Рекомендации по обработке персональных данных в медицинских организациях

• в целях его обследования и лечения, если он не способен из-за своего состояния выразить собственную волю;
• при угрозе распространения инфекционных заболеваний, массовых отравлений и поражений;
• по запросу органов дознания, следствия и суда;
• при оказании помощи несовершеннолетнему в возрасте до 15 лет для информирования его родителей или законных представителей;
• если есть основания полагать, что вред здоровью причинен в результате противоправных действий;
• в целях проведения военно-врачебной экспертизы.

Стоит обратить внимание, что в соответствии с постановлением Правительства РФ № 687 от 15.09.2008 персональные данные, обрабатываемые на бумажных носителях, должны обособляться от иной информации — путём их представления на отдельных листах, в специальных разделах или в полях форм (бланков) документов (п. 4 этого постановления). Кроме того, в типовых формах документов должно быть предусмотрено поле, в котором субъект ПД может поставить отметку о своем согласии на обработку его ПД (подпункт “б” пункта 7). Из этого, в частности, следует, что подавляющее большинство персонифицированных форм учётно-отчётных документов, которые сейчас используются в здравоохранении, подлежит переработке.

Еще одно замечание, не имеющее прямого отношения к этой теме, касается согласия медицинского работника на передачу его персональных данных. В соответствии со статьей 88 Трудового кодекса РФ медицинское учреждение при передаче ПД сотрудника, например, в органы Росздравнадзора для ведения федерального регистра медицинских работников (см. приказ Минздравсоцразвития России № 14н от 17.01.2008) обязано получить его письменное на то согласие. Целесообразно включить это согласие в трудовой договор с работником. На сайте www.54.rsoc.ru опубликованы образцы некоторых документов, необходимых для организации работы с персональными данными в учреждении, в частности положение о защите ПД работников, обязательство работника о неразглашении конфиденциальной информации (ПД) и др.

Организация защиты конфиденциальной информации

Обработка персональных данных в медицинских  учреждениях должна осуществляться с соблюдением необходимых мер, обеспечивающих конфиденциальность информации и её защиту от несанкционированного доступа.

Защита информации — это целый комплекс организационно-технических мероприятий, направленных на предотвращение несанкционированного доступа к данным и документам, их потери и искажения. Организация и поддержание системы информационной безопасности (ИБ) требуют значительных ресурсов. Например, в финансово-кредитных организациях расходы на защиту информации составляют около 20% от совокупных расходов на ИТ.

Работы  по организации системы ИБ, включая  защиту ПД, должны быть неотъемлемой частью проекта по созданию или модернизации ИС (п. 4 Положения), и их следует выделить в отдельный этап или контракт. В общем случае они включают три фазы:

1. предпроектную фазу — обследование и определение класса ИС, предварительное определение способов и состава средств защиты информации (СЗИ);
2. проектную фазу — разработку технического задания на создание комплексной системы защиты информации, в том числе построение модели угроз безопасности конфиденциальной информации, техническое и рабочее проектирование системы;
3. ввод в эксплуатацию — закупку сертифицированных СЗИ, их инсталляцию, обучение персонала, издание организационно-распорядительных документов о допуске персонала и регламентах обработки конфиденциальной информации, назначение ответственных, организацию контроля, аудита и т. п., а также аттестацию системы на соответствие требованиям безопасности обработки конфиденциальной информации.

Классификация ИС, в которых обрабатываются персональные данные, должна отвечать требованиям  документа “Порядок проведения классификации  информационных систем персональных данных”, утвержденного совместным приказом ФСТЭК, ФСБ и Мининформсвязи России № 55/86/20от 13.02.2008. В этом документе (далее — Порядок) указано, что:

• классификация проводится на основе таких критериев, как категория обрабатываемых данных (сведения о состоянии здоровья относятся к наивысшей, первой категории — см. п. 6 Порядка), их объём, характеристики безопасности, структура ИС, наличие подключения к Интернету, режим обработки ПД, режим разграничения прав доступа, местонахождение технических средств;
• присвоение класса ИС осуществляется самим оператором ПД (медицинским учреждением), класс должен быть оформлен документально; заметим, что в соответствии с п. 8 Порядка медицинские ИС относятся к специальным системам, поскольку в них обрабатываются данные о состоянии здоровья пациентов. Как указано в п. 16 Порядка, класс специальных ИС определяется на основе анализа данных и модели угроз безопасности ПД в соответствии с методическими документами ФСТЭК и ФСБ. К таким документам сегодня относятся следующие.

1. “Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных” (утвержден ФСТЭК 14.02.2008, имеет гриф “Для служебного пользования” — ДСП; документы с грифом ДСП могут быть получены в органах ФСТЭК по официальному запросу).

2. “Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных” (утверждён ФСТЭК 15.02.2008, ДСП).
3. “Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных” (утверждён ФСТЭК 15.02.2008, ДСП).
4. “Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных” (утверждён ФСТЭК 15.02.2008, ДСП).
5. “Специальные требования и рекомендации по технической защите конфиденциальной информации” (утвержден Гостехкомиссией России 30.08.2002).
6. “Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации” (утверждён Гостехкомиссией России 30.03.1992).
7. “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных” (утверждён руководством 8 Центра ФСБ России 21.02.2008, № 149/6/6-622).
8. “Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации” (утверждён руководством 8 Центра ФСБ России 21.02.2008, № 149/54-144).

В соответствии с перечисленными документами ИС организаций здравоохранения, в  которых обрабатываются персональные данные о состоянии здоровья пациентов, необходимо отнести к следующим  классам: 

• класс 1Г (максимальный гриф обрабатываемой информации — “конфиденциально”) — согласно руководящему документу, указанному в приведенном выше перечне под номером 6; 
• класс К1 (все ИС, в которых обрабатывается информация первой категории относятся к 1-му классу (К1) — согласно документу под номером 4 в перечне.

В соответствии с перечисленными выше документами  организации, эксплуатирующие информационные системы классов 1Г и К1, обязаны:

а) получить лицензию ФСТЭК на техническую защиту информации (срок действия — пять лет);

б) выполнить все необходимые мероприятия по обеспечению защиты информации для указанных классов информационных систем;

в) провести аттестационные испытания ИС по требованиям ФСТЭК.

Кроме того, при использовании в учреждении средств криптографической защиты информации может потребоваться получение лицензии ФСБ (см. указ. статью). Заметим, что во всех случаях установка в ИС ПД сертифицированных средств криптографической защиты информации должна осуществляться организацией, имеющей соответствующую лицензию ФСБ.

Аттестация ИС проводится с привлечением внешней организации-аудитора, имеющей соответствующий аттестат аккредитации ФСТЭК. Если проверка показала, что система защиты ПД данной ИС соответствует установленным требованиям, то выдается аттестат соответствия (сроком на три года). С порядком получения лицензии на техническую защиту информации, проведения аттестации ИС и перечнем организаций, уполномоченных проводить аттестационные испытания, можно ознакомится на сайте ФСТЭК (www.fstec.ru).

При организации  рабочих процессов в учреждении необходимо стремиться к максимально  возможному сокращению перечня сотрудников, имеющих доступ к ПД пациентов. Руководитель учреждения должен утвердить перечень должностных лиц, допущенных к обработке персональных данных в информационной системе. Порядок их доступа к конфиденциальным сведениям и ПД, хранящимся в базах данных ИС, должен определяться соответствующими регламентами и должностными инструкциями.

Примерный образец письменного согласия пациента на обработку его персональных данных

СОГЛАСИЕ 

на  обработку персональных данных

Я, нижеподписавшийся <Ф.И.О. полностью>, проживающий по адресу <по месту регистрации>, паспорт <серия и номер>, выдан <дата и название выдавшего органа>, в  соответствии с требованиями статьи 9 федерального закона от 27.07.06 г. “О персональных данных” № 152-ФЗ, подтверждаю свое согласие на обработку <название и адрес медицинского учреждения> (далее — Оператор) моих персональных данных, включающих: фамилию, имя, отчество, пол, дату рождения, адрес места жительства, контактный(е) телефон(ы), реквизиты полиса ОМС (ДМС), страховой номер индивидуального лицевого счета в Пенсионном фонде России (СНИЛС), данные о состоянии моего здоровья, заболеваниях, случаях обращения за медицинской помощью — в медико-профилактических целях, в целях установления медицинского диагноза и оказания медицинских услуг при условии, что их обработка осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным сохранять врачебную тайну. В процессе оказания Оператором мне медицинской помощи я предоставляю право медицинским работникам передавать мои персональные данные, содержащие сведения, составляющие врачебную тайну, другим должностным лицам Оператора, в интересах моего обследования и лечения.

Предоставляю  Оператору право осуществлять все  действия (операции) с моими персональными  данными, включая сбор, систематизацию, накопление, хранение, обновление, изменение, использование, обезличивание, блокирование, уничтожение. Оператор вправе обрабатывать мои персональные данные посредством внесения их в электронную базу данных, включения в списки (реестры) и отчетные формы, предусмотренные документами, регламентирующими предоставление отчетных данных (документов) по ОМС (договором ДМС).

Оператор  имеет право во исполнение своих  обязательств по работе в системе  ОМС (по договору ДМС) на обмен (прием  и передачу) моими персональными  данными со страховой медицинской  организацией <название> и территориальным  фондом ОМС с использованием машинных носителей или по каналам связи с соблюдением мер, обеспечивающих их защиту от несанкционированного доступа, при условии, что их прием и обработка будут осуществляется лицом, обязанным сохранять профессиональную тайну.

Срок  хранения моих персональных данных соответствует сроку хранения первичных медицинских документов (медицинской карты) и составляет <двадцать пять лет>.

Передача  моих персональных данных иным лицам  или иное их разглашение может  осуществляться только с моего письменного  согласия.

Настоящее согласие дано мной <дата> и действует бессрочно.

Я оставляю за собой право отозвать свое согласие посредством составления соответствующего письменного документа, который  может быть направлен мной в адрес  Оператора по почте заказным письмом  с уведомлением о вручении либо вручен лично под расписку представителю Оператора.

В случае получения моего письменного  заявления об отзыве настоящего согласия на обработку персональных данных Оператор обязан прекратить их обработку в  течение периода времени, необходимого для завершения взаиморасчетов по оплате оказанной мне до этого медицинской помощи.

Контактный(е) телефон(ы) <...> и почтовый адрес <...>

Подпись субъекта персональных данных __________