávat data proto, že je prostě potřebujete k plnění smlouvy. Ale pozor – jen ta data, která skutečně potřebujete.

✅ Výhoda: Nemusíte se spoléhat na odvolatelný souhlas.

❌ Nevýhoda: Musíte dokázat, že každý údaj je nezbytný pro splnění smlouvy.

Příklad z praxe:
Provozujete telemedicínskou platformu. Lékař poskytuje konzultaci pacientovi – zpracování zdravotních dat je nezbytné pro tuto službu. Tohle funguje. Pokud platformu provozuje třetí strana a chce data využívat pro vlastní účely (třeba pro vylepšení algoritmu), bez souhlasu to nepůjde. Zároveň v oblasti telemedicíny platí o to silněji pravidla pro důsledné bezpečnostní opatření.

Vědecký výzkum – pro pokročilé projekty

Vyvíjíte nové diagnostické metody nebo děláte klinický výzkum? Můžete se opřít o veřejný zájem na vědeckém bádání.

⚠️ Podmínka: Musíte přijmout bezpečnostní opatření – pseudonymizace, omezení přístupu, interní pravidla. GDPR počítá s tím, že výzkumná data můžete využívat opakovaně, ale má to svá specifická pravidla.

Závěr: Privacy jako konkurenční výhoda

Zdraví je jedna z nejosobnějších věcí, které lidé technologiím svěřují. Správně nastavená ochrana údajů není překážka růstu – je to konkurenční výhoda.

Dobře uchopené privacy vám otevře dveře k investicím, důvěře uživatelů i spolupráci s velkými hráči ve zdravotnictví. Není to jen o splnění povinností, ale o respektu k datům, která vám lidé svěří.

Zajímají vás odpovědi i na další otázky, které jsme uvedli výše? Napište, rádi s vámi najdeme ty správně odpovědi.