Статья: Трансграничная передача персональных данных в медицинской организации

(Березинский В.С.)

(Подготовлен для системы КонсультантПлюс, 2025)

Березинский Вадим Сергеевич, юрист.

Введение

Вопрос трансграничной передачи персональных данных традиционно воспринимается медицинскими организациями как редкая и контролируемая ситуация — например, при направлении пациента на лечение за границу или участии в международных клинических исследованиях. Однако в современной цифровой среде значительная часть таких передач происходит незаметно для администрации и персонала клиник. Использование иностранных облачных сервисов, телеметрических функций медицинского оборудования, зарубежных платформ для телемедицины и аналитики нередко влечет автоматическую передачу данных пациентов на серверы, расположенные за пределами Российской Федерации.

Эти неявные сценарии трансграничной передачи создают для медицинских организаций правовые и репутационные риски: нарушение требований локализации и уведомления уполномоченного органа, утрата контроля над данными, невозможность подтвердить адекватный уровень их защиты в иностранной юрисдикции. Именно поэтому выявление и документирование всех потенциальных каналов трансграничной передачи становится ключевым элементом системы защиты персональных данных в сфере здравоохранения.

1. Ситуации, в которых в деятельности медицинской организации может происходить трансграничная передача персональных данных

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (п. 11 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных)).

К числу очевидных для медицинской деятельности случаев относятся ситуации, когда передача данных осуществляется в рамках международного медицинского сотрудничества — например, при организации телемедицинских консультаций с участием иностранных специалистов, при обмене результатами обследований между российской и зарубежной клиниками или при передаче данных участников международных клинических исследований лекарственных препаратов. В таких случаях характер трансграничной передачи обычно понятен и осознается медицинской организацией, а значит, может быть заранее учтен при оформлении согласий пациентов и уведомлении уполномоченного органа.

Гораздо больший риск представляют менее заметные, неявные каналы трансграничной передачи, возникающие в ходе эксплуатации современных цифровых систем. Многие клиники используют облачные сервисы для хранения данных, резервного копирования, ведения электронных медицинских карт, телемедицинских приемов и внутренней коммуникации. Если дата-центры таких сервисов расположены за пределами Российской Федерации либо иностранный поставщик имеет доступ к инфраструктуре, происходит фактическая передача персональных данных на территорию другого государства.

Аналогичные риски возникают при применении медицинского оборудования, в состав которого входит программное обеспечение зарубежного производства: телеметрические функции, обновления и удаленная диагностика часто предполагают автоматическую отправку данных на серверы производителя.

Отдельного внимания требуют ситуации, когда иностранные компании оказывают техническую поддержку или доступ к информационным системам медицинской организации. Даже если фактическое копирование данных не осуществляется, возможность удаленного доступа сотрудников иностранного контрагента к базе пациентов сама по себе образует трансграничную передачу в смысле законодательства о персональных данных.

Схожая правовая природа у случаев использования зарубежных аналитических сервисов, систем искусственного интеллекта или инструментов распознавания изображений, обрабатывающих медицинские данные вне территории России.

Медицинской организации необходимо системно выявлять все такие сценарии, поскольку их совокупность формирует реальную картину трансграничных потоков персональных данных. Для этого целесообразно вести реестр трансграничных передач, в котором фиксируются цели, категории данных, страны получателей, контрагенты, а также применяемые меры защиты и правовые основания передачи. Такой реестр не только помогает выполнить требования законодательства и обеспечить готовность к проверке со стороны Роскомнадзора, но и служит инструментом внутреннего контроля: позволяет оценить целесообразность каждой передачи, определить возможность локализации данных или их обезличивания.

2. Получение гарантий от иностранных контрагентов при планировании трансграничной передачи персональных данных

До подачи уведомления о трансграничной передаче персональных данных медицинская организация обязана убедиться, что иностранный получатель обеспечивает надлежащую защиту прав субъектов. В соответствии с ч. 5 ст. 12 Закона о персональных данных оператор должен запросить и получить от иностранного контрагента сведения о принимаемых им мерах по защите передаваемых персональных данных и об условиях прекращения их обработки; о действующем в его юрисдикции правовом регулировании в области персональных данных, а также уточнить наименование и номера контактных телефонов, почтовые адреса и адреса электронной почты контрагента.

На практике эти сведения могут быть оформлены в нескольких формах:

• письмо-гарантия (self-assessment) или сертификат мер защиты персональных данных, выданный иностранным контрагентом, где указываются применяемые организационно-технические меры, используемые стандарты шифрования, процедуры ограничения доступа, правила хранения и уничтожения данных;
• раздел или приложение к договору с контрагентом, в котором подробно описываются механизмы защиты, порядок уведомления об инцидентах, обязательства по нераспространению данных и ответственность за их утрату;
• справка или ссылка на нормативные акты, регулирующие обработку персональных данных в государстве контрагента, с указанием компетентного органа по защите данных и действующих международных соглашений.

Гарантийное письмо (self-assessment, самоудостоверение компании — получателя данных) — это письменное заявление иностранного контрагента, в котором он самостоятельно подтверждает, что:

• соблюдает основные принципы защиты персональных данных, закрепленные в Конвенции Совета Европы 1981 года и соответствующих национальных актах (законность, ограничение цели, минимизация, обеспечение безопасности, прозрачность и ответственность);
• внедрил организационные и технические меры защиты, достаточные для предотвращения несанкционированного доступа, изменения или утечки данных (например, внутренние политики, разграничение прав доступа, шифрование, регулярные аудиты);
• ограничивает доступ к данным только уполномоченным сотрудникам, связанным обязательствами конфиденциальности;
• обязуется уведомлять российского оператора о любых инцидентах, нарушениях безопасности или запросах от третьих лиц (в том числе органов иностранного государства), связанных с полученными персональными данными;
• не будет передавать полученные данные дальше, если иное не предусмотрено договором и не согласовано с российским оператором.

Полученные документы целесообразно хранить вместе с внутренним реестром трансграничных передач — они служат доказательством того, что медицинская организация провела предварительную оценку мер защиты и действовала добросовестно при выборе партнера.

Следует учитывать, что проект Федерального закона № 951518-8, внесенный в Государственную Думу России, усиливает требования к оценке адекватности защиты. После его принятия в перечень стран с адекватной защитой будут включаться только те государства, которые не просто формально закрепили принципы Конвенции Совета Европы, но и фактически применяют эффективные меры по обеспечению конфиденциальности и безопасности персональных данных. Это означает, что при взаимодействии с иностранными партнерами медицинским организациям потребуется более тщательно документировать доказательства соблюдения этими партнерами международных стандартов защиты.

Таким образом, сбор и проверка сведений от иностранных контрагентов становятся не формальной процедурой, а ключевым элементом оценки законности трансграничной передачи. От полноты этих сведений зависит возможность подачи уведомления в Роскомнадзор и правовая устойчивость действий медицинской организации при проверках.

3. Уведомление Роскомнадзора о трансграничной передаче персональных данных

В соответствии с ч. 3 ст. 12 Закона о персональных данных медицинская организация обязана уведомить Роскомнадзор о своем намерении осуществлять трансграничную передачу персональных данных.

Важно подчеркнуть, что уведомление о трансграничной передаче является отдельным и самостоятельным уведомлением Роскомнадзора. При этом в уведомлении о трансграничной передаче потребуется указать дату и номер ранее поданного общего уведомления о намерении осуществлять обработку персональных данных (п. 1 ч. 4 ст. 12 Закона о персональных данных).

Необходимо понимать, что подача уведомления — это один из завершающих этапов процесса подготовки к трансграничной передаче данных, перед которым чрезвычайно важно провести подготовительную работу — выявить все случаи трансграничной передачи, составить реестр трансграничных передач, получить от иностранных контрагентов гарантийные письма. Только после этого можно переходить к заполнению уведомления.

Уведомление заполняется на сайте Роскомнадзора по ссылке https://pd.rkn.gov.ru/cross-border-transmission/form2/.

Если в медицинской организации настроены процессы по защите персональных данных и проведена подготовительная работа перед подачей уведомления, то заполнение уведомления не должно составить большого труда. Так, после сведений о юридическом лице (наименование, ИНН, адрес, e-mail) потребуется указать сведения о наличии медицинской организации в реестре операторов (реестровый номер, номер и дату уведомления), о назначенном ответственном лице (Ф.И.О., номер телефона, почтовый адрес, e-mail).

Более тщательно стоит подойти к описанию правовых оснований и целей трансграничной передачи, категорий и перечня передаваемых персональных данных, категорий субъектов персональных данных.

Далее потребуется указать перечень иностранных государств, на территории которых планируется трансграничная передача персональных данных.

В конце потребуется указать дату проведения медицинской организацией оценки соблюдения иностранным контрагентом конфиденциальности персональных данных и обеспечения безопасности персональных данных при их обработке (ч. 4 ст. 12 Закона о персональных данных).

Уведомление можно подписать электронной подписью уполномоченного лица и направить в Роскомнадзор электронно либо распечатать и направить на бумажном носителе.

В целях оценки достоверности сведений, содержащихся в уведомлении, Роскомнадзор вправе запросить в медицинской организации сведения о соблюдении иностранным контрагентом конфиденциальности персональных данных и обеспечения безопасности персональных данных при их обработке (ч. 6 ст. 12 Закона о персональных данных).

Среди оснований для запроса Роскомнадзором дополнительных сведений могут быть планирование трансграничной передачи биометрических персональных данных, специальных категорий персональных данных (в том числе сведений о здоровье), персональных данных, полученных в результате обезличивания персональных данных, персональных данных несовершеннолетних лиц (см. п. 13 Правил, утвержденных Постановлением Правительства РФ от 16.01.2023 № 24).

На представление сведений у медицинской организации будет десять рабочих дней с даты получения такого запроса. По мотивированному уведомлению с указанием причин срок может быть продлен, но не более чем на пять рабочих дней.

Информацию о статусе рассмотрения уведомления можно проверить по ссылке: https://pd.rkn.gov.ru/cross-border-transmission/notification_check/.

Если иностранное государство указано в Перечне иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, утвержденном Приказом Роскомнадзора от 05.08.2022 № 128, то медицинская организация вправе осуществлять трансграничную передачу персональных данных на его территорию, не дожидаясь решения Роскомнадзора по уведомлению (ч. 10 ст. 12 Закона о персональных данных).

Если иностранного государства в указанном Перечне нет, то необходимо воздержаться от трансграничной передачи до истечения сроков, отведенных на принятие решения по уведомлению, кроме случаев, если такая трансграничная передача персональных данных необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц (ч. 11 ст. 12 Закона о персональных данных).

Заключение

Таким образом, в условиях цифровизации здравоохранения контроль трансграничных потоков данных требует от медицинских организаций не только соблюдения формальных процедур уведомления, но и внедрения системы постоянного мониторинга мер защиты персональных данных пациентов и работников.

---