Статья: Как правильно обрабатывать персональные данные пациентов. Весьма чувствительные

(Погонцева Е.)

(«Фармацевтический вестник», 2024, № 25)

Совет Федерации предложил обязать компании, работающие с персональными данными клиентов, иметь финансовое обеспечение. К тому же до конца года планируется принять законопроект об оборотных штрафах за утечки данных. Все фармацевтические организации — операторы персональных данных. На что им следует обратить внимание, чтобы не попасть под санкции, вместе с юристами разбирался «ФВ».

Что предлагают парламентарии

В Совете Федерации прорабатывают норму, согласно которой компании, оперирующие персональными данными (ПД), обяжут иметь банковскую гарантию, договор страхования или резервный фонд. Это должно предотвратить излишние сборы ПД и обеспечить достойные компенсации гражданам, чьи данные все-таки утекли, рассказал на форуме «Кибертех», который 7 — 8 октября проходил в Москве, член комитета Совета Федерации по конституционному законодательству и государственному строительству Артем Шейкин.

«Чувствительность утечек у всех операторов разная, — отметил Шейкин. — Персональные данные тоже разные. Есть весьма чувствительные — медицинские, их защищать надо еще сильнее».

Также до конца года Госдума планирует принять законопроект об ужесточении ответственности за утечки персональных данных и введении оборотных штрафов. И хотя ко второму чтению Минэкономразвития подготовило поправки, нацеленные на снижение первоначально заложенных в документе размеров штрафов, они по-прежнему немаленькие. Персональные данные о здоровье выделены в специальную категорию: если их утечка затронет 0,5 — 5 тыс. субъектов, штраф для юрлиц, согласно последнему варианту закона, составит 2 — 3 млн руб. (дальше — больше — до 7 млн руб.).

Как выполнить требования закона

Согласно Федеральному закону № 152-ФЗ «О персональных данных» на сайте фармкомпании, если посредством него осуществляется обработка ПД, следует опубликовать политику обработки/политику конфиденциальности, говорит юрист практики фармацевтики и здравоохранения SEAMLESS Legal Иван Зарайский. Ввиду изменений, вступивших в силу в 2022 году, такой документ должен быть достаточно подробным. По каждой цели следует указать перечень обрабатываемых данных, их категорию, способы, сроки обработки.

Роскомнадзор требует от владельцев сайтов публиковать такой документ или ссылку на него на каждой странице, на которой предусмотрен сбор ПД, подчеркивает эксперт. Проще всего выполнить это условие, разместив ссылки на политику в «футере» («подвале») сайта, который на всех страницах отображается одинаково, советует Зарайский.

Также компании следует подобрать основания, применимые к сбору и дальнейшей обработке ею персональных данных. Чаще всего в качестве такого основания выступает согласие на обработку ПД, продолжает эксперт.

«В таких случаях в каждом элементе сайта, через который собираются персональные данные (регистрационные формы, формы обратной связи, подписки на рассылку), нужно разместить согласие на обработку ПД или ссылку на страницу с таким согласием, — комментирует юрист. — Предоставление согласия пользователь может осуществить, например, нажатием чек-бокса. Главное, чтобы компания могла в дальнейшем подтвердить факт его получения».

Согласие на обработку персональных данных является наиболее популярным, но не единственным основанием, позволяющим обрабатывать ПД посетителей интернет-сайта, уточняет Зарайский.

Примечание. Если фармкомпания на своем сайте организует школу пациентов или кампанию по повышению осведомленности о каком-либо заболевании, то основанием обработки персональных данных участников таких мероприятий может выступать договор (в том числе безвозмездный), заключаемый с пользователем через сайт и регулирующий порядок участия в мероприятии.

При этом данные должны обрабатываться в таком объеме, который минимально необходим для исполнения договора, а также чтобы персональные данные не относились к специальной категории (сведения о состоянии здоровья, расовой принадлежности, политических взглядах).

В некоторых случаях фармкомпании, может быть, сложно обеспечить соответствие законодательству даже при готовности получить согласие на обработку ПД, констатирует Зарайский. Дело в том, что большинство фармкомпаний в целях исполнения требований о фармаконадзоре размещают на своих сайтах формы обратной связи, через которые пользователи могут сообщить о нежелательных реакциях. В составе такой информации, как правило, есть персональные данные о состоянии здоровья субъекта ПД, а они как раз относятся к спецкатегории. Для их обработки требуется получить письменное согласие.

«Сделать это можно было бы посредством применения простой электронной подписи посетителя сайта (подтверждение по СМС, электронной почте и пр.), однако юридическая корректность такого подхода пока остается дискуссионной», — предупреждает Зарайский.

Поэтому фармкомпаниям в данном случае в качестве основания для обработки персональных данных по фармаконадзору остается лишь полагаться на основания из п. 3 (защита жизни или здоровья субъекта данных или третьих лиц при невозможности получить согласие субъекта данных) или п. 6 (установление или осуществление прав субъекта данных или третьих лиц) ч. 2 ст. 10 ФЗ-152.

«При сборе через сайт персональных данных, включая и те, что относятся к фармаконадзору, компания должна обеспечивать локализацию ПД российских граждан на серверах, расположенных в России», — резюмирует юрист.

В этом контексте при сборе информации через сайт фармкомпаниям следует обратить внимание, соблюдается ли требование о локализации сервисом маркетинговой аналитики, применяемым на сайте, акцентирует внимание эксперт. Если при использовании такого сервиса данные не локализуются на сервере в России, то ответственность за это может лечь на владельца сайта.

Каких ошибок следует избегать

При обработке персональных данных пациентов фармкомпании допускают шесть наиболее частых ошибок, подчеркивает юрист «Пепеляев Групп» Наталия Балекина:

1. Обрабатываемые ПД избыточны по сравнению с требованиями Приказа Росздравнадзора № 1071 от 15.02.2017 «Об утверждении Порядка осуществления фармаконадзора».

2. Осуществляется обработка специальных категорий ПД (касающихся состояния здоровья) без согласия субъекта в письменной форме.

3. Передача ПД (в т.ч. трансграничная) осуществляется третьим лицам в случаях, не предусмотренных российским законодательством, без согласия субъекта (например, в штаб-квартиру, аффилированным лицам, подрядчикам).

4. Трансграничная передача ПД (например, в штаб-квартиру) осуществляется до подачи в Роскомнадзор уведомления о намерении осуществлять трансграничную передачу (требования ст. 12 ФЗ-152).

5. Сбор ПД осуществляется с использованием баз данных, находящихся за пределами территории России.

6. На сайте, с помощью которого осуществляется сбор ПД в рамках осуществления фармаконадзора, не опубликована политика в отношении обработки ПД или опубликована политика, не соответствующая ФЗ-152.

Примечание. Директор по медицинскому маркетингу и проектам компании «Алфарма» Жанна Чаляби: «В первую очередь следует определить цель сайта: что именно фармкомпания хочет получить при разработке, какую основную коммуникационную/маркетинговую задачу намерена выполнить, на какую основную аудиторию ориентируется. Любому бизнесу необходимо глубокое понимание потребностей целевой аудитории, особенностей ее выбора. Соответственно, к созданию контента необходимо подходить серьезно и осознанно. Рекомендуется избегать информационного перегруза, который может повлиять на снижение внимания потенциального потребителя. Не стоит создавать контент ради контента».

Подписано в печать

24.10.2024

---