Персональные данные пациентов: защита, обработка и ответственность в медицине
Медицинские организации ежедневно собирают, хранят и передают сведения, относящиеся к наиболее чувствительной категории персональных данных — сведениям о состоянии здоровья. Законодательство России устанавливает особый режим защиты таких данных: одновременно действуют Федеральный закон № 152-ФЗ «О персональных данных», статья 13 Федерального закона № 323-ФЗ «Об основах охраны здоровья граждан» о врачебной тайне, а также требования Роскомнадзора и Минздрава. Несоблюдение этих норм влечёт административную, гражданско-правовую и даже уголовную ответственность.
На этой странице — системный разбор правовых основ обработки персональных данных в медицине, практические требования к документации и типичные ошибки, за которые медицинские организации уже получают многомиллионные штрафы.
Нормативная основа: что регулирует обработку медицинских данных
Закон о персональных данных
Устанавливает общие требования к обработке ПД, права субъектов и обязанности операторов. Сведения о здоровье относятся к специальным категориям (ст. 10) — для них действует запрет на обработку без явного письменного согласия субъекта или иного законного основания.
Врачебная тайна
Сведения о факте обращения за медицинской помощью, диагнозе, результатах обследований и любых иных сведениях, полученных при оказании медпомощи, составляют врачебную тайну. Разглашение возможно только в строго перечисленных случаях с согласия пациента или без него — по основаниям закона.
Медицинская документация
Приказ № 947н и иные ведомственные акты регулируют формы первичной медицинской документации, порядок ведения электронных медицинских карт (ЭМК) и подключения к ЕГИСЗ, где требования к защите данных особенно строги.
Ответственность
Статья 13.11 КоАП предусматривает штрафы до 500 000 ₽ для организаций за нарушения в сфере ПД. Разглашение врачебной тайны с причинением вреда — состав преступления по ст. 137 УК РФ (лишение свободы до 4 лет).
Что обязана сделать медицинская организация
Любая клиника, больница или частный врач-ИП, обрабатывающие персональные данные пациентов, являются операторами ПД и несут полный объём обязанностей по 152-ФЗ. Ниже — минимально необходимый перечень организационных и технических мер.
| Обязанность | Основание | Срок / периодичность |
|---|---|---|
| Уведомить Роскомнадзор о начале обработки ПД | Ст. 22 152-ФЗ | До начала обработки |
| Назначить ответственного за организацию обработки ПД | Ст. 18.1 152-ФЗ | Приказом, без срока |
| Разработать и утвердить Политику обработки ПД | Ст. 18.1 152-ФЗ | До начала обработки; актуализация — ежегодно |
| Получить письменное согласие на обработку специальных категорий ПД | Ст. 10 152-ФЗ | До начала обработки каждого пациента |
| Провести классификацию ИСПДн и аттестацию / оценку соответствия | Приказ ФСТЭК № 21 | До ввода системы в эксплуатацию |
| Обеспечить хранение данных на территории РФ | Ст. 18 ч. 5 152-ФЗ | Постоянно |
| Уничтожить или обезличить данные по достижении цели обработки | Ст. 21 152-ФЗ | В течение 30 дней |
| Обеспечить права субъекта: доступ, исправление, удаление | Ст. 14–17 152-ФЗ | В течение 10–30 дней с запроса |
Комплект внутренней документации по ПД — обязательное условие работы медицинской организации
Согласие на обработку данных: форма, содержание, отзыв
Согласие на обработку специальных категорий ПД (сведений о здоровье) должно быть конкретным, информированным, сознательным и однозначным. Типовая фраза «я согласен на обработку персональных данных» — недостаточна. Закон требует, чтобы в тексте согласия содержались:
- Наименование и адрес оператора — полные реквизиты клиники или врача-ИП.
- Конкретный перечень данных — Ф.И.О., дата рождения, СНИЛС, диагноз, результаты анализов и т.д.
- Цели обработки — оказание медицинской помощи, ведение медицинской документации, передача в страховую компанию (ОМС/ДМС) и т.д.
- Перечень действий с данными — сбор, запись, хранение, передача третьим лицам с их указанием.
- Срок действия согласия и порядок его отзыва — пациент вправе отозвать согласие в любой момент.
- Последствия отзыва — оператор обязан прекратить обработку и уничтожить данные, если иное не предусмотрено законом (например, сроки хранения медицинской документации).
Получение согласия по 152-ФЗ не заменяет требований о соблюдении врачебной тайны по 323-ФЗ. Даже при наличии согласия на обработку ПД передача сведений третьим лицам без оснований, указанных в ст. 13 323-ФЗ, является разглашением врачебной тайны.
Частые ошибки медицинских организаций и их последствия
Плановые и внеплановые проверки Роскомнадзора в медицине участились с 2022 года
1. Размещение данных пациентов в мессенджерах и на иностранных облаках
Передача результатов анализов через WhatsApp, хранение ЭМК на зарубежных серверах (Google Drive, Dropbox) — прямое нарушение требования о локализации данных в РФ. Штраф: до 18 млн ₽ за повторное нарушение.
2. Отсутствие или ненадлежащее оформление согласия
«Галочка» на сайте без указания специальных категорий ПД, устное согласие вместо письменного, отсутствие перечня третьих лиц, которым передаются данные (страховые компании, лаборатории). Штраф: до 150 000 ₽ за каждый случай.
3. Публикация сведений о пациентах в соцсетях
«Кейсы до/после», фотографии с операций без надлежащего согласия — одно из самых распространённых нарушений в эстетической медицине. Пациент вправе потребовать компенсацию морального вреда и удаление контента.
4. Передача данных родственникам без согласия пациента
Сообщить диагноз супругу или родителям совершеннолетнего пациента без его согласия — нарушение врачебной тайны, даже если это делается «из лучших побуждений». Исключения строго перечислены в ст. 13 323-ФЗ.
5. Неуведомление об утечке данных
С 2023 года оператор обязан уведомить Роскомнадзор об инциденте безопасности в течение 24 часов, а о результатах расследования — в течение 72 часов. Задержка или сокрытие утечки многократно увеличивают штраф.
Часто задаваемые вопросы
Да. Исключения из обязанности уведомления (ст. 22 152-ФЗ) не распространяются на обработку специальных категорий ПД, к которым относятся сведения о здоровье. Врач-ИП, ведущий медицинскую документацию, обязан подать уведомление в Роскомнадзор вне зависимости от масштаба практики.
Медицинская карта амбулаторного пациента хранится 25 лет (Приказ Минздрава № 661н). Это обязательный срок хранения медицинской документации, который является самостоятельным основанием для сохранения ПД даже после отзыва согласия пациентом. По истечении сроков данные подлежат уничтожению с составлением акта.
Пациент вправе отозвать согласие и потребовать прекратить обработку, однако клиника может отказать в удалении, если обработка продолжается на ином законном основании — например, исполнение обязанности по хранению медицинской документации, установленной законом. В этом случае оператор прекращает использование данных в маркетинговых целях, но сохраняет медицинскую карту в течение установленного срока.
Не обязательно отдельное — достаточно, чтобы в первоначальном согласии лаборатория или телемедицинская платформа были указаны в перечне третьих лиц, которым передаются данные, с описанием целей передачи. Если при заключении договора с пациентом эти лица не упоминались — необходимо дополнительное согласие или перезаключение имеющегося.
Для информационных систем, обрабатывающих специальные категории ПД без использования сотрудниками, не являющимися субъектами, как правило устанавливается УЗ-3. При наличии угроз 1-го или 2-го типа (актуальность НДВ в системном ПО) — УЗ-2 или УЗ-1. Конкретный уровень определяется по Постановлению Правительства № 1119 с учётом модели угроз ФСТЭК.
Приведём документацию по ПД в соответствие с законом
Наша практика сопровождает медицинские организации: от аудита текущего состояния до разработки полного пакета документов, обучения персонала и защиты при проверках Роскомнадзора. Работаем с клиниками, стоматологиями, лабораториями, телемедицинскими платформами.
- ✓ Аудит обработки персональных данных
- ✓ Разработка Политики и форм согласий
- ✓ Уведомление Роскомнадзора
- ✓ Сопровождение при проверках и инцидентах
- ✓ Обучение медицинского персонала