Die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO, zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr) gilt seit dem 25. Mai 2018. Sie hat die Richtlinie 95/46/EG aufgehoben.
Chinesische Hersteller, die Medizinprodukte in EU-Länder exportieren, müssen nicht nur die MDR (EU-Medizinprodukteverordnung), sondern auch die Anforderungen der DSGVO (Datenschutz-Grundverordnung) erfüllen. Bei der Verarbeitung von Gesundheitsdaten von Patienten (besondere Kategorien personenbezogener Daten) liegt die Messlatte für die DSGVO-Compliance noch höher.
Deshalb möchten viele chinesische Unternehmen die DSGVO besser verstehen. In einer Artikelreihe behandeln wir die Verordnung selbst, praktische Compliance-Anforderungen und deren Umsetzung sowie Fallbeispiele.
Die Verordnung (EU) 2016/679 umfasst 11 Kapitel und 99 Artikel
Best Practices zur DSGVO-Compliance für Medizinproduktehersteller in einer Grafik:
DSGVO-Compliance ist kein nachträglicher Gedanke, sondern eine Anforderung über den gesamten Produktlebenszyklus. Für Medizinproduktehersteller, die den EU-Markt erschließen wollen, ist die MDR-Zertifizierung der verpflichtende Compliance-Weg, und die DSGVO-Anforderungen sind in den MDR-Zertifizierungsprozess eingebettet.
So müssen Unternehmen nach der MDR beispielsweise Datenschutzinhalte in ihre technische Dokumentation aufnehmen:
-
Beschreibung der Datenverarbeitungstätigkeiten
-
Erläuterung der Datenschutzmaßnahmen
-
Mechanismen zum Schutz der Privatsphäre von Patienten
-
Notfallplan für Datenpannen
Es gibt noch viele weitere Details, die wir in den nächsten Ausgaben unseres WeChat-Kanals Thema für Thema behandeln möchten:
-
Checkliste der wesentlichen DSGVO-Compliance-Dokumente für grenzüberschreitende Übermittlungen medizinischer Daten
-
Sicherstellung der Compliance grenzüberschreitender Übermittlungen medizinischer Daten;
-
Vereinfachungsempfehlungen für KMU und Priorisierung der Kernanforderungen (wie rechtmäßige Verarbeitung und Datenminimierung), um Über-Compliance zu vermeiden;
-
Kernpunkte bei der Umsetzung von Privacy by Design (Datenschutz durch Technikgestaltung);
-
Das Verhältnis zwischen ISO 27701 und der Verordnung (EU) 2016/679.
Weitere Beiträge:
Die verschärften EMV-Anforderungen der FDA an gängige Quellen elektromagnetischer Störaussendungen verstehen
Die CE-MID-Richtlinie erklärt: Laborgeräte nicht mit Geräten des gesetzlichen Messwesens verwechseln
[EVERBIZ EU-Regulierungskolumne] Welche Produkte fallen unter die EU-GPSD? Warum brauchen manche Verbraucherprodukte eine CE-Kennzeichnung und andere nicht?