Анализ последних изменений в требованиях к организации обработки персональных данных в здравоохранении

Вопросы организации безопасной обработки и защиты персональных данных остаются в фокусе внимания руководителей медицинских учреждений. Значительная часть проблем обусловлена смешанным характером обработки информации в здравоохранении — одновременным использованием бумажных носителей и электронных документов, что серьезно осложняет контроль и учет доступа к конфиденциальным сведениям. После внесения масштабных изменений в Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» был принят целый ряд нормативных актов, устанавливающих новые требования к организации обработки и обеспечению безопасности такой информации. Настоящая статья предоставляет обзор и анализ ключевых изменений в регулировании, рассматривает проблемы практической реализации новых требований и предлагает рекомендации по совершенствованию нормативной базы.

Актуальные изменения в законодательстве

2013 год стал особенно продуктивным с точки зрения ужесточения законодательства в сфере защиты персональных данных.

Проанализируем наиболее значимые нововведения:

1. Ужесточение административной ответственности. Федеральным законом от 2 декабря 2013 года № 341-ФЗ в Кодекс Российской Федерации об административных правонарушениях были внесены изменения, в несколько раз увеличившие размеры штрафов за нарушение установленных правил защиты информации (статья 13.12).
2. Корректировка режима врачебной тайны. В течение 2013 года трижды изменялась статья 13 Федерального закона от 21 ноября 2011 года № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации». Был расширен перечень случаев, когда передача сведений, составляющих врачебную тайну, допускается без согласия пациента или его законного представителя. Кроме того, в состав данных персонифицированного учета о медицинских работниках дополнительно включены сведения об их образовании и документах о квалификации.
3. Расширение полномочий страховых медицинских организаций. Изменения в Федеральный закон от 29 ноября 2010 года № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации» уточнили состав данных персонифицированного учета, включив в него сведения о медработниках, оказавших услуги. Страховые компании получили оперативный доступ к информации о госпитализации, выписке и движении коек своих застрахованных лиц через единый информационный ресурс территориальных фондов ОМС.
4. Создание единой базы данных службы крови. Во исполнение Федерального закона от 20 июля 2012 года № 125-ФЗ «О донорстве крови и ее компонентов» были утверждены правила ведения единой базы. Медицинские учреждения, такие как противотуберкулезные, кожно-венерологические и наркологические диспансеры, обязаны ежедневно передавать в уполномоченные организации Федерального медико-биологического агентства сведения о лицах, имеющих противопоказания к донорству, и иную информацию о донорах. Согласие субъекта на такую передачу не требуется.
5. Вопросы, связанные с универсальной электронной картой (далее УЭК). Изменения в Федеральный закон от 27 июля 2010 года № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» предусматривали, что с 1 января 2015 года универсальная электронная карта должна была выдаваться гражданам в беззаявительном порядке. Однако дальнейшее развитие проекта УЭК было скорректировано.

Примечание: В настоящее время функции УЭК перешли к сервису «Госуслуги» и планируемому к внедрению электронному паспорту. Выдача электронных паспортов в Российской Федерации планируется в ближайшей перспективе, и этот документ будет использоваться, в том числе, для получения медицинских услуг и идентификации в системе здравоохранения.

6. Обязанность медицинских организаций передавать данные в ФМС. Законом от 28 декабря 2013 года № 387-ФЗ были внесены изменения в Закон Российской Федерации «О праве граждан Российской Федерации на свободу передвижения...», обязывающие медицинские организации, санатории, гостиницы и т.д. в течение суток предоставлять в органы Федеральной миграционной службы (ныне — Главное управление по вопросам миграции МВД России) информацию о регистрации граждан по месту пребывания. Поскольку сведения о госпитализации составляют врачебную тайну, в данном случае передаются специальные категории персональных данных.
7. Обработка персональных данных операторами связи. Законом от 7 мая 2013 года № 99-ФЗ были внесены изменения в Федеральный закон «О связи», разрешающие операторам связи передавать обработку персональных данных абонентов сторонним организациям (аутсорсерам) без согласия самого абонента. Это создало прецедент, снимающий одно из существенных ограничений для использования облачных технологий, в том числе и в здравоохранении.

За последние годы значительно расширился перечень случаев, когда передача персональных данных, включая специальные категории (данные о здоровье), разрешена без согласия субъекта. Это меняет общую модель конфиденциальности и требует от медицинских организаций повышенного внимания к соблюдению процедур, установленных законом.

Проблемные вопросы и рекомендации

Несмотря на активное нормотворчество, многие аспекты защиты персональных данных в здравоохранении остаются не до конца урегулированными.

1. Определение уровня защищенности информационных систем.

Согласно части 3 статьи 19 Федерального закона № 152-ФЗ, уровень защищенности персональных данных должен устанавливаться с учетом возможного вреда субъекту, объема и содержания обрабатываемых данных. Однако на практике действующие «Требования к защите персональных данных при их обработке в информационных системах персональных данных» используют иные классификационные признаки, такие как тип угроз и категории данных, не учитывая напрямую потенциальный вред и вид деятельности оператора.

Для медицинских информационных систем, обрабатывающих данные о состоянии здоровья, определение необходимого уровня защищенности должно быть максимально стандартизировано. Целесообразно ориентироваться на то, что системы, обрабатывающие данные более 100 тысяч пациентов, должны обеспечивать 1-й (самый высокий) уровень защищенности, а при меньшем объеме — 2-й уровень.

2. Защита данных в государственных информационных системах (далее ГИС).

Значительная часть информационных систем в здравоохранении и ОМС является государственными или муниципальными. На них распространяются не только общие требования к защите персональных данных, но и специальные — для ГИС, включая обязательную разработку модели угроз, применение сертифицированных средств защиты и проведение аттестации.

3. Обезличивание персональных данных.

Утвержденные Роскомнадзором требования и методы по обезличиванию, а также соответствующий ГОСТ, являются методической основой для псевдонимизации данных. Эти технологии критически важны для формирования медицинских регистров, используемых в научных исследованиях, клинических испытаниях и ведении электронных медицинских карт, обеспечивая баланс между полезностью данных и конфиденциальностью.

4. Информационная безопасность компьютеризированных медицинских приборов.

Отдельной сложной проблемой является выполнение требований по защите данных при интеграции в медицинские информационные системы сложного диагностического оборудования (компьютерных томографов, МРТ, УЗИ-аппаратов). Зачастую импортное оборудование не имеет сертифицированных в России средств защиты, а условия гарантийного обслуживания требуют постоянного доступа в Интернет, что создает дополнительные риски.

Примечание: В настоящее время в мире, включая Россию, ведется активная работа по разработке специальных требований к кибербезопасности медицинских изделий. Это особенно актуально в связи с развитием телемедицины и интернета медицинских вещей, когда уязвимости в оборудовании могут представлять прямую угрозу жизни и здоровью пациентов.

5. Использование интернета и облачных сервисов.

Обеспечение конфиденциальности данных при передаче через интернет остается серьезным вызовом. Каналы, защищенные протоколами вроде SSL/HTTPS, но без использования сертифицированных в ФСБ России средств криптографической защиты, не могут считаться полностью безопасными для передачи медицинской тайны.

Рекомендация: Медицинским организациям, предоставляющим сервисы через интернет (например, запись на прием, личные кабинеты пациентов), следует:

• Четко информировать пользователей о рисках.
• Использовать VPN-соединения и сертифицированные средства шифрования для доступа к критичным системам, таким как «Автоматизированное рабочее место врача».
• Рассматривать современные технологические решения, например, использование защищенных загрузочных USB-носителей (технологии типа LiveUSB) с предустановленным и сертифицированным программным обеспечением для удаленной работы медиков. Это позволяет создать защищенное рабочее место где угодно, не оставляя следов деятельности на локальном компьютере.

Заключение

 Необходим комплексный подход, сочетающий не только технические меры защиты, но и организационные: разработку четких внутренних регламентов, регулярное обучение сотрудников и построение целостной системы управления рисками. Только так можно обеспечить надежную защиту конфиденциальной информации пациентов, не отказываясь от преимуществ цифровизации медицины.