Персональные данные в медицине — документы по 152-ФЗ для клиники

Необходимые документы

Политика обработки ПДн
С разделом о спецкатегориях (данные о здоровье)
Согласие пациента на обработку ПДн
Письменное — для целей сверх лечения, с перечнем медицинских данных
Согласие на передачу данных третьим лицам
Страховые по ДМС и другие получатели вне медпомощи
Положение о медицинской тайне
Внутренний регламент работы с данными о здоровье
Модель угроз ИСПДн
Для медицинской информационной системы
Акт определения уровня защищённости
Как правило, УЗ-2 или УЗ-3 для спецкатегорий ПДн
Приказ о назначении ответственного
Назначение лица, ответственного за обработку ПДн
Обязательство о неразглашении
Подписывается всеми сотрудниками с доступом к данным
Уведомление в Роскомнадзор
Подается до начала обработки данных пациентов

Следующие шаги

Сначала найдите нарушения, затем соберите документы и закрепите процессы

Особенности обработки ПДн в медицине

Медицинские учреждения обрабатывают специальные категории персональных данных — сведения о состоянии здоровья пациентов. По общему правилу обрабатывать такие данные запрещено (ч. 1 ст. 10 152-ФЗ), но для медицины есть прямое исключение: в медико-профилактических целях, для установления диагноза и оказания медицинских услуг их обрабатывают без согласия пациента, если это делает лицо, профессионально занимающееся медицинской деятельностью и обязанное сохранять врачебную тайну (п. 4 ч. 2 ст. 10 152-ФЗ). Для других целей — например, рекламных рассылок — нужно письменное согласие пациента (п. 1 ч. 2 ст. 10).

Помимо данных о здоровье, клиники обрабатывают паспортные данные, полис ОМС/ДМС, СНИЛС, контактную информацию, историю обращений и результаты обследований. Совокупность этих данных делает медицинские учреждения операторами с повышенными требованиями к защите.

Нарушение конфиденциальности медицинских данных может повлечь не только административные штрафы по статье 13.11 КоАП, но и уголовную ответственность по статье 137 УК РФ — за незаконное распространение сведений о частной жизни пациента без его согласия.

Обязательные документы для медицинского учреждения

Медицинской организации требуется расширенный пакет документов по сравнению с обычным бизнесом. Помимо стандартного набора (политика, положение, приказы), необходимы документы, учитывающие специфику обработки медицинских данных.

Основной перечень включает: политику обработки ПДн с разделом о спецкатегориях, положение о защите ПДн, приказ о назначении ответственного, согласие пациента на обработку ПДн (включая данные о здоровье), согласие на передачу данных третьим лицам не для оказания медицинской помощи (например, страховой по ДМС), модель угроз ИСПДн, акт классификации ИСПДн.

Дополнительно потребуются: положение о медицинской тайне, журнал учёта обращений субъектов ПДн, инструкции по работе с медицинскими информационными системами, регламент реагирования на инциденты и уведомление в Роскомнадзор.

Согласие пациента на обработку персональных данных

Для самого лечения согласие на обработку ПДн не требуется (п. 4 ч. 2 ст. 10 152-ФЗ), но клинике оно нужно для остальных целей — рассылок, отзывов, передачи данных третьим лицам не для оказания медицинской помощи. Такое согласие оформляют письменно, с конкретным перечнем обрабатываемых данных: ФИО, дата рождения, паспортные данные, полис ОМС/ДМС, диагнозы, результаты анализов, назначения, анамнез.

Между медицинскими организациями сведения в целях оказания медицинской помощи передают без согласия пациента, в том числе через медицинские информационные системы (п. 8 ч. 4 ст. 13 323-ФЗ). В остальных случаях разглашение врачебной тайны — например, страховой компании по ДМС — допускается только с письменного согласия пациента (ч. 3 ст. 13 323-ФЗ). В согласии указываются конкретные получатели и цели передачи.

Пациент вправе отозвать согласие. Тогда клиника может продолжить обработку без согласия, если для неё есть другое основание, указанное в ч. 2 ст. 9 152-ФЗ, — например, обработка в медицинских целях лицом, обязанным хранить врачебную тайну, или защита жизни и здоровья пациента, когда получить согласие невозможно (п. 4 и п. 3 ч. 2 ст. 10).

Врачебная тайна и 152-ФЗ

Врачебная тайна регулируется статьёй 13 Федерального закона 323-ФЗ «Об основах охраны здоровья граждан». Она распространяется на сведения о факте обращения за медпомощью, диагнозе, состоянии здоровья и иную информацию, полученную при обследовании и лечении.

Требования 152-ФЗ и врачебная тайна не противоречат, а дополняют друг друга. Все сотрудники, имеющие доступ к данным пациентов, подписывают обязательство о неразглашении. Разглашение сведений о здоровье пациента без его согласия может повлечь уголовную ответственность по ст. 137 УК РФ: по ч. 1 — штраф до 200 000 рублей или лишение свободы до 2 лет, а с использованием служебного положения (ч. 2) — лишение свободы до 4 лет.

Клиника обязана обеспечить физическую и техническую защиту медицинской документации: ограничение доступа к базам данных, шифрование каналов передачи, разграничение прав в МИС.

Медицинские информационные системы и ИСПДн

Медицинские организации используют специализированные информационные системы (МИС): МЕДИАЛОГ, Инфоклиника, 1С:Медицина и другие. Каждая такая система является информационной системой персональных данных (ИСПДн), для которой необходимо определить уровень защищённости.

Уровень защищённости определяется по Постановлению Правительства РФ №1119 на основании категории данных (спецкатегории — здоровье), объёма базы и типа угроз. Для клиник с обработкой данных о здоровье, как правило, устанавливается 2 или 3 уровень защищённости.

На основании уровня защищённости определяются организационные и технические меры защиты по Приказу ФСТЭК №21. Клиника обязана составить модель угроз, акт определения уровня защищённости и перечень применяемых мер.

Проверки Роскомнадзора в медицинских учреждениях

Медицинские организации входят в зону повышенного внимания Роскомнадзора из-за обработки спецкатегорий ПДн. Проверки могут быть инициированы жалобой пациента — например, на разглашение диагноза, несанкционированные звонки или утечку данных.

При проверке инспекторы запрашивают: уведомление об обработке ПДн, согласия пациентов, политику обработки, положение о медицинской тайне, модель угроз, акт уровня защищённости, журналы учёта.

Штрафы для юрлиц считают по частям ст. 13.11 КоАП: обработка данных без письменного согласия там, где оно обязательно, — до 700 000 руб. (ч. 2), отсутствие политики на сайте — до 60 000 руб. (ч. 3), нарушение локализации — до 6 000 000 руб. (ч. 8). За утечку медицинских данных как специальной категории ПДн — от 10 до 15 млн руб. (ч. 16). Разглашение сведений о частной жизни пациента может повлечь и уголовную ответственность по ст. 137 УК РФ.

Часто задаваемые вопросы

Медицинские данные — это спецкатегории ПДн?

Да, сведения о состоянии здоровья относятся к специальным категориям ПДн (ч. 1 ст. 10 152-ФЗ). Для лечения, диагностики и медицинских услуг клиника обрабатывает их без согласия пациента, если обработку ведут лица, обязанные хранить врачебную тайну (п. 4 ч. 2 ст. 10). Для других целей нужно письменное согласие. Меры защиты для таких данных строже, чем для обычных ПДн.

Какие штрафы грозят клинике за нарушение 152-ФЗ?

Штрафы для юрлиц считают по частям ст. 13.11 КоАП: обработка без письменного согласия там, где оно обязательно, — до 700 000 руб. (ч. 2), отсутствие политики на сайте — до 60 000 руб. (ч. 3), нарушение локализации — до 6 000 000 руб. (ч. 8), утечка медицинских данных — от 10 до 15 млн руб. (ч. 16). Разглашение сведений о частной жизни пациента может повлечь уголовную ответственность по ст. 137 УК РФ.

Нужно ли клинике уведомлять Роскомнадзор?

Да, медицинское учреждение обязано подать уведомление в Роскомнадзор как оператор ПДн до начала обработки данных пациентов. Уведомление подается бесплатно через портал pd.rkn.gov.ru.

Чем отличается согласие пациента от обычного?

Для лечения согласие на обработку ПДн не нужно — основание дано в п. 4 ч. 2 ст. 10 152-ФЗ. Если же клиника обрабатывает данные о здоровье для других целей, согласие оформляют в письменной форме (п. 1 ч. 2 ст. 10) с реквизитами из ч. 4 ст. 9 152-ФЗ, в том числе перечнем данных и целями обработки. Устное согласие или чекбокс на сайте письменную форму не заменяют. Равнозначен ей только электронный документ, подписанный электронной подписью.

Можно ли передавать данные пациентов лабораториям?

Да. Если лаборатория — медицинская организация и данные передают для оказания медицинской помощи, согласие не нужно (п. 8 ч. 4 ст. 13 323-ФЗ). В остальных случаях сведения, составляющие врачебную тайну, передают только с письменного согласия пациента с указанием получателей и целей (ч. 3 ст. 13 323-ФЗ).

Полезные ссылки

Другие отрасли

Посмотрите требования и набор документов для соседних сфер

Все отрасли

152-ФЗ для медицинских учреждений: документы и особенности