Статья: Обезличивание персональных данных о здоровье пациентов по запросам Минцифры России

(Березинский В.С.)

(Подготовлен для системы КонсультантПлюс, 2025)

Березинский Вадим Сергеевич, юрист.

В эпоху цифровизации здравоохранения стремительно растут объемы и разнообразие медицинских данных: результаты лабораторных исследований, рентгеновские снимки, данные о профилактике и лечении — все это становится основой для аналитики, прогнозов и принятия более точных решений, обучения нейросетей. Большие данные в медицине для решения общенациональных задач не требуют привязки к конкретному человеку, наоборот, целесообразно использовать обезличенные наборы данных, однако их источник — массивы персональных данных, получаемых каждой медицинской организацией в ежедневной работе с пациентами.

Сегодня государство заинтересовано получить от медицинских организаций накопленные ими массивы медицинских данных и создает для этого правовые и организационные механизмы. Вместе с тем сбор и использование обезличенных данных о здоровье предъявляют серьезные требования к технической, организационной и правовой готовности медицинских организаций. Неподготовленность несет риски как для самих учреждений (риски нарушения защиты данных), так и для пациентов (утечка, неконтролируемое использование данных).

1. Обязанность медицинской организации обезличить и представить данные о здоровье в Минцифры России

Персональные данные, касающиеся состояния здоровья, закон относит к специальной категории данных и предъявляет повышенные требования к их защите (ч. 1 ст. 10 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных)).

Вместе с тем ч. 2.1 ст. 10 Закона о персональных данных с 1 сентября 2025 года прямо допускает обработку персональных данных, касающихся состояния здоровья, полученных в результате обезличивания, для формирования составов данных в целях повышения эффективности государственного или муниципального управления.

Часть 1 ст. 13.1 Закона о персональных данных также сознательно исключает персональные данные, касающиеся состояния здоровья, из перечня запретов для формирования составов данных.

Все это свидетельствует о том, что государство планирует массово и регулярно получать от медицинских организаций большие составы данных о здоровье, накопленные ими в процессе медицинской деятельности, в целях совершенствования систем управления. Для медицинской организации это означает необходимость заранее обеспечить внутренние процессы, ресурсы и готовность к участию в таких проектах.

В связи с этим крупные медицинские клиники как государственной, так и частной системы здравоохранения уже сегодня должны:

• обеспечить техническую готовность выполнять запросы Минцифры России с требованием обезличить персональные данные и представить их в государственную информационную систему;
• разработать внутренний регламент взаимодействия подразделений на случай получения требований от Минцифры России, порядок выполнения запроса и назначить ответственных лиц;
• при получении требования от Минцифры России обезличить обрабатываемые персональные данные в соответствии с установленными требованиями, методами и порядком обезличивания (ч. 3 ст. 13.1 Закона о персональных данных);
• представить персональные данные, полученные в результате обезличивания, в государственную информационную систему (ч. 4 ст. 13.1 Закона о персональных данных).

Далее разберем технические требования, которые медицинская организация должна выполнить, чтобы быть готовой к запросам Минцифры России.

2. Технические требования и условия, необходимые для выполнения запроса Минцифры России

Для того чтобы медицинская организация могла своевременно и корректно выполнить запрос Минцифры России о предоставлении обезличенных данных о здоровье пациентов, необходимо обеспечить комплекс технических условий, предусмотренных:

• Правилами взаимодействия федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, с операторами и взаимодействия государственной информационной системы, определенной в соответствии с частью 2 статьи 13.1 Федерального закона «О персональных данных», и информационных систем операторов, утвержденными Постановлением Правительства РФ от 26.06.2025 № 966 (далее — Правила № 966);
• Правилами обезличивания персональных данных, утвержденными Постановлением Правительства РФ от 01.08.2025 № 1154 (далее — Правила № 1154).

Прежде всего медицинская организация должна быть подключена к информационной системе «Единая информационная платформа национальной системы управления данными» — ЕИП НСУД (https://nsud.gosuslugi.ru/), через которую осуществляется прием и обработка обезличенных данных. Такое подключение обеспечивается через личный кабинет оператора или посредством Единой системы межведомственного электронного взаимодействия — ЕИС МЭВ (абз. 2 п. 2 Правил № 966).

Во-вторых, оператор обязан обладать технической возможностью формирования и передачи обезличенных данных в автоматизированном режиме. Это означает наличие соответствующего программного обеспечения, которое обеспечивает применение утвержденных методов обезличивания, а также интеграцию с ЕИП НСУД для автоматической выгрузки данных. В соответствии с абз. 3 п. 2 Правил № 966, п. 7 Правил № 1154 медицинская организация может использовать как типовое тиражируемое программное обеспечение, безвозмездно предоставляемое Минцифры, так и иное программное обеспечение при условии подтверждения его соответствия требованиям Минцифры и ФСБ России.

В-третьих, медицинская организация должна обеспечить раздельное хранение персональных данных и обезличенных наборов данных (пп. «б» п. 2 Требований к обезличиванию персональных данных, утвержденных Постановлением Правительства РФ от 01.08.2025 № 1154). Это требование направлено на исключение риска обратной идентификации пациентов и обеспечивает надежное соблюдение принципа изоляции идентифицирующей информации от обезличенных массивов.

В-четвертых, передача данных между информационными системами допускается только по защищенным каналам связи с использованием средств криптографической защиты информации, сертифицированных ФСБ России (абз. 4 п. 2 Правил № 966). Информационная система медицинской организации должна обеспечивать защиту информации от неправомерного уничтожения, блокирования, модификации либо копирования посредством применения организационных и технических мер защиты информации, а также посредством осуществления контроля за эксплуатацией указанных информационных систем и каналов связи между ними в соответствии с требованиями о защите информации, установленными ФСБ и ФСТЭК (абз. 7 п. 2 Правил № 966).

В-пятых, обмен данными с уполномоченным органом должен сопровождаться использованием усиленной квалифицированной электронной подписи (УКЭП). В соответствии с пп. «а» п. 4 Правил № 966 все передаваемые оператором обезличенные данные должны подписываться УКЭП уполномоченного лица медицинской организации, что гарантирует юридическую значимость, а также достоверность происхождения и неизменность передаваемого массива. В случаях, когда передача данных осуществляется не через ЕИС МЭВ или личный кабинет, а на съемных носителях, использование УКЭП также является обязательным условием при передаче и при формировании сопроводительной документации.

Наконец, медицинская организация должна иметь возможность хранения и обработки информации о параметрах обезличивания. Если для обезличивания используются собственные программно-аппаратные средства, в Минцифры потребуется направить информацию о применяемых параметрах такого метода обезличивания персональных данных, включая соответствие атрибутов персональных данных и их формата, критериев выборки персональных данных положениям, указанным в требовании о предоставлении обезличенных данных (п. 9 Правил № 1154).

Справедливости ради стоит отметить, что в настоящий момент сохраняется возможность взаимодействовать с Минцифры непосредственно путем личных встреч и с использованием почтовой связи (абз. 1 п. 2 Правил № 966) и при отсутствии технической возможности подключения к ЕИП НСУД представлять информацию непосредственно на съемном машинном носителе информации с соблюдением организационных и технических мер по защите информации (пп. «б» п. 4 Правил № 966). В то же время логично будет предположить, что такой способ взаимодействия в дальнейшем, скорее всего, будет исключен как нетехнологичный.

Таким образом, выполнение запроса Минцифры России требует от медицинской организации не только правовой, но и полноценной технологической готовности. Только при соблюдении этих технических условий медицинская организация сможет исполнить требования уполномоченного органа корректно, безопасно и в установленные сроки, минимизировав риски нарушения законодательства о персональных данных и информационной безопасности.

3. Обезличивание персональных данных о состоянии здоровья в медицинской организации

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных (п. 9 ст. 3 Закона о персональных данных).

Смысл обезличивания заключается не в простом удалении фамилий и паспортных данных, а в создании такого набора сведений, из которого невозможно восстановить личность пациента даже косвенным образом.

3.1 Допустимые методы обезличивания данных

Постановление Правительства РФ от 01.08.2025 № 1154 устанавливает перечень допустимых методов обезличивания и порядок их применения.

Во-первых, допускается метод введения идентификаторов (псевдонимизация), при котором персональные данные заменяются уникальными кодами или условными номерами. Например, вместо фамилии пациента система проставляет внутренний идентификатор «Пациент № А-2031», а таблица соответствия хранится отдельно и недоступна при формировании набора данных.

Во-вторых, применяется метод изменения состава или семантики данных, заключающийся в частичном удалении, округлении или замене некоторых полей. Например, из электронной медицинской карты исключаются точные даты рождения и адреса, оставляются только возрастные диапазоны и названия муниципалитетов.

В-третьих, используется метод декомпозиции, при котором исходный массив данных разделяется на несколько частей, каждая из которых не позволяет установить личность субъекта. В медицинской практике это может означать, например, хранение диагноза и сведений о лечении в разных базах данных.

В-четвертых, допускается метод перемешивания записей, когда система изменяет порядок записей и распределяет их между блоками так, чтобы потерялась последовательность, отражающая индивидуальную историю пациента. Например, данные о приемах врача за год могут быть переставлены случайным образом без изменения содержания самих визитов.

Наконец, в-пятых, Постановление предусматривает метод преобразования или агрегации данных. Например, вместо индивидуальных показателей пациентов используются средние значения или данные суммируются по определенному признаку.

3.2 Алгоритм исполнения запроса Минцифры России

Процесс обезличивания в медицинской организации должен иметь строго определенную последовательность действий.

1. Организация получает и регистрирует официальное требование Минцифры России о представлении обезличенных данных, в котором указываются цели обработки и категории запрашиваемых сведений.

2. Ответственное лицо проверяет, находятся ли запрашиваемые данные в наличии в организации (п. 5 Правил № 966) и не содержат ли они сведений, доступ к которым ограничен федеральными законами, — такие сведения подлежат исключению из состава (пп. «г» п. 2 Требований к обезличиванию персональных данных, утвержденных Постановлением Правительства РФ от 01.08.2025 № 1154).

3. Проводится выбор метода обезличивания и программного обеспечения, данные проходят техническую обработку с использованием типового программного обеспечения, безвозмездно предоставляемого Минцифры, или собственного программного решения.

4. Формируется итоговый набор обезличенных данных, который сохраняется в отдельном хранилище, физически и логически изолированном от хранилищ, содержащих исходные персональные данные.

5. Обезличенные данные подписываются усиленной квалифицированной электронной подписью ответственного лица.

6. Подписанные обезличенные данные представляются в информационную систему ЕИП НСУД с использованием личного кабинета или посредством ЕИС МЭВ, а при отсутствии технической возможности — непосредственно на съемном машинном носителе информации с соблюдением организационных и технических мер по защите информации (пп. «б» п. 4 Правил № 966).

Срок исполнения требования о представлении обезличенных данных устанавливается в самом требовании и не может составлять менее 5 рабочих дней для передачи через ЕИП НСУД и 30 рабочих дней — для передачи на съемном машинном носителе информации (п. 3 Правил № 966).

Заключение

Система обезличивания медицинских данных, формируемая Минцифры России, открывает новые перспективы для развития отечественного здравоохранения — от совершенствования статистики до внедрения аналитических и ИИ-решений. Однако эти возможности требуют ответственного отношения медицинских организаций к работе с данными. Грамотное обезличивание и передача данных в безопасной форме становятся не просто требованием закона, а условием доверия пациентов и основой для построения цифровой медицины будущего.

---