Готовое решение: Как медорганизация организует работу с персональными данными пациентов

Как медорганизация организует работу с персональными данными пациентов

Медорганизация получает значительное количество персональных данных пациентов, составляющих врачебную тайну. Она является оператором таких данных, а любые действия с ними — обработкой.

Чтобы организовать работу с персональными данными, установите цели их обработки, категории данных для каждой цели, перечень действий с ними, способы обработки и сроки хранения данных.

Назначьте лицо, ответственное за организацию обработки персональных данных. Определите работников, которые обрабатывают данные пациентов или имеют доступ к ним. Разработайте для них документы и инструкции. Примите меры по защите данных.

Оглавление:

1. Что понимается под обработкой персональных данных пациентов

2. Какие есть основания для обработки персональных данных пациентов

3. Что входит в обязанности медорганизации в отношении пациентов в связи с обработкой их персональных данных

4. В каких случаях нужно прекратить обработку персональных данных пациентов

1. Что понимается под обработкой персональных данных пациентов

Обработка персональных данных пациентов — это действия (операции) с такими данными, которые работники медорганизации совершают в ходе оказания медпомощи либо в связи с ее оказанием (п. 3 ст. 3 Закона о персональных данных).

Медорганизация является оператором персональных данных, поскольку ведет персонифицированный учет пациентов (за исключением случаев, когда медпомощь оказывается анонимно), хранит данные в течение определенных сроков и предоставляет их в установленных случаях, в том числе по запросам уполномоченных органов или суда (ч. 4 ст. 13, п. п. 11, 12, 16 ч. 1 ст. 79, п. 2 ч. 5 ст. 84, ст. 94 Закона об охране здоровья).

К обработке персональных данных относят, в частности:

их сбор при первичном или последующем обращении пациента в медорганизацию, проведении опроса, осмотра и обследования в целях постановки диагноза;

запись на носители информации (например, внесение в медицинскую документацию, информационные системы), накопление и хранение в таком виде;

уточнение (обновление, изменение) сведений о пациенте (например, в связи со сменой места жительства, фамилии, изменением контактной информации);

использование в целях оказания медпомощи, организации консультации или лечения в профильной медорганизации, ведения учета;

передачу персональных данных (предоставление доступа к ним) в целях контроля в системе обязательного социального страхования, по запросам уполномоченных органов и суда;

распространение (например, размещение на сайте медорганизации либо в информационной продукции отзывов пациентов, которые содержат их данные).

1.1 Какие сведения относятся к персональным данным пациентов

Персональными данными пациента считается любая информация, которая относится к нему прямо или косвенно и позволяет медорганизации его идентифицировать (п. 1 ст. 3 Закона о персональных данных).

Медорганизации обрабатывают следующие категории персональных данных:

«общие» персональные данные. К их числу относят фамилию, имя, отчество (при наличии), пол, адрес, дату рождения, иные сведения, которые необходимы для учета оказываемых медицинских услуг, но не связаны с состоянием здоровья пациента. Например, такие данные нужны, чтобы заполнить амбулаторную карту или другую медицинскую документацию, внести запись в информационную систему, заключить договор оказания платных медицинских услуг и т.д.;

специальные категории персональных данных. К ним относят все сведения о состоянии здоровья пациента: данные об анамнезе, о проведенных осмотрах и исследованиях, об их результатах, о диагнозе и др., которые медорганизация получает, в частности, в ходе диагностики (ч. 1 ст. 10 Закона о персональных данных, п. п. 3 — 5, 10, 11 ч. 1 ст. 2 Закона об охране здоровья).

В деятельности медорганизации могут быть также случаи обработки таких спецкатегорий, как сведения об интимной жизни, расовой или национальной принадлежности, что связано со спецификой возможного заболевания в зависимости от образа жизни пациента либо генетических факторов.

При определенных условиях работники медорганизаций государственной (муниципальной) системы здравоохранения располагают сведениями о такой спецкатегории, как наличие судимости у лиц, отбывающих наказание в виде лишения свободы (ч. 3 ст. 10 Закона о персональных данных).

Не исключена в деятельности медорганизации обработка биометрических персональных данных. Их предоставление необязательно, кроме случаев, предусмотренных законом. То есть нельзя отказать пациенту в обслуживании, если он не хочет предоставить такие данные или дать согласие на их обработку и в силу закона она необязательна (ч. 3 ст. 11 Закона о персональных данных).

В каком случае физиологические и биологические особенности пациента, которые позволяют его установить, считаются биометрическими персональными данными

Сведения, по которым можно установить личность пациента, считаются биометрическими персональными данными, если они характеризуют его физиологические и биологические особенности и используются для указанной цели. Если нет цели идентифицировать личность, сведения не относят к биометрическим персональным данным (ч. 1 ст. 11 Закона о персональных данных).

Например, не признаются такими данными флюорографические снимки пациента и его рентгенограмма. Они необходимы для постановки диагноза или контроля динамики лечения, но не используются для установления личности (Письма Минкомсвязи России от 28.08.2020 № ЛБ-С-074-24059, Роскомнадзора от 10.02.2020 № 08АП-6782).

Когда есть цель идентификации (например, в медорганизации установлена система контроля и управления доступом (СКУД) пациентов на основании распознавания лиц), данные считаются биометрическими (Письмо Минцифры России от 17.07.2020 № ОП-П24-070-19433).

Если определенные виды данных обрабатываются автоматизированным способом, нужно соблюдать требования Закона об идентификации и аутентификации физлиц. Когда идентификация (например, по распознаванию лиц с использованием СКУД) проводится не автоматизированно, а с участием должностного лица медорганизации, данный Закон к обработке не применяется (ч. 1, п. 2 ч. 2 ст. 1 указанного Закона).

1.2 В каких целях и какими способами можно обрабатывать персональные данные пациентов

Цели обработки вы как оператор персональных данных определяете самостоятельно с учетом специфики вашей деятельности по оказанию медпомощи (п. 2 ст. 3 Закона о персональных данных).

Вместе с тем сам факт оказания медпомощи обусловливает ряд основных целей обработки данных, например:

персонифицированный учет;

заполнение медицинской документации;

профилактику, диагностику и лечение заболеваний.

К иным целям обработки, полагаем, можно отнести, в частности:

организацию взаимодействия с пациентами и предоставление сервисных услуг с использованием ИТ, например отправку уведомления о записи на прием через личный кабинет на сайте медорганизации или мобильное приложение;

рассмотрение обращений и претензий пациентов (их представителей), запросов уполномоченных органов и судов.

Учтите, что персональные данные пациента должны быть сопоставимы с целью их обработки. Данные не должны быть избыточными по отношению к ней (ч. 2, 4, 5 ст. 5 Закона о персональных данных).

Вы можете обрабатывать персональные данные пациентов с использованием средств автоматизации или без них. Например, вы вправе оформлять документы в бумажном виде. Как правило, данные обрабатывают смешанным способом (п. 4 ст. 3 Закона о персональных данных, п. 1 Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 № 687).

2. Какие есть основания для обработки персональных данных пациентов

Персональные данные пациентов можно обрабатывать без их согласия, если есть предусмотренные законом основания такой обработки. Когда этих оснований нет, обязательно согласие (ч. 1 ст. 6, ч. 2, 3 ст. 10, ст. 10.1, ч. 1, 2 ст. 11 Закона о персональных данных).

Так, согласие пациента не нужно, когда вы обрабатываете его данные, в частности, чтобы (п. п. 2, 3, 5 ч. 1 ст. 6 Закона о персональных данных):

заполнить медицинскую документацию;

предоставить сведения о пациенте по запросу суда;

оказать платные медуслуги на условиях, в объеме и порядке, предусмотренном договором.

Специальные категории персональных данных без согласия пациентов вы можете обрабатывать, например (п. п. 4, 6, 8 ч. 2 ст. 10 Закона о персональных данных):

в медико-профилактических целях, чтобы установить медицинский диагноз, оказать медицинские, медико-социальные услуги как лицо, которое профессионально занимается медицинской деятельностью и обязано соблюдать врачебную тайну;

для того чтобы реализовать права пациента, например, в целях возмещения вреда, причиненного его здоровью в ходе оказания медпомощи;

затем, чтобы обеспечить права пациента как застрахованного лица.

Случаи обработки биометрических персональных данных без согласия установлены ч. 2 ст. 11 Закона о персональных данных.

Если обработка персональных данных не подпадает под установленные законодательством РФ случаи, когда согласие пациента не нужно, она допустима только с его согласия и в соответствии с условиями такого согласия. Оформляйте его отдельно от информированного добровольного согласия, договора оказания медуслуг и иных подобных документов (ч. 1 ст. 9 Закона о персональных данных).

Согласие пациента необходимо, когда, например (ч. 3 ст. 6, ч. 1 ст. 15 Закона о персональных данных):

вы поручаете обработку его персональных данных другому лицу в не предусмотренных законом случаях;

вы планируете использовать данные для того, чтобы продвигать свои услуги, например информировать пациента по телефону либо электронной почте об акциях на услуги.

В предусмотренных законом случаях обрабатывать персональные данные можно только при наличии согласия, которое по форме и содержанию соответствует ч. 4 ст. 9 Закона о персональных данных. Например, такое согласие нужно для обработки биометрических персональных данных (ч. 4 ст. 9, п. 1 ч. 2 ст. 10, ч. 1 ст. 11 Закона о персональных данных).

В остальных случаях согласие может быть дано в любой форме, которая позволяет подтвердить его получение (ч. 1 ст. 9 Закона о персональных данных).

Когда вы планируете распространять персональные данные, в частности размещать отзывы пациентов с их личными данными или иную информацию на своем интернет-сайте, получите согласие на обработку персональных данных, разрешенных для распространения. Оформите его отдельно от других согласий пациента на обработку персональных данных по Требованиям, установленным Приказом Роскомнадзора от 24.02.2021 № 18 (ч. 1 ст. 10.1 Закона о персональных данных).

3. Что входит в обязанности медорганизации в отношении пациентов в связи с обработкой их персональных данных

Ваши обязанности, связанные с обработкой персональных данных пациентов, заключаются в следующем.

При сборе персональных данных вы должны (ст. 18 Закона о персональных данных):

по просьбе пациента предоставить сведения, предусмотренные ч. 7 ст. 14 Закона о персональных данных;

предоставьте информацию о себе как об операторе, источнике получения персональных данных, целях их обработки и перечне персональных данных, предполагаемых пользователях таких данных, правах субъекта персональных данных, если персональные данные получены не от пациента. В ряде случаев вы не обязаны предоставлять пациенту такую информацию, например, когда персональные данные получены на основании Закона об охране здоровья в ходе оказания медицинской помощи или есть договор, заключенный в его интересах;

разъяснить пациенту последствия отказа предоставить персональные данные и (или) дать согласие на их обработку, когда их предоставление (дача согласия) обязательно;

обеспечить локализацию (запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных пациентов с использованием баз данных на территории РФ (есть исключения).

При дальнейшей обработке данных вы обязаны, в частности (ч. 3 ст. 14, ч. 3 ст. 20, ч. 3 ст. 21 Закона о персональных данных):

по обращению или запросу пациента предоставить сведения, предусмотренные ч. 7 ст. 14 Закона о персональных данных (есть исключения). Сделайте это в течение 10 рабочих дней с момента обращения (получения запроса). Этот срок может быть продлен не более чем на пять рабочих дней, если вы направите пациенту мотивированное уведомление с указанием причин его продления;

по информации пациента (его представителя) о том, что обрабатываемые данные являются неполными, неточными или неактуальными, внести изменения в них в течение семи рабочих дней со дня предоставления подтверждающих сведений;

в установленные сроки прекратить обработку персональных данных.

Чтобы обеспечить соблюдение требований законодательства к обработке персональных данных, назначьте лицо, ответственное за организацию такой обработки. Возложите на него, в частности, обязанность организовать прием и рассмотрение обращений (запросов) пациентов (их представителей) по вопросам обработки персональных данных и (или) осуществлять контроль за приемом и рассмотрением этих обращений (запросов) (п. 1 ч. 1 ст. 18.1, ч. 1, п. 3 ч. 4 ст. 22.1 Закона о персональных данных).

Установите перечень работников, которые обрабатывают персональные данные пациентов и (или) имеют к ним доступ. Проинформируйте каждого такого работника о его роли, об обязанностях и ответственности (п. 6 ч. 1 ст. 18.1 Закона о персональных данных, п. 6 Положения № 687).

Вы вправе также определить в локальных актах структурное подразделение и (или) лиц, которые будут, например (ч. 4 ст. 20, ст. 21 Закона о персональных данных):

принимать и рассматривать запросы Роскомнадзора (его территориального органа) по обращениям пациентов, контролировать сроки ответа по ним;

принимать меры в случае, когда выявлены нарушения обработки персональных данных пациентов.

Вы можете разработать инструкции, внутренние регламенты, чек-листы:

действий работников в случае, если пациент просит предоставить информацию об обработке его персональных данных, ознакомить его с политикой обработки таких данных либо отказывается их предоставить;

взаимодействия структурных подразделений (ответственных лиц), порядка действий работников в случае, если к ним поступили устные и письменные запросы (обращения) пациентов, а также информация о возможных нарушениях при обработке их персональных данных.

Чтобы защитить персональные данные пациентов от любых неправомерных или случайных действий со стороны работников и иных лиц, вы обязаны принять и иные меры правового и технического характера. Это предусмотрено ст. ст. 18.1 и 19 Закона о персональных данных.

4. В каких случаях нужно прекратить обработку персональных данных пациентов

Обработка персональных данных пациентов не нужна, если вы достигли ее целей. Хранить такие данные можно не дольше, чем это обусловлено целью обработки, если иной срок не следует из законодательства либо договора, заключенного с пациентом или в его интересах (ч. 2, 7 ст. 5 Закона о персональных данных).

Вы обязаны прекратить обработку данных пациента, например, в следующих случаях (ч. 7 ст. 5, ч. 2 ст. 9, ч. 3, 4, 5, 5.1 ст. 21 Закона о персональных данных):

выявлена неправомерная обработка данных и невозможно обеспечить правомерность их дальнейшей обработки;

пациент отозвал согласие на обработку своих данных и нет основания для ее продолжения без такого согласия;

пациент направил требование прекратить обработку его данных и нет основания для продолжения их обработки;

достигнута цель обработки данных и истекли сроки их хранения.

Сроки хранения персональных данных связаны со сроками хранения их носителей. Поскольку вы обязаны хранить медицинскую документацию и иные документы, то фактически обрабатываете персональные данные до истечения срока хранения их носителей (п. 12 ч. 1 ст. 79 Закона об охране здоровья, ч. 1 ст. 17 Закона об архивном деле, ч. 7 ст. 5 Закона о персональных данных).

Если вы медорганизация, подведомственная Минздраву России, при организации хранения документов используйте Перечень, утвержденный Приказом от 03.08.2023 № 408. Этим Перечнем, в частности его разд. 9 «Организация оказания медицинской помощи», могут руководствоваться и иные медорганизации (п. 1.2 данного Приказа). Например, срок хранения договора оказания платных медуслуг — пять лет после истечения срока его действия (прекращения обязательств по нему).

Передавайте документы на архивное хранение с соблюдением процедуры. При их уничтожении применяйте нормы законодательства об архивном деле (п. 2 ч. 2 ст. 1 Закона о персональных данных).

---