欧盟法院在关键 GDPR 裁决中扩大了健康数据的定义

fabiha01

欧洲联盟法院（CJEU）最近发布了一项具有里程碑意义的裁决（C-21/23“Lindenapotheke”），扩大了《通用数据保护条例》（GDPR）对健康数据的解释。这项裁决对企业，尤其是那些参与网上药品销售的企业具有重大影响。

更广泛的健康数据
欧盟法院裁定，能够揭示个人健康状况信息的个人数据不仅包括明确的医疗信息，还包括可以通过推理或比较推断健康状况的数据。这意味着，当顾客购买药品时，个人与产品治疗用途之间的简单关联被视为健康数据——即使该产品是为顾客或其代表的某个人准备的，这种可能性很小，但并非绝对确定。

法院表示，根据药品类型或处方要求进行区分违背了 GDPR 确保高水平数据保护的目标。因此，所有将个人与药品联系起来的数据都受到健康数据的严格保护。

数据控制者的义务
鉴于这种广义的解释，卖家和数据控制者必须：

提供清晰的信息：以易于理解的方式准确、全面地告知客户处理其数据的具体特征和目的。
获得明确同意：在处理任何可能泄露健康信息的数据之前，西班牙商业传真列表 获得客户的明确同意。
忽视这些义务可能会导致不遵守 GDPR，从而导致潜在的法律后果和罚款。

对企业的影响
这项裁决强调企业重新评估其数据处理实践的必要性。公司应该：

审查并可能更新他们的隐私政策以反映健康数据的更广泛定义。
实施更严格的同意机制，以确保获得明确的许可。
加强数据保护措施，以保护从客户互动中推断出的敏感健康信息。