iunie 13, 2026
Digitalizarea a fost mult timp „proiectul de modernizare” al spitalelor: aplicații mai bune, formulare electronice, acces rapid la documente, trasee mai scurte pentru pacient. Astăzi, însă, digitalizarea a devenit și proiect de conformare. Pentru că în sănătate lucrăm cu informații care nu pot fi „resetate”: parola o schimbi, istoricul medical nu. De aici rezultă miza reală: continuitatea actului medical, protecția datelor și reziliența operațională – toate sub presiune legală crescândă.
Trei întrebări simple (care sunt, de fapt, juridice)
Ce standarde trebuie să atingem când digitalizăm?
Cine răspunde dacă un sistem nu e conform, cade sau apare un incident care afectează serviciile?
Cum demonstrăm (prin proceduri, contracte, dovezi) că am făcut ce era obligatoriu şi rezonabil?
Această evoluție explică de ce, în ultimii ani, s-a consolidat un cadru normativ dens – european și național – care nu se limitează la a „încuraja” digitalizarea, ci o guvernează.
„Deceniul digital” al Uniunii Europene: o hartă a obligațiilor, nu un slogan
Uniunea Europeană a stabilit cadrul pentru transformarea digitală până în anul 2030 prin Decizia (UE) 2022/2481 a Parlamentului European și a Consiliului din 14 decembrie 2022 de instituire a programului de politică pentru 2030 privind deceniul digital.
Decizia creează un mecanism de cooperare și monitorizare și fixează ținte la nivelul Uniunii în patru direcții: competențe digitale, infrastructuri digitale, digitalizarea întreprinderilor și servicii publice digitale.
Ce înseamnă practic pentru sănătate?
Mesajul este clar: digitalizarea nu mai poate fi fragmentată și neuniformă. Sistemele trebuie gândite pentru interoperabilitate și pentru acces sigur la date, inclusiv în contexte transfrontaliere.
„Volumul” legislativ: de ce pare că trăim într-o lume de acronime
„Deceniul digital” nu este un singur act normativ, ci o colecție care reunește multiple instrumente normative, ce acoperă teme precum guvernanța inteligenței artificială, securitatea cibernetică, reziliența operațională, partajarea datelor, protecția datelor, concurența și siguranța spațiului digital. Lucrăm cu acronime uneori greu de urmărit, ca: GDPR, NIS, AI Act, DORA, CRA, DMA, DSA, EDHS etc.
Pentru context și actualizări, DLA Piper a creat o pagină dedicată acestor evoluții legislative: DLA Piper – EU Digital Decade.
Provocarea reală pentru sistemul de sănătate din România nu este să „bifeze” încă o lege, ci să construiască un set coerent de mecanisme interne. Esențial este ca acest sistem să fie gândit corect de la început și tratat ca un organism viu: nu vorbim despre conformitate pe hârtie, ci despre reguli, responsabilități și verificări care funcționează zilnic și se pot demonstra.
EHDS: interoperabilitate și guvernanță, nu doar „software”
Un reper major este Regulamentul (UE) 2025/327 al Parlamentului European și al Consiliului referitor la Spațiul european al datelor privind sănătatea (EDHS), cu aplicare etapizată în anii următori.
Dincolo de titlu, impactul pentru sistemul de sănătate este concret:
- digitalizarea înseamnă aliniere la cerințe europene de interoperabilitate și guvernanță
- Crește importanța „hărții datelor”: ce date există, unde sunt, cine are acces, ce log-uri se țin, ce reguli se aplică pentru acces și reutilizare în scopuri permise.
România: digitalizarea avansează, iar cadrul național se consolidează
La nivel național, digitalizarea sănătății este susținută și de acte normative care privesc finanțarea și implementarea investițiilor de transformare digitală.
Dar adevărata schimbare de paradigmă este aceasta: pe măsură ce digitalizăm, crește suprafața de risc, iar legislația cere ca riscul să fie gestionat și demonstrat.
Pentru managementul spitalelor, miza este simplă: investițiile în tehnologie trebuie dublate de investiții în procese și control. În practică, „conformare” înseamnă cel puțin:
- politici și proceduri interne (acces, audit, continuitate, incidente);
- educarea și testarea continuă a personalului;
- roluri și responsabilități clare (inclusiv în relația cu furnizorii);
- contracte care includ obligații de securitate, actualizări, cooperare la incidente;
- documentație care poate fi arătată la control (ce, de ce, cum, cine).
NIS2 în România: digitalizarea trebuie securizată
România a transpus printre primele tări regimul european NIS2 de securitate cibernetică prin Ordonanța de urgență a Guvernului nr. 155 din 30 decembrie 2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil.
Pentru sectorul sănătății, consecința practică este simplă: spitalul digital devine, în mod natural, mai expus la incidente, iar legea tratează această expunere ca domeniu de conformare obligatorie, cu cerințe care trebuie implementate și susținute prin dovezi.
CRA: securitatea produselor „cu elemente digitale”
O zonă adesea ignorată în proiectele de digitalizare este securitatea produselor cu elemente digitale folosite în spital: aplicații, echipamente conectate, componente software, inclusiv elemente din lanțul de aprovizionare.
Aici intervine Regulamentul (UE) 2024/2847 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale (cunoscut ca „Regulamentul privind reziliența cibernetică”/Cyber Resilience Act).
De ce contează pentru sănătate? Pentru că, în practică, digitalizarea spitalelor înseamnă achiziție și utilizare de produse cu elemente digitale. Iar trendul legislativ este clar: securitatea nu mai este lăsată exclusiv „în manualul tehnic”, ci este impusă prin reguli care urcă în zona de achiziții, responsabilitate și control.
În proiectele de digitalizare, întrebare pe care un avocat o pune devreme: ce cumpărăm, cu ce garanții, cu ce obligații de actualizare, cu ce răspundere și cu ce mecanism de remediere?
Nu există digital fără guvernanță (și guvernanța se vede în documente)
Într-un spital, sistemele digitale sunt esențială pentru diagnostic, tratament, comunicare, raportare și administrare. În această logică, securitatea cibernetică nu este „un capitol tehnic”, ci o condiție de funcționare.
Spitalul trebuie să poată arăta, într-o manieră verificabilă, că:
- își cunoaște riscurile și le evaluează periodic;
- are reguli de acces și de administrare a datelor;
- are o relație contractuală matură cu furnizorii și mai ales furnizorii de tehnologie (inclusiv clauze care reflectă cerințe de securitate și cooperare la incidente);
- are mecanisme de prevenție, reacție și continuitate.
Aceasta este, de fapt, miza juridică majoră: nu doar implementarea tehnologiei, ci implementarea ei într-un mod care rezistă controlului, auditului și incidentelor.
Nu există digital fără educarea personalului
NIS2 schimbă regula jocului: nu e suficient să cumperi tehnologie, trebuie să „înarmezi” organizația cu reflexe de securitate – conducerea se formează și răspunde, iar toți angajații sunt instruiți constant, astfel încât securitatea cibernetică să devină comportament de lucru, nu document de sertar.
Într-un proiect nou de digitalizare (cu atât mai mult când include laboratoare), tehnologia nu este suficientă fără «componenta umană» proiectată de la început — ce roluri și responsabilități există, ce trebuie să știe fiecare angajat în practică (igienă cibernetică, reguli de acces, recunoașterea tentativelor de fraudă, raportarea rapidă a incidentelor) și cum sunt pregătiți și testați — pentru că legislația pune obligații specifice organelor de conducere (inclusiv formare profesională acreditată) și cere instruirea regulată a întregului personal, ca proces continuu, nu ca bifă de conformare.
Nu există digital fără verificarea continuă a expunerii
În multe organizații, securitatea digitală este evaluată periodic. Însă riscurile se modifică permanent: apar actualizări, se schimbă configurații, se adaugă furnizori și aplicații. În sănătate, ritmul schimbărilor este frecvent, iar consecințele unei breșe pot fi severe.
Legislația cere măsuri proporționale și adecvate pentru managementul riscului cibernetic: identificare, evaluare, control — și pentru reducerea impactului incidentelor asupra pacienților/beneficiarilor și a serviciilor dependente.
În acest context, soluții de tip „monitorizare/verificare repetată” (precum RedMesh, propusă de Ratio1 Ratio1 – The Ultimate AI OS Powered by Blockchain Technology și DLA Piper) pot ajuta la trecerea de la o „fotografie” ocazională la o abordare continuă, mai ușor de susținut în logica de prevenție, detectare și control demonstrabil. Soluția se bazează pe funcționarea distribuită, prin mai multe noduri, ca element de diferențiere față de instrumentele tradiționale care operează dintr-un singur punct.
Concluzie: spitalul digital are nevoie de strategie juridică, nu doar de tehnologie
Digitalizarea spitalelor este inevitabilă și, pe termen lung, benefică. Dar digitalizarea fără o strategie juridică produce vulnerabilități, costuri și blocaje.
Direcția europeană și națională este clară: proiectele digitale trebuie construite cu securitatea integrată, cu responsabilități definite, cu controlul furnizorilor, cu proceduri de reacție și cu documentație care demonstrează conformarea. Acesta este motivul pentru care rolul juristului devine central: nu pentru a „încetini” tehnologia, ci pentru a o face sustenabilă și aliniată la obligații.
Irina Macovei, Avocat, DLA Piper
