Si. Approfondisci nella documentazione l'uso dei parametri per i valori delle query. Cosi come hai scrittu tu e' un modo sbagliato di programmare che produce problemi di formato (es. le date, decimali ecc.) e di sicurezza (es. sqlinjection).