GDPR Leyla Hannbeck MRPharmS, MBA, MSc, MA NPA Chief - - PowerPoint PPT Presentation

¡ ¡GDPR ¡

Leyla ¡Hannbeck ¡MRPharmS, ¡MBA, ¡MSc, ¡MA ¡ NPA ¡Chief ¡Pharmacist ¡and ¡Director ¡of ¡ Pharmacy ¡ ¡

¡ ¡ ¡General ¡Data ¡Protec<on ¡

Regula<on ¡ ¡ (GDPR) ¡ ¡ ¡

Leyla ¡Hannbeck ¡MRPharmS, ¡MBA, ¡MSc, ¡MA ¡ NPA ¡Chief ¡Pharmacist ¡and ¡Director ¡of ¡ Pharmacy ¡ ¡

Data ¡protec<on ¡law: ¡what ¡is ¡changing? ¡

Data ¡Protec<on ¡ Direc<ve ¡

¡ ¡ ¡ ¡ ¡ ¡ ¡

¡

General ¡Data ¡ Protec<on ¡Regula<on ¡ ¡ (GDPR) ¡

Applies ¡from ¡25th ¡May ¡2018 ¡

¡ ¡ ¡ ¡ ¡ ¡

Data ¡Protec<on ¡ Act ¡1998 ¡(DPA) ¡ + ¡ Data ¡Protec<on ¡Bill ¡ 2017 ¡

Currently ¡passing ¡through ¡UK ¡ parliament ¡ ¡

• Implementa<on ¡date: ¡25 ¡May ¡2018 ¡
• Many ¡concepts ¡and ¡principles ¡similar ¡to ¡exis9ng ¡DPA ¡
• New ¡elements ¡and ¡significantly ¡enhanced ¡requirements ¡
• Key ¡changes ¡include: ¡

– Updated ¡data ¡protec9on ¡principles ¡and ¡scope ¡ – Updated ¡condi9ons ¡for ¡processing ¡data ¡ – New ¡rules ¡regarding ¡consent ¡ – New, ¡specific ¡legal ¡responsibili<es ¡for ¡organisa<ons ¡processing ¡children’s ¡ data ¡ – New ¡obliga<ons ¡for ¡data ¡controllers ¡and ¡processors ¡ – New ¡addi<on ¡of ¡the ¡‘accountability ¡principle’ ¡and ¡the ¡role ¡of ¡the ¡‘Data ¡ Protec1on ¡Officer” ¡ – Greater ¡regula9on ¡and ¡enforcement ¡ – Enhanced ¡data ¡subject ¡rights ¡

¡GDPR: ¡brief ¡overview ¡ ¡

Public ¡ ¡ awareness ¡via ¡ media!! ¡

Data ¡Protec<on ¡Act ¡ The ¡General ¡Data ¡Protec<on ¡Regula<on ¡

Only ¡applicable ¡in ¡UK ¡ Applies ¡to ¡all ¡EU ¡countries ¡ No ¡requirement ¡for ¡a ¡data ¡ protec<on ¡officer ¡(DPO) ¡ Appointment ¡of ¡a ¡data ¡protec<on ¡officer ¡(DPO) ¡ required ¡for ¡certain ¡organisa<ons ¡ Consent: ¡does ¡not ¡necessarily ¡ require ¡posi<ve ¡opt-­‑in ¡ Consent: ¡must ¡be ¡specific, ¡posi<vely ¡opted-­‑in ¡and ¡ not ¡implied ¡ Covers ¡personal ¡data ¡and ¡sensi<ve ¡ personal ¡data ¡ Covers ¡personal ¡data ¡and ¡special ¡categories ¡of ¡ data ¡(which ¡includes ¡gene<c/biometric ¡data, ¡ loca<on ¡data ¡and ¡online ¡iden<fiers) ¡ Responsibility ¡lies ¡predominantly ¡ with ¡the ¡data ¡controller ¡ Responsibility ¡lies ¡with ¡ ¡both ¡the ¡data ¡controller ¡ and ¡processor ¡ Comparably ¡less ¡accountability ¡ Accountability ¡principle ¡explicitly ¡defined ¡ Subject ¡access ¡requests: ¡ ¡ £10 ¡and ¡within ¡40 ¡days ¡ Subject ¡access ¡request: ¡ ¡ free ¡of ¡charge ¡and ¡within ¡30 ¡days ¡

• GDPR ¡applies ¡to ¡personal ¡data ¡
• Personal ¡data ¡includes: ¡

– Informa9on ¡manually ¡held ¡in ¡filing ¡systems ¡ ¡ – Automated ¡personal ¡data ¡ – IP ¡address ¡

• ‘Special ¡categories ¡of ¡personal ¡data’ ¡

– Similar ¡to ¡the ¡concept ¡of ¡sensi9ve ¡personal ¡data ¡ under ¡the ¡current ¡DPA ¡ – GDPR ¡includes ¡gene9c/biometric ¡data ¡where ¡it ¡is ¡ processed ¡to ¡iden9fy ¡an ¡individual ¡

¡GDPR: ¡personal ¡data ¡

¡GDPR: ¡applica<on ¡

GDPR ¡applies ¡to: ¡ Exemp<ons ¡to ¡GDPR: ¡

All ¡data ¡controllers ¡and ¡data ¡ processors ¡

¡

• A ¡data ¡controller ¡determines ¡

how ¡and ¡why ¡personal ¡data ¡is ¡ processed ¡

• A ¡data ¡processor ¡carries ¡out ¡

the ¡processing ¡on ¡behalf ¡of ¡ the ¡data ¡controller ¡

Certain ¡ac9vi9es ¡are ¡exempt ¡ from ¡GDPR ¡requirements ¡ including ¡those: ¡

¡

• Covered ¡by ¡the ¡Law ¡Enforcement ¡

Direc9ve ¡

• Used ¡for ¡na9onal ¡security ¡

purposes ¡ ¡

• Carried ¡out ¡by ¡individuals ¡purely ¡

for ¡personal/household ¡ac9vi9es ¡

¡GDPR: ¡Lawful ¡basis ¡for ¡processing ¡

• 1. ¡Data ¡subject ¡provides ¡consent ¡to ¡the ¡processing ¡of ¡their ¡personal ¡data ¡for ¡one/more ¡specific ¡

purposes ¡

• 2. ¡Data ¡processing ¡is ¡necessary ¡due ¡to ¡a ¡contract ¡in ¡place ¡or ¡prior ¡to ¡an ¡individual ¡entering ¡into ¡

a ¡contract ¡ ¡

• 3. ¡Data ¡processing ¡is ¡necessary ¡for ¡compliance ¡with ¡a ¡legal ¡obliga<on ¡to ¡which ¡the ¡controller ¡

is ¡subject ¡

• 4. ¡Data ¡processing ¡is ¡necessary ¡to ¡protect ¡the ¡vital ¡interests ¡of ¡the ¡data ¡subject ¡/another ¡

natural ¡person ¡

• 5. ¡Data ¡processing ¡is ¡necessary ¡for ¡the ¡performance ¡of ¡a ¡task ¡undertaken ¡in ¡public ¡interest ¡or ¡

to ¡exercise ¡of ¡official ¡authority ¡vested ¡in ¡the ¡controller ¡

• 6. ¡Data ¡processing ¡is ¡necessary ¡for ¡the ¡controller/third ¡party ¡legi<mate ¡interests; ¡except ¡

where ¡the ¡data ¡subject’s ¡rights ¡and ¡freedoms ¡overrides ¡it, ¡par9cular ¡if ¡the ¡data ¡subject ¡is ¡a ¡ child ¡– ¡this ¡does ¡not ¡apply ¡to ¡data ¡processing ¡by ¡public ¡authori9es ¡in ¡the ¡performance ¡of ¡their ¡ tasks ¡

¡GDPR: ¡consent ¡

Must ¡be ¡ Cannot ¡be ¡

Given ¡freely, ¡be ¡specific, ¡informed ¡and ¡ unambiguous ¡ Assumed ¡from ¡the ¡individual’s ¡lack ¡of ¡ ac9on/response ¡ ¡ Obtained ¡by ¡clear ¡affirma9ve ¡ac9on ¡ Through ¡pre-­‑9cked ¡consent ¡boxes ¡ ¡ Verifiable ¡and ¡posi9vely ¡opted-­‑in ¡ Obtained ¡by ¡default ¡or ¡by ¡using ¡opt-­‑

• ut ¡boxes ¡ ¡

Simple/straigh]orward ¡to ¡withdraw ¡ consent ¡ Part ¡of ¡any ¡terms ¡and ¡condi9ons ¡of ¡a ¡ service ¡

Consent: ¡

• May ¡not ¡always ¡be ¡required ¡– ¡remember ¡there ¡are ¡five ¡other ¡lawful ¡bases ¡

permi_ng ¡the ¡processing ¡of ¡an ¡individual’s ¡personal ¡data ¡

• Must ¡be ¡obtained ¡where ¡another ¡lawful ¡basis ¡for ¡data ¡processing ¡is ¡not ¡applicable ¡

The ¡Informa9on ¡Commissioner’s ¡Office ¡(ICO) ¡ recommenda9ons: ¡ ¡

• Regularly ¡review ¡and ¡update ¡consent ¡and ¡

associated ¡procedures ¡(as ¡necessary) ¡ ¡

– There ¡is ¡no ¡set ¡9me ¡limit/expiry ¡date ¡for ¡consent ¡ validity ¡

• Keep ¡records ¡of ¡evidence ¡ ¡

– Including ¡the ¡name ¡of ¡individual ¡providing ¡consent, ¡ how ¡consent ¡was ¡provided ¡and ¡date/purpose ¡for ¡ consent ¡

¡GDPR: ¡consent ¡

• The ¡rights ¡of ¡individuals ¡under ¡the ¡GDPR ¡are ¡similar ¡

to ¡those ¡under ¡the ¡DPA; ¡however, ¡there ¡are ¡notable ¡ enhancements ¡

• The ¡GDPR ¡provides ¡eight ¡rights ¡for ¡individuals ¡
• Not ¡all ¡of ¡the ¡rights ¡are ¡absolute ¡– ¡some ¡rights ¡are ¡
• nly ¡applicable ¡in ¡certain ¡circumstances ¡
• When ¡responding ¡to ¡an ¡individual’s ¡request ¡to ¡

exercise ¡their ¡individual ¡right, ¡organisa9ons ¡must ¡ comply ¡within ¡a ¡defini<ve ¡<me ¡frame ¡ ¡

¡GDPR: ¡individual ¡rights ¡

¡GDPR: ¡individual ¡rights ¡

• 1. ¡The ¡right ¡to ¡be ¡informed ¡
• 2. ¡The ¡right ¡of ¡access ¡
• 3. ¡The ¡right ¡to ¡rec<fica<on ¡
• 4. ¡The ¡right ¡to ¡erasure ¡
• 5. ¡The ¡right ¡to ¡restrict ¡processing ¡
• 6. ¡The ¡right ¡to ¡data ¡portability ¡
• 7. ¡The ¡right ¡to ¡object ¡
• 8. ¡Rights ¡in ¡rela9on ¡to ¡automated ¡decision ¡making ¡including ¡

profiling ¡

Individual ¡rights: ¡right ¡to ¡be ¡informed ¡ ¡

• Organisa9ons ¡must ¡provide ¡“fair ¡processing ¡

informa<on” ¡

• Fair ¡processing ¡informa9on ¡is ¡usually ¡

presented ¡in ¡the ¡form ¡of ¡a ¡privacy ¡no<ce ¡

• Privacy ¡no9ce ¡must ¡be ¡concise, ¡transparent, ¡

intelligible, ¡and ¡use ¡clear ¡and ¡plain ¡language ¡

Individual ¡rights: ¡right ¡to ¡rec<fica<on ¡

• An ¡individual ¡is ¡able ¡to ¡request ¡rec9fica9on ¡if ¡

personal ¡data ¡is: ¡

• 1. Inaccurate ¡
• 2. Incomplete ¡

¡

• Third ¡party ¡no<fica<on ¡is ¡required ¡(in ¡certain ¡

circumstances) ¡

Individual ¡rights: ¡right ¡to ¡erasure ¡

A ¡request ¡to ¡erase ¡an ¡individual’s ¡personal ¡data ¡can ¡be ¡rejected ¡by ¡an ¡

• rganisa<on, ¡if ¡at ¡least ¡one ¡of ¡the ¡following ¡applies: ¡
• When ¡exercising ¡the ¡right ¡of ¡freedom ¡of ¡expression ¡and ¡informa<on ¡
• Complying ¡with ¡a ¡legal ¡obliga<on ¡for ¡the ¡performance ¡of ¡a ¡public ¡interest ¡

task ¡or ¡exercise ¡of ¡official ¡authority ¡

• If ¡in ¡the ¡public’s ¡interest, ¡for ¡public ¡health ¡purposes ¡where ¡“processing ¡is ¡

necessary ¡for ¡the ¡purposes ¡of ¡preventa6ve ¡or ¡occupa6onal ¡medicine, ¡for ¡ the ¡assessment ¡of ¡the ¡working ¡capacity ¡of ¡the ¡employee, ¡medical ¡ diagnosis, ¡the ¡provision ¡of ¡health ¡or ¡social ¡care ¡treatment ¡or ¡the ¡ management ¡of ¡health ¡or ¡social ¡care ¡systems ¡and ¡services” ¡

• If ¡the ¡data ¡is ¡required ¡for ¡archiving ¡purposes ¡which ¡is ¡in ¡the ¡interest ¡of ¡the ¡

public, ¡for ¡historic/scien9fic ¡research, ¡or ¡sta9s9cal ¡purposes ¡ ¡

• Establishment, ¡exercise ¡or ¡defence ¡of ¡legal ¡claims ¡

Individual ¡rights: ¡right ¡to ¡restrict ¡processing ¡

• Individuals ¡can ¡request ¡for ¡processing ¡of ¡their ¡

personal ¡data ¡to ¡be ¡blocked ¡

• Organisa9ons ¡are ¡permifed ¡to ¡store ¡the ¡

individual’s ¡personal ¡data, ¡however, ¡they ¡are ¡ not ¡able ¡to ¡further ¡process ¡it ¡

• Individuals ¡have ¡the ¡right ¡to ¡restrict ¡

processing ¡of ¡personal ¡data ¡only ¡in ¡specific ¡ situa<ons ¡

¡GDPR: ¡complying ¡with ¡an ¡individual’s ¡ request ¡to ¡exercise ¡their ¡right ¡ ¡

• Take ¡reasonable ¡steps ¡to ¡verify ¡the ¡iden<ty ¡of ¡the ¡

individual ¡

• Comply ¡without ¡undue ¡delay ¡and ¡within ¡specified ¡

<me ¡frames ¡

• Organisa9ons ¡must ¡provide ¡the ¡informa9on ¡

electronically, ¡where ¡possible ¡

• Provide ¡the ¡informa9on ¡free ¡of ¡charge ¡ ¡

• Organisa9ons ¡are ¡obliged ¡to ¡demonstrate ¡

compliance ¡– ¡the ¡“accountability ¡principle” ¡

• Healthcare ¡sector ¡(incorpora9ng ¡community ¡

pharmacy) ¡is ¡at ¡high ¡risk ¡due ¡to ¡the ¡day-­‑to-­‑ day ¡processing ¡of ¡“special ¡categories ¡of ¡ personal ¡data” ¡

• Fines ¡can ¡be ¡imposed ¡on ¡organisa9ons ¡who ¡

are ¡in ¡breach ¡of ¡GDPR ¡

¡GDPR: ¡implica<ons ¡

• A ¡personal ¡data ¡breach ¡means ¡a ¡breach ¡of ¡security ¡leading ¡

to ¡the ¡destruc<on, ¡loss, ¡altera<on, ¡unauthorised ¡ disclosure ¡of, ¡or ¡access ¡to ¡personal ¡data ¡

• Organisa9ons ¡must ¡report ¡certain ¡data ¡breaches ¡to ¡the ¡

ICO ¡ – Breaches ¡must ¡be ¡reported ¡within ¡72 ¡hours ¡ – Fine ¡dependent ¡on ¡infringement; ¡up ¡to ¡either: ¡ ¡ – €10million ¡or ¡2% ¡of ¡the ¡organisa9on’s ¡global ¡turnover ¡ – €20million ¡or ¡4% ¡of ¡the ¡organisa9on’s ¡global ¡turnover ¡

• In ¡some ¡cases, ¡the ¡organisa9on ¡must ¡contact ¡the ¡affected ¡

individual(s), ¡NHS ¡England, ¡regulatory ¡body ¡or ¡police ¡

¡GDPR: ¡data ¡breaches ¡

GDPR: ¡data ¡breaches ¡

• A ¡personal ¡data ¡breach ¡includes: ¡

– Loss/them ¡of ¡personal ¡data ¡ – Sending ¡personal ¡data ¡(such ¡as ¡medicines ¡with ¡pa9ent ¡ name/address) ¡to ¡an ¡incorrect ¡recipient ¡ – Altering ¡pa9ent ¡informa9on ¡without ¡consent ¡ – Unauthorised ¡individuals ¡accessing ¡pa9ent ¡informa9on ¡ from ¡a ¡PMR ¡ ¡ ¡ ¡

¡

• An ¡affected ¡individual ¡does ¡not ¡need ¡to ¡be ¡informed ¡if: ¡

– Appropriate ¡organisa9onal ¡and ¡technical ¡protec<on ¡ measures ¡have ¡been ¡applied ¡ ¡ – The ¡breach ¡is ¡not ¡highly ¡likely ¡to ¡risk ¡an ¡individual’s ¡ freedom ¡and ¡rights ¡ – No9fica9on ¡would ¡involve ¡dispropor<onate ¡effort ¡ ¡

• Raise ¡awareness ¡within ¡your ¡organisa9on ¡of ¡the ¡

forthcoming ¡changes, ¡especially ¡with ¡key ¡decision ¡ makers ¡

• Ensure ¡individuals ¡familiarise ¡themselves ¡with, ¡and ¡

are ¡aware ¡of, ¡the ¡six ¡lawful ¡bases ¡for ¡processing ¡ personal ¡data ¡under ¡the ¡GDPR ¡

• Iden<fy ¡your ¡organisa9on’s ¡lawful ¡basis ¡for ¡

processing ¡personal ¡data ¡

• Look ¡into ¡appointment ¡of ¡a ¡DPO ¡

¡GDPR: ¡how ¡to ¡prepare ¡

Relevant ¡records ¡and ¡documenta<ons ¡

• Records ¡of ¡processing ¡
• Records ¡of ¡consent ¡
• Privacy ¡no9ce ¡
• Loca9on ¡of ¡personal ¡data ¡within ¡your ¡
• rganisa9on ¡
• Contracts ¡between ¡data ¡controllers ¡and ¡data ¡

processors ¡where ¡applicable ¡

• Records ¡of ¡data ¡breaches ¡

What ¡is ¡the ¡difference ¡between ¡a ¡data ¡ controller ¡and ¡data ¡processor? ¡

• A ¡data ¡controller ¡determines ¡how ¡and ¡why ¡

personal ¡data ¡is ¡processed. ¡Under ¡the ¡GDPR, ¡ the ¡pharmacy ¡organisa9on ¡is ¡a ¡data ¡controller. ¡ ¡

• A ¡data ¡processor ¡carries ¡out ¡processing ¡on ¡

behalf ¡of ¡the ¡data ¡controller. ¡All ¡individuals ¡ within ¡a ¡pharmacy ¡organisa9on ¡are ¡ac9ng ¡as ¡ data ¡controllers ¡and ¡not ¡data ¡processors. ¡ ¡

What ¡is ¡the ¡fine ¡imposed ¡on ¡an ¡organisa<on ¡if ¡they ¡ fail ¡to ¡comply ¡with ¡the ¡GDPR ¡requirements? ¡

The ¡fine ¡is ¡determined ¡by ¡the ¡type ¡of ¡infringement. ¡ ¡ ¡ The ¡GDPR ¡have ¡outlined ¡the ¡following ¡fine ¡structure: ¡ ¡

• A ¡fine ¡up ¡to ¡€10million ¡or ¡2 ¡per ¡cent ¡of ¡the ¡organisa9on’s ¡

global ¡turnover ¡(whichever ¡is ¡higher) ¡for ¡infringements ¡ including ¡those ¡rela9ng ¡to ¡the ¡failure ¡to ¡no9fy ¡the ¡ICO ¡of ¡a ¡ data ¡breach ¡and ¡the ¡failure ¡to ¡follow ¡data ¡controller ¡or ¡ processor ¡obliga9ons ¡ ¡

• A ¡fine ¡of ¡up ¡to ¡€20million ¡or ¡4 ¡per ¡cent ¡of ¡the ¡organisa9on’s ¡

global ¡turnover ¡(whichever ¡is ¡higher) ¡for ¡infringements ¡ including ¡those ¡rela9ng ¡to ¡non-­‑compliance ¡of ¡orders ¡from ¡the ¡ ICO, ¡failure ¡to ¡follow ¡the ¡basic ¡principles ¡for ¡processing ¡ including ¡consent, ¡and ¡individual ¡rights ¡ ¡ ¡

Can ¡asking ¡a ¡pa<ent/representa<ve ¡to ¡confirm ¡the ¡ address ¡verbally ¡when ¡handing ¡out ¡dispensed ¡ prescrip<on ¡items ¡be ¡seen ¡as ¡a ¡data ¡breach ¡if ¡others ¡can ¡ hear ¡this? ¡

• Yes ¡
• Ensure ¡SOPs ¡consider ¡pa9ent ¡confiden9ality, ¡

not ¡just ¡to ¡comply ¡with ¡the ¡GDPR, ¡but ¡also ¡to ¡ abide ¡by ¡the ¡professional ¡standards ¡set ¡by ¡the ¡ GPhC ¡and ¡the ¡Pharmaceu9cal ¡Society ¡of ¡ Northern ¡Ireland ¡(PSNI) ¡

• Consider ¡displaying ¡a ¡pa9ent ¡no9ce ¡ ¡ ¡

Is ¡consent ¡always ¡required ¡when ¡processing ¡ personal ¡data ¡in ¡a ¡pharmacy? ¡

• Consent ¡is ¡one ¡of ¡the ¡six ¡lawful ¡bases ¡
• Consent ¡must ¡be ¡obtained ¡where ¡no ¡other ¡

lawful ¡basis ¡for ¡processing ¡personal ¡data ¡is ¡

• applicable. ¡ ¡
• As ¡there ¡are ¡five ¡other ¡lawful ¡bases ¡to ¡process ¡

personal ¡data, ¡consent ¡may ¡not ¡always ¡be ¡ required ¡from ¡an ¡individual. ¡ ¡

Do ¡all ¡pharmacies ¡need ¡a ¡Data ¡Protec<on ¡ Officer ¡(DPO)? ¡

• Yes. ¡ ¡
• All ¡pharmacies ¡process ¡personal ¡health ¡data ¡

and ¡under ¡the ¡GDPR, ¡a ¡data ¡protec9on ¡officer ¡ (DPO) ¡is ¡required ¡if ¡an ¡organisa9on ¡carries ¡out ¡ ‘large ¡scale ¡processing ¡of ¡special ¡categories ¡

• f ¡data’. ¡

Current ¡NPA ¡support ¡resources ¡available ¡to ¡members ¡

• Brief ¡overview ¡of ¡GDPR ¡
• Consent ¡– ¡brief ¡overview ¡
• Individual ¡rights ¡– ¡brief ¡overview ¡

Future ¡NPA ¡resources ¡

• Lawful ¡basis ¡of ¡processing ¡– ¡brief ¡overview ¡
• Records ¡of ¡processing ¡ac9vi9es ¡– ¡brief ¡overview ¡including ¡data ¡flow ¡

template ¡

• Data ¡breaches ¡– ¡brief ¡overview ¡
• Training ¡manual ¡for ¡pharmacy ¡support ¡staff ¡

NPA ¡Pharmacy ¡team ¡

• NPA ¡members ¡can ¡contact ¡the ¡Pharmacy ¡team ¡on ¡01727 ¡891 ¡800 ¡for ¡

further ¡informa9on ¡and ¡guidance ¡

¡

¡GDPR: ¡Other ¡NPA ¡support ¡