Готовое решение: Как медорганизации обеспечить защиту персональных данных пациентов

Как медорганизации обеспечить защиту персональных данных пациентов

Медорганизация как оператор персональных данных должна обеспечить их конфиденциальность. Для этого нужно принять меры по защите таких данных.

Разработайте пакет документов по вопросам обработки и защиты персональных данных, ознакомьте с ними работников. Определите места хранения данных и порядок доступа к ним, назначьте ответственных лиц. Применяйте технические средства защиты информации, которые соответствуют уровням потенциальных угроз. Осуществляйте внутренний контроль за тем, отвечают ли принимаемые меры установленным требованиям. Проводите мероприятия по повышению осведомленности работников в вопросе соблюдения этих требований.

Оглавление:

1. Какие меры нужно принять для защиты персональных данных пациентов

2. Как организовать хранение персональных данных пациентов в бумажном виде

3. Что нужно сделать для защиты персональных данных в информационных системах

1. Какие меры нужно принять для защиты персональных данных пациентов

Медорганизация как оператор персональных данных должна принимать меры по их защите. Этого требуют Закон о персональных данных и иные НПА, утвержденные в соответствии с ним.

Чтобы обеспечить защиту персональных данных, сделайте, в частности, следующее (ч. 1, 2 ст. 18.1, ч. 1 ст. 19 Закона о персональных данных):

назначьте лицо, ответственное за организацию обработки персональных данных, определите его обязанности. Назначьте также иных лиц, ответственных за реализацию мер по защите персональных данных в ваших структурных подразделениях. Установите в локальном документе порядок взаимодействия ответственных лиц между собой, с медицинскими и иными работниками;

закрепите в локальных документах, в том числе в политике обработки персональных данных, цели их обработки, категории субъектов, чьи персональные данные вы обрабатываете, перечень данных и их категории, способы их обработки, сроки обработки и хранения, а также порядок уничтожения.

Такие сведения можно указать в отдельном локальном акте, например положении об обработке и защите персональных данных пациентов, или включить в локальные акты, которые регулируют обработку персональных данных в целом;

обеспечьте неограниченный доступ к политике обработки персональных данных и сведениям о мероприятиях по их защите. Например, вы вправе разместить такие документы и сведения на вашем сайте. Это можно сделать и в том случае, когда вы не собираете персональные данные с его помощью. Если сбор персональных данных на сайте есть, вы обязаны разместить политику и сведения по их защите;

проведите оценку вреда, который может быть причинен пациентам. Руководствуйтесь Требованиями, утвержденными Приказом Роскомнадзора от 27.10.2022 № 178. Установите степень возможного вреда и зафиксируйте ее в акте оценки вреда. По результатам оценки определите меры по защите данных;

примите локальные акты, которые устанавливают процедуры предотвращения, выявления нарушений требований к обработке персональных данных и устранения их последствий;

примите правовые, организационные и технические меры, чтобы обеспечить безопасность персональных данных пациентов в информационных системах;

определите медицинских и иных работников, которые обрабатывают персональные данные пациентов и (или) имеют к ним доступ. Оформите перечни таких работников в виде локальных актов;

ознакомьте всех работников, которые обрабатывают персональные данные пациентов, с положениями законодательства РФ в этой области, вашей политикой обработки и иными локальными актами по данному вопросу.

Рекомендуем провести обучение работников, ознакомив их, в частности, с обязанностями ответственного за обработку. Допустимо пригласить для этого сторонних экспертов. Зафиксируйте ознакомление (обучение) работников. Например, можно внести в специальный журнал информацию о проведении мероприятия по ознакомлению (обучению) и его участниках, попросить работников поставить подписи;

проводите периодический внутренний контроль (аудит) соответствия обработки персональных данных пациентов установленным требованиям и локальным актам медорганизации.

Вы сами определяете периодичность, порядок проведения контроля, перечень мероприятий и способ фиксации результатов. Так, вы можете установить, проводит проверку комиссия или сотрудник, ответственный за организацию обработки. Полагаем, что внутренний контроль (аудит) следует проводить не реже одного раза в год. Можно предусмотреть ежеквартальную периодичность проведения проверки по структурным подразделениям, которые обрабатывают персональные данные, или проводить ее один раз в полугодие. Это зависит от количества субъектов и категорий обрабатываемых данных.

2. Как организовать хранение персональных данных пациентов в бумажном виде

Хранить медицинскую документацию и иные документы, содержащие персональные данные пациентов, в бумажном виде нужно так, чтобы исключить несанкционированный доступ к ним. Если вы обрабатываете персональные данные в разных целях, храните раздельно их материальные носители.

Чтобы выполнить эти требования, сделайте следующее:

определите места хранения персональных данных, в том числе места архивного хранения. Например, это могут быть помещения, запираемые шкафы или специальные сейфы;

установите перечень медицинских и (или) иных работников, которые могут обрабатывать такие данные либо имеют доступ к ним;

разработайте правила доступа в помещения, в которых хранятся документы, и нахождения в них, правила хранения документов в пределах установленных сроков.

Зафиксируйте все это в локальных актах медорганизации по вопросам обработки персональных данных (п. 2 ч. 1 ст. 18.1 Закона о персональных данных, разд. III Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 № 687).

Особое внимание уделите организации деятельности регистратуры. Одна из ее функций — систематизированное хранение медицинской документации, ее подбор и доставка в кабинеты для приема пациентов. Отдельным медорганизациям рекомендовано организовать специальное картохранилище — помещение или закрытую зону регистратуры с ограниченным доступом (п. 12 Правил, утвержденных Приказом Минздрава России от 14.04.2025 № 202н). Полагаем, что такой подход применим и к деятельности частных медорганизаций.

Хранение медицинских карт пациентов в регистратуре, их подготовку для доставки в кабинеты и временное нахождение в них организуйте таким образом, чтобы другие пациенты или посетители медорганизации не могли прочитать сведения о пациенте или получить доступ к ним.

Например, не следует размещать медкарты, подготовленные для передачи, непосредственно в зоне обслуживания пациентов либо оставлять их в местах, доступных иным лицам. Если хранение медкарт и прием пациентов организованы на первом этаже, с улицы не должно быть видно содержание медкарт, расположенных на стеллажах или временно находящихся в кабинетах. Не нужно хранить документы на подоконниках с незанавешенными окнами.

Предупредите работников, что нельзя повторно использовать испорченные документы с персональными данными (талоны на прием, бланки, направления и др.) для печати новых документов или записи информации для других пациентов. Это нарушает конфиденциальность данных.

3. Что нужно сделать для защиты персональных данных в информационных системах

Совокупность информационных технологий (технических средств) и персональных данных, содержащихся в базах данных, образуют информационную систему персональных данных (ИСПДн).

Вы должны исключить возможность несанкционированного доступа к персональным данным при их обработке в указанной системе и не допустить их неправомерного уничтожения, изменения, копирования, распространения и др.

Чтобы обеспечить защиту данных пациентов в ИСПДн, примите меры правового, организационного и технического характера, в частности (п. 10 ст. 3, ч. 1, п. п. 7, 8 ч. 2 ст. 19 Закона о персональных данных):

разработайте и введите в действие локальные акты, которые устанавливают перечни таких информационных систем, состав сведений в них, цели и правила обработки персональных данных, перечни работников, которые взаимодействуют с ними или имеют к ним доступ;

используйте технические средства защиты информации, которые позволяют отслеживать и записывать действия пользователей, а также противодействовать несанкционированному доступу;

обеспечьте резервное копирование данных, чтобы иметь возможность восстановить их.

Какие меры обеспечивают безопасность персональных данных при их обработке в ИСПДн

Чтобы выполнить требования к защите персональных данных, которые вы обрабатываете в информационных системах, в зависимости от необходимого уровня защищенности таких данных сделайте, в частности, следующее (ст. 19 Закона о персональных данных, п. п. 6 — 12 Требований, утвержденных Постановлением Правительства РФ от 01.11.2012 № 1119):

определите угрозы безопасности персональных данных и необходимый уровень их защищенности. Последний зависит от категории персональных данных, обрабатываемых в ИСПДн, количества пациентов, персональные данные которых в нее внесены, и угроз безопасности. При определении угроз учтите положения Приказа Минздрава России от 03.07.2023 № 340н;

обеспечьте выполнение требований к защите персональных данных для соответствующего уровня их защищенности;

периодически контролируйте уровень защищенности персональных данных и соответствие мер по обеспечению их безопасности установленным требованиям, оценивайте эффективность этих мер;

применяйте только те средства защиты информации, которые прошли процедуру оценки их соответствия;

установите правила доступа к персональным данным пациентов, регистрируйте и учитывайте все действия с ними;

внедрите программные средства обнаружения фактов несанкционированного доступа в ИСПДн и восстановления персональных данных, измененных или уничтоженных из-за такого доступа;

обеспечьте обнаружение, предупреждение компьютерных атак на информационную систему и ликвидацию их последствий, а также взаимодействие с ГосСОПКА;

ведите учет всех машинных носителей персональных данных, включая съемные;

обеспечьте выполнение Требований к материальным носителям биометрических персональных данных и их хранению вне информационной системы (в случае их обработки).

Состав и содержание мер по защите персональных данных в ИСПДн определите в соответствии с Приказами ФСТЭК России от 18.02.2013 № 21 и ФСБ России от 10.07.2014 № 378 с учетом актуальных угроз безопасности и необходимого уровня защищенности персональных данных.

Для отдельных информационных систем (например, МИС государственных медучреждений) в ряде случаев применяйте средства криптографической защиты информации (СКЗИ) необходимого класса, сертифицированные ФСБ России (п. п. 1, 3 — 4 Требований, утвержденных Приказом ФСБ России от 22.08.2026 № 321). Учтите также Требования, утвержденные Приказом ФСТЭК России от 11.04.2025 № 117.

Если ИСПДн отнесена к значимым объектам критической информационной инфраструктуры, для защиты данных выполняйте Требования, установленные Приказом ФСТЭК России от 25.12.2017 № 239, и иные специальные требования.

Примерный перечень документов по обработке и защите персональных данных

Законодательством в области персональных данных требования к перечню документов (локальных актов), которые должны быть разработаны и приняты оператором, и количеству таких актов не установлены. Вы сами должны сформировать этот перечень с учетом специфики вашей деятельности и обязанностей оператора (ст. 4, ч. 1 ст. 18.1, ст. 19 Закона о персональных данных).

Если нет требований к структуре таких документов, их содержанию и названиям, определите их самостоятельно.

Основные документы следующие:

приказ о назначении лица, ответственного за организацию обработки персональных данных, его инструкция (регламент) (п. 1 ч. 1 ст. 18.1, ч. 1, 4 ст. 22.1 Закона о персональных данных);

политика обработки персональных данных (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);

положение (иной документ) об обработке персональных данных (пациентов, работников, пользователей сайта или мобильного приложения и др.) (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);

положение (иной документ) об обеспечении безопасности персональных данных, о выявлении и предупреждении нарушений, устранении их последствий (п. 2 ч. 1 ст. 18.1, п. 8 ч. 2 ст. 19 Закона о персональных данных);

положение (иной документ) об организации системы видеонаблюдения, если оно организовано (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);

положение (иной документ) о внутреннем контроле (аудите) соответствия обработки персональных данных установленным требованиям (п. 4 ч. 1 ст. 18.1 Закона о персональных данных);

акт (иной документ) по результатам внутреннего контроля (п. 4 ч. 1 ст. 18.1 Закона о персональных данных);

акты уничтожения персональных данных (ч. 7 ст. 21 Закона о персональных данных, п. 3 Требований, утвержденных Приказом Роскомнадзора от 28.10.2022 № 179);

акты оценки вреда, который может быть причинен субъектам персональных данных (п. 5 ч. 1 ст. 18.1 Закона о персональных данных, п. 4 Требований № 178);

журнал (иной документ) ознакомления (обучения) работников, осуществляющих обработку персональных данных, с положениями законодательства РФ в этой области, требованиями к защите таких данных, политикой их обработки и иными локальными актами по данному вопросу (п. 6 ч. 1 ст. 18.1 Закона о персональных данных);

порядок (иной документ) рассмотрения и учета запросов (обращений) субъектов персональных данных (ч. 1 ст. 14, ч. 1 — 3 ст. 20 Закона о персональных данных);

типовые формы согласий на обработку персональных данных для случаев, когда нет иных оснований для их обработки (п. 1 ч. 1, ч. 3 ст. 6, ч. 4, 6, 7 ст. 9, п. 1 ч. 2 ст. 10, ч. 1 ст. 10.1, ч. 1 ст. 11, ч. 1 ст. 15 Закона о персональных данных);

обязательство (иной документ) о неразглашении персональных данных (ст. 7, ч. 1 ст. 24 Закона о персональных данных);

инструкции (внутренние регламенты, чек-листы) по действиям работников в случае, если к ним обратятся субъекты персональных данных по вопросам обработки этих данных или выявится их неправомерная обработка, а также по взаимодействию с лицом, ответственным за организацию обработки, или иными ответственными лицами (п. 2 ч. 1 ст. 18.1 Закона о персональных данных);

уведомление (иной документ) медорганизацией работников о том, что они осуществляют неавтоматизированную обработку персональных данных, и правилах такой обработки (п. 6 Положения № 687);

типовые формы документов, в которые вносятся персональные данные (п. 7 Положения № 687);

приказ (иной документ), который определяет порядок прохода на территорию медорганизации и порядок внесения персональных данных в журнал (книгу, реестр) учета посетителей (если учет ведется) (п. 8 Положения № 687);

приказ, определяющий места хранения персональных данных, обрабатываемых неавтоматизированным способом, и перечень лиц, которые осуществляют их обработку либо имеют доступ к ним (п. 13 Положения № 687);

приказ об утверждении перечня мер по обеспечению сохранности персональных данных и исключению несанкционированного доступа к ним (п. 15 Положения № 687);

приказ о назначении лиц, ответственных за сохранность персональных данных и исключение несанкционированного доступа к ним (п. 15 Положения № 687);

модель угроз безопасности персональных данных (п. 1 ч. 2 ст. 19 Закона о персональных данных, п. 2.12 Методики, утвержденной ФСТЭК России 05.02.2021);

акт (иной документ) об определении уровня защищенности персональных данных в ИСПДн (п. 2 ч. 2 ст. 19 Закона о персональных данных);

перечень ИСПДн (п. 1 ч. 2 ст. 19 Закона о персональных данных);

перечень помещений, в которых размещены ИСПДн (п. 8 ч. 2 ст. 19 Закона о персональных данных, пп. «а» п. 13 Требований № 1119);

перечень лиц, имеющих доступ к ИСПДн (обрабатывающих персональные данные) в связи с трудовыми (служебными) обязанностями (п. 8 ч. 2 ст. 19 Закона о персональных данных, пп. «в» п. 13 Требований № 1119);

приказ о назначении лица, ответственного за обеспечение безопасности персональных данных в ИСПДн, его инструкция (регламент) (п. 14 Требований № 1119);

правила доступа к персональным данным в ИСПДн (п. 8 ч. 2 ст. 19 Закона о персональных данных);

журнал (иной документ) учета машинных носителей персональных данных (п. 5 ч. 2 ст. 19 Закона о персональных данных);

иные документы в зависимости от принимаемых мер (с учетом угроз безопасности и необходимого уровня защищенности).

---